Spring Boot中Let's Encrypt证书自动续期及无需重启方案咨询

一、实现证书自动导入+应用自动重启的方案 #

• 不要将证书打包进Jar包：把证书放在外部目录（如/etc/letsencrypt/live/your-domain/），在Spring Boot配置中指定外部路径，避免Jar包无法动态更新内容。
  配置示例（application.yml）：

  server:
    ssl:
      key-store-type: PKCS12
      key-store: /etc/letsencrypt/live/your-domain/fullchain.p12
      key-store-password: your-secure-password
      key-alias: your-cert-alias
  

• 自动转换证书格式：Certbot生成的是PEM格式证书，Spring Boot通常需要PKCS12格式。编写Certbot续期钩子脚本，自动完成格式转换：

  #!/bin/bash
  DOMAIN="your-domain.com"
  PASSWORD="your-secure-password"
  # 转换PEM到PKCS12
  openssl pkcs12 -export -in /etc/letsencrypt/live/$DOMAIN/fullchain.pem \
    -inkey /etc/letsencrypt/live/$DOMAIN/privkey.pem \
    -out /etc/letsencrypt/live/$DOMAIN/fullchain.p12 \
    -name "your-cert-alias" \
    -password pass:$PASSWORD
  

  将脚本设为可执行（chmod +x /path/to/convert-cert.sh），并配置Certbot在续期后触发：
  • 单次续期时添加参数：certbot renew --renew-hook /path/to/convert-cert.sh
  • 永久配置：在/etc/letsencrypt/renewal/your-domain.conf中添加renew_hook = /path/to/convert-cert.sh
• 自动重启应用：在上述钩子脚本末尾添加应用重启命令，以systemd管理的应用为例：

  systemctl restart your-spring-boot-app.service
  

  这样Certbot续期成功后，会自动转换证书并重启Spring Boot应用。

二、无需导入证书和重启应用的替代方案 #

1. 使用反向代理（推荐） #

让Nginx/Apache等反向代理处理HTTPS加密，Spring Boot应用仅处理HTTP请求，这是生产环境最常用的方案：

• 配置反向代理：以Nginx为例，配置SSL指向Certbot生成的PEM证书，反向代理到Spring Boot的HTTP端口：

  # HTTP转HTTPS
  server {
      listen 80;
      server_name your-domain.com;
      return 301 https://$host$request_uri;
  }
  
  # HTTPS服务
  server {
      listen 443 ssl;
      server_name your-domain.com;
  
      ssl_certificate /etc/letsencrypt/live/your-domain.com/fullchain.pem;
      ssl_certificate_key /etc/letsencrypt/live/your-domain.com/privkey.pem;
  
      location / {
          proxy_pass http://localhost:8080; # Spring Boot应用端口
          proxy_set_header Host $host;
          proxy_set_header X-Real-IP $remote_addr;
          proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
          proxy_set_header X-Forwarded-Proto $scheme;
      }
  }
  

• 自动续期与重载：使用certbot --nginx命令可以自动配置Nginx，续期成功后Certbot会自动执行nginx -s reload，无需重启Spring Boot应用。

2. Spring Boot动态加载SSL证书 #

从Spring Boot 2.3开始，支持通过编程方式动态更新SSL上下文，无需重启应用：

• 编写定时任务，定期检查证书文件的修改时间，若有更新则重新加载SSL配置：

  @Component
  public class SslAutoReloader {
  
      @Value("${server.ssl.key-store}")
      private String keyStorePath;
  
      @Value("${server.ssl.key-store-password}")
      private String keyStorePassword;
  
      @Value("${server.ssl.key-alias}")
      private String keyAlias;
  
      @Autowired
      private ServletWebServerApplicationContext serverContext;
  
      private long lastCertModified = 0;
  
      @Scheduled(fixedRate = 3600000) // 每小时检查一次
      public void reloadSslConfig() throws Exception {
          File keyStoreFile = new File(keyStorePath);
          long currentModified = keyStoreFile.lastModified();
  
          if (currentModified > lastCertModified) {
              // 重新加载密钥库
              KeyStore keyStore = KeyStore.getInstance(KeyStore.getDefaultType());
              try (InputStream is = new FileInputStream(keyStoreFile)) {
                  keyStore.load(is, keyStorePassword.toCharArray());
              }
  
              // 创建新的SSL上下文
              SSLContext sslContext = SSLContexts.custom()
                      .loadKeyMaterial(keyStore, keyStorePassword.toCharArray())
                      .build();
  
              // 更新Tomcat连接器的SSL上下文
              if (serverContext.getWebServer() instanceof TomcatWebServer) {
                  TomcatWebServer tomcatServer = (TomcatWebServer) serverContext.getWebServer();
                  for (Connector connector : tomcatServer.getTomcat().getService().findConnectors()) {
                      if (connector.getProtocolHandler() instanceof AbstractHttp11Protocol) {
                          AbstractHttp11Protocol<?> protocol = (AbstractHttp11Protocol<?>) connector.getProtocolHandler();
                          protocol.setSslContext(sslContext);
                          protocol.reloadSslHostConfigs();
                          protocol.reloadSslCertificates();
                      }
                  }
              }
  
              lastCertModified = currentModified;
          }
      }
  }
  

  注意：该方案需要适配不同的Web服务器（Tomcat/Jetty/Undertow）API，实现相对复杂，适合无法使用反向代理的场景。

内容的提问来源于stack exchange，提问作者afterbit