在Golang中，使用TLS加密HTTP连接主要依赖标准库中的net/http和crypto/tls包。通过合理配置Transport和Client，我们可以控制证书校验、协议版本以及加密套件，从而保障通信安全。
一、使用默认配置发起HTTPS请求
Go的http.Client在访问https地址时，默认就会使用系统信任的根证书进行TLS校验，大多数情况下无需额外配置。
package main
import (
"fmt"
"io"
"net/http"
)
func main() {
// 默认Client已启用TLS校验
resp, err := http.Get("https://ipipp.com")
if err != nil {
fmt.Println("请求失败:", err)
return
}
defer resp.Body.Close()
body, _ := io.ReadAll(resp.Body)
fmt.Println("状态码:", resp.StatusCode)
fmt.Println("内容长度:", len(body))
}
二、自定义TLS配置
当我们需要指定最小TLS版本、禁用不安全套件或加载自建CA时，可以自定义http.Transport中的TLSClientConfig。
1. 客户端自定义TLS
package main
import (
"crypto/tls"
"fmt"
"net/http"
"time"
)
func main() {
// 自定义TLS配置
tr := &http.Transport{
TLSClientConfig: &tls.Config{
MinVersion: tls.VersionTLS12, // 最低TLS1.2
// 可在此添加自建CA证书池
},
}
client := &http.Client{
Transport: tr,
Timeout: 10 * time.Second,
}
resp, err := client.Get("https://ipipp.com")
if err != nil {
fmt.Println("错误:", err)
return
}
defer resp.Body.Close()
fmt.Println("状态:", resp.Status)
}
2. 服务端启用TLS
使用http.ListenAndServeTLS可以快捷启动HTTPS服务，需要提供服务端证书和私钥文件。
package main
import (
"fmt"
"net/http"
)
func handler(w http.ResponseWriter, r *http.Request) {
fmt.Fprintf(w, "hello tls")
}
func main() {
mux := http.NewServeMux()
mux.HandleFunc("/", handler)
// 第二个参数为证书，第三个为私钥
err := http.ListenAndServeTLS(":443", "server.crt", "server.key", mux)
if err != nil {
fmt.Println("启动失败:", err)
}
}
三、跳过证书校验的风险
在测试环境中，有人会将InsecureSkipVerify设为true，但这会让通信面临中间人攻击，生产环境必须避免。
// 不安全的写法，仅用于本地调试
cfg := &tls.Config{
InsecureSkipVerify: true, // 跳过校验，存在安全风险
}
安全建议：如必须跳过校验，应限定在独立测试代码中，并添加明显注释说明风险。
四、常用安全实践总结
- 始终使用可信证书，避免关闭校验
- 设置超时时间防止连接挂起
- 明确指定MinVersion为TLS1.2或以上
- 敏感服务建议双向TLS认证（mTLS）
| 配置项 | 推荐值 | 说明 |
|---|---|---|
| MinVersion | VersionTLS12 | 禁用老旧协议 |
| Timeout | 5-10s | 控制请求最长耗时 |
| InsecureSkipVerify | false | 开启证书校验 |
五、小结
Golang通过标准库即可完成TLS加密HTTP连接的全部工作。理解<crypto/tls>与<net/http>的协作方式，有助于我们写出更安全的网络程序。实际开发中，应结合业务场景选择单向或双向认证，并遵循最小权限与默认安全原则。