Go守护进程子进程无法发起HTTPS请求：证书验证失败求助

问题场景 #

开发Go daemon项目时，主进程中执行httpClient.Do发起HTTPS请求正常，但daemon子进程执行相同操作时抛出证书验证错误：

2024/04/05 17:45:34 error making GET request to google.com err Get "https://google.com": tls: failed to verify certificate: SecPolicyCreateSSL error: 0

环境为macOS，使用go-daemon库创建daemon进程。

核心原因 #

macOS的TLS证书验证依赖系统Security Framework，而daemon子进程在脱离用户会话（无终端、无GUI上下文）后，无法正常访问系统根证书存储：

• go-daemon创建daemon时会重置环境变量、脱离终端会话，导致Security Framework无法获取必要的用户上下文权限，进而无法访问钥匙串或系统证书库。
• 主进程运行在用户会话中，拥有完整的安全上下文，因此可以正常完成证书验证流程。

解决办法 #

1. 临时禁用证书验证（仅测试环境使用） #

不推荐生产环境使用，仅用于快速验证问题：

import (
    "net/http"
    "crypto/tls"
)

client := &http.Client{
    Transport: &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    },
}

2. 手动加载系统根证书 #

macOS系统根证书通常位于/etc/ssl/cert.pem，手动加载后指定给HTTP客户端：

import (
    "net/http"
    "crypto/tls"
    "crypto/x509"
    "io/ioutil"
    "log"
)

func createHTTPClient() *http.Client {
    certPool, err := x509.SystemCertPool()
    if err != nil {
        // 手动加载系统证书
        certs, err := ioutil.ReadFile("/etc/ssl/cert.pem")
        if err != nil {
            log.Fatalf("failed to read system certs: %v", err)
        }
        certPool = x509.NewCertPool()
        if !certPool.AppendCertsFromPEM(certs) {
            log.Fatal("failed to append system certs")
        }
    }

    return &http.Client{
        Transport: &http.Transport{
            TLSClientConfig: &tls.Config{RootCAs: certPool},
        },
    }
}

3. 保留必要环境变量给Daemon进程 #

在创建daemon上下文时，添加SSL_CERT_FILE环境变量，指定系统证书路径：

import "github.com/NorseGaud/go-daemon"

ctx := &daemon.Context{
    // 保留原有环境变量并添加证书路径
    Env: append(os.Environ(), "SSL_CERT_FILE=/etc/ssl/cert.pem"),
}
child, err := ctx.Reborn()
if err != nil {
    log.Fatal(err)
}
if child != nil {
    return
}
defer ctx.Release()

内容的提问来源于stack exchange，提问作者NorseGaud