Docker Compose配置Certbot遭遇未终止引号字符串语法错误及SSL证书续期方案咨询

Hey，我先帮你揪出第一个配置里的核心问题——你说没看到未终止的引号字符串，其实是单引号嵌套冲突导致的语法错误！另外还有几个容易踩的坑，我慢慢给你梳理：

1. 第一个Docker Compose中Certbot容器的崩溃原因 #

你原来的Certbot entrypoint命令是这样的：

entrypoint: "/bin/sh -c 'echo \"0 */12 * * * certbot renew --webroot -w /var/www/certbot --quiet --post-hook 'nginx -s reload'\" | crontab - && crond -f'"

外层用单引号包裹了整个shell命令，但里面--post-hook 'nginx -s reload'的单引号会被shell识别成外层单引号的闭合标记，导致后续内容语法混乱，直接触发"未终止引号字符串"的错误。

另外还有个隐藏大坑：Certbot官方镜像里根本没有安装Nginx，就算引号问题解决了，nginx -s reload这条命令在Certbot容器里也会执行失败，根本没法重启Nginx加载新证书。

修复后的entrypoint写法（解决引号问题） #

可以改用双引号包裹外层命令，内层用单引号，避免转义混乱：

entrypoint: /bin/sh -c "echo \"0 */12 * * * certbot renew --webroot -w /var/www/certbot --quiet --post-hook 'docker exec nginx nginx -s reload'\" | crontab - && crond -f"

这里把nginx -s reload改成了docker exec nginx nginx -s reload，需要给Certbot容器挂载Docker socket才能执行这个命令，在volumes里加一行：

- /var/run/docker.sock:/var/run/docker.sock

不过这种方式需要Certbot镜像里有Docker CLI，默认镜像没有的话，你得自己构建一个带Docker CLI的Certbot镜像，或者换更优雅的方式（后面会说）。

2. 你提出的替代方案的改进点 #

你的脚本思路没问题，但有几个细节需要调整：

• Certbot镜像默认没有curl：脚本里的curl命令会直接失败，导致每次都执行续期操作，需要先安装curl（Certbot基于Alpine，用apk add --no-cache curl）
• 域名硬编码：把DOMAIN_NAME="www.mydomainhere.com"改成用环境变量${DOCKER_DOMAIN_NAMES}，适配你的.env配置
• Nginx重启命令无效：同样的问题，Certbot容器里没有Nginx，得用Docker命令触发Nginx容器重启
• 检查逻辑优化：不要用HTTPS站点可用性判断证书状态（可能因为Nginx配置错误导致站点不可用，和证书无关），应该直接检查证书剩余有效期

改进后的脚本示例 #

#!/bin/sh

# 给Certbot镜像安装curl（基于Alpine）
apk add --no-cache curl

DOMAIN_NAMES="${DOCKER_DOMAIN_NAMES}"
WEBROOT_PATH="/var/www/certbot"

# 首次启动时如果没有证书，先申请
if [ ! -d "/etc/letsencrypt/live/${DOMAIN_NAMES}" ]; then
  echo "首次申请证书..."
  certbot certonly --webroot --webroot-path=${WEBROOT_PATH} --email ${DOCKER_CERTIFICATION_EMAIL} --agree-tos --no-eff-email --staging --domains ${DOMAIN_NAMES} --non-interactive
fi

# 检查证书是否即将过期（剩余时间小于30天）
if certbot certificates --domain ${DOMAIN_NAMES} | grep -q "Expiry Date:.*<30 days"; then
  echo "证书即将过期，执行续期..."
  certbot renew --webroot -w ${WEBROOT_PATH} --quiet --post-hook "docker exec nginx nginx -s reload"
fi

# 把脚本加入crontab（如果还没加）
if ! crontab -l | grep -q "${0}"; then
  (crontab -l ; echo "0 */12 * * * ${0}") | crontab -
  echo "已添加续期任务到crontab"
fi

3. 更优雅的证书续期+Nginx重启方案 #

挂载Docker socket虽然能解决问题，但有安全风险（Certbot容器获得了主机的Docker控制权），更推荐让Nginx容器自动监听证书变化：

步骤1：给Nginx容器加自动重启逻辑 #

创建一个Nginx的entrypoint脚本nginx/entrypoint.sh：

#!/bin/sh

# 替换Nginx配置模板里的环境变量
envsubst '${DOMAIN_NAMES}' < /etc/nginx/nginx.conf.template > /etc/nginx/nginx.conf

# 启动Nginx后台运行
nginx -g "daemon off;" &

# 监听证书目录变化，自动重启Nginx
inotifywait -m -r -e create,modify,delete /etc/letsencrypt | while read path action file; do
  echo "证书文件更新，重新加载Nginx配置..."
  nginx -s reload
done

步骤2：修改Nginx的Dockerfile #

安装inotify-tools来监听文件变化：

FROM nginx:alpine

RUN apk add --no-cache inotify-tools

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh

ENTRYPOINT ["/entrypoint.sh"]

步骤3：简化Certbot配置 #

不需要再写post-hook命令，Certbot只负责续期证书，Nginx会自动检测变化并重启：

certbot:
  image: certbot/certbot
  environment:
    - DOCKER_DOMAIN_NAMES=${DOCKER_DOMAIN_NAMES}
    - DOCKER_CERTIFICATION_EMAIL=${DOCKER_CERTIFICATION_EMAIL}
  volumes:
    - ./data/certbot/conf:/etc/letsencrypt
    - ./data/certbot/www:/var/www/certbot
  entrypoint: /bin/sh -c "
    # 首次申请证书
    if [ ! -d /etc/letsencrypt/live/${DOCKER_DOMAIN_NAMES} ]; then
      certbot certonly --webroot --webroot-path=/var/www/certbot --email ${DOCKER_CERTIFICATION_EMAIL} --agree-tos --no-eff-email --staging --domains ${DOCKER_DOMAIN_NAMES} --non-interactive
    fi
    # 设置续期任务
    echo '0 */12 * * * certbot renew --webroot -w /var/www/certbot --quiet' | crontab -
    crond -f
  "
  depends_on:
    - nginx

最后提醒一下：你已经用到了--staging参数测试，这个非常好，能避免Let's Encrypt的速率限制，等测试完全没问题后，再去掉--staging切换到生产环境即可。

备注：内容来源于stack exchange，提问作者Pachuca