自动化为用户自有域名配置SSL证书及优化Nginx配置的技术方案咨询

听起来你现在的手动流程确实挺繁琐的——既要等用户提交域名，又要逐个添加Nginx server块，时间长了配置文件肯定会臃肿不堪。我来分享几个靠谱的方案，帮你实现全自动化域名检测+SSL配置，同时优化Nginx的配置结构：

一、实现自动化域名检测与SSL配置的核心思路 #

要省去用户提交域名的步骤，关键是自动识别指向你服务器的合法用户域名，这里分两步走：

1. 域名归属验证（避免处理无关域名） #

首先得确保检测到的域名确实属于你的平台用户，避免误处理随便指向你服务器的域名。最简单的方式是让用户在域名的TXT记录中添加一个唯一标识（比如用户在你平台的ID，格式类似verify=user_12345）。这样你的检测脚本可以通过查询TXT记录，确认域名的合法性。

2. 定时检测与自动配置脚本 #

写一个定时脚本（用Bash或Python都可以），定期扫描并完成以下操作：

• 查询域名的A/AAAA记录，确认是否指向你的服务器IP
• 验证TXT记录的合法性
• 如果域名合法且未配置SSL，自动调用Certbot获取证书
• 生成精简的Nginx配置片段并重新加载服务

下面是一个Bash脚本的示例：

#!/bin/bash
# 替换为你的服务器公网IP
SERVER_IP="192.168.1.100"
# 替换为你的平台管理员邮箱（用于Certbot通知）
ADMIN_EMAIL="admin@your-service.com"
# 替换为你的网站根目录（Certbot webroot模式需要）
WEBROOT_PATH="/var/www/your-service"
# 通用SSL配置文件路径（把重复的SSL参数抽出来单独存放）
SSL_PARAMS="/etc/nginx/conf.d/ssl-params.conf"
# 你的后端服务地址
BACKEND_ADDR="http://localhost:3000"

# 遍历用户域名列表（可以从你的数据库导出，或预登记的文件）
while read domain; do
    # 获取域名A记录的IP
    DOMAIN_IP=$(dig +short "$domain" A | head -n1)
    if [[ "$DOMAIN_IP" == "$SERVER_IP" ]]; then
        # 验证TXT记录中的用户标识
        VERIFY_CODE=$(dig +short "$domain" TXT | grep -o 'verify=user_[0-9]*')
        if [[ ! -z "$VERIFY_CODE" ]]; then
            # 检查证书是否已存在
            if [[ ! -d "/etc/letsencrypt/live/$domain" ]]; then
                # 用Certbot的webroot模式获取证书（无需停止Nginx）
                certbot certonly --webroot -w "$WEBROOT_PATH" -d "$domain" \
                    --non-interactive --agree-tos -m "$ADMIN_EMAIL"
                
                # 生成精简的Nginx配置片段（只保留域名相关的个性化内容）
                cat > "/etc/nginx/conf.d/$domain.conf" << EOF
server {
    listen 80;
    server_name $domain;
    return 301 https://\$server_name\$request_uri;
}
server {
    listen 443 ssl;
    server_name $domain;
    ssl_certificate /etc/letsencrypt/live/$domain/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/$domain/privkey.pem;
    # 引入通用SSL配置，避免重复代码
    include $SSL_PARAMS;
    # 代理到你的后端服务
    location / {
        proxy_pass $BACKEND_ADDR;
        proxy_set_header Host \$host;
        proxy_set_header X-Real-IP \$remote_addr;
        proxy_set_header X-Forwarded-For \$proxy_add_x_forwarded_for;
    }
}
EOF
                # 重新加载Nginx，应用新配置
                nginx -s reload
                echo "Successfully configured SSL for $domain"
            fi
        fi
    fi
done < "/path/to/your/user-domains.txt"

把这个脚本加到crontab里，比如每小时运行一次：

0 * * * * /path/to/your/domain-auto-config.sh >> /var/log/domain-config.log 2>&1

二、优化Nginx配置结构，避免臃肿 #

你提到现在每个域名都加一个完整的server块，确实会导致配置文件膨胀。可以通过以下方式优化：

1. 抽离通用配置到单独文件 #

把所有server块中重复的内容（比如SSL加密套件、会话缓存、超时设置等）放到一个单独的文件，比如ssl-params.conf，然后在每个域名的配置中用include引入，这样每个域名的配置文件就只有几行个性化内容。

示例ssl-params.conf内容：

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

2. 用OpenResty实现动态域名处理（更极致的优化） #

如果你的用户域名数量非常多，甚至上万个，上面的方式还是会有很多小配置文件。这时候可以用OpenResty（基于Nginx的Lua扩展）来实现动态配置：

• 只需要一个default_server监听80和443端口
• 用Lua脚本在请求时动态检测域名对应的证书是否存在
• 如果证书不存在，自动触发Certbot获取证书，然后重新加载证书缓存
• 所有域名共用一套代理配置，完全不需要每个域名写server块

这种方式几乎不会产生冗余配置，适合超大规模的域名托管场景。

三、额外注意事项 #

• Certbot的自动续期：Certbot默认会自动配置续期任务，你可以用certbot renew --dry-run测试是否正常工作
• 错误处理：脚本中最好加入失败重试逻辑，比如域名解析刚生效但DNS缓存还没更新的情况
• 权限控制：运行脚本的用户需要有执行Certbot、修改Nginx配置和重启Nginx的权限，建议用sudo或给特定用户赋权

备注：内容来源于stack exchange，提问作者Peak