Golang连接Elasticsearch时HTTP CA证书不被信任问题求助

问题原因 #

你遇到的错误是因为Elasticsearch默认使用自签名CA证书，而你的Go客户端未信任该证书，导致TLS握手失败。当前配置仅设置了TLS最小版本，缺少证书信任逻辑。

解决方案 #

方案1：信任Elasticsearch的CA证书（生产环境推荐） #

首先找到Elasticsearch生成的CA证书，默认路径为config/certs/http_ca.crt（官方安装包或Docker部署场景），然后在代码中加载证书并添加到信任池。

修改后的配置代码：

import (
    "crypto/x509"
    "os"
    "time"
    "net"
    "net/http"
    "crypto/tls"
    "github.com/elastic/go-elasticsearch/v8"
)

var _elasticSearchConfiguration elasticsearch.Config

func init() {
    // 替换为你的Elasticsearch CA证书实际路径
    caCertPath := "/path/to/elasticsearch/config/certs/http_ca.crt"
    caCert, err := os.ReadFile(caCertPath)
    if err != nil {
        panic(err)
    }

    // 创建证书信任池并导入CA证书
    certPool := x509.NewCertPool()
    if !certPool.AppendCertsFromPEM(caCert) {
        panic("导入CA证书失败")
    }

    _elasticSearchConfiguration = elasticsearch.Config{
        Addresses: []string{
            "https://localhost:9200",
        },
        Username: "elastic",
        Password: "123456",
        Transport: &http.Transport{
            MaxIdleConnsPerHost:   10,
            ResponseHeaderTimeout: time.Second,
            DialContext:           (&net.Dialer{Timeout: time.Second}).DialContext,
            TLSClientConfig: &tls.Config{
                MinVersion: tls.VersionTLS12,
                RootCAs:    certPool, // 信任自定义CA证书
            },
        },
    }
}

方案2：跳过证书验证（仅开发/测试环境使用） #

本地开发测试时可临时跳过证书验证，但绝对禁止在生产环境使用，会带来严重安全风险。

修改TLS配置部分：

TLSClientConfig: &tls.Config{
    MinVersion:         tls.VersionTLS12,
    InsecureSkipVerify: true, // 跳过证书验证
},

完整使用示例 #

import (
    "log"
    "net/http"
    "github.com/elastic/go-elasticsearch/v8"
)

func GetAllJsonObjectDemos(responseWriter http.ResponseWriter, request *http.Request) {
    _elasticsearch, err := elasticsearch.NewClient(_elasticSearchConfiguration)
    if err != nil {
        log.Fatalf("创建Elasticsearch客户端失败: %v", err)
    }
    elasticSearchResponse, err := _elasticsearch.Info()
    if err != nil {
        log.Fatalf("获取Elasticsearch信息失败: %s", err)
    }
    defer elasticSearchResponse.Body.Close()
    log.Println(elasticSearchResponse)
}

额外建议 #

• 生产环境必须使用方案1，保障通信安全
• 若Elasticsearch使用第三方可信CA证书（如Let's Encrypt），无需手动加载证书，Go会自动信任系统默认根证书
• 确认证书路径正确，且Go程序拥有证书文件的读取权限

内容的提问来源于stack exchange，提问作者Shyam Patel