Golang中是否需要关闭失败的TLS连接？

在双向TLS中，即使客户端认证失败，也必须关闭失败的TLS连接。认证失败后连接处于无效状态，不关闭会导致资源泄漏和潜在的安全问题。

核心原因：

1. 系统资源（文件描述符、内存）会持续占用
2. 连接处于不可用状态，无法进行有效通信
3. 可能成为拒绝服务攻击的入口

正确示例：

package main

import (
    "crypto/tls"
    "crypto/x509"
    "fmt"
    "io"
    "net"
    "time"
)

func handleConnection(conn net.Conn) {
    defer conn.Close() // 确保连接最终被关闭
    
    tlsConn, ok := conn.(*tls.Conn)
    if !ok {
        fmt.Println("非TLS连接")
        return
    }
    
    // 设置超时，防止恶意客户端占用连接
    tlsConn.SetDeadline(time.Now().Add(5 * time.Second))
    
    // 尝试握手，这会触发客户端证书验证
    err := tlsConn.Handshake()
    if err != nil {
        fmt.Printf("TLS握手失败: %v\n", err)
        return // defer会确保连接关闭
    }
    
    // 验证客户端证书
    state := tlsConn.ConnectionState()
    if len(state.PeerCertificates) == 0 {
        fmt.Println("客户端未提供证书")
        return
    }
    
    // 这里可以添加额外的证书验证逻辑
    _, err = state.PeerCertificates[0].Verify(x509.VerifyOptions{})
    if err != nil {
        fmt.Printf("客户端证书验证失败: %v\n", err)
        return
    }
    
    // 认证成功，继续处理连接
    fmt.Println("客户端认证成功")
    // ... 后续业务逻辑
}

func main() {
    cert, err := tls.LoadX509KeyPair("server.crt", "server.key")
    if err != nil {
        panic(err)
    }
    
    caCert, err := io.ReadFile("ca.crt")
    if err != nil {
        panic(err)
    }
    
    caPool := x509.NewCertPool()
    caPool.AppendCertsFromPEM(caCert)
    
    config := &tls.Config{
        Certificates: []tls.Certificate{cert},
        ClientAuth:   tls.RequireAndVerifyClientCert,
        ClientCAs:    caPool,
        MinVersion:   tls.VersionTLS12,
    }
    
    listener, err := tls.Listen("tcp", ":8443", config)
    if err != nil {
        panic(err)
    }
    defer listener.Close()
    
    for {
        conn, err := listener.Accept()
        if err != nil {
            fmt.Printf("接受连接失败: %v\n", err)
            continue
        }
        
        go handleConnection(conn)
    }
}

关键点：

1. 使用defer conn.Close()确保连接最终被关闭
2. 握手失败或证书验证失败时立即返回，让defer执行关闭操作
3. 设置连接超时，防止资源被长期占用
4. 即使认证失败，TCP连接也需要被正确关闭

资源清理模式：

func handleClient(conn net.Conn) {
    // 方法1: 使用defer（推荐）
    defer func() {
        if err := conn.Close(); err != nil {
            fmt.Printf("关闭连接时出错: %v\n", err)
        }
    }()
    
    // 方法2: 显式关闭
    // tlsConn, ok := conn.(*tls.Conn)
    // if !ok {
    //     conn.Close()
    //     return
    // }
    // 
    // if err := tlsConn.Handshake(); err != nil {
    //     tlsConn.Close()
    //     return
    // }
    
    // ... 业务逻辑
}

在双向TLS认证场景中，无论客户端证书验证是否通过，都必须关闭连接。这是良好的资源管理实践，也是安全编程的基本要求。