如何正确构建运行支持HTTPS的ASP.NET Docker容器应用

两个报错分别对应两个核心配置错误：

• 外部IP访问报Connection refused：EXPOSE 443只是Docker镜像的元数据声明，不会修改容器内ASP.NET Kestrel的默认监听行为。默认mcr.microsoft.com/dotnet/aspnet:6.0镜像中，Kestrel默认仅监听80端口的HTTP请求，容器内443端口根本没有进程监听，端口映射自然失效。
• 本地127.0.0.1访问报TLS握手失败：就算手动把端口映射到容器内正在监听的端口，Kestrel处理HTTPS请求必须加载可用的PFX格式SSL证书，未配置证书时Kestrel收到TLS握手请求会直接断开连接，触发SSL_ERROR_SYSCALL错误。

1. 调整Dockerfile #

不需要改动应用代码，只需要保留正确的端口声明即可，最终Dockerfile内容：

FROM mcr.microsoft.com/dotnet/aspnet:6.0
WORKDIR /app_service
COPY app_service/ ./
EXPOSE 80
EXPOSE 443
ENTRYPOINT ["dotnet", "./UserManager.dll"]

如果不需要HTTP明文访问，可以删掉EXPOSE 80行。

2. 准备SSL证书 #

提前准备PFX格式的SSL证书（正规CA签发、自签名证书均可，生产环境建议使用可信CA签发的证书），存放在服务器固定路径例如/opt/certs/app.pfx，记录证书的导出密码。
注意：不要把证书直接打进镜像，避免镜像分发过程中证书泄露。

3. 启动容器 #

启动时通过挂载卷把证书目录映射进容器，通过环境变量告诉Kestrel监听地址和证书位置，命令如下：

docker run -d \
  --restart=always \
  -p 443:443 \
  -p 80:80 \
  -v /opt/certs/:/app/certs:ro \
  -e ASPNETCORE_URLS="https://+:443;http://+:80" \
  -e ASPNETCORE_Kestrel__Certificates__Default__Path="/app/certs/app.pfx" \
  -e ASPNETCORE_Kestrel__Certificates__Default__Password="替换为你的证书实际密码" \
  --name user-manager-app \
  author/app_service:v1.0

参数说明：

• -v /opt/certs/:/app/certs:ro：把服务器存放证书的目录只读挂载到容器内/app/certs路径，防止容器内篡改证书
• ASPNETCORE_URLS：强制Kestrel同时监听80端口HTTP、443端口HTTPS，不需要HTTP可以删掉;http://+:80和80端口的映射参数
• 证书密码建议通过.env文件或者Docker Secret传入，不要直接明文写在启动命令里，生产环境必须做这步优化

4. 访问验证 #

容器启动后等待5-10秒，执行curl命令验证：

curl -vLk https://<你的服务器IP>/app

返回应用的正常响应内容即配置成功，不会再出现连接拒绝、TLS握手失败的错误。

内容的提问来源于stack exchange，提问作者Marina Vinograd