如何在Docker容器中运行HTTPS dotnet应用且无需在宿主机安装dotnet

方案1：保留Nginx作为SSL终结点（生产环境最推荐） #

你当前的架构本身就是生产环境的标准用法，完全不需要调整容器内的服务协议：

• Nginx负责处理公网的HTTPS请求、证书校验、TLS握手，所有公网流量都是HTTPS加密的
• Nginx和Docker容器的通信走宿主内部回环网络，不会暴露到公网，走HTTP没有安全风险
• 不需要对容器、Dockerfile做任何修改，也完全不用在宿主安装dotnet环境，完全符合你的需求

方案2：容器内启用HTTPS（满足端到端加密要求） #

如果有强制端到端加密的需求，不需要宿主安装dotnet，可通过以下两种方式实现：

2.1 Dockerfile内置自签名证书（适合测试场景） #

微软官方的dotnet基础镜像已经自带dotnet运行时，直接在构建阶段生成证书即可：

# 构建阶段
FROM mcr.microsoft.com/dotnet/sdk:6.0 AS build
WORKDIR /app
COPY . ./
RUN dotnet publish -c Release -o out

# 运行阶段
FROM mcr.microsoft.com/dotnet/aspnet:6.0 AS runtime
WORKDIR /app
COPY --from=build /app/out .

# 容器内生成HTTPS证书，无需宿主操作
RUN dotnet dev-certs https -ep /https/aspnetapp.pfx -p 自定义证书密码
ENV ASPNETCORE_URLS=https://+:443;http://+:80
ENV ASPNETCORE_Kestrel__Certificates__Default__Password=自定义证书密码
ENV ASPNETCORE_Kestrel__Certificates__Default__Path=/https/aspnetapp.pfx

EXPOSE 443
ENTRYPOINT ["dotnet", "你的应用名称.dll"]

注意：如果用自签名证书，Nginx反向代理配置中需要添加proxy_ssl_verify off;，避免Nginx不信任自签名证书导致跳转失败

2.2 docker-compose挂载外部证书（适合生产场景） #

你可以在任意设备（比如本地开发机）生成pfx格式证书，或者直接用Let's Encrypt申请的有效公网证书，上传到VPS指定目录后通过docker-compose挂载到容器内即可，全程不需要VPS上安装dotnet：

version: '3.8'
services:
  webapp:
    build: .
    ports:
      - "5000:443"
    environment:
      - ASPNETCORE_URLS=https://+:443
      - ASPNETCORE_Kestrel__Certificates__Default__Password=你的证书密码
      - ASPNETCORE_Kestrel__Certificates__Default__Path=/https/aspnetapp.pfx
    volumes:
      - ./本地证书存放路径:/https:ro

内容的提问来源于stack exchange，提问作者Syl.H