如何验证Go自定义证书TLS服务器的流量加密情况？

嘿，针对你用自定义证书在Go里搭的TLS服务器，我给你几个实用的验证方法，从直观抓包到代码测试都有，帮你确认流量真的被加密了！

这一步快速确认你的服务器已经在使用TLS，不用深入抓包：

• 浏览器访问：如果服务器对外可访问，直接用浏览器打开https://你的服务器地址:端口，地址栏会显示锁形图标（因为是自定义证书，可能会提示“不安全”，但点击锁图标可以查看证书详情，确认是你自己生成的那套证书就行）。
• 用curl测试：在终端运行curl -v https://localhost:你的TLS端口，看输出里的TLS握手日志——你会看到类似SSL connection using TLSv1.3 / AES-256-GCM-SHA384的内容，这说明TLS握手成功，加密套件已经启用。如果是普通HTTP的话，不会有这些SSL相关的日志。

这是最直接的验证方式，能亲眼看到加密前后的数据包区别，推荐用tcpdump或者Wireshark：

测试普通HTTP（未加密） #

1. 先临时搭一个普通的Go HTTP服务器（用来做对比）：

package main

import (
	"net/http"
)

func main() {
	http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
		w.Write([]byte("Hello plain HTTP!"))
	})
	http.ListenAndServe(":8080", nil)
}

2. 启动抓包：sudo tcpdump -i lo port 8080 -A（-i lo是抓本地回环接口的包，-A是用ASCII格式打印内容）。
3. 用curl发请求：curl http://localhost:8080，回到tcpdump的输出，你能直接看到明文的HTTP请求和响应，比如GET / HTTP/1.1、Hello plain HTTP!这些内容完全可读。

测试TLS服务器（加密） #

1. 启动你自己的Go TLS服务器。
2. 启动抓包：sudo tcpdump -i lo port 你的TLS端口 -A。
3. 用curl发请求：curl -k https://localhost:你的TLS端口（-k是跳过自定义证书的验证，避免curl报错）。
4. 看tcpdump的输出，你会看到全是乱码，完全读不出任何HTTP相关的明文内容——这就说明数据在传输过程中已经被加密了。

如果用Wireshark的话，操作更可视化：过滤tcp.port == 你的TLS端口，你会看到所有应用层数据都是标记为“Application Data”的加密内容；而普通HTTP的包会直接解析出HTTP协议的详细字段。

你也可以写个简单的Go客户端，验证只有通过TLS握手才能和服务器正常通信：

package main

import (
	"fmt"
	"net"
	"net/http"
	"net/http/httputil"
	"crypto/tls"
)

func main() {
	// 尝试用普通TCP连接TLS服务器，发HTTP请求
	conn, err := net.Dial("tcp", "localhost:你的TLS端口")
	if err != nil {
		fmt.Println("普通TCP连接失败：", err)
		return
	}
	defer conn.Close()
	_, err = conn.Write([]byte("GET / HTTP/1.1\r\nHost: localhost\r\n\r\n"))
	if err != nil {
		fmt.Println("发送请求失败：", err)
		return
	}
	buf := make([]byte, 1024)
	n, err := conn.Read(buf)
	if err != nil {
		fmt.Println("读取响应失败：", err)
		return
	}
	fmt.Println("普通TCP收到的内容（乱码，因为没加密）：\n", string(buf[:n]))

	// 用TLS连接服务器，正常通信
	tlsConfig := &tls.Config{InsecureSkipVerify: true} // 跳过自定义证书验证
	tlsConn, err := tls.Dial("tcp", "localhost:你的TLS端口", tlsConfig)
	if err != nil {
		fmt.Println("TLS连接失败：", err)
		return
	}
	defer tlsConn.Close()

	// 用HTTP客户端发送请求
	client := &http.Client{
		Transport: &http.Transport{
			TLSClientConfig: tlsConfig,
		},
	}
	resp, err := client.Get("https://localhost:你的TLS端口")
	if err != nil {
		fmt.Println("HTTP请求失败：", err)
		return
	}
	defer resp.Body.Close()

	respBytes, err := httputil.DumpResponse(resp, true)
	if err != nil {
		fmt.Println("解析响应失败：", err)
		return
	}
	fmt.Println("\nTLS连接收到的正常响应：\n", string(respBytes))
}

运行这段代码，你会发现普通TCP连接得到的是完全无法识别的乱码，而TLS连接能正常获取到服务器的HTTP响应——这说明只有通过TLS加密通道，才能和服务器进行有效通信，流量确实是加密的。

终端运行openssl s_client -connect localhost:你的TLS端口 -CAfile 你的证书文件.crt，这个命令会模拟TLS客户端和服务器握手，输出完整的TLS会话信息，包括证书详情、使用的加密套件、握手状态等，能帮你确认服务器确实在使用你自定义的证书进行加密。

内容的提问来源于stack exchange，提问作者rampatowl