如何让Node.js服务无需以sudo运行即可读取指定目录下的证书文件

碰到过一模一样的问题，给你整理几个靠谱的步骤，既能让Node服务正常读取证书，又不会随便放开关键权限：

1. 先搞清楚证书文件的权限现状 #

首先得确认证书目录和文件当前的归属及权限，跑这个命令看看：

ls -l path/to/certificates/

一般Certbot生成的证书默认归属是root:root或者root:ssl-cert（不同系统可能有差异），这时候你的专属系统用户肯定没权限直接读。

2. 把Node服务用户加入证书所属组 #

假设证书的所属组是ssl-cert（如果上面命令看到是别的组，替换成实际组名），把你的系统用户加入这个组：

sudo usermod -aG ssl-cert your-node-system-user

⚠️ 注意：执行完这个命令后，要么让该用户重新登录，要么在当前终端跑newgrp ssl-cert，才能让组权限生效。

3. 调整证书文件和目录的权限 #

目录的755权限其实没问题（保证其他用户有执行权限，能进入目录），但证书文件本身需要给组添加读取权限：

# 给所有证书文件添加组读权限
sudo chmod g+r path/to/certificates/*.pem
# 如果目录本身的组执行权限不够，补一下
sudo chmod g+x path/to/certificates/

别用777！这会把证书权限放开给所有用户，太不安全了。

4. 验证权限是否生效 #

切换到你的专属系统用户，尝试读取证书文件，确认能正常访问：

su - your-node-system-user
cat path/to/certificates/fullchain.pem

如果能正常输出内容，说明权限配置没问题了。

5. 用正确的用户重启PM2服务 #

之前用sudo启动的PM2进程是跑在root权限下的，先删掉它：

sudo pm2 delete your-app-name

然后切换到你的专属系统用户，重新启动服务：

pm2 start your-main-script.js --name your-app-name

再跑pm2 list，就能看到进程是用你的系统用户运行的，而且不会再出现EACCESS错误了。

额外注意点：防止Certbot更新证书后权限失效 #

Certbot自动续期证书时，可能会重置文件权限，你可以加个续期后钩子来自动修复权限：

1. 在/etc/letsencrypt/renewal-hooks/post/目录下创建一个脚本文件，比如fix-cert-permissions.sh：

#!/bin/bash
chmod g+r /path/to/certificates/*.pem
chgrp ssl-cert /path/to/certificates/*.pem

2. 给脚本加执行权限：

sudo chmod +x /etc/letsencrypt/renewal-hooks/post/fix-cert-permissions.sh

这样每次Certbot更新证书后，都会自动把权限调整回我们需要的状态。

备注：内容来源于stack exchange，提问作者Hayden S.