golang.org/x/crypto/acme/autocert用于gRPC时无法获取X509证书求助

问题根因与解决方案 #

1. 先解决x509根证书不信任错误 #

你遇到的Get "https://acme-v02.api.letsencrypt.org/directory": x509: certificate signed by unknown authority错误，确实和2021年Let's Encrypt旧根证书过期有关，但核心问题是你的容器镜像内缺失最新的CA根证书库：

• 如果你的Dockerfile用的是alpine基础镜像，在构建阶段添加安装ca-certificates的步骤：

RUN apk add --no-cache ca-certificates

• 如果用的是scratch空镜像，构建时把宿主机或者其他镜像里的/etc/ssl/certs/ca-certificates.crt拷贝到镜像的对应路径即可。

这个问题解决后，autocert才能正常请求Let's Encrypt的API完成后续的证书申请流程。

2. 关于GetCertificate回调未触发的问题 #

你的回调逻辑本身没有语法问题，没有被触发的常见原因有两个：

• 你配置了tls.RequireAndVerifyClientCert，客户端发起请求时如果没有携带合法的客户端证书，TLS握手会在客户端证书校验阶段提前中断。你可以先把ClientAuth临时改成tls.NoClientCert做测试，确认基础的证书申请流程是否正常。
• 你没有给服务发送过任何TLS请求：autocert默认是懒加载逻辑，只有当实际有TLS握手请求进来的时候，才会触发GetCertificate执行ACME证书申请流程，不是服务启动就自动申请。你可以启动服务后执行一次openssl s_client或者grpcurl请求，触发证书申请流程。

3. 关于ACME流程调试建议 #

autocert本身没有暴露日志接口，你可以在GetCertificate回调里打日志确认是否被调用，另外你也可以手动构造acme.Client实例，配置自定义的HTTP transport来打印请求日志，排查ACME交互过程中的问题：

// 自定义带日志的HTTP client
logTransport := &http.Transport{
    // 你也可以在这里自定义根证书池解决刚才的x509问题
}
logClient := &http.Client{
    Transport: logTransport,
}

acmeClient := &acme.Client{
    HTTPClient: logClient,
    DirectoryURL: autocert.DefaultACMEDirectory,
}

m := &autocert.Manager{
    Client: acmeClient,
    // 其余配置保持不变
}

4. 关于acme_account+key文件的说明 #

这个文件是autocert生成的ACME账号私钥，和你申请的域名证书无关，只要autocert成功发起过第一次ACME API请求就会生成，不需要你手动读取配置到acme.Client.Key字段，autocert会自动从缓存里读取。

额外注意事项 #

• 确保你的谷歌云VPC防火墙开放了80和443端口的入站访问，Let's Encrypt的HTTP-01校验需要从公网访问你的80端口完成校验
• 测试阶段建议把ACME地址改成Let's Encrypt的沙箱环境https://acme-staging-v02.api.letsencrypt.org/directory，避免触发正式环境的限流

内容的提问来源于stack exchange，提问作者DazWilkin