Ubuntu下将.NET Web应用作为服务运行时遇服务器证书错误

核心原因 #

命令行以root身份运行时，可访问root用户目录下的开发者证书（此前可能在root环境下执行过dotnet dev-certs https生成），但systemd服务指定User=www-data运行时，该用户无权限访问root的开发者证书。更关键的是：你已经通过Nginx Proxy Manager实现了SSL终止，完全不需要.NET应用自行处理HTTPS，生产环境依赖开发者证书本身就是不合理的配置。

推荐解决方案：让Nginx处理SSL，.NET仅监听HTTP #

1. 修改.NET应用的监听地址 #

两种方式二选一：

• 修改配置文件：编辑appsettings.Production.json，将Urls改为HTTP地址：

{
  "Urls": "http://10.0.0.242:7000"
}

• 修改systemd服务文件：在[Service]段添加环境变量，无需改动应用代码：

Environment=ASPNETCORE_URLS=http://10.0.0.242:7000

更安全的做法是仅监听本地端口（避免直接暴露应用）：

Environment=ASPNETCORE_URLS=http://localhost:7000

2. 调整Nginx Proxy Manager代理配置 #

进入代理主机设置页面：

• 将转发协议从HTTPS改为HTTP
• 转发目标保持10.0.0.242:7000（若改成本地监听，需确保Nginx能访问到.NET容器的内网IP）
• 保留原有SSL配置（Let's Encrypt证书、强制SSL、HTTP/2）

3. 重启服务验证 #

systemctl daemon-reload
systemctl restart webhooklistener

此时服务即可正常启动，外部请求通过Nginx的HTTPS入口转发到.NET的HTTP端口。

备选方案（不推荐：让.NET自行处理HTTPS） #

若坚持让.NET直接监听HTTPS，需给www-data配置合法SSL证书（禁止用开发者证书）：

1. 将Nginx Proxy Manager获取的Let's Encrypt证书复制到Ubuntu容器，设置www-data可读权限：

mkdir -p /etc/ssl/webapi/
cp /path/to/nginx/certs/fullchain.pem /etc/ssl/webapi/
cp /path/to/nginx/certs/privkey.pem /etc/ssl/webapi/
chown -R www-data:www-data /etc/ssl/webapi/
chmod 600 /etc/ssl/webapi/*.pem

2. 在systemd服务文件中添加证书环境变量：

Environment=ASPNETCORE_Kestrel__Certificates__Default__Path=/etc/ssl/webapi/fullchain.pem
Environment=ASPNETCORE_Kestrel__Certificates__Default__KeyPath=/etc/ssl/webapi/privkey.pem

3. 重启服务验证：

systemctl daemon-reload
systemctl restart webhooklistener

内容的提问来源于stack exchange，提问作者zerodoc