解决Golang调用Vault REST API的x509未知证书权威错误

调用Vault的REST API（https://url:8200/v1/login）时触发以下x509证书错误：

Post "https://url:8200/v1/login": x509: certificate signed by unknown authority

你尝试的证书加载代码存在关键逻辑错误，同时Docker中生成证书的命令因交互性无法自动执行，下面是针对性解决方案：

一、修复Golang代码中的证书加载逻辑 #

你的代码核心问题有两个：

1. 混淆了ClientCAs和RootCAs：ClientCAs用于验证客户端证书，而验证服务端证书必须配置RootCAs
2. 重复创建证书池且未正确复用系统证书池，克隆的默认Transport也未被实际使用

以下是修正后的完整代码：

package main

import (
	"bytes"
	"crypto/tls"
	"crypto/x509"
	"io/ioutil"
	"net/http"
)

func main() {
	// 注意：原代码存在拼写错误 certficate -> certificate
	certPath := "path/certificate.crt"
	cert, crtErr := ioutil.ReadFile(certPath)
	if crtErr != nil {
		panic(crtErr) // 替换为你的业务错误处理逻辑
	}

	// 初始化证书池：优先复用系统证书池，失败则新建空池
	caCertPool, crtErr := x509.SystemCertPool()
	if crtErr != nil {
		caCertPool = x509.NewCertPool()
	}

	// 将自定义CA证书添加到证书池
	if !caCertPool.AppendCertsFromPEM(cert) {
		panic("failed to add certificate to root CA pool")
	}

	// 配置HTTP Transport，重点指定RootCAs
	tr := &http.Transport{
		TLSClientConfig: &tls.Config{
			RootCAs: caCertPool, // 必须用RootCAs验证服务端证书
		},
	}

	// 初始化带自定义配置的HTTP客户端
	client := &http.Client{Transport: tr}

	// 后续请求逻辑
	payload := []byte(`{"username":"your-user","password":"your-pass"}`) // 替换为实际请求体
	req, err := http.NewRequest(http.MethodPost, "https://url:8200/v1/login", bytes.NewBuffer(payload))
	if err != nil {
		panic(err)
	}
	req.Header.Add("Content-Type", "application/json")
	if headerData != "" {
		req.Header.Add("X-Vault-Token", headerData)
	}

	resp, err := client.Do(req)
	if err != nil {
		panic(err)
	}
	defer resp.Body.Close()
	// 处理响应逻辑...
}

二、Docker中无交互生成CA证书 #

原OpenSSL命令需要交互式输入信息，在Dockerfile中执行会失败，需添加-subj参数跳过交互流程：

# 生成根CA私钥
RUN openssl genrsa -out rootCA.key 4096

# 无交互生成根CA证书，替换字段为你的实际信息
RUN openssl req -x509 -new -key rootCA.key -days 3650 -out rootCA.crt \
    -subj "/C=CN/ST=Shanghai/L=Shanghai/O=YourOrg/OU=YourTeam/CN=vault-root-ca"

-subj字段说明：

• C：国家代码（如CN）
• ST：省/州
• L：城市
• O：组织名称
• OU：部门名称
• CN：证书通用名（可设为vault-root-ca这类标识）

额外注意事项 #

• 确保加载的certificate.crt是Vault服务端证书对应的根CA证书，而非服务端的叶子证书
• 若Vault使用自签名证书，直接将该自签名证书加载到RootCAs即可
• 禁止使用InsecureSkipVerify: true，这会完全跳过证书验证，存在严重安全风险

内容的提问来源于stack exchange，提问作者ULLAS K