ASP.NET 7 Blazor Server在Linux主机配置Certbot SSL证书遇阻

问题分析 #

核心错误是容器内无法读取/https/fullchain.pem，本质是宿主机Let's Encrypt证书目录的权限限制：默认仅允许root用户访问，而Blazor容器通常以非root用户运行，导致无法读取挂载的证书文件。同时存在DataProtection密钥未持久化的警告，可一并处理。

解决步骤 #

1. 修复证书文件访问权限 #

Let's Encrypt证书目录/etc/letsencrypt/live/example.com/是软链接，实际指向/etc/letsencrypt/archive/example.com/，需要给这两个目录添加容器运行用户的读权限：

• 先查看容器内运行用户的UID：

  docker exec -it blazorserver id
  

  记下输出中的UID（例如uid=1000(appuser)里的1000）。
• 在宿主机执行授权命令（无setfacl则先安装sudo apt install acl）：

  sudo setfacl -R -m u:1000:rX /etc/letsencrypt/live/example.com/
  sudo setfacl -R -m u:1000:rX /etc/letsencrypt/archive/example.com/
  

2. 验证挂载的证书文件 #

启动临时容器确认挂载目录下的文件状态：

docker run --rm -v /etc/letsencrypt/live/example.com:/https/ alpine ls -l /https/

若能看到fullchain.pem和privkey.pem，说明挂载正常，权限修复生效。

3. 调整Docker运行命令 #

移除不必要的环境变量（.NET 6+无需ASPNETCORE_HTTPS_PORT），使用精简后的命令：

docker run -p 80:80 -p 443:443 \
  -v /etc/letsencrypt/live/example.com:/https/ \
  -e ASPNETCORE_URLS="https://+;http://+" \
  -e ASPNETCORE_Kestrel__Certificates__Default__Path=/https/fullchain.pem \
  -e ASPNETCORE_Kestrel__Certificates__Default__KeyPath=/https/privkey.pem \
  --restart always --name blazorserver blazorserver:1.01

4. 处理DataProtection警告（可选） #

为避免容器销毁后丢失加密密钥，挂载宿主机目录保存DataProtection密钥：

• 在宿主机创建目录并设置权限：

  sudo mkdir -p /var/blazor/dataprotection
  sudo chown 1000:1000 /var/blazor/dataprotection
  

• 修改Docker命令添加挂载：

  docker run -p 80:80 -p 443:443 \
    -v /etc/letsencrypt/live/example.com:/https/ \
    -v /var/blazor/dataprotection:/root/.aspnet/DataProtection-Keys \
    -e ASPNETCORE_URLS="https://+;http://+" \
    -e ASPNETCORE_Kestrel__Certificates__Default__Path=/https/fullchain.pem \
    -e ASPNETCORE_Kestrel__Certificates__Default__KeyPath=/https/privkey.pem \
    --restart always --name blazorserver blazorserver:1.01
  

快速测试替代方案（不推荐生产环境） #

若暂时不想处理权限问题，可让容器以root用户运行，添加--user root参数：

docker run -p 80:80 -p 443:443 \
  -v /etc/letsencrypt/live/example.com:/https/ \
  -e ASPNETCORE_URLS="https://+;http://+" \
  -e ASPNETCORE_Kestrel__Certificates__Default__Path=/https/fullchain.pem \
  -e ASPNETCORE_Kestrel__Certificates__Default__KeyPath=/https/privkey.pem \
  --user root \
  --restart always --name blazorserver blazorserver:1.01

内容的提问来源于stack exchange，提问作者Jaden