如何在Go中创建无明确有效期的X.509证书？

好问题！我来帮你理清Go里怎么处理这个需求：

首先明确一点：Go里不能通过省略NotAfter字段来实现证书永不过期。和PHP/phpseclib的行为不同，当你初始化x509.Certificate时如果不设置NotAfter，它会被默认赋值为time.Time的零值——也就是0001-01-01 00:00:00 +0000 UTC，这直接会让证书处于过期状态，完全不是你想要的效果。

不过别担心，按照你提到的RFC 5280规范，我们可以通过手动设置NotAfter为9999-12-31 23:59:59 UTC（对应GeneralizedTime格式的99991231235959Z）来实现“永不过期”的效果，这是规范里明确用来表示无明确过期日期的取值。

具体实现代码示例 #

下面是一段完整的示例代码，展示如何构造这个永不过期的时间并生成自签名证书：

package main

import (
	"crypto/rand"
	"crypto/rsa"
	"crypto/x509"
	"crypto/x509/pkix"
	"encoding/pem"
	"math/big"
	"os"
	"time"
)

func main() {
	// 构造RFC 5280规定的永不过期时间：9999-12-31T23:59:59Z
	neverExpireTime, err := time.Parse(time.RFC3339, "9999-12-31T23:59:59Z")
	if err != nil {
		panic(err)
	}

	// 生成2048位RSA私钥
	privateKey, err := rsa.GenerateKey(rand.Reader, 2048)
	if err != nil {
		panic(err)
	}

	// 构造证书模板
	certTemplate := &x509.Certificate{
		SerialNumber: big.NewInt(1),
		Subject: pkix.Name{
			CommonName:   "example.com",
			Organization: []string{"Example Organization"},
		},
		NotBefore:             time.Now().UTC(),
		NotAfter:              neverExpireTime, // 关键：设置永不过期时间
		KeyUsage:              x509.KeyUsageKeyEncipherment | x509.KeyUsageDigitalSignature,
		ExtKeyUsage:           []x509.ExtKeyUsage{x509.ExtKeyUsageServerAuth},
		BasicConstraintsValid: true,
	}

	// 生成自签名证书
	certBytes, err := x509.CreateCertificate(rand.Reader, certTemplate, certTemplate, &privateKey.PublicKey, privateKey)
	if err != nil {
		panic(err)
	}

	// 将证书写入文件
	certOut, err := os.Create("cert.pem")
	if err != nil {
		panic(err)
	}
	defer certOut.Close()
	pem.Encode(certOut, &pem.Block{Type: "CERTIFICATE", Bytes: certBytes})

	// 将私钥写入文件
	keyOut, err := os.OpenFile("key.pem", os.O_WRONLY|os.O_CREATE|os.O_TRUNC, 0600)
	if err != nil {
		panic(err)
	}
	defer keyOut.Close()
	pem.Encode(keyOut, &pem.Block{Type: "RSA PRIVATE KEY", Bytes: x509.MarshalPKCS1PrivateKey(privateKey)})
}

补充说明 #

• 这个9999-12-31T23:59:59Z是RFC 5280定义的合法最大通用时间，绝大多数现代系统都能正确识别这个时间为“永不过期”。
• 少数非常老旧的系统可能对四位数年份的最大值有兼容问题，但这种情况现在已经很少见了。

内容的提问来源于stack exchange，提问作者Anton Litvinov