Go服务运行时更新certPool新增证书不生效，是否需要重启服务？

问题根因 #

你遇到的问题和两个核心原因有关：

• 并发安全与可见性问题：x509.CertPool 本身不是并发安全结构，你在HTTP请求协程中直接调用AppendCertsFromPEM修改证书池，同时TLS握手协程可能正在读取证书池做客户端证书校验，CPU缓存未同步的情况下就会出现修改后不生效的问题，极端情况还会触发数据竞争崩溃。
• TLS会话复用：已经完成TLS握手的连接会复用会话，不会重新触发客户端证书校验逻辑，即使你更新了证书池，已经建立的连接、复用旧会话的新连接都不会用到新添加的CA证书。

注：Go标准库中tls.Config的Clone方法只会复制ClientCAs的指针，所以你直接修改原证书池的内容理论上可以被后续新握手感知，但并发安全问题会导致修改不可见。

正确实现方案 #

你需要用读写锁保护证书池，同时通过GetConfigForClient回调每次给新TLS握手返回最新的有效配置，参考实现如下：

package main

import (
	"crypto/tls"
	"crypto/x509"
	"fmt"
	"io/ioutil"
	"log"
	"net/http"
	"sync"
)

func main() {
	var (
		// 读写锁保护证书池
		certPoolMu sync.RWMutex
		certPool = x509.NewCertPool()
	)

	handler := http.NewServeMux()
	handler.HandleFunc("/auth", func(w http.ResponseWriter, r *http.Request) {
		if certs := r.TLS.PeerCertificates; len(certs) > 0 {
			cert := certs[0]
			fmt.Println(cert.Subject.CommonName)
			w.WriteHeader(http.StatusOK)
			fmt.Fprintln(w, "Cert Valid")
			return
		}
		w.WriteHeader(http.StatusUnauthorized)
		fmt.Fprintln(w, "No valid cert provided")
	})

	handler.HandleFunc("/ca", func(rw http.ResponseWriter, r *http.Request) {
		caCertFile, err := ioutil.ReadAll(r.Body)
		if err != nil {
			log.Printf("error reading CA certificate: %v", err)
			rw.WriteHeader(http.StatusUnprocessableEntity)
			return
		}
		// 加写锁修改证书池
		certPoolMu.Lock()
		ok := certPool.AppendCertsFromPEM(caCertFile)
		certPoolMu.Unlock()
		if !ok {
			rw.WriteHeader(http.StatusBadRequest)
			fmt.Fprintln(rw, "Invalid CA cert")
			return
		}
		rw.WriteHeader(http.StatusCreated)
	})

	// 加载服务端证书
	cert, err := tls.LoadX509KeyPair("certs/server/tls.crt", "certs/server/tls.key")
	if err != nil {
		log.Fatalf("load server cert failed: %v", err)
	}

	server := http.Server{
		Addr:    ":9090",
		Handler: handler,
		TLSConfig: &tls.Config{
			MinVersion: tls.VersionTLS12,
			Certificates: []tls.Certificate{cert},
			// 每次新TLS握手都会调用这个回调获取最新配置
			GetConfigForClient: func(*tls.ClientHelloInfo) (*tls.Config, error) {
				// 加读锁获取最新证书池
				certPoolMu.RLock()
				currentPool := certPool
				certPoolMu.RUnlock()
				return &tls.Config{
					MinVersion: tls.VersionTLS12,
					Certificates: []tls.Certificate{cert},
					ClientAuth: tls.VerifyClientCertIfGiven,
					ClientCAs: currentPool,
				}, nil
			},
		},
	}

	if err := server.ListenAndServeTLS("", ""); err != nil {
		log.Fatalf("error listening to port: %v", err)
	}
}

测试注意事项 #

测试时需要给curl加上--no-keepalive参数避免连接复用，确保每次请求都会触发新的TLS握手：

# 提交CA
curl -k -X POST https://localhost:9090/ca -d @test-ca.pem
# 携带客户端证书测试，加--no-keepalive禁用连接复用
curl -k --cert client.crt --key client.key --no-keepalive https://localhost:9090/auth

如果需要让新CA立刻对所有客户端生效，可以在TLS配置中禁用会话复用：

// 在TLSConfig中添加以下配置
SessionTicketsDisabled: true,
ClientSessionCache: tls.NewLRUClientSessionCache(0),

内容的提问来源于stack exchange，提问作者The Fool