Docker-compose本地环境能否使用真实SSL证书（Nginx/Apache）？

• 能不能用线上真实证书？
  可以，但有个关键前提：本地容器发起请求时使用的域名，必须和线上证书绑定的域名完全一致，且容器能通过DNS解析到目标服务（不管是本地容器还是线上服务）。

• 具体操作步骤

  1. 导出线上证书链
     从线上服务器导出完整的证书文件（通常是.crt或.pem格式）和对应的私钥文件（.key），私钥要妥善保管，严禁泄露。
  2. 在Docker Compose中挂载并配置证书
     • 将证书文件放到本地项目的专属目录（比如./certs），避免硬编码路径。
     • 在docker-compose.yml中，给需要发起SSL请求的容器添加挂载，把证书文件放到容器的系统信任证书目录（Debian/Ubuntu系为/usr/local/share/ca-certificates/，Alpine系为/etc/ssl/certs/），同时执行证书更新命令。
     • 示例配置：

       services:
         your-app-service:
           image: your-app-image
           volumes:
             - ./certs/your-domain.crt:/usr/local/share/ca-certificates/your-domain.crt
           command: /bin/sh -c "update-ca-certificates && exec npm start" # 替换成你的应用启动命令
       

       注：如果用Alpine镜像，需先安装证书工具：apk add --no-cache ca-certificates。
  3. 配置本地DNS解析
     • 如果请求目标是本地其他容器，要把线上域名（比如api.yourdomain.com）解析到本地容器IP或Docker网关IP。可以通过docker-compose.yml的extra_hosts配置容器内的hosts，或者修改本地系统的hosts文件。
     • 示例extra_hosts配置：

       services:
         your-app-service:
           extra_hosts:
             - "api.yourdomain.com:172.17.0.1" # 替换为你的Docker网关IP或目标容器固定IP
       

  4. 验证SSL校验是否正常
     进入容器内部，执行curl https://api.yourdomain.com测试，确认没有SSL certificate problem类错误。

• 关键注意事项

  • 留意线上证书的有效期，过期后需及时替换。
  • 容器内私钥文件权限需设为600，避免因权限过高引发报错。
  • 多人协作时，私钥不要提交到代码仓库，用本地配置文件或环境变量单独管理。

内容的提问来源于stack exchange，提问作者prosto.vint