Go语言构建OpenSearch客户端遇x509证书未知签发机构错误求助

针对你遇到的x509: certificate signed by unknown authority错误，以下是几种可行的解决办法：

方案1：正确禁用SSL证书验证（仅测试环境使用） #

如果之前禁用验证没生效，大概率是配置方式有误。以下是OpenSearch Go客户端正确禁用证书验证的代码示例：

package main

import (
	"crypto/tls"
	"net/http"

	"github.com/opensearch-project/opensearch-go"
)

func main() {
	cfg := opensearch.Config{
		Addresses: []string{"https://192.168.8.136:9200"},
		Transport: &http.Transport{
			TLSClientConfig: &tls.Config{
				InsecureSkipVerify: true, // 禁用证书验证
			},
		},
		// 添加用户名密码等其他必要配置
	}

	client, err := opensearch.NewClient(cfg)
	if err != nil {
		panic(err)
	}

	// 执行ping测试
	res, err := client.Ping()
	if err != nil {
		panic(err)
	}
	defer res.Body.Close()
}

⚠️ 注意：该方式会跳过所有证书校验，存在严重安全风险，仅适合测试环境，生产环境绝对禁止使用。

方案2：将服务器证书添加到客户端信任列表（生产环境推荐） #

把OpenSearch服务器的证书导入客户端信任池，让客户端主动信任该证书，步骤如下：

1. 先导出OpenSearch服务器的证书，执行以下命令：

openssl s_client -connect 192.168.8.136:9200 </dev/null | openssl x509 -outform PEM > opensearch-cert.pem

2. 在Go代码中加载证书并配置信任池：

package main

import (
	"crypto/tls"
	"crypto/x509"
	"io/ioutil"
	"net/http"

	"github.com/opensearch-project/opensearch-go"
)

func main() {
	// 读取本地保存的服务器证书文件
	certBytes, err := ioutil.ReadFile("opensearch-cert.pem")
	if err != nil {
		panic(err)
	}

	// 创建自定义证书信任池
	rootCAs := x509.NewCertPool()
	if ok := rootCAs.AppendCertsFromPEM(certBytes); !ok {
		panic("无法将证书添加到信任池")
	}

	cfg := opensearch.Config{
		Addresses: []string{"https://192.168.8.136:9200"},
		Transport: &http.Transport{
			TLSClientConfig: &tls.Config{
				RootCAs: rootCAs, // 使用自定义信任池
			},
		},
		// 添加用户名密码等其他必要配置
	}

	client, err := opensearch.NewClient(cfg)
	if err != nil {
		panic(err)
	}

	// 执行ping测试
	res, err := client.Ping()
	if err != nil {
		panic(err)
	}
	defer res.Body.Close()
}

方案3：检查证书的SAN字段配置 #

如果客户端用IP地址（192.168.8.136）访问OpenSearch，需要确保服务器证书的**SAN（Subject Alternative Name）**字段包含该IP地址。若证书中仅包含域名、未配置对应IP，即使信任证书也会触发x509错误。

解决方式：

• 重新生成包含该IP地址的OpenSearch证书
• 改用证书中已配置的域名访问OpenSearch服务器

内容的提问来源于stack exchange，提问作者cristid9