使用go-amqp建立TLS客户端连接失败问题求助

从你的错误信息和代码对比来看，核心问题是Go客户端没有向ActiveMQ服务器发送完整的客户端证书链，导致服务器抛出javax.net.ssl.SSLHandshakeException: null cert chain错误。而Python的proton库会自动处理证书链的补全逻辑，所以能成功建立连接。

问题根源分析 #

你通过tls.LoadX509KeyPair加载的client.cer.pem大概率只是叶子客户端证书（未包含中间CA证书）：

• Python的proton库会自动从你配置的trusted_ca_db（即server.cer.pem，可能包含中间CA证书）中补全证书链，再发送给服务器；
• 但Go的tls.Config不会自动做这件事——如果加载的证书文件只有叶子证书，客户端只会发送这一个证书，服务器无法验证完整的信任链，就会触发证书链为空的错误。

另外注意到Python代码里设置了sni="gateway.ccs.swim.dsna.fr"，而Go代码中ServerName设为"server-url.fr"，虽然这不是当前证书链错误的直接原因，但建议保持两者一致，避免后续SNI匹配问题。

解决方案 #

方案1：修改客户端证书文件，包含完整链 #

打开client.cer.pem，将中间CA的证书内容（PEM格式，包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----块）追加到文件末尾。这样tls.LoadX509KeyPair会自动加载完整的证书链并发送给服务器。

方案2：在Go代码中手动构建证书链 #

如果不想修改证书文件，可以在代码中单独加载中间CA证书，并将其添加到客户端证书链中：

import (
	"crypto/tls"
	"crypto/x509"
	"fmt"
	"io/ioutil"
)

func NewTLSConfig(clientCertFile, clientKeyFile, caCertFile, intermediateCertFile string) (*tls.Config, error) {
	tlsConfig := tls.Config{}
	// 加载客户端证书和私钥
	cert, err := tls.LoadX509KeyPair(clientCertFile, clientKeyFile)
	if err != nil {
		return &tlsConfig, err
	}

	// 加载中间CA证书（如果有多个中间CA，可循环加载）
	intermediateCertBytes, err := ioutil.ReadFile(intermediateCertFile)
	if err != nil {
		return &tlsConfig, err
	}
	intermediatePool := x509.NewCertPool()
	if !intermediatePool.AppendCertsFromPEM(intermediateCertBytes) {
		return &tlsConfig, fmt.Errorf("failed to add intermediate CA certificate")
	}

	// 将中间CA证书添加到客户端证书链中
	for _, certRaw := range intermediatePool.Subjects() {
		if intermediateCert, ok := intermediatePool.GetCertificate(certRaw); ok {
			cert.Certificate = append(cert.Certificate, intermediateCert.Raw)
		}
	}

	tlsConfig.Certificates = []tls.Certificate{cert}

	// 加载CA证书用于验证服务器
	caCert, err := ioutil.ReadFile(caCertFile)
	if err != nil {
		return &tlsConfig, err
	}
	caCertPool := x509.NewCertPool()
	caCertPool.AppendCertsFromPEM(caCert)
	tlsConfig.RootCAs = caCertPool

	// 对齐Python的SNI设置
	tlsConfig.ServerName = "gateway.ccs.swim.dsna.fr"
	tlsConfig.InsecureSkipVerify = true

	return &tlsConfig, nil
}

额外检查项 #

1. 确认client.key.pem没有密码保护（如果有，Go需要额外添加密码解密逻辑）；
2. 检查证书的有效期、签名算法是否与服务器要求一致。

尝试以上修改后，应该就能解决证书链相关的连接问题了。

内容的提问来源于stack exchange，提问作者Antonin