Docker环境下AWS上Spring Boot应用HTTPS请求异常咨询

你提到之前在AWS上运行的Spring Boot应用配置了HTTPS（用Let's Encrypt的PKCS12证书，监听8443端口），开放443端口后运行正常，但安装Docker和docker-compose重新部署后出现了访问异常（推测是只能走HTTP或HTTPS无法访问这类常见问题）。下面是我整理的排查和解决步骤，帮你定位问题：

1. 先检查Docker端口映射是否正确 #

Docker部署最容易踩的坑就是端口映射错误。你的应用在容器内部跑在8443端口，必须把主机的443端口（也就是AWS安全组开放的端口）映射到容器的8443端口。

如果用docker-compose，你的docker-compose.yml里得有这样的配置：

services:
  your-spring-app:
    image: your-built-spring-image
    ports:
      - "443:8443"  # 主机443 → 容器8443，对应你开放的端口
    volumes:
      # 把主机的证书目录挂载到容器里，不然容器找不到证书文件
      - /etc/letsencrypt/live/app.testapp.com/:/etc/letsencrypt/live/app.testapp.com/

另外，要确认主机上的443端口没被其他服务占用（比如之前可能用的Nginx），可以用netstat -tulpn | grep 443检查。

2. 验证容器内能不能读到证书文件 #

证书文件在主机的/etc/letsencrypt/目录，Docker容器默认是隔离的，必须通过volumes挂载进去才能访问。你可以进入容器检查文件是否存在：

docker exec -it <你的容器ID> ls /etc/letsencrypt/live/app.testapp.com/

如果找不到文件，要么是挂载路径写错了，要么是容器内的用户没有读取权限——可以给证书目录加个可读权限，或者在docker-compose里指定user: root（生产环境不建议，但可以先排查）。

3. 确认Spring Boot的SSL配置在容器内有效 #

容器内的路径要和你application.properties里配置的完全一致，别因为挂载路径变了导致配置失效。你的配置看起来没问题，但再核对一下：

server:
  port: 8443
  ssl:
    key-store: '/etc/letsencrypt/live/app.testapp.com/keystore.p12'
    key-store-password: 'password'
    keyStoreType: PKCS12
    keyAlias: tomcat
security:
  require-ssl: true

另外，生产环境建议用环境变量注入密码，别写死在配置文件里，比如：

server.ssl.key-store-password: ${SSL_KEYSTORE_PASSWORD}

然后在docker-compose里加上环境变量：

environment:
  - SSL_KEYSTORE_PASSWORD=your-password

4. 检查AWS安全组和主机防火墙 #

安装Docker后，主机的iptables规则可能被Docker修改了，得确认：

• AWS安全组的入站规则允许TCP 443端口的流量（来源可以是0.0.0.0/0或者你的IP范围）
• 主机的防火墙（比如ufw）有没有开放443端口，或者Docker的网络规则有没有拦截流量

可以先在主机本地测试：curl -v https://localhost:443，如果本地能访问但外部不行，基本就是安全组或者防火墙的问题。

5. 看应用日志找具体错误 #

如果前面的步骤都没问题，那就看Spring Boot的日志，里面肯定有线索。执行：

docker logs <你的容器ID>

常见的错误有：证书文件不存在、密码错误、keyAlias不匹配、证书过期等，日志里会明确告诉你哪里出问题了。

内容的提问来源于stack exchange，提问作者Henrique Schmitt