Go语言HTTP.Redirect跳转谷歌认证的TLS及Cookie问题求助

一、TLS握手错误（remote error: tls: unknown certificate） #

原因 #

自签名证书未被客户端（浏览器）信任。当从第一个HTTPS服务重定向到第二个HTTPS服务时，浏览器默认不认可未被正规根证书机构签发的自签名证书，触发TLS握手失败。

解决步骤 #

• 将自签名证书添加到浏览器信任列表：
  1. 直接访问第二个服务的HTTPS地址，在地址栏的证书警告弹窗中导出证书文件。
  2. 进入浏览器设置的「证书管理」页面，导入该证书并设置为「信任此证书颁发机构」。
• 确保服务证书配置有效：
  启动服务时确认加载正确的证书与私钥对，示例代码：

  cert, err := tls.LoadX509KeyPair("server.crt", "server.key")
  if err != nil {
      log.Fatal(err)
  }
  server := &http.Server{
      Addr:      ":8081",
      TLSConfig: &tls.Config{Certificates: []tls.Certificate{cert}},
  }
  log.Fatal(server.ListenAndServeTLS("", ""))
  

二、oauthstate Cookie无法找到 #

原因 #

Cookie属性配置不符合跨端口跳转的规则：

• 未明确指定Domain为localhost，同域名不同端口下浏览器可能限制Cookie跨服务读取。
• Path设置过窄，导致回调路径无法访问Cookie。
• HTTPS环境下未开启Secure属性，浏览器出于安全策略拒绝携带Cookie。
• SameSite属性设置过于严格，阻止了跳转请求中的Cookie传递。

解决步骤 #

• 第一个服务在生成oauthstate时，严格配置Cookie属性：

  // 生成随机state值（需自定义randStr函数实现）
  state := randStr(32)
  http.SetCookie(w, &http.Cookie{
      Name:     "oauthstate",
      Value:    state,
      HttpOnly: true, // 防XSS攻击
      Secure:   true, // HTTPS环境必须开启
      Domain:   "localhost", // 明确域名，确保同域名跨端口可访问
      Path:     "/", // 设置根路径，覆盖所有服务路径
      SameSite: http.SameSiteLaxMode, // 允许跳转请求携带Cookie
  })
  // 重定向到第二个服务的认证回调地址
  http.Redirect(w, r, "https://localhost:8081/auth/google/callback", http.StatusTemporaryRedirect)
  

• 确认第二个服务的回调接口路径被Cookie的Path属性覆盖。

内容的提问来源于stack exchange，提问作者user3218590