Docker容器无法读取挂载的SSL证书，请求排查问题

核心原因 #

/etc/letsencrypt/live/mydomain/下的fullchain.pem和privkey.pem是符号链接，实际证书文件存储在主机的/etc/letsencrypt/archive/mydomain/目录中。你仅挂载了live/mydomain目录，容器内的符号链接无法解析到主机上的archive目录，因此找不到实际证书文件。

解决方案 #

方案一：挂载整个letsencrypt目录（推荐）

直接挂载主机上的整个/etc/letsencrypt目录到容器内，符号链接可正常解析，且证书更新时无需额外操作：

docker run -v /etc/letsencrypt:/etc/letsencrypt -p 443:443 -p 80:80 imagehere

方案二：同时挂载archive和live目录

若不想挂载整个letsencrypt目录，可分别挂载archive/mydomain和live/mydomain两个目录：

docker run \
-v /etc/letsencrypt/archive/mydomain:/etc/letsencrypt/archive/mydomain \
-v /etc/letsencrypt/live/mydomain:/etc/letsencrypt/live/mydomain \
-p 443:443 -p 80:80 imagehere

方案三：复制证书到独立目录挂载（不推荐）

将实际证书文件复制到独立目录，规避符号链接问题，但证书更新后需手动同步：

1. 主机上复制证书：

cp /etc/letsencrypt/live/mydomain/fullchain.pem /opt/certs/
cp /etc/letsencrypt/live/mydomain/privkey.pem /opt/certs/

2. 修改Go代码中的证书路径为/opt/certs/fullchain.pem和/opt/certs/privkey.pem
3. 运行容器：

docker run -v /opt/certs:/opt/certs -p 443:443 -p 80:80 imagehere

额外注意事项 #

容器内运行程序的用户需拥有证书文件的读取权限。主机上的证书文件默认属于root用户，你可以：

• 让容器以root用户运行（默认情况）
• 调整主机上证书文件的权限（例如chmod o+r /etc/letsencrypt/live/mydomain/*.pem，需注意安全风险）
• 在docker run命令中使用--user参数指定有权限的用户

内容的提问来源于stack exchange，提问作者will-x86