Golang网络编程安全 TLS加密传输

crypto/tls

package main

import (
    "crypto/tls"
    "fmt"
    "log"
    "net/http"
)

func main() {
    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        fmt.Fprintf(w, "你好，这里是安全的Golang服务！")
    })

    // 1. 加载服务器的证书和私钥。
    // 实际应用中，这些文件需要妥善保管，通常由CA机构签发。
    // 测试时可以使用openssl生成自签名证书：
    // openssl req -x509 -newkey rsa:2048 -nodes -keyout server.key -out server.crt -days 365
    certFile := "server.crt"
    keyFile := "server.key"
    cert, err := tls.LoadX509KeyPair(certFile, keyFile)
    if err != nil {
        log.Fatalf("加载服务器证书和私钥失败: %v", err)
    }

    // 2. 配置TLS参数，这很重要，决定了连接的安全级别。
    tlsConfig := &tls.Config{
        Certificates: []tls.Certificate{cert},
        // 强制使用TLS 1.2或更高版本，避免旧版本中的已知漏洞。
        MinVersion: tls.VersionTLS12,
        // 可以指定允许的密码套件，进一步增强安全性。
        // CipherSuites: []uint16{
        //  tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
        //  tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
        // },
        // 如果需要客户端证书验证（mTLS），则配置ClientAuth和ClientCAs。
        // ClientAuth: tls.RequireAndVerifyClientCert,
        // ClientCAs:  caCertPool, // 包含客户端CA证书的池
    }

    // 3. 创建一个HTTPS服务器。
    server := &http.Server{
        Addr:      ":8443", // 默认的HTTPS端口是443，这里用8443做示例
        TLSConfig: tlsConfig,
    }

    log.Printf("HTTPS服务器正在监听 %s", server.Addr)
    // ListenAndServeTLS 会使用TLSConfig中配置的证书和私钥
    if err := server.ListenAndServeTLS("", ""); err != nil {
        log.Fatalf("服务器启动失败: %v", err)
    }
}

package main

import (
    "crypto/tls"
    "crypto/x509"
    "io/ioutil"
    "log"
    "net/http"
)

func main() {
    // 对于自签名证书或私有CA签发的证书，客户端需要信任对应的CA证书。
    // 生产环境中，通常会由操作系统或浏览器内置的CA信任链自动处理。
    caCert, err := ioutil.ReadFile("ca.crt") // 替换为你的CA证书路径
    if err != nil {
        log.Printf("注意：未能读取CA证书（仅自签名或自定义CA需要）：%v", err)
    }

    caCertPool := x509.NewCertPool()
    if caCert != nil {
        caCertPool.AppendCertsFromPEM(caCert)
    }

    // 配置TLS客户端参数
    tlsConfig := &tls.Config{
        RootCAs:            caCertPool,       // 客户端信任的根证书颁发机构集合
        InsecureSkipVerify: false,            // 生产环境绝对不能设置为true，这会跳过证书验证！
        MinVersion:         tls.VersionTLS12, // 同样，强制使用TLS 1.2或更高
    }

    // 创建一个自定义的HTTP客户端，使用上述TLS配置
    client := &http.Client{
        Transport: &http.Transport{
            TLSClientConfig: tlsConfig,
        },
    }

    resp, err := client.Get("https://localhost:8443")
    if err != nil {
        log.Fatalf("发起GET请求失败: %v", err)
    }
    defer resp.Body.Close()

    body, err := ioutil.ReadAll(resp.Body)
    if err != nil {
        log.Fatalf("读取响应体失败: %v", err)
    }
    log.Printf("服务器响应: %s", string(body))
}

LoadX509KeyPair

tls.VersionTLS12

tls.VersionTLS13

tlsConfig := &tls.Config{
    MinVersion: tls.VersionTLS12, // 推荐：至少TLS 1.2
    // MaxVersion: tls.VersionTLS13, // 如果只想用TLS 1.3
}

tlsConfig := &tls.Config{
    // ...
    CipherSuites: []uint16{
        tls.TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256,
        tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,
        // 添加其他你认为安全的套件，避免弱套件
    },
    PreferServerCipherSuites: true, // 让服务器优先选择它偏好的套件
}

ClientAuth

// 服务器端配置mTLS
tlsConfig := &tls.Config{
    // ...
    ClientAuth: tls.RequireAndVerifyClientCert, // 强制客户端提供并验证证书
    ClientCAs:  caCertPool, // 包含客户端CA证书的池，用于验证客户端证书
}

tls.LoadX509KeyPair

server.key

.crt

RootCAs

openssl s_client -connect host:port -tls1_2

InsecureSkipVerify: true

log

net/http/httputil

DumpRequest

DumpResponse