Go语言客户端TLS证书认证问题：客户端未发送证书

我之前也碰到过一模一样的问题！服务器明明发起了证书请求，但客户端就是没响应，折腾了好一阵才搞定，给你几个关键排查点和修复思路：

1. 检查证书链完整性与配置逻辑 #

你提到已经提取了客户端公证书、私钥和根RA公钥，这里要注意两个核心点：

• 客户端证书必须包含完整信任链：不能只传客户端自身的证书，要把从客户端证书到根RA的所有中间CA证书打包成一个PEM块，和私钥一起加载到tls.Certificate中。
• 根RA公钥要同时配置到客户端的信任池（验证服务器证书）和服务器的客户端CA池（验证客户端证书），双向信任不能少。

2. 确认TLS配置的关键参数 #

服务器端必须明确要求客户端证书，否则不会触发证书请求：

tlsConfig := &tls.Config{
    ClientAuth: tls.RequireAndVerifyClientCert, // 强制要求并验证客户端证书
    ClientCAs:  rootCACertPool, // 用来校验客户端证书的根CA池
    // 其他配置...
}

客户端这边要确保正确加载自身证书：

// 加载客户端证书与私钥
cert, err := tls.X509KeyPair(clientFullChainPEM, clientKeyPEM)
if err != nil {
    log.Fatalf("加载客户端证书失败: %v", err)
}
tlsConfig := &tls.Config{
    Certificates: []tls.Certificate{cert},
    RootCAs:      rootRaCertPool, // 信任服务器证书的根池
}

3. 检查证书的扩展用途字段 #

很多时候问题出在证书的**Extended Key Usage（EKU）**上：如果客户端证书没有包含clientAuth（OID: 1.3.6.1.5.5.7.3.2），Go的TLS栈会判定该证书不能用于客户端认证，自动跳过发送。
你可以用openssl命令验证：

openssl x509 -in client.crt -text -noout

查看输出里的Extended Key Usage部分，确认存在TLS Web Client Authentication。

4. 开启TLS调试日志定位细节 #

给Go程序开启TLS调试日志，能看到握手过程的每一步，比如客户端是否找到合适的证书：

import (
    "crypto/tls"
    "log"
    "os"
)

// 初始化TLS配置时添加日志
tlsConfig := &tls.Config{
    // 其他配置...
    Log: log.New(os.Stderr, "[TLS调试] ", log.LstdFlags),
}

或者直接设置环境变量后运行程序：

export GODEBUG=tlsdebug=1
go run your-program.go

日志里如果出现no suitable certificate found，就说明证书匹配出了问题。

5. 验证PFX提取的正确性 #

从PFX提取证书和私钥时很容易出错，比如私钥未正确解密、证书链不完整。可以用openssl命令重新提取并验证：

# 提取私钥（输入PFX密码，-nodes表示不加密私钥）
openssl pkcs12 -in client.pfx -nocerts -out client.key -nodes
# 提取完整证书链
openssl pkcs12 -in client.pfx -nokeys -out client.crt
# 验证证书与私钥配对（模数需一致）
openssl x509 -noout -modulus -in client.crt
openssl rsa -noout -modulus -in client.key

内容的提问来源于stack exchange，提问作者Miha Zoubek