Golang HTTP客户端TLS配置中指定自定义根证书

import (
    "crypto/tls"
    "crypto/x509"
    "io/ioutil"
    "log"
    "net/http"
)

// 创建一个新的证书池
certs := x509.NewCertPool()

// 指定自定义CA证书的路径
pemPath := "/usr/abc/my.crt"

// 读取证书文件内容
pemData, err := ioutil.ReadFile(pemPath)
if err != nil {
    log.Fatalf("无法读取CA证书文件 '%s': %v", pemPath, err)
}

// 将PEM数据追加到证书池
if !certs.AppendCertsFromPEM(pemData) {
    log.Fatalf("无法将PEM数据解析并添加到证书池")
}

// 创建TLS配置
mTLSConfig := &tls.Config{
    // 可选：设置支持的密码套件
    CipherSuites: []uint16{
        tls.TLS_RSA_WITH_AES_128_CBC_SHA,
        tls.TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
        // 根据需要添加其他密码套件
    },
    PreferServerCipherSuites: true,
    MinVersion:               tls.VersionTLS12, // 建议使用TLS 1.2或更高版本
    MaxVersion:               tls.VersionTLS13, // 建议使用TLS 1.3
    RootCAs:                  certs,            // 将自定义证书池赋值给RootCAs
}

// 创建HTTP传输层，并应用TLS配置
tr := &http.Transport{
    TLSClientConfig: mTLSConfig,
}

// 创建HTTP客户端
c := &http.Client{Transport: tr}

// 示例：使用客户端发送请求
// resp, err := c.Get("https://your-custom-ca-signed-server.com")
// if err != nil {
//     log.Fatalf("请求失败: %v", err)
// }
// defer resp.Body.Close()
// log.Printf("响应状态码: %d", resp.StatusCode)

package main

import (
    "crypto/tls"
    "crypto/x509"
    "fmt"
    "io/ioutil"
    "log"
    "net/http"
    "time"
)

func main() {
    // 1. 创建一个新的证书池
    certs := x509.NewCertPool()

    // 2. 指定自定义CA证书的路径
    // 请替换为你的实际证书文件路径
    pemPath := "/usr/abc/my.crt" 

    // 3. 读取证书文件内容
    pemData, err := ioutil.ReadFile(pemPath)
    if err != nil {
        log.Fatalf("无法读取CA证书文件 '%s': %v", pemPath, err)
    }

    // 4. 将PEM数据追加到证书池
    if !certs.AppendCertsFromPEM(pemData) {
        log.Fatalf("无法将PEM数据解析并添加到证书池")
    }

    // 5. 创建TLS配置
    mTLSConfig := &tls.Config{
        // 建议使用更现代的密码套件和TLS版本
        CipherSuites: []uint16{
            tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
            tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
            tls.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
            tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
        },
        PreferServerCipherSuites: true,
        MinVersion:               tls.VersionTLS12, // 推荐TLS 1.2或更高
        MaxVersion:               tls.VersionTLS13, // 推荐TLS 1.3
        RootCAs:                  certs,            // 关键：指定自定义根证书池
    }

    // 6. 创建HTTP传输层，并应用TLS配置
    tr := &http.Transport{
        TLSClientConfig: mTLSConfig,
        // 可选：设置HTTP/2支持
        ForceAttemptHTTP2: true,
        // 可选：设置连接池参数
        MaxIdleConns:        100,
        IdleConnTimeout:     90 * time.Second,
        TLSHandshakeTimeout: 10 * time.Second,
        ExpectContinueTimeout: 1 * time.Second,
    }

    // 7. 创建HTTP客户端
    c := &http.Client{Transport: tr, Timeout: 30 * time.Second} // 设置客户端超时

    // 8. 使用客户端发送请求到使用自定义CA签名的服务器
    // 请将此URL替换为你的目标服务器地址
    targetURL := "https://your-custom-ca-signed-server.com/api/data" 
    log.Printf("尝试连接到: %s", targetURL)

    resp, err := c.Get(targetURL)
    if err != nil {
        log.Fatalf("请求失败: %v", err)
    }
    defer resp.Body.Close()

    body, err := ioutil.ReadAll(resp.Body)
    if err != nil {
        log.Fatalf("读取响应体失败: %v", err)
    }

    fmt.Printf("响应状态码: %d\n", resp.StatusCode)
    fmt.Printf("响应体: %s\n", string(body))
}