如何在 Go 中将 x509.Certificate 转换为 tls.Certificate？

Question

我正在使用x/crypto/pkcs12加载 DER 格式的 *.p12 文件。文档中有一个示例，用于tls.X509KeyPair制作tls.Certificate可用于 HTTP 客户端的 。

这很完美，而且效果很好。但后来我也想验证证书没有过期。该pkcs12库还有一个Decode 函数，它返回一个 x509 证书，我可以使用验证方法。这也很好用。

我对 DER 解码两次对我来说似乎很奇怪。一次用于x509.Certificate验证，再次获得tls.Certificate. 我不知道这两个证书结构之间的关系，但看到 tls 包有一个名为 tls.X509KeyPair 的函数，它需要一些字节，不应该有一种明显的方法从 x509 获取 tls.Certificate 。证书还是签证？我错过了什么？

Answer 1

tls.Certificate 通常存储证书链- 换句话说，> 1 个证书。请注意，它的Certificate字段是类型[][]byte，其中每个证书都是一个[]byte.tls 包导入了 x509 包，因此 x509 中没有获取 tls.Certificate 的函数；这将导致进口周期。但是如果你有一个 x509.Certificate，你就已经有一个 tls.Certificate；只需将 x509.Certificate 的Raw字节放入 tls.Certificate 的Certificate切片中。

Answer 2

你可以这样做：func LoadP12TLSCfg(keystore, password string) (*x509.CertPool, tls.Certificate, error) {    data, err := ioutil.ReadFile(keystore)    if err != nil {        return nil, tls.Certificate{}, err    }    pk, crt, caCrts, err := pkcs12.DecodeChain(data, password)    if err != nil {        return nil, tls.Certificate{}, err    }    pool := x509.NewCertPool()    pool.AddCert(caCrts[0])    tlsCrt := tls.Certificate{        Certificate: [][]byte{crt.Raw},        Leaf:        crt,        PrivateKey:  pk,    }    return pool, tlsCrt, nil}func LoadServerTLSCfg(keystore, password string) (*tls.Config, error) {    pool, crt, err := LoadP12TLSCfg(keystore, password)    if err != nil {        return nil, err    }    cfg := &tls.Config{        ClientCAs:    pool,        ClientAuth:   tls.RequireAndVerifyClientCert,        Certificates: []tls.Certificate{crt},    }    return cfg, nil}func LoadClientTLSCfg(keystore, password string, serverName string) (*tls.Config, error) {    pool, crt, err := LoadP12TLSCfg(keystore, password)    if err != nil {        return nil, err    }    cfg := &tls.Config{        RootCAs:      pool,        Certificates: []tls.Certificate{crt},        ServerName:   serverName,    }    return cfg, nil}