如何解决HAProxy Runtime API执行set ssl cert时的证书密钥错误？

• 核对命令语法与路径
  确认set ssl cert指定的证书路径和HAProxy配置文件中crt字段的路径完全一致，比如配置里是bind *:443 ssl crt /etc/haproxy/certs/my-site.pem，Runtime API操作就必须用这个路径，不能有拼写错误或相对路径问题。执行show ssl cert /etc/haproxy/certs/my-site.pem可以查看当前证书的状态，对比本地文件内容是否匹配。

• 严格校验PEM文件格式
  即便HAProxy启动时能加载该PEM，Runtime API的解析规则更严格：

  • 私钥必须是未加密的：检查私钥块开头是否为-----BEGIN PRIVATE KEY-----或-----BEGIN RSA PRIVATE KEY-----，如果有密码保护（开头是-----BEGIN ENCRYPTED PRIVATE KEY-----），需要先通过openssl rsa -in encrypted.key -out decrypted.key解密。
  • 证书链顺序正确：从域名证书（leaf）开始，依次是中间证书、根证书，每个证书块之间无多余空行或注释行（比如#开头的内容）。
  • 用openssl verify -CAfile my-site.pem my-site.pem验证文件的有效性，确保信任链完整。

• 尝试分块上传证书与私钥
  若单文件上传失败，可分开上传私钥和证书链：

  # 上传私钥
  echo "set ssl cert /etc/haproxy/certs/my-site.pem <<EOF
  $(cat /path/to/decrypted-private.key)
  EOF" | socat stdio /var/run/haproxy/admin.sock
  
  # 上传证书链
  echo "set ssl cert /etc/haproxy/certs/my-site.pem <<EOF
  $(cat /path/to/fullchain.crt)
  EOF" | socat stdio /var/run/haproxy/admin.sock
  
  # 提交事务
  echo "commit ssl cert /etc/haproxy/certs/my-site.pem" | socat stdio /var/run/haproxy/admin.sock
  

• 检查HAProxy版本
  旧版本（如2.0.x及更早）的Runtime API存在单文件PEM解析bug，建议升级到2.2+或更高稳定版本，新版本对证书事务的处理更完善。

• 确认事务内容完整性
  在执行commit前，用show ssl cert /etc/haproxy/certs/my-site.pem transaction查看当前事务中的内容，如果返回空，说明set命令未成功上传内容，需排查socket权限（确保执行命令的用户有读写socket的权限）或socat的使用是否正确。

内容的提问来源于stack exchange，提问作者IronWidget