Go语言中构建私有PKI以实现安全的SSL通信

# 1. 生成根CA私钥 (ca.key)，使用2048位RSA加密
openssl genrsa -out ca.key 2048

# 2. 使用私钥生成根CA证书 (ca.crt)。
#    -x509 表示生成自签名证书。
#    -new 表示生成新的证书请求。
#    -nodes 表示私钥不加密。
#    -sha256 指定哈希算法。
#    -days 3650 设置证书有效期为10年。
#    -subj 定义证书主题信息，CN (Common Name) 为此CA的名称。
openssl req -x509 -new -nodes -key ca.key -sha256 -days 3650 -out ca.crt \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=MyCA/CN=MyCustomRootCA"

# 1. 生成服务器私钥 (server.key)
openssl genrsa -out server.key 2048

# 2. 生成服务器证书签名请求 (server.csr)。
#    -subj 中的 CN (Common Name) 应与您的服务器域名或IP地址匹配。
#    -addext "subjectAltName = ..." 添加主题备用名称，支持多个域名或IP。
openssl req -new -key server.key -out server.csr \
    -subj "/C=CN/ST=Beijing/L=Beijing/O=MyOrg/OU=MyServer/CN=localhost" \
    -addext "subjectAltName = DNS:localhost,IP:127.0.0.1"

# 使用根CA签署服务器CSR，生成服务器证书 (server.crt)。
#    -CA 指定CA证书。
#    -CAkey 指定CA私钥。
#    -CAcreateserial 会创建一个序列号文件（ca.srl），用于跟踪CA签发的证书。
#    -days 365 设置服务器证书的有效期为1年。
#    -extfile 用于确保 subjectAltName 扩展被正确包含在最终的服务器证书中。
openssl x509 -req -in server.csr -CA ca.crt -CAkey ca.key -CAcreateserial \
    -out server.crt -days 365 -sha256 \
    -extfile <(printf "subjectAltName=DNS:localhost,IP:127.0.0.1")

package main

import (
    "crypto/tls"
    "fmt"
    "log"
    "net/http"
)

func main() {
    // 1. 加载服务器证书和私钥
    serverCert, err := tls.LoadX509KeyPair("server.crt", "server.key")
    if err != nil {
        log.Fatalf("加载服务器证书失败: %v", err)
    }

    // 2. 配置TLS参数
    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{serverCert}, // 指定服务器证书
        MinVersion:   tls.VersionTLS12,              // 建议设置最低TLS版本以增强安全性
        // ClientAuth:   tls.NoClientCert,           // 如果不需要客户端证书验证
    }

    // 3. 创建HTTPS服务器
    server := &http.Server{
        Addr:      ":8443", // 服务器监听地址和端口
        TLSConfig: tlsConfig,
        Handler: http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
            fmt.Fprintf(w, "Hello from secure Go server!")
        }),
    }

    log.Println("Go HTTPS服务器正在监听 :8443")
    // 4. 启动HTTPS服务器。证书和密钥已在TLSConfig中指定，因此此处为空字符串。
    err = server.ListenAndServeTLS("", "")
    if err != nil {
        log.Fatalf("HTTPS服务器启动失败: %v", err)
    }
}

package main

import (
    "crypto/tls"
    "crypto/x509"
    "io/ioutil"
    "log"
    "net/http"
)

func main() {
    // 1. 加载根CA证书
    caCert, err := ioutil.ReadFile("ca.crt")
    if err != nil {
        log.Fatalf("加载根CA证书失败: %v", err)
    }
    caCertPool := x509.NewCertPool()
    // 将CA证书添加到证书池中，客户端将信任此池中的证书
    if !caCertPool.AppendCertsFromPEM(caCert) {
        log.Fatalf("无法从PEM数据中解析CA证书")
    }

    // 2. 配置TLS客户端
    tlsConfig := &tls.Config{
        RootCAs: caCertPool, // 指定信任的根CA池
        // ServerName: "localhost", // 强烈建议设置，用于验证服务器证书的主机名
        // InsecureSkipVerify: true, // 绝对不要在生产环境中使用，它会禁用证书验证
    }

    // 3. 创建自定义HTTP客户端，使用配置的TLS传输
    client := &http.Client{
        Transport: &http.Transport{
            TLSClientConfig: tlsConfig,
        },
    }

    // 4. 发送HTTPS请求
    resp, err := client.Get("https://localhost:8443")
    if err != nil {
        log.Fatalf("HTTPS请求失败: %v", err)
    }
    defer resp.Body.Close()

    body, err := ioutil.ReadAll(resp.Body)
    if err != nil {
        log.Fatalf("读取响应失败: %v", err)
    }

    log.Printf("收到响应: %s", body)
}