Golang HTTP客户端如何配置自定义TLS根证书

import (
    "io/ioutil" // 或者 "os" 在 Go 1.16+
    "fmt"
)

// pemPath 是您的 .crt 文件的路径
pemPath := "/usr/abc/my.crt"
pemData, err := ioutil.ReadFile(pemPath)
if err != nil {
    fmt.Printf("错误：无法读取证书文件 %s: %v\n", pemPath, err)
    // 根据实际情况处理错误
    return
}

import (
    "crypto/x509"
)

// 创建一个新的证书池
certs := x509.NewCertPool()

// 将证书数据添加到证书池中
if !certs.AppendCertsFromPEM(pemData) {
    fmt.Printf("错误：无法将证书添加到证书池: %s\n", pemPath)
    // 根据实际情况处理错误
    return
}

import (
    "crypto/tls"
)

mTLSConfig := &tls.Config{
    RootCAs: certs, // 将自定义证书池赋值给 RootCAs
    // 其他TLS配置，例如密码套件、TLS版本等
    CipherSuites: []uint16{
        tls.TLS_RSA_WITH_RC4_128_SHA,
        tls.TLS_RSA_WITH_3DES_EDE_CBC_SHA,
        tls.TLS_RSA_WITH_AES_128_CBC_SHA,
        tls.TLS_ECDHE_RSA_WITH_RC4_128_SHA,
        tls.TLS_RSA_WITH_AES_128_CBC_SHA,
        tls.TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA,
    },
    PreferServerCipherSuites: true,
    MinVersion:               tls.VersionTLS10, // 注意：TLS 1.0 已不推荐使用，存在安全风险
    MaxVersion:               tls.VersionTLS10, // 建议使用 tls.VersionTLS12 或更高版本
}

// 创建一个 http.Transport 并将自定义TLS配置应用到它
tr := &http.Transport{
    TLSClientConfig: mTLSConfig,
}

// 创建 http.Client 使用这个 transport
c := &http.Client{Transport: tr}

package main

import (
    "crypto/tls"
    "crypto/x509"
    "fmt"
    "io/ioutil" // 在 Go 1.16+ 中可替换为 "os"
    "net/http"
    "time"
)

func main() {
    // 替换为您的自定义根 CA 证书文件路径
    // 例如：/etc/ssl/certs/my_custom_ca.crt
    pemPath := "/usr/abc/my.crt" 

    // 1. 读取自定义根 CA 证书文件
    pemData, err := ioutil.ReadFile(pemPath)
    if err != nil {
        fmt.Printf("错误：无法读取证书文件 %s: %v\n", pemPath, err)
        return
    }

    // 2. 创建一个新的证书池
    certs := x509.NewCertPool()

    // 3. 将证书数据添加到证书池中
    if !certs.AppendCertsFromPEM(pemData) {
        fmt.Printf("错误：无法将证书添加到证书池: %s\n", pemPath)
        return
    }

    // 4. 配置 TLS 设置
    mTLSConfig := &tls.Config{
        RootCAs: certs, // 将自定义证书池赋值给 RootCAs
        // 以下密码套件和 TLS 版本配置为示例，建议根据安全要求进行调整
        // 现代应用应优先使用 TLS 1.2 或 1.3，并使用推荐的密码套件。
        CipherSuites: []uint16{
            tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
            tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
            tls.TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256,
            tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384,
        },
        PreferServerCipherSuites: true,
        MinVersion:               tls.VersionTLS12, // 强烈建议使用 TLS 1.2 或更高版本
        // MaxVersion: tls.VersionTLS13, // 如果服务器支持，可以使用 TLS 1.3
    }

    // 5. 创建一个 HTTP Transport 并应用自定义 TLS 配置
    tr := &http.Transport{
        TLSClientConfig: mTLSConfig,
        // 可选：设置其他 Transport 属性，如 DialContext, Proxy 等
    }

    // 6. 创建一个 HTTP Client 使用这个 Transport
    c := &http.Client{
        Transport: tr,
        Timeout:   10 * time.Second, // 设置请求超时
    }

    // 示例：发起一个 HTTPS GET 请求到使用自定义 CA 签发证书的服务器
    // 替换为您的目标服务器地址
    resp, err := c.Get("https://your-server-protected-by-custom-ca.com/api/data")
    if err != nil {
        fmt.Printf("HTTP GET 请求失败: %v\n", err)
        return
    }
    defer resp.Body.Close()

    fmt.Printf("HTTP 状态码: %s\n", resp.Status)
    // 在此处处理响应体
}