Ubuntu+Apache2.4下如何按动态域名配置SSL证书路径？

当然可以搞定！这种动态域名+自动SSL配置的场景我帮不少开发者处理过，结合Ubuntu+Apache2.4+Let's Encrypt，我们可以通过「脚本自动化生成配置+证书自动续期」的方案来实现，具体步骤如下：

1. 先搞定Let's Encrypt证书的自动申请与续期 #

Apache本身没法直接对接数据库批量处理证书，但我们可以写脚本从数据库拉取域名，自动完成证书申请/续期。

首先确保你已经安装Certbot：

sudo apt update && sudo apt install certbot python3-certbot-apache

然后写一个Shell脚本（比如fetch_domains_and_issue_certs.sh），完成从数据库拉取域名、检查证书状态、自动申请/续期的操作：

#!/bin/bash
# 从数据库导出需要配置SSL的域名（这里以MySQL为例，替换成你的数据库命令）
mysql -u YOUR_DB_USER -pYOUR_DB_PASS YOUR_DB_NAME -e "SELECT domain FROM domains WHERE ssl_enabled = 1;" > /tmp/domains_list.txt

# 遍历域名处理证书
while read domain; do
  if [ -z "$domain" ]; then continue; fi
  # 检查证书是否存在且有效期大于30天
  if ! certbot certificates | grep -q "$domain" || ! openssl x509 -checkend 2592000 -noout -in /etc/letsencrypt/live/$domain/cert.pem; then
    # 用webroot模式申请证书，指定你的PHP应用根目录
    certbot certonly --webroot -w /var/www/your_app_root -d $domain --non-interactive --agree-tos --email your@email.com
  fi
done < /tmp/domains_list.txt

把这个脚本加到cron里，每周运行一次，实现证书自动续期：

sudo crontab -e
# 添加一行：每周一凌晨2点运行
0 2 * * 1 /path/to/fetch_domains_and_issue_certs.sh >> /var/log/certbot_auto.log 2>&1

2. 动态生成Apache虚拟主机配置 #

接下来需要根据域名列表，自动生成包含对应SSL证书路径的Apache虚拟主机配置。

写一个配置生成脚本（比如generate_apache_vhosts.sh）：

#!/bin/bash
# 创建动态配置目录并清空旧配置（先备份避免意外）
sudo mkdir -p /etc/apache2/sites-available/dynamic_vhosts
sudo rm -f /etc/apache2/sites-available/dynamic_vhosts/*.conf

# 从数据库拉取域名
mysql -u YOUR_DB_USER -pYOUR_DB_PASS YOUR_DB_NAME -e "SELECT domain FROM domains WHERE ssl_enabled = 1;" > /tmp/domains_list.txt

# 为每个域名生成SSL虚拟主机配置
while read domain; do
  if [ -z "$domain" ]; then continue; fi
  # 确认证书文件存在再生成配置
  if [ -f /etc/letsencrypt/live/$domain/cert.pem ] && [ -f /etc/letsencrypt/live/$domain/privkey.pem ]; then
    cat > /etc/apache2/sites-available/dynamic_vhosts/${domain}.conf <<EOF
<VirtualHost *:443>
    ServerName $domain
    DocumentRoot /var/www/your_app_root

    # 核心SSL配置：对应域名的证书路径
    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/$domain/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/$domain/privkey.pem
    SSLCertificateChainFile /etc/letsencrypt/live/$domain/chain.pem

    # PHP应用目录权限配置（根据你的环境调整）
    <Directory /var/www/your_app_root>
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog \${APACHE_LOG_DIR}/${domain}_error.log
    CustomLog \${APACHE_LOG_DIR}/${domain}_access.log combined
</VirtualHost>

# 强制HTTP跳转HTTPS
<VirtualHost *:80>
    ServerName $domain
    Redirect permanent / https://$domain/
</VirtualHost>
EOF
  fi
done < /tmp/domains_list.txt

# 启用新配置并重载Apache
sudo a2ensite dynamic_vhosts/*.conf
sudo systemctl reload apache2

同样把这个脚本加到cron，每天运行一次，或者在数据库域名更新后手动触发，确保配置同步。

3. 进阶优化：用Apache mod_macro简化配置 #

如果不想生成大量独立的配置文件，可以用mod_macro定义模板，批量引用：

1. 启用mod_macro：

sudo a2enmod macro

2. 创建宏模板文件/etc/apache2/conf-available/ssl-domain-macro.conf：

<Macro SSLDomain $domain>
<VirtualHost *:443>
    ServerName $domain
    DocumentRoot /var/www/your_app_root

    SSLEngine on
    SSLCertificateFile /etc/letsencrypt/live/$domain/cert.pem
    SSLCertificateKeyFile /etc/letsencrypt/live/$domain/privkey.pem
    SSLCertificateChainFile /etc/letsencrypt/live/$domain/chain.pem

    <Directory /var/www/your_app_root>
        AllowOverride All
        Require all granted
    </Directory>

    ErrorLog \${APACHE_LOG_DIR}/${domain}_error.log
    CustomLog \${APACHE_LOG_DIR}/${domain}_access.log combined
</VirtualHost>

<VirtualHost *:80>
    ServerName $domain
    Redirect permanent / https://$domain/
</VirtualHost>
</Macro>

3. 用脚本生成宏引用配置：

cat > /etc/apache2/sites-available/dynamic-ssl-domains.conf <<EOF
Include /etc/apache2/conf-available/ssl-domain-macro.conf
EOF

while read domain; do
  if [ -z "$domain" ]; then continue; fi
  if [ -f /etc/letsencrypt/live/$domain/cert.pem ]; then
    echo "Use SSLDomain $domain" >> /etc/apache2/sites-available/dynamic-ssl-domains.conf
  fi
done < /tmp/domains_list.txt

sudo a2ensite dynamic-ssl-domains.conf
sudo systemctl reload apache2

关键注意事项 #

• 数据库安全：不要在脚本里明文写数据库密码，建议用~/.my.cnf配置MySQL免密登录，或者用环境变量传递。
• 验证路径访问：确保你的PHP应用不会拦截/.well-known/acme-challenge/路径，否则Certbot无法完成域名验证。
• 权限检查：Certbot生成的证书目录默认是root权限，Apache需要读取权限，一般默认配置没问题，若有异常可调整目录权限。

内容的提问来源于stack exchange，提问作者Sviatoslav Ronskyi