当前位置：首页 > news >正文

从‘不安全’到‘小绿锁’：我是如何用Go + Gin给内部API接口加上HTTPS保护的

news 2026/5/24 9:33:57

从‘不安全’到‘小绿锁’：我是如何用Go + Gin给内部API接口加上HTTPS保护的

去年接手公司内部的一个微服务项目时，发现所有服务间通信都是明文的HTTP协议。虽然这些API只在内网环境运行，但考虑到可能存在的中间人攻击和数据泄露风险，我决定为这些内部接口加上HTTPS保护。经过几周的实践和踩坑，最终用Go的Gin框架配合自签名证书实现了这个目标。下面就把整个实施过程和技术细节分享给大家。

1. 为什么内部API也需要HTTPS？

很多开发者认为只有面向公网的Web服务才需要HTTPS，这种观点其实存在严重误区。在内网环境中，HTTP协议同样面临三大安全隐患：

数据明文传输：任何能访问内网的人都可以用抓包工具看到所有请求和响应内容
缺乏身份验证：无法确认通信对方是否真的是目标服务，容易遭受中间人攻击
数据完整性风险：传输过程中数据可能被篡改而不被发现

特别是在微服务架构下，服务间的API调用往往涉及敏感的业务数据和系统配置。我们曾经就遇到过测试环境因为使用HTTP协议，导致数据库连接信息被截获的安全事件。

提示：即使在内网，涉及用户隐私、支付信息、系统配置等敏感数据的接口都应该强制使用HTTPS

相比购买商业证书，自签名证书在内部场景下有独特优势：

方案类型	成本	部署复杂度	适用场景
商业证书	高	中	公网服务，需要浏览器信任
Let's Encrypt	免费	高	公网服务，需要自动续期
自签名证书	免费	低	内网服务，可控的客户端环境

2. 生成自签名证书的完整流程

为Gin服务配置HTTPS的第一步是创建合适的证书。我们使用OpenSSL工具链生成证书，关键是要确保证书包含所有必要信息。

2.1 创建CA根证书

首先需要建立自己的证书颁发机构(CA)，这相当于创建了一个受信任的证书源：

# 生成CA私钥（4096位RSA密钥） openssl genrsa -out rootCA.key 4096 # 创建自签名的CA根证书 openssl req -x509 -new -nodes -key rootCA.key -sha256 -days 3650 -out rootCA.crt

执行后会提示输入证书信息，其中几个关键字段需要注意：

Common Name (CN)：建议使用有意义的名称，如"Company Internal CA"
Organization：填写公司或部门名称
Validity：我们设置为10年(3650天)，减少续期频率

2.2 生成服务器证书

有了CA证书后，就可以为具体服务签发证书了。这里有个关键点是要正确配置Subject Alternative Name(SAN)，否则现代浏览器会报错。

# 生成服务器私钥 openssl genrsa -out server.key 2048 # 创建证书签名请求(CSR) openssl req -new -key server.key -out server.csr # 创建SAN配置文件 cat > server.ext << EOF authorityKeyIdentifier=keyid,issuer basicConstraints=CA:FALSE keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment subjectAltName = @alt_names [alt_names] DNS.1 = internal-api.example.com IP.1 = 192.168.1.100 EOF # 用CA证书签发服务器证书 openssl x509 -req -in server.csr -CA rootCA.crt -CAkey rootCA.key -CAcreateserial -out server.crt -days 365 -sha256 -extfile server.ext

生成的server.crt和server.key就是Gin服务需要的证书文件。

3. 在Gin框架中配置HTTPS

Gin框架内置了对HTTPS的支持，配置起来非常简单。下面是一个完整的示例：

package main import ( "log" "net/http" "github.com/gin-gonic/gin" ) func main() { router := gin.Default() // 示例API路由 router.GET("/health", func(c *gin.Context) { c.JSON(http.StatusOK, gin.H{"status": "ok"}) }) // 启动HTTPS服务 err := router.RunTLS(":8443", "server.crt", "server.key") if err != nil { log.Fatalf("Failed to start HTTPS server: %v", err) } }

实际部署时，建议增加以下优化配置：

server := &http.Server{ Addr: ":8443", Handler: router, TLSConfig: &tls.Config{ MinVersion: tls.VersionTLS12, CipherSuites: []uint16{ tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, }, }, } log.Fatal(server.ListenAndServeTLS("server.crt", "server.key"))

4. 客户端如何信任自签名证书

服务端配置完成后，还需要让调用方信任我们的自签名证书。根据客户端类型不同，处理方式也有所差异。

4.1 其他Go服务作为客户端

对于同样用Go编写的客户端服务，可以通过以下两种方式处理证书：

方法1：跳过证书验证（不推荐）

tr := &http.Transport{ TLSClientConfig: &tls.Config{InsecureSkipVerify: true}, } client := &http.Client{Transport: tr}

方法2：添加CA证书到信任链

caCert, err := os.ReadFile("rootCA.crt") if err != nil { log.Fatal(err) } caCertPool := x509.NewCertPool() caCertPool.AppendCertsFromPEM(caCert) client := &http.Client{ Transport: &http.Transport{ TLSClientConfig: &tls.Config{ RootCAs: caCertPool, }, }, }

4.2 浏览器访问时的处理

如果需要在浏览器中访问HTTPS接口，需要将CA根证书导入系统信任库：

Windows系统：

双击rootCA.crt文件
选择"安装证书"
选择"本地计算机"
选择"将所有证书放入下列存储"，浏览选择"受信任的根证书颁发机构"

macOS系统：

sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain rootCA.crt

Linux系统(Ubuntu)：

sudo cp rootCA.crt /usr/local/share/ca-certificates/ sudo update-ca-certificates

5. 部署优化与注意事项

在实际生产环境中部署自签名HTTPS服务时，还需要考虑以下几个关键点：

5.1 证书管理最佳实践

证书有效期监控：设置监控提醒证书到期时间
私钥保护：服务器私钥文件权限应设置为600
证书轮换：建立定期更换证书的流程

5.2 Docker容器中的证书部署

如果在Docker中运行服务，证书可以通过以下方式注入：

FROM golang:1.18 as builder WORKDIR /app COPY . . RUN go build -o server . FROM alpine:latest WORKDIR /root/ COPY --from=builder /app/server . COPY server.crt . COPY server.key . CMD ["./server"]