如何在基于aspnet镜像的Docker容器中使用dotnet dev-certs启用HTTPS

dotnet dev-certs https在Linux版.NET SDK镜像中生成的自签名证书，默认存储路径为 /root/.dotnet/corefx/cryptography/x509stores/my/ 目录下的pfx文件，你可以通过以下两种方案解决最终镜像缺少证书的问题：

方案1：直接复制SDK阶段的证书存储 #

直接将build阶段生成的证书目录内容复制到最终镜像的对应路径即可，修改后的Dockerfile如下：

FROM mcr.microsoft.com/dotnet/sdk:5.0 as build
WORKDIR /src
RUN dotnet new webapi -o app
RUN dotnet dev-certs https
RUN dotnet publish -o out app/app.csproj

FROM mcr.microsoft.com/dotnet/aspnet:5.0 as final
ENV ASPNETCORE_URLS="https://*:443;http://*:80"
WORKDIR /app
# 复制build阶段生成的证书
COPY --from=build /root/.dotnet/corefx/cryptography/x509stores/my/* /root/.dotnet/corefx/cryptography/x509stores/my/
COPY --from=build /src/out .
CMD ["dotnet", "app.dll"]

方案2：显式导出证书配置（兼容性更优） #

该方案不依赖系统默认证书存储路径，适配不同运行用户场景，稳定性更高：

1. 在SDK阶段将生成的证书导出为带密码的pfx文件
2. 最终镜像阶段复制pfx文件，通过环境变量指定Kestrel的证书配置

对应Dockerfile如下：

FROM mcr.microsoft.com/dotnet/sdk:5.0 as build
WORKDIR /src
RUN dotnet new webapi -o app
RUN dotnet dev-certs https
# 导出证书到指定路径，设置自定义密码
RUN dotnet dev-certs https -ep /src/aspnetdev.pfx -p DevPass@123
RUN dotnet publish -o out app/app.csproj

FROM mcr.microsoft.com/dotnet/aspnet:5.0 as final
ENV ASPNETCORE_URLS="https://*:443;http://*:80"
# 配置Kestrel使用自定义证书
ENV ASPNETCORE_Kestrel__Certificates__Default__Password="DevPass@123"
ENV ASPNETCORE_Kestrel__Certificates__Default__Path="/app/aspnetdev.pfx"
WORKDIR /app
# 复制导出的证书文件
COPY --from=build /src/aspnetdev.pfx .
COPY --from=build /src/out .
CMD ["dotnet", "app.dll"]

注意事项 #

• 以上两种方案仅适用于开发测试场景，生产环境请使用权威CA机构颁发的有效SSL证书
• 如果最终镜像使用非root用户运行，需要调整证书文件的读取权限，保证运行用户可以正常访问证书文件

内容的提问来源于stack exchange，提问作者Hans Kilian