CC @bradfitz@FiloSottile@jayconrod

我认为可能的身份验证方案范围太广，因此这些应该由一个本地的GOPROXY来处理，它将未经身份验证的协议暴露给客户端，并对上游执行任何您想要的身份验证。
我开始认为让GOPROXY成为一个二进制文件，让go工具自己运行会更好，这样即使是小任务也可以设置GOPROXY,而不必在本地机器上运行网络服务，这会产生很多摩擦。

我认为本地 GOPROXY 解决方案的一个缺点是，每个运行 go 的人都需要玩认证游戏，不仅需要设置一些环境变量，还需要获取/安装/保持更新，并确保 go 能够找到并执行那个单独的程序 - 除了为 GOPROXY 设置一个环境变量。它似乎还打开了一个额外的安全攻击向量 - 至少，你必须担心通过本地 GOPROXY 二进制文件可能会出现什么样的“有趣”的妥协。就我个人而言，对于 mTLS,我更希望能够告诉 go 从哪里获取 cert/key/cacert,然后处理创建(?)/设置额外的二进制文件。

让我们先让基本的HTTP认证工作起来( #26232 ),然后再回到考虑更奇特的认证方式，如TLS客户端证书。

我们能够将客户端证书传递给go工具将会非常有用。我想这个问题与#26232不同，因为在没有进行tls握手的情况下，不会传输text/html。所以它不能通过扩展到访问被拒绝的页面来解决。
我同意@dmitris保持本地工具数量较小的观点，并会提出如果存在-insecure标志，那么-client-cert(或与之匹配的环境变量)将是有效的。
我期待着看到这个的更新，并让我知道是否可以在某种程度上提供帮助。

有一个临时解决方案。我使用一个 MITM 工具来提供客户端证书。
例如：

mitmdump --listen-host ${ip_address} --listen-port ${port} --ignore-hosts=${whitelist} --set client_certs=${cert}

并设置

go env -w GOPRIVATE="your company repo"

我真的很想能够使用客户端证书。我们有机会实现这个功能吗？如果有兴趣，我会尝试提供一个pull请求。