Golang實現(xiàn)檢測SSL證書有效期

更新時間：2026年04月20日 09:41:42 作者：彭世瑜

本文主要為大家詳細介紹如何使用Go語言中的crypto/tls模塊來獲取網(wǎng)站的SSL/TLS證書信息并檢查其有效期,文中的示例代碼講解詳細,感興趣的小伙伴可以了解下

原理：使用go提供的模塊 crypto/tls，可以獲取域名證書的信息，通過到期時間可以判斷證書是否過期

package main

import (
	"crypto/tls"
	"fmt"
)

func main() {
	conn, _ := tls.Dial("tcp", "www.baidu.com:443", nil)
	cert := conn.ConnectionState().PeerCertificates[0]

	// 時間信息
	fmt.Printf("NotBefore: %v\n", cert.NotBefore)
	// NotBefore: 2022-07-05 05:16:02 +0000 UTC

	fmt.Printf("NotAfter: %v\n", cert.NotAfter)
	// NotAfter: 2023-08-06 05:16:01 +0000 UTC

	// 其他信息
	fmt.Printf("IPAddresses: %v\n", cert.IPAddresses)
	// IPAddresses: []
	fmt.Printf("IPAddresses: %v\n", conn.RemoteAddr())
	// IPAddresses: 220.181.38.150:443
	fmt.Printf("Version: %v\n", cert.Version)
	fmt.Printf("SerialNumber: %v\n", cert.SerialNumber)
	fmt.Printf("Issuer: %v\n", cert.Issuer)
	fmt.Printf("Subject: %v\n", cert.Subject)
}

方法補充

方法一：

在 Go 語言中檢測 SSL 證書是否到期，最常用的方法是利用標準庫 crypto/tls 主動與服務器建立一次 TLS 連接，以此獲取證書鏈，然后從證書的 NotAfter 字段解析出到期時間。

下面是一個通用函數(shù) CheckSSLCertExpiry 的完整實現(xiàn)，它接受域名，返回證書的剩余有效天數(shù)和可能的錯誤。

package main
import (
    "crypto/tls"
    "fmt"
    "net"
    "time"
)
// CheckSSLCertExpiry 檢查給定域名的 SSL 證書有效期，返回剩余天數(shù)
func CheckSSLCertExpiry(domain string) (int, error) {
    // 1. 配置 tls.Config
    // InsecureSkipVerify: true 用來繞過證書本身的校驗，否則證書過期或無效時連接會失敗，我們反而拿不到證書信息。
    // ServerName: 顯式設置 SNI，對于使用 CDN 的網(wǎng)站尤其重要，以防止獲取到錯誤的默認證書。
    conf := &tls.Config{
        InsecureSkipVerify: true,
        ServerName:         domain,
    }
    // 2. 建立 TLS 連接
    // 設置一個連接超時，防止網(wǎng)絡問題導致程序長時間阻塞。
    dialer := &net.Dialer{Timeout: 10 * time.Second}
    conn, err := tls.DialWithDialer(dialer, "tcp", fmt.Sprintf("%s:443", domain), conf)
    if err != nil {
        return 0, fmt.Errorf("failed to connect to %s: %w", domain, err)
    }
    defer conn.Close()
    // 3. 獲取證書鏈
    // PeerCertificates 返回的是對端發(fā)送的證書鏈，第一個元素 (索引0) 通常是服務器本身的證書（葉子證書）。
    certs := conn.ConnectionState().PeerCertificates
    if len(certs) == 0 {
        return 0, fmt.Errorf("no certificates found for %s", domain)
    }
    leafCert := certs[0]
    // 4. 計算剩余天數(shù)
    // NotAfter 是 UTC 時間，time.Now() 返回的是本地時間，但 Go 的 time 包在比較時會自動轉換到同一時區(qū)，所以直接相減是安全的。
    // 使用 math.Ceil 確保剩余天數(shù)向上取整，避免因精度問題將 "剩余0.9天" 顯示為 "0天"。
    remaining := time.Until(leafCert.NotAfter)
    days := int(remaining.Hours() / 24)
    if remaining.Hours() > 0 && days == 0 {
        days = 1
    }
    return days, nil
}
func main() {
    // 示例：檢查 example.com 的證書有效期
    domain := "www.baidu.com"
    days, err := CheckSSLCertExpiry(domain)
    if err != nil {
        fmt.Printf("Error: %v\n", err)
        return
    }
    fmt.Printf("SSL certificate for %s is valid for %d more days.\n", domain, days)
}

代碼核心邏輯解讀

你可以對照上面代碼中的注釋，理解關鍵步驟：

tls.Config 配置：通過 InsecureSkipVerify: true 讓連接跳過常規(guī)驗證，這樣即使是過期或無效的證書也能建立連接，以便我們獲取信息。同時設置 ServerName 指定了 SNI，這對于使用 CDN 的域名非常關鍵。
建立連接：使用 tls.DialWithDialer 替代 tls.Dial 可以方便地設置連接超時。
獲取證書：conn.ConnectionState().PeerCertificates 返回證書鏈，其中第一個元素（索引 0）通常就是該域名的“葉子證書”。
計算天數(shù)：用 time.Until(cert.NotAfter) 計算剩余時間，并通過 remaining.Hours()/24 得到剩余天數(shù)。

注意事項

關于 InsecureSkipVerify：這個標志的使用確實存在安全隱患，但在這個檢測場景下是必需的，因為它允許你檢查那些已經過期、自簽名或由不受信任的 CA 簽發(fā)的證書，這正是我們要檢測的。核心是，我們只讀取證書的元數(shù)據(jù)，而不是依賴它對服務器的身份進行認證。
處理連接錯誤：在實踐中，網(wǎng)絡問題（如 DNS 解析失敗、連接超時）很常見。上述代碼中已經加入了超時和錯誤處理，你應該在實際應用中根據(jù)需求區(qū)分這些錯誤和證書過期的錯誤。
并發(fā)檢查：如果你需要檢查大量域名，建議使用 Go 的 goroutine 并發(fā)執(zhí)行，但要注意控制并發(fā)數(shù)量，以免對網(wǎng)絡或目標服務器造成過大壓力。
時區(qū)處理：NotAfter 是 UTC 時間，而 time.Now() 返回本地時間。Go 的 time 包在計算 time.Until 時會自動處理時區(qū)差異，所以直接相減是安全的。

方法二：使用GO語言驗證證書的有效期

要使用 Go 語言驗證證書的有效期，可以使用以下代碼示例：

package main
import (
    "crypto/x509"
    "encoding/pem"
    "fmt"
    "io/ioutil"
    "time"
)
func main() {
    certPEM, err := ioutil.ReadFile("path/to/certificate.pem")
    if err != nil {
        fmt.Println("Error reading certificate file:", err)
        return
    }
    block, _ := pem.Decode(certPEM)
    if block == nil {
        fmt.Println("Failed to parse certificate PEM")
        return
    }
    cert, err := x509.ParseCertificate(block.Bytes)
    if err != nil {
        fmt.Println("Error parsing certificate:", err)
        return
    }
    fmt.Println("Certificate Expiry Date:", cert.NotAfter)
    now := time.Now()
    if now.Before(cert.NotBefore) {
        fmt.Println("Certificate is not yet valid")
    } else if now.After(cert.NotAfter) {
        fmt.Println("Certificate has expired")
    } else {
        fmt.Println("Certificate is valid")
    }
}

在上面的代碼中，需要將 path/to/certificate.pem 替換為您要驗證的證書文件的路徑。代碼將讀取證書文件，解析證書并檢查當前時間是否在證書的有效期內。根據(jù)驗證結果，將輸出相應的結果。

方法三：golang獲取證書過期時間

func GetDomainSslExpireDate(domain string) string {
	if !strings.HasPrefix(domain, "http") {
		domain = fmt.Sprint("https://", domain)
	}
	command := fmt.Sprint("curl -v -I -k ", domain)
	cmd := exec.Command("/bin/bash", "-c", command)
	output, err := cmd.CombinedOutput()
	if err != nil {
		return time.Time{}
	}
	outStr := string(output)
	outArr := strings.Split(outStr, "\n")
	for _, out := range outArr {
		if strings.Contains(out, "expire date") {
			return out[strings.Index(out, ":")+1:]
			return StrToDate(dateStr)
		}
	}
	return ""
}

到此這篇關于Golang實現(xiàn)檢測SSL證書有效期的文章就介紹到這了,更多相關Go檢測https證書有效期內容請搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: