在ssl握手过程中，证书替换只有在sni阶段发送，也就是说如果没有发生sni的，证书使用的是监听端口配置的证书，而这个证书在内存中需要进程重启才能生效。在golang是用ListenAndServeTLS函数，查看源码可以发现，必须重启才能生效新证书。再回头过来看sni发生的条件，1)客户端发起某个域名sni请求、2)服务端加载该域名的证书。也就是说需要如果有发生域名变更，是可以使用配置的新证书。但是这个新证书热加载到内存，需要做进一步的定制化开发，估计原版的代码是不可以的。... 展开详请