为本地Docker Nginx容器启用SSL时遇证书文件不存在错误

你的错误提示很明确：Nginx找不到指定的证书文件/etc/nginx/ssl/mysite.local.crt，咱们从几个常见的排查方向一步步解决：

1. 确认Dockerfile里的证书生成逻辑是否正确执行 #

你在Dockerfile里用了YOURLOCALDOMAIN占位符，首先要确保这个值已经替换成了实际的域名mysite.local：

• 如果是直接修改Dockerfile，把所有YOURLOCALDOMAIN替换成mysite.local后重新构建；
• 如果想用构建参数动态传递域名，调整Dockerfile如下：

  ARG LOCAL_DOMAIN=mysite.local
  # 安装openssl
  RUN apk add --no-cache openssl
  # 创建密钥存放目录（用mkdir -p避免目录已存在时报错）
  RUN mkdir -p /etc/nginx/ssl
  # 为本地域名生成密钥
  RUN openssl genrsa -out "/etc/nginx/ssl/${LOCAL_DOMAIN}.key" 2048 \
  && openssl req -new -key "/etc/nginx/ssl/${LOCAL_DOMAIN}.key" -out "/etc/nginx/ssl/${LOCAL_DOMAIN}.csr" -subj "/CN=${LOCAL_DOMAIN}/O=YOURCOMPANYNAME/C=UK" \
  && openssl x509 -req -days 365 -in "/etc/nginx/ssl/${LOCAL_DOMAIN}.csr" -signkey "/etc/nginx/ssl/${LOCAL_DOMAIN}.key" -out "/etc/nginx/ssl/${LOCAL_DOMAIN}.crt"
  

  然后构建时传递参数：

  docker-compose build --force-rm --no-cache --build-arg LOCAL_DOMAIN=mysite.local nginx
  

构建完成后，临时启动容器验证文件是否存在：

docker run --rm <你的nginx镜像名称> ls -l /etc/nginx/ssl/

如果看不到mysite.local.crt和mysite.local.key，说明openssl命令执行失败，可以在Dockerfile里加set -x调试：

RUN set -x \
    && openssl genrsa -out "/etc/nginx/ssl/${LOCAL_DOMAIN}.key" 2048 \
    && ... # 后面的openssl命令

这样构建时会输出详细执行日志，方便定位哪里出错。

2. 检查Nginx配置文件里的证书路径是否正确 #

你的配置里用了{CERTIFICATE_LOCATION}和{KEY_LOCATION}占位符，要确保这些已经替换成实际的证书路径：

ssl_certificate /etc/nginx/ssl/mysite.local.crt;
ssl_certificate_key /etc/nginx/ssl/mysite.local.key;

如果是用环境变量动态替换，要确保容器启动时这些变量被正确注入（比如在docker-compose.yml里用env_file或environment配置），但如果是构建时生成的证书，直接硬编码路径会更可靠，避免变量替换失败。

3. 排查目录挂载导致的文件覆盖问题 #

检查你的docker-compose.yml里，有没有把/etc/nginx/ssl目录挂载到本地主机？比如类似这样的配置：

volumes:
  - ./local-ssl:/etc/nginx/ssl

如果有，那构建时生成在容器里的证书会被本地的local-ssl目录覆盖，如果本地目录里没有证书，容器里自然找不到。解决方法：

• 去掉这个挂载（如果不需要本地修改证书）；
• 把证书生成到本地目录，然后挂载进去；
• 或者只挂载单个证书文件，而不是整个目录。

4. 确保证书文件权限正确 #

Nginx运行的用户（通常是nginx用户）需要有读取证书文件的权限，在Dockerfile里添加权限设置：

RUN chmod 644 /etc/nginx/ssl/* \
    && chown nginx:nginx /etc/nginx/ssl/ -R

这样可以确保Nginx进程能正常读取证书文件。

按照上面的步骤排查，应该能解决证书找不到的问题。

内容的提问来源于stack exchange，提问作者Swim89