在微服务架构中，各个服务之间频繁通过网络互相调用。如果直接使用明文HTTP或者TCP通信，内部网络一旦被嗅探，敏感数据、鉴权头以及业务报文都会暴露。Golang作为云原生领域的主流语言，其标准库已经提供了完整的TLS支持，可以让开发者以很低的成本实现服务间加密传输。TLS（Transport Layer Security）协议在通信开始前先通过证书完成身份确认，再利用协商出的对称密钥加密后续数据，兼顾了安全性与性能。
生成证书与密钥文件
要在Golang中使用TLS，首先需要有证书和私钥。在测试或内网环境中，我们通常使用自签名证书；生产环境则建议由内部CA或者公共信任CA签发。可以通过OpenSSL命令生成RSA私钥和证书请求，再自签为证书文件。下面这段命令会生成server.key和server.crt，分别用于服务端解密和向客户端证明身份。
需要注意，微服务之间如果要做双向认证（mTLS），每个服务都应该有自己的证书，而不是所有服务共用一套。这样在客户端发起请求时，服务端也能校验客户端身份，避免未授权的服务接入。证书中的Common Name或SAN应当正确填写服务的域名或IP，否则Golang在默认校验时会报证书不匹配错误。
# 生成服务端私钥和自签名证书 openssl genrsa -out server.key 2048 openssl req -new -x509 -key server.key -out server.crt -days 365 -subj "/CN=order-service" # 生成客户端证书用于双向认证 openssl genrsa -out client.key 2048 openssl req -new -key client.key -out client.csr -subj "/CN=api-gateway" openssl x509 -req -in client.csr -signkey client.key -out client.crt -days 365
Golang服务端启用TLS
在服务端，我们使用标准库的net/http包来启动HTTPS服务。核心步骤是构造tls.Config结构，并通过tls.LoadX509KeyPair加载证书与私钥，然后将配置传给http.Server的TLSConfig字段。以下示例展示了如何启动一个只接受TLS连接、并且要求客户端提供证书的订单服务。
当设置ClientAuth为tls.RequireAndVerifyClientCert时，服务端会强制校验客户端证书，这就实现了mTLS。此时还必须通过ClientCAs指定受信任的CA池，否则服务端无法验证客户端证书链。如果仅仅是单向TLS（只加密不验证客户端），可以将ClientAuth设为tls.NoClientCert，但微服务内部通信更推荐双向认证以防御内网伪造调用。
package main
import (
"crypto/tls"
"crypto/x509"
"io/ioutil"
"log"
"net/http"
)
func main() {
// 读取受信任的客户端CA证书
caCert, err := ioutil.ReadFile("client.crt")
if err != nil {
log.Fatal(err)
}
caPool := x509.NewCertPool()
caPool.AppendCertsFromPEM(caCert)
srv := &http.Server{
Addr: ":8443",
TLSConfig: &tls.Config{
// 服务端证书
Certificates: []tls.Certificate{mustLoad("server.crt", "server.key")},
// 要求并验证客户端证书
ClientAuth: tls.RequireAndVerifyClientCert,
ClientCAs: caPool,
},
}
http.HandleFunc("/orders", func(w http.ResponseWriter, r *http.Request) {
w.Write([]byte("secure order data"))
})
// 启动TLS服务，第二个参数为空表示使用TLSConfig中的证书
log.Fatal(srv.ListenAndServeTLS("", ""))
}
func mustLoad(cert, key string) tls.Certificate {
c, err := tls.LoadX509KeyPair(cert, key)
if err != nil {
log.Fatal(err)
}
return c
}
Golang客户端发起加密调用
客户端调用时同样需要加载自己的证书，并信任服务端的证书。在Golang中，我们可以自定义http.Client的Transport为http.Transport，并设置TLSClientConfig。下面示例中的客户端使用client.crt和client.key向order-service发起mTLS请求，同时把server.crt加入根证书池以校验服务端身份。
一个常见误区是在开发时图省事将InsecureSkipVerify设为true，这会完全跳过证书校验，使TLS失去防中间人攻击的能力，绝对不能用于生产。此外，若微服务部署在容器环境，证书文件应通过挂载卷或密钥管理工具注入，避免硬编码在镜像里。通过复用带TLS的http.Client，Golang会自动维护连接池，加密握手只发生一次，后续请求性能损耗极低。
package main
import (
"crypto/tls"
"crypto/x509"
"fmt"
"io/ioutil"
"log"
"net/http"
)
func main() {
// 加载客户端证书
cert, err := tls.LoadX509KeyPair("client.crt", "client.key")
if err != nil {
log.Fatal(err)
}
// 信任服务端证书
serverCA, _ := ioutil.ReadFile("server.crt")
pool := x509.NewCertPool()
pool.AppendCertsFromPEM(serverCA)
client := &http.Client{
Transport: &http.Transport{
TLSClientConfig: &tls.Config{
Certificates: []tls.Certificate{cert},
RootCAs: pool,
},
},
}
resp, err := client.Get("https://order-service:8443/orders")
if err != nil {
log.Fatal(err)
}
defer resp.Body.Close()
body, _ := ioutil.ReadAll(resp.Body)
fmt.Println(string(body))
}
性能与运维注意事项
TLS握手虽然会带来额外延迟，但Golang的crypto/tls实现了会话复用（Session Resumption）和HTTP/2多路复用，在长连接场景下性能影响很小。对于高并发微服务，建议保持连接池并启用HTTP/2，这样多个请求可共用一条加密通道，显著降低CPU开销。同时，应定期轮换证书，并在配置里使用tls.MinVersion设定为tls.VersionTLS12以禁用不安全的旧协议。
在运维层面，可以用Sidecar模式将TLS终止交给Envoy等代理，业务代码无需改动；但若追求更细粒度控制和零代理依赖，直接在Golang服务内集成tls.Config是更轻量的方案。无论哪种方式，证书私钥的权限应设为600，并配合配置中心实现热加载，避免重启服务。做好这些，微服务间通信就能从明文变为可靠加密，抵御内网嗅探与伪造调用风险。