Go语言中tls.Config.VerifyPeerCertificate是否绕过默认证书校验？我的理解正确吗？

VerifyPeerCertificate 确实是Go TLS证书校验流程的增强步骤，而非用于绕过默认校验的替代方案。

核心逻辑说明 #

Go的TLS客户端校验流程是这样的：

1. 首先执行标准默认校验：验证证书链的完整性、签名有效性、是否受信任（匹配根CA池）、有效期等。
2. 只有当默认校验完全通过后，才会调用VerifyPeerCertificate回调，让你添加自定义的额外校验逻辑（比如你需要的特定通用名称白名单）。
3. 如果默认校验失败，会直接返回错误，根本不会触发自定义回调。

你提到的提交记录也印证了这一点：代码逻辑明确是在默认校验通过后，才进入if cfg.VerifyPeerCertificate != nil的分支执行自定义校验。

关于Stack Overflow的相反答案 #

那些相反的说法大概率是误解：

• 可能是混淆了VerifyPeerCertificate和InsecureSkipVerify: true的作用——后者才会完全跳过默认校验，极度不安全，绝对不适合你的场景。
• 也可能是针对非常老旧的Go版本（早于该提交的版本），但如今主流Go版本的逻辑都是默认校验优先，回调仅做增强。

实现特定通用名称校验的正确示例 #

要实现仅允许少数特定CN的严格校验，你只需要保留默认校验，再在回调里添加CN白名单检查即可：

package main

import (
    "crypto/tls"
    "crypto/x509"
    "fmt"
)

func main() {
    // 初始化根CA池（确保默认信任校验正常）
    rootCAs := x509.NewCertPool()
    // 这里添加你的根证书，比如从系统导入或手动添加
    // rootCAs.AppendCertsFromPEM(...)

    config := &tls.Config{
        RootCAs: rootCAs,
        VerifyPeerCertificate: func(rawCerts [][]byte, verifiedChains [][]*x509.Certificate) error {
            // 取服务器端的叶子证书
            leafCert := verifiedChains[0][0]
            // 定义允许的通用名称列表
            allowedCNs := map[string]bool{
                "allowed-domain-1.com": true,
                "allowed-domain-2.com": true,
            }
            if !allowedCNs[leafCert.Subject.CommonName] {
                return fmt.Errorf("certificate common name %s is not allowed", leafCert.Subject.CommonName)
            }
            return nil
        },
    }

    // 使用该config创建TLS客户端连接
    // conn, err := tls.Dial("tcp", "target-domain:443", config)
    // ...
}

内容的提问来源于stack exchange，提问作者algonoob