如何使用错误的证书执行https请求？

说我想以https://golang.org编程方式获取。当前，golang.org（ssl）的证书不正确，*.appspot.com因此我将其签发给So：

package main

import (
    "log"
    "net/http"
)

func main() {
    _, err := http.Get("https://golang.org/")
    if err != nil {
        log.Fatal(err)
    }
}

我得到了（如我所料）

Get https://golang.org/: certificate is valid for *.appspot.com, *.*.appspot.com, appspot.com, not golang.org

现在，我想自己信任该证书（想象一个可以颁发指纹的自我发行的证书，等等）：如何提出请求并验证/信任该证书？

我可能需要使用openssl下载证书，将其加载到我的文件中并填写tls.Configstruct！？。

安全说明：禁用安全检查是危险的，应避免

您可以全局禁用默认客户端的所有请求的安全检查：

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    http.DefaultTransport.(*http.Transport).TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
    _, err := http.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

您可以禁用客户端的安全检查：

package main

import (
    "fmt"
    "net/http"
    "crypto/tls"
)

func main() {
    tr := &http.Transport{
        TLSClientConfig: &tls.Config{InsecureSkipVerify: true},
    }
    client := &http.Client{Transport: tr}
    _, err := client.Get("https://golang.org/")
    if err != nil {
        fmt.Println(err)
    }
}

这是一种实现方法，而不会丢失的默认设置DefaultTransport，并且不需要根据用户评论提供虚假请求。

defaultTransport := http.DefaultTransport.(*http.Transport)

// Create new Transport that ignores self-signed SSL
customTransport := &http.Transport{
  Proxy:                 defaultTransport.Proxy,
  DialContext:           defaultTransport.DialContext,
  MaxIdleConns:          defaultTransport.MaxIdleConns,
  IdleConnTimeout:       defaultTransport.IdleConnTimeout,
  ExpectContinueTimeout: defaultTransport.ExpectContinueTimeout,
  TLSHandshakeTimeout:   defaultTransport.TLSHandshakeTimeout,
  TLSClientConfig:       &tls.Config{InsecureSkipVerify: true},
}

更新

较短的方法：

customTransport := &(*http.DefaultTransport.(*http.Transport)) // make shallow copy
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

正确的方式（从Go 1.13开始）（由下面的答案提供）：

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}

警告：仅用于测试/开发目的。否则，后果自负！！！

所有这些答案都是错误的！请勿InsecureSkipVerify用于处理与主机名不匹配的CN。Go开发人员明智地坚持不禁用主机名检查（它具有合法用途-隧道，nat，共享群集证书等），同时具有看起来相似但实际上完全忽略证书检查的功能。您需要知道证书是有效的，并且由您信任的证书签名。但是在常见情况下，您知道CN与您连接的主机名不匹配。对于这些，请设置ServerName为tls.Config。如果tls.Config.ServerName== remoteServerCN，则证书检查将成功。这就是你想要的。 InsecureSkipVerify表示没有身份验证；中间人已经成熟了；达不到使用TLS的目的。

有一个合法用途InsecureSkipVerify：使用它连接到主机并获取其证书，然后立即断开连接。如果您设置要使用的代码InsecureSkipVerify，通常是因为设置不ServerName正确（它需要来自env var之类的东西-不要为这个要求而烦恼……正确地做它）。

特别是，如果您使用客户端证书并依靠它们进行身份验证，则您基本上是伪造的登录名，实际上不再登录。拒绝这样做的代码InsecureSkipVerify，否则您将很难通过它学习出问题所在！

现在，如果要保留默认的传输设置，则执行此操作的正确方法是（从Go 1.13开始）：

customTransport := http.DefaultTransport.(*http.Transport).Clone()
customTransport.TLSClientConfig = &tls.Config{InsecureSkipVerify: true}
client = &http.Client{Transport: customTransport}

Transport.Clone复制该传输的深层副本。这样，您不必担心Transport随着时间的推移会丢失添加到结构中的任何新字段。

如果要使用http包中的默认设置，则不需要创建新的Transport and Client对象，可以更改为忽略证书验证，如下所示：

tr := http.DefaultTransport.(*http.Transport)
tr.TLSClientConfig.InsecureSkipVerify = true

通常，URL的DNS域必须与证书的证书主题匹配。

在过去，这可以通过将域设置为证书的cn或通过将域设置为“使用者备用名称”来实现。

很久以来（在RFC 2818中，自2000年开始）就不再支持cn ，Chrome浏览器甚至不再查看cn，因此今天您需要将URL的DNS域用作使用者替代名称。

RFC 6125禁止检查cn（如果存在用于DNS域的SAN），但不检查cn（如果存在用于IP地址的SAN）。RFC 6125还重复了cn 28，这已经在RFC 2818中说过了。不存在证书颁发机构浏览器论坛，该论坛与RFC 6125结合意味着从不检查cn的DNS域名。