使用autocert配置TLS时客户端证书验证失败求助

报错tls: failed to verify client certificate: x509: certificate signed by unknown authority的触发逻辑非常明确：

1. 你在tls.Config中设置了ClientAuth: tls.VerifyClientCertIfGiven，该模式下只要客户端上传了证书，服务端就必须校验证书的签发合法性。
2. 现有配置没有给TLS服务端指定用于校验客户端证书的受信任根证书池ClientCAs，Go标准库TLS实现做客户端证书校验时，不会默认引用系统根证书池，所有客户端证书都会因为找不到对应的信任签发根而校验失败。
3. autocert.Manager仅负责服务端HTTPS证书的自动申请、续期、缓存逻辑，和客户端证书校验流程完全无关，不会自动帮你补全ClientCAs相关配置。

根据你的业务场景二选一即可：

• 场景1：需要校验客户端证书合法性
  先构建包含所有信任客户端CA根证书的证书池，再赋值给tls.Config.ClientCAs字段，参考代码：

  import (
    "crypto/tls"
    "crypto/x509"
    "os"
  )
  
  // 初始化客户端CA信任池
  var clientCAPool *x509.CertPool
  // 如果客户端证书由公共可信CA签发，优先加载系统根证书池
  clientCAPool, err := x509.SystemCertPool()
  if err != nil {
    clientCAPool = x509.NewCertPool()
  }
  // 如果客户端证书由私有CA签发，额外把私有CA证书加入信任池
  // caCertBytes, err := os.ReadFile("/path/to/your/trusted-client-ca.crt")
  // if err != nil {
  //   panic(err)
  // }
  // if !clientCAPool.AppendCertsFromPEM(caCertBytes) {
  //   panic("invalid client CA cert")
  // }
  
  // 修正后的tls.Config配置
  t = &tls.Config{
      ClientAuth:     tls.VerifyClientCertIfGiven,
      ClientCAs:      clientCAPool, // 新增客户端校验信任根配置
      Renegotiation:  tls.RenegotiateOnceAsClient,
      MaxVersion:     tls.VersionTLS12,
      GetCertificate: manager.GetCertificate,
      NextProtos:     defaultNextProtocols
  }
  

• 场景2：不需要校验客户端证书
  直接把ClientAuth字段值改为tls.NoClientCert，关闭客户端证书校验逻辑即可，不会再触发该报错。

内容的提问来源于stack exchange，提问作者Gohryt