使用.crt/.key通过Go代码连接HTTPS遇x509证书未知权威错误求助

先直接拆解你的问题：

错误核心原因 #

这个错误本质是Go的TLS客户端无法信任目标服务器证书的签发机构。在企业代理/防火墙环境下，通常是以下两种情况导致：

1. 企业防火墙/代理会重签所有HTTPS流量的证书，用的是企业内部的根CA，而你的代码里没有把这个根CA加入信任列表
2. 你混淆了客户端证书和CA证书，把自己的客户端证书加到了信任根池，而不是真正能验证服务器证书的企业根CA

另外提一句：你手里的.csr文件是证书签名请求，只在申请证书时有用，TLS连接过程完全用不上，不用管它。

你的代码存在的问题 #

1. RootCAs配置错误：你把自己的file1.crt（客户端证书）加到了RootCAs里，但RootCAs应该存放的是你信任的根CA证书（比如企业内部的根CA），用来验证服务器证书的合法性。
2. 代理处理的潜在漏洞：你直接忽略了url.Parse的错误（proxyUrl, _ := ...），生产环境里这类错误可能导致隐性问题，必须处理。
3. 缺少代理证书信任：如果你的代理是HTTPS代理，或者代理会替换服务器证书，你没有配置对应的CA信任，这也会触发证书验证失败。

修正后的代码及步骤 #

第一步：获取企业根CA证书 #

先联系IT部门获取企业内部的根CA证书（通常是.crt或.pem格式），或者从浏览器导出：访问目标HTTPS网站，查看证书详情，找到根CA并导出为PEM格式文件。

第二步：修正代码 #

下面是调整后的代码，重点修正了CA证书的加载逻辑，同时完善了错误处理：

package main

import (
    "crypto/tls"
    "crypto/x509"
    "fmt"
    "io/ioutil"
    "net/http"
    "net/url"
)

func main() {
    // 加载企业根CA证书，用于验证服务器/代理的证书合法性
    rootCACert, err := ioutil.ReadFile("enterprise-root-ca.crt")
    if err != nil {
        fmt.Printf("读取根CA证书失败: %v\n", err)
        return
    }

    caCertPool := x509.NewCertPool()
    // 验证CA证书是否成功添加到信任池
    if !caCertPool.AppendCertsFromPEM(rootCACert) {
        fmt.Println("根CA证书添加到信任池失败")
        return
    }

    // 加载客户端证书和私钥，用于服务器验证你的身份（这部分原代码是对的）
    clientCert, err := tls.LoadX509KeyPair("file1.crt", "file2.key")
    if err != nil {
        fmt.Printf("加载客户端证书/私钥失败: %v\n", err)
        return
    }

    // 解析代理URL，不再忽略错误
    proxyUrl, err := url.Parse("http://xxx.xxx.xxx.xx:yy")
    if err != nil {
        fmt.Printf("解析代理URL失败: %v\n", err)
        return
    }

    // 配置HTTP客户端
    client := &http.Client{
        Transport: &http.Transport{
            TLSClientConfig: &tls.Config{
                ServerName:   "abc.com", // 必须与目标服务器证书的CN/SAN字段完全匹配
                RootCAs:      caCertPool,
                Certificates: []tls.Certificate{clientCert},
                // 注意：不要随意打开InsecureSkipVerify，这会关闭证书验证，仅临时测试用
                // InsecureSkipVerify: true,
            },
            Proxy: http.ProxyURL(proxyUrl),
        },
    }

    // 构建请求
    targetUrl := "https://abc.com/your-target-endpoint"
    req, err := http.NewRequest("POST", targetUrl, nil)
    if err != nil {
        fmt.Printf("创建请求失败: %v\n", err)
        return
    }
    req.Header.Set("id", "your-id-value") // 替换为实际的id值

    // 发送请求
    resp, err := client.Do(req)
    if err != nil {
        fmt.Printf("请求发送失败: %v\n", err)
        return
    }
    defer resp.Body.Close()

    fmt.Printf("请求成功，响应状态: %s\n", resp.Status)
}

额外注意事项 #

• ServerName必须匹配：tls.Config里的ServerName必须和目标服务器证书的通用名称（CN）或SAN字段完全一致，否则会触发另一个证书验证错误。
• 禁用证书验证要谨慎：永远不要在生产环境设置InsecureSkipVerify: true，这会让你的连接暴露在中间人攻击风险下。
• 客户端证书有效性：确保file1.crt和file2.key是配对的有效客户端证书，并且服务器信任这个证书（或者服务器信任签发它的CA）。

内容的提问来源于stack exchange，提问作者anujprashar