使用Go建立mTLS连接至Caddy Admin API时客户端证书未发送问题排查

可能的问题及修复方案 #

1. TLS版本强制限制导致证书请求未被正确处理 #

你代码中强制设置了MinVersion: tls.VersionTLS13，而TLS 1.3的证书请求逻辑与TLS 1.2存在差异，部分服务器在TLS 1.3下的客户端证书请求无法被Go客户端正确响应，最终导致未发送证书。

修复：移除MinVersion配置，让客户端自动协商兼容的TLS版本：

TLSClientConfig: &tls.Config{
    Certificates: []tls.Certificate{keypair},
    // 移除 MinVersion: tls.VersionTLS13
},

2. 客户端证书链不完整 #

如果你的cert.pem仅包含客户端证书，缺少对应的中间CA证书，Go客户端无法构建完整的证书链，握手时无法发送有效证书。

修复：将客户端证书和中间CA证书合并到cert.pem中（顺序为客户端证书在前，中间CA证书在后），确保文件包含完整的信任链。

3. 客户端未信任服务器证书导致握手提前终止 #

curl可能依赖系统根证书或手动指定了CA证书，而Go客户端默认仅信任系统根证书。如果Caddy的服务器证书不在系统信任列表中，客户端会在验证服务器证书时失败，提前终止握手，进而未发送客户端证书。

修复：加载服务器CA证书到客户端的信任池：

import (
    // 新增需要的包
    "crypto/x509"
    "os"
)

func main() {
    // ... 原有代码 ...

    // 加载服务器CA证书
    caCert, err := os.ReadFile("./caddy-ca.pem")
    if err != nil {
        log.Fatal(err)
    }
    caCertPool := x509.NewCertPool()
    caCertPool.AppendCertsFromPEM(caCert)

    client := http.Client{
        Transport: &http.Transport{
            TLSClientConfig: &tls.Config{
                Certificates: []tls.Certificate{keypair},
                RootCAs:      caCertPool,
            },
        },
    }

    // ... 原有代码 ...
}

4. 显式指定客户端证书回调函数 #

部分场景下，显式设置GetClientCertificate回调可确保客户端在服务器请求证书时正确提供：

TLSClientConfig: &tls.Config{
    GetClientCertificate: func(info *tls.CertificateRequestInfo) (*tls.Certificate, error) {
        return &keypair, nil
    },
    // 其他配置...
},

验证步骤 #

1. 优先测试移除MinVersion配置，确认是否能正常发送证书。
2. 通过openssl x509 -in cert.pem -text检查证书文件是否包含完整链。
3. 对比curl的命令参数，确保Go客户端的证书配置与curl完全一致（比如curl是否指定了--cacert，则Go客户端也需加载对应CA证书）。

内容的提问来源于stack exchange，提问作者Johnny