ASP.NET在Docker&Linux环境下无法配置HTTPS端点报错排查

报错根因分析 #

• 证书未跨构建阶段传递：你在Dockerfile的build阶段执行dotnet dev-certs https生成的开发者证书存储在build阶段容器的用户目录下，多阶段构建切换到runtime阶段后，没有将build阶段生成的证书拷贝到runtime镜像的对应路径，runtime阶段运行时自然找不到证书。
• 旧镜像可用的核心原因：你挂载了keys-vol到容器的/root/.aspnet路径，旧镜像运行时生成的有效证书存在这个宿主机挂载的路径下，之前运行正常是读取了存量有效证书。近期存量证书过期，新镜像启动时无法生成有效新证书，就触发了报错。
• .NET 5基础镜像变更影响：.NET 5早已停止官方支持，近期微软对旧版本基础镜像的安全更新调整了开发者证书的生成/校验逻辑，导致新构建镜像里执行的dotnet dev-certs https生成的证书不符合运行校验要求。
• 生产环境配置逻辑错误：生产环境配置了HTTPS端口监听，但使用仅用于本地开发的自签名开发者证书本身就是不符合规范的实现，证书有效期短、自动校验逻辑严格很容易触发故障。

可行解决方案 #

方案1：快速临时修复 #

在runtime阶段的Dockerfile中增加证书生成逻辑，或者直接关闭HTTPS端口监听：

1. 临时关闭HTTPS的话，修改ENV配置：ENV ASPNETCORE_URLS="http://+:80"，删掉HTTPS相关的端口监听配置，你前端有HAProxy做反向代理的话，完全可以由HAProxy处理HTTPS卸载，后端服务只走HTTP即可。
2. 要保留HTTPS的话，在runtime阶段的Dockerfile里增加证书生成命令：

RUN dotnet dev-certs https --clean \
    && dotnet dev-certs https \
    && dotnet dev-certs https --trust

方案2：生产环境规范修复 #

1. 去掉Kestrel的HTTPS监听配置，所有HTTPS请求由上层的HAProxy负责卸载，后端服务仅暴露80端口走HTTP通信，内部集群通信无需额外加密，完全符合你现有架构的设计。
2. 如果确实需要Kestrel开启HTTPS，就申请正规的可信SSL证书，将证书文件打包进镜像或者通过Docker配置挂载到容器内，在appsettings.json中配置Kestrel读取指定路径的证书文件，不要依赖开发者证书：

"Kestrel": {
  "Endpoints": {
    "Https": {
      "Url": "https://+:443",
      "Certificate": {
        "Path": "/path/to/your/certificate.pfx",
        "Password": "your-cert-password"
      }
    }
  }
}

额外排查点 #

检查宿主机上挂载的/data/socloze/web/keys路径下的证书文件是否已经过期，如果过期可以先删除存量证书后重新启动旧镜像验证是否也会触发相同报错，进一步确认根因。

内容的提问来源于stack exchange，提问作者ClubberLang