Go语言HTTP服务器自签名证书无法正常工作问题排查

核心排查方向 #

浏览器无证书提示直接无法连接，说明TCP连接未建立，而非证书信任问题，优先从以下几个方向排查：

1. 访问协议错误 #

你可能仍用http://访问启用TLS的服务器，HTTPS服务仅接收https://请求。必须用https://<树莓派局域网IP>:<端口>访问，而非原HTTP地址。

2. 证书/密钥文件权限问题 #

代码中写入证书和密钥时使用了0权限：

err = os.WriteFile(certFilePath, certPEM.Bytes(), 0)
err = os.WriteFile(keyFilePath, certPrivKeyPEM.Bytes(), 0)

0权限的文件会导致服务器进程无法读取，TLS初始化失败（可能日志未显式报错）。需将权限改为0600（仅所有者可读写）：

err = os.WriteFile(certFilePath, certPEM.Bytes(), 0600)
if err != nil {
    log.Printf("web: cert: failed to write cert to file\n")
    return err
}

err = os.WriteFile(keyFilePath, certPrivKeyPEM.Bytes(), 0600)
if err != nil {
    log.Printf("web: cert: failed to write key to file\n")
    return err
}

3. 端口/防火墙限制 #

• 检查树莓派防火墙是否开放了HTTPS端口：
  若使用默认443端口，执行sudo ufw allow 443/tcp；若为自定义端口（如8443），则开放对应端口。
• 确认PC与树莓派在同一局域网，且树莓派的端口未被其他进程占用。

4. 证书IP地址不匹配（后续证书信任问题） #

当前服务器证书仅包含回环地址（127.0.0.1、IPv6 loopback），但你从PC访问树莓派的局域网IP（如192.168.x.x），需将该IP添加到证书的IPAddresses字段：

selfcert := &x509.Certificate{
    // ... 其他字段
    IPAddresses: []net.IP{
        net.IPv4(127, 0, 0, 1),
        net.IPv6loopback,
        net.ParseIP("192.168.1.100"), // 替换为树莓派的实际局域网IP
    },
    // ... 其他字段
}

这一步解决的是证书信任提示（如"证书不匹配"），而非初始连接问题，但连接成功后会遇到该问题。

辅助测试方法 #

用curl在PC上测试，获取更详细的错误信息：

curl -v https://<树莓派IP>:<端口>

• 若输出"Connection timed out"：网络/端口未打通，检查防火墙和端口。
• 若输出TLS握手相关错误：证书或服务器配置问题，检查文件权限和证书内容。

内容的提问来源于stack exchange，提问作者szs