部署实战（三）：ICP备案通过后，从HTTPS证书签发到微信小程序域名配置-北京尧图网络

部署实战系列部署实战一2核2G轻量服务器 Docker 部署 Java 全栈及小程序上线避坑指南部署实战一2核2G轻量服务器Docker部署Java全栈及小程序上线避坑指南-CSDN博客部署实战二为项目上线做准备——阿里云域名购买、备案与 HTTPS 配置避坑指南部署实战二为项目上线做准备——阿里云域名购买、备案与HTTPS配置避坑指南-CSDN博客前言在上一篇博客中我记录了域名购买、ICP备案提交和免费SSL证书申请的流程。当时备案还在管局审核中。现在备案已经正式通过了这篇博客接着上一篇的进度完成备案之后的几个关键步骤用 acme.sh 自动签发 SSL 证书、配置 Nginx 的 HTTPS 反向代理、修改 docker-compose 暴露 443 端口以及最终在微信公众平台完成服务器域名的配置。如果你也在等待备案或者刚刚拿到备案号这篇博客可以直接照着操作。一、为什么不用阿里云免费证书改用 acme.sh上一篇里我申请了阿里云免费 SSL 证书但有一个绕不开的问题免费证书有效期只有 90 天而且不支持官方自动续期和自动部署。一年需要手动申请、下载、上传、重启服务四次忘记一次证书就会过期小程序直接白屏报错。acme.sh 是一个纯 Shell 写的 ACME 客户端零依赖只需要 POSIX 兼容的 Shell 和 curl/wget 就能运行。它内置了阿里云、腾讯云、Cloudflare 等数十家 DNS 服务商的 API 支持可以做到全自动签发、自动续期、自动部署到 Nginx配置一次之后基本不用再操心。二、安装 acme.shSSH 连接到服务器执行安装命令# 从官方脚本安装 acme.sh并指定邮箱用于 CA 机构通知 # 安装脚本会自动在 ~/.acme.sh/ 下创建工作目录 curl https://get.acme.sh | sh -s emailyour_emailexample.com # 重新加载 Shell 配置使 acme.sh 命令别名立即生效 source ~/.bashrc没有成功。这是一个典型的网络连接被重置的报错。虽然第一行看到100的进度条但这只是curl尝试去连接服务器下载了一点点元数据或者被劫持返回的假页面只有 1032 字节太小了正常脚本不止这么点紧接着就爆出了curl: (35) Recv failure: Connection reset by peer表示连接被强行掐断了。失败打印内容逐行解释% Total % Received % Xferd Average Speed Time ...这是curl下载文件的进度条面板。Dload 1205代表当时下载速度大概只有 1.2 KB/s极慢。Time Spent 0:00:01说明刚连上 1 秒就断了。curl: (35) Recv failure: Connection reset by peer错误码35是curl的 SSL/TLS 握手错误。Connection reset by peer意思是“连接被对端重置”。因为get.acme.sh这个域名最终会重定向到 GitHub 的服务器上。国内服务器访问 GitHub 的 Raw 资源经常会被干扰或墙掉导致连接直接被掐断。# source ~/.bashrc因为前面的curl失败了管道符|后面的sh根本没拿到脚本内容所以什么都没安装上。你紧接着执行source ~/.bashrc是不会有任何效果的。解决方案使用国内镜像安装既然官方脚本连不上我们可以用国内 Gitee 的镜像来安装。在服务器上执行以下两行命令注意把邮箱换成你自己的# 1. 从 Gitee 镜像下载 acme.sh 脚本到本地并赋予执行权限 curl https://gitee.com/neilpang/acme.sh/raw/master/acme.sh -o acme.sh chmod x acme.sh # 2. 运行本地脚本进行安装并指定邮箱 ./acme.sh --install -m your_emailexample.com报错现象下载后执行提示line 1: a: No such file or directory原因使用curl下载 Gitee 上的 raw 文件时如果没有加-L参数跟随重定向可能会下载到一个只有几百字节的 HTML 拦截页面或重定向提示。真实的acme.sh脚本有 200 多 KB。验证方法执行ll acme.sh如果文件大小只有几百字节绝对是下载错了。解决方案删除错误文件rm -f acme.sh使用wget重新下载wget默认跟随重定向wget https://gitee.com/neilpang/acme.sh/raw/master/acme.sh赋予执行权限并安装chmod x acme.sh ./acme.sh --install -m your_emailexample.com安装成功了。虽然安装好了但根据提示现在直接敲acme.sh可能会找不到命令。你需要刷新一下环境变量source ~/.bashrc然后验证一下acme.sh --version # 如果输出 v3.x.x 的版本号就说明一切就绪ok已经下载安装完成。安装完成后acme.sh 会自动注册一条cron 定时任务每天凌晨执行一次acme.sh --cron检查所有已签发证书的剩余有效期。当剩余天数 ≤ 30 天时自动触发续期流程。如果你想手动验证定时任务是否存在可以执行# 查看当前用户的 cron 任务列表应该能看到 acme.sh 相关的条目 crontab -l | grep acme你会看到 acme.sh 已经自动向系统注册了一条定时任务24 4,10,16,22 * * * /root/.acme.sh/acme.sh --cron --home /root/.acme.sh /dev/null参数解析24 4,10,16,22 * * *表示在每天的4:24、10:24、16:24、22:24各执行一次每天检查 4 次。--cronacme.sh 的智能检查机制。它不会每次都暴力重新签发而是检查现有证书的剩余有效期只有不足 30 天时才会真正触发续期流程。--home /root/.acme.sh告诉 acme.sh 它的工作目录在哪。 /dev/null将正常的日志丢弃防止垃圾日志撑爆服务器磁盘对 2G/40G 小机器非常友好。一句话总结系统每天会在 4:24、10:24、16:24 和 22:24 自动醒来检查一下 SSL 证书是不是快过期了如果快过期了就在后台悄悄续上。三、配置阿里云 RAM 子账号不要用主账号 AccessKeyacme.sh 需要通过阿里云 DNS API 自动添加 TXT 验证记录来完成域名所有权验证。安全起见不要直接使用主账号的 AccessKey创建一个只拥有 DNS 权限的 RAM 子账号。3.1 创建 RAM 子账号登录阿里云控制台 →访问控制 RAM→ 用户 → 创建用户1.勾选“使用永久 AccessKey 访问”。这确保了脚本能通过固定的密钥长期自动运行。2. 用户创建成功后默认没有任何权限。你需要为其授予管理云解析DNS的权限。建议遵循最小权限原则而不是直接授予过大的AliyunDNSFullAccess策略。1在 RAM 控制台进入权限管理-权限策略点击创建权限策略。2选择脚本编辑输入以下仅包含操作 DNS 记录必需权限的策略内容{ Version: 1, Statement: [ { Effect: Allow, Action: [ alidns:DescribeDomainRecords, alidns:AddDomainRecord, alidns:DeleteDomainRecord ], Resource: * } ] }3保存策略例如命名为AcmeDnsChallengePolicy然后回到你刚创建的acmesh用户在权限管理页签点击添加权限选择自定义的策略进行授权。3.授权完成后去用户凭证管理创建key保存AccessKey ID和AccessKey SecretSecret 只显示一次务必保存可下csv文件。3.2 在服务器上导出 API 凭据# 将阿里云 RAM 子账号的 AccessKey ID 导出为环境变量 export Ali_Key你的AccessKey_ID # 将阿里云 RAM 子账号的 AccessKey Secret 导出为环境变量 export Ali_Secret你的AccessKey_Secret这两个环境变量只在当前 Shell 会话中有效。acme.sh 在签发和续期时会读取它们。为了保证服务器重启后仍然可用可以把这两行写入~/.bashrc或 acme.sh 的账户配置文件~/.acme.sh/account.conf中。推荐将环境变量写入acme.sh的配置文件它会在每次执行时自动加载# 将凭证写入 acme.sh 的配置文件 echo export Ali_Key你的AccessKeyID ~/.acme.sh/account.conf echo export Ali_Secret你的AccessKeySecret ~/.acme.sh/account.conf推荐原因如下独立性acme.sh的自动续签是通过系统定时任务Cron在后台悄悄运行的。后台的 Cron 环境和你手动 SSH 登录的终端环境是隔离的。Cron 在运行定时任务时往往不会去读取~/.bashrc。如果你只写在~/.bashrc里自动续签大概率会报错找不到密钥。专款专用acme.sh内置了机制每次运行无论是手动还是定时都会优先读取~/.acme.sh/account.conf里的变量。写在这里最稳妥不会干扰系统其他的环境变量。四、签发 SSL 证书假设你的域名是yourdomain.com并且希望同时覆盖根域名和www子域名# 使用阿里云 DNS API 自动完成 DNS-01 验证并签发证书 # --issue表示签发新证书 # --dns dns_ali指定使用阿里云 DNS API 进行验证 # -d yourdomain.com主域名 # -d www.yourdomain.com附加域名SAN可重复多次 acme.sh --issue --dns dns_ali -d yourdomain.com -d www.yourdomain.com执行后acme.sh 会自动调用阿里云 DNS API在域名解析中临时添加一条_acme-challenge的 TXT 记录等待 CA 机构完成验证后自动清理。整个过程不需要你手动去解析控制台添加任何记录也不需要开放服务器的 80 端口——DNS-01 验证完全依赖 API 和 DNS 解析。如果你只需要根域名把-d www.yourdomain.com去掉即可。如果需要泛域名*.yourdomain.com可以加上-d *.yourdomain.com但泛域名必须走 DNS-01 验证正好符合我们当前的配置。一开始我使用了上述命令结果卡住了问题复现1.报错Cannot find DNS API hook for: dns_ali终端输出了一堆红字大意是找不到dns_ali这个 hook并且提示我手动去添加 TXT 记录[错误日志脱敏展示] Cannot find DNS API hook for: dns_ali You need to add the TXT record manually. Add the following TXT record: Domain: _acme-challenge.www.example.com ...原因与解决这是因为安装的acme.sh不完整或版本较旧dnsapi目录下缺失了dns_ali.sh脚本。解决办法直接执行升级命令它会自动补齐缺失的文件acme.sh --upgrade升级后检查一下文件是否存在ls ~/.acme.sh/dnsapi/dns_ali.sh能看到就说明修复了。2.卡在 ZeroSSL 注册再次执行时发现命令卡在Registering account很久没动静。查看日志发现[INFO] Using CA: https://acme.zerossl.com/v2/DV90acme.sh新版本默认使用 ZeroSSL 作为 CA。如果在申请时卡在Registering account建议直接切换到更稳定的 Lets Encrypt。acme.sh --set-default-ca --server letsencrypt3.通配符的覆盖范围与 Shell 转义覆盖不全*.example.com不包含顶级域名example.com。如果想让主域名也能用必须显式加进去。Shell 转义在 Linux 终端输入*如果不加引号可能会触发当前目录下的通配符展开导致报错。最终成功的完整命令经过上述调整最终成功的签发命令如下acme.sh --issue --dns dns_ali -d example.com -d www.example.com -d *.example.com这次会看到屏幕正常输出验证信息最后出现绿色的Cert success.。那两行红色的error code: 35和28是申请过程中的网络波动在验证域名时终端偶尔会跳出红色的curl error 35SSL连接错误或28超时。这是因为国内服务器连接 Lets Encrypt 接口偶尔不稳定。不用担心acme.sh自带重试机制只要你看到后续的日志里有绿色的Success和Cert success.就说明它已经自动重试成功了。现在终于成功了都说万事开头难谁能想到仅仅是为了实现一个‘自动续期’的小目标也有这么麻烦。五、将证书安装到 Nginx 并绑定自动续期签发成功后证书文件默认存放在~/.acme.sh/yourdomain.com/目录下。但不建议直接把 Nginx 指向这个目录因为 acme.sh 的内部目录结构可能会变化。正确做法是使用--install-cert把证书“安装”到你指定的 Nginx 目录并绑定续期后的重载命令。5.1 创建证书存放目录# 进入你的后端项目目录路径根据实际情况调整 cd /home/server/backend-server # 在项目内创建 Nginx 的 SSL 证书目录 mkdir -p docker/nginx/ssl5.2 安装证书并绑定 reloadcmd# 将签发的证书安装到指定的 Nginx 目录 acme.sh --install-cert -d yourdomain.com \ # 私钥文件的安装路径 --key-file /home/server/backend-server/docker/nginx/ssl/yourdomain.key \ # 完整证书链文件的安装路径包含服务器证书和中间 CA --fullchain-file /home/server/backend-server/docker/nginx/ssl/yourdomain.pem \ # 证书续期成功后自动执行的命令重启 Nginx 容器使新证书生效 --reloadcmd docker restart nginx这一步做了两件事把证书文件.key和.pem复制到你指定的 Nginx 目录。把--reloadcmd持久化保存到 acme.sh 的配置中。每次自动续期成功后acme.sh 会自动执行这条命令让 Nginx 容器加载新证书。关键理解reloadcmd必须挂在续期动作上而不是单独写一条定时任务去重启 Nginx。如果重载和续期是两条独立的定时任务会出现“重载跑了但证书还没换”的顺序问题。执行后输出重载成功那这一步就算完成了。六、 acme.sh 常用运维命令扩展除了签发和安装acme.sh 还提供了一组实用的管理命令日常运维中会用到6.1 查看所有已签发的证书# 列出 acme.sh 管理的所有域名及证书状态 # 包括域名、签发时间、到期时间、是否启用自动续期 acme.sh --list输出中的Renew列显示True表示该域名已开启自动续期NextRenewTime是下一次检查续期的时间。6.2 手动强制续期# 强制立即续期指定域名忽略“距到期还有 30 天”的限制 # 常用于测试续期流程是否正常或证书即将过期但 cron 尚未触发时 acme.sh --renew -d yourdomain.com --force--force表示强制续期不加则只在剩余有效期不足 30 天时才真正续期。6.3 续期所有证书# 手动触发所有已注册域名的续期检查 # 通常不需要手动执行cron 会自动完成适用于迁移服务器后的一次性检查 acme.sh --renew-all注意--renew-all默认不会继承单个域名绑定的reloadcmd。如果续期后需要重载服务建议对每个域名单独使用--renew -d 域名。6.4 吊销证书# 吊销指定域名的证书例如域名不再使用或私钥泄露需要紧急作废 acme.sh --revoke -d yourdomain.com吊销后该证书将不再被浏览器和客户端信任。如果只是暂停使用不需要吊销直接让证书自然过期即可。6.5 从续期列表中移除域名# 将域名从 acme.sh 的自动续期列表中删除 # 适用于域名已经转出、不再由本服务器管理的情况 acme.sh --remove -d yourdomain.com执行后cron 不再检查该域名的续期--list中也不再显示。注意这不会删除已经安装到 Nginx 目录的证书文件如果需要清理手动删除对应文件即可。6.6 升级 acme.sh 自身# 将 acme.sh 升级到最新版本获取最新的 CA 兼容性和 bug 修复 acme.sh --upgradeacme.sh 更新较频繁建议每隔几个月升级一次。6.7 查看证书文件的内部路径# 查看指定域名的证书、私钥、完整链在 ~/.acme.sh 下的实际存储路径 # 仅在调试或需要直接引用内部文件时使用正常情况下应通过 --install-cert 安装后的路径 acme.sh --info -d yourdomain.com七、修改 Nginx 配置启用 HTTPS 反向代理证书准备就绪后修改docker/nginx/nginx.conf# ---------- HTTP 强制跳转 HTTPS ---------- server { # 监听 80 端口HTTP listen 80; # 匹配根域名和 www 子域名 server_name yourdomain.com www.yourdomain.com; # 所有 HTTP 请求永久重定向到 HTTPS301 return 301 https://$host$request_uri; } # ---------- HTTPS 主配置 ---------- server { # 监听 443 端口并启用 SSL listen 443 ssl; # 同样匹配根域名和 www 子域名 server_name yourdomain.com www.yourdomain.com; # SSL 证书文件路径完整链包含服务器证书和中间 CA ssl_certificate /etc/nginx/ssl/yourdomain.pem; # SSL 私钥文件路径 ssl_certificate_key /etc/nginx/ssl/yourdomain.key; # 只启用 TLS 1.2 和 TLS 1.3禁用不安全的 TLS 1.0/1.1 # 微信小程序强制要求 TLS 1.2 及以上 ssl_protocols TLSv1.2 TLSv1.3; # 使用高强度加密套件排除匿名认证和 MD5 ssl_ciphers HIGH:!aNULL:!MD5; # 前端静态文件的根目录对应挂载到容器内的 dist 路径 root /usr/share/nginx/html; # 默认首页文件 index index.html; # 前端单页应用SPA路由支持先尝试文件再尝试目录最后回退到 index.html location / { try_files $uri $uri/ /index.html; } # API 反向代理到后端 Docker 容器 location /api/ { # 将 /api/ 前缀转发到 backend 服务的 8080 端口 # 末尾的斜杠表示去掉 /api/ 前缀后再转发 proxy_pass http://backend:8080/; # 传递原始 Host 头 proxy_set_header Host $host; # 传递客户端真实 IP proxy_set_header X-Real-IP $remote_addr; # 传递经过的代理链路 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; # 传递原始协议http/https proxy_set_header X-Forwarded-Proto $scheme; # 后端响应超时时间设为 60 秒 proxy_read_timeout 60s; } }关键点ssl_protocols明确只允许TLS 1.2 和 TLS 1.3。微信小程序强制要求后端 HTTPS 支持 TLS 1.2 及以上低于此版本的连接会被微信客户端直接拒绝。八、修改 docker-compose.yml暴露 443 端口并挂载证书目录在docker-compose.yml的nginx服务中做两处修改nginx: image: nginx:alpine # 使用轻量级 Nginx Alpine 镜像 container_name: nginx # 容器名称 restart: always # 服务器重启或容器异常退出后自动拉起 ports: - 80:80 # HTTP 端口映射宿主机 80 → 容器 80 - 443:443 # 新增HTTPS 端口映射宿主机 443 → 容器 443 volumes: - ./docker/nginx/nginx.conf:/etc/nginx/conf.d/default.conf # 挂载 Nginx 配置文件 - ./docker/nginx/ssl:/etc/nginx/ssl:ro # 新增挂载证书目录只读更安全 - ../mini-toolbox-admin-ui/dist:/usr/share/nginx/html # 挂载前端构建产物 dist depends_on: - backend # 确保后端容器先启动 networks: - app-network # 加入自定义 Docker 网络:ro表示只读挂载Nginx 容器只能读取证书文件不能修改安全加固的常见做法。修改完成后在服务器上执行# 重新构建并启动 Nginx 容器使新端口映射、证书挂载和配置生效 docker compose up -d --build nginxhttps成功访问。九、在微信公众平台配置服务器域名HTTPS 配置好之后最后一步是在微信公众平台把域名加入小程序的服务器域名白名单。没有这一步小程序里发起的网络请求会被微信客户端直接拦截。9.1 注册与认证问微信公众平台打开 mp.weixin.qq.com点击右上角“立即注册”。选择注册类型选择“小程序”。填写账号信息使用一个从未注册过微信公众号/小程序的邮箱设置登录密码完成验证码校验。邮箱激活登录你填写的邮箱查收微信团队发来的激活邮件点击邮件中的链接完成激活。主体信息登记这是关键一步。个人主体流程简单无需费用但无法开通微信支付且部分接口权限受限。企业/个体工商户主体需要准备营业执照并完成微信认证费用为300元/年。认证后可开通支付、获取更多接口权限。绑定管理员按提示填写管理员信息通常是你的微信号完成绑定按照步骤完成相关信息。注册并且完善相关信息后在“开发管理”页面获取小程序的AppID 和 AppSecret后续开发工具登录和接口调用都需要它。9.2 配置服务器域名这是小程序能够正常请求你后端接口的关键前置条件。进入位置小程序后台 → 管理 → 开发管理 → 开发设置 →服务器域名。配置时需要注意的硬性要求要求说明协议只支持HTTPSwx.request、uploadFile、downloadFile和WSSconnectSocket域名状态必须是已通过 ICP 备案的域名不能用 IP 地址或 localhost端口规则如果配置时带了端口如https://api.xxx.com:8080则只能向该端口发起请求如果不带端口则请求 URL 中不能包含任何端口包括 443证书要求必须使用受信任的 CA 证书自签证书无法正常使用需要配置的类型根据你的业务需求勾选request 合法域名普通 API 请求绝大多数小程序必填uploadFile 合法域名文件上传接口downloadFile 合法域名文件下载接口socket 合法域名WebSocket 长连接之前用acme.sh申请并配置好的域名只要域名已完成 ICP 备案就可以直接填入request 合法域名中使用。如果后端接口走的是默认 443 端口填写时不要带端口号。9.3 开发工具配置与代码上传下载微信开发者工具在微信官方文档页面下载稳定版。导入项目打开工具用你的小程序 AppID 登录导入项目代码如果你用的是 Uni-app 等框架先在框架内编译出微信小程序代码再导入编译产物。本地调试开发者工具中可以勾选“不校验合法域名”方便在域名配置生效前先行调试。上传代码调试完成后点击工具右上角的“上传”按钮填写版本号如1.0.0和项目备注确认上传。代码会进入小程序后台的“开发版本”中。9.4 提交审核登录小程序后台进入管理 → 版本管理找到刚上传的开发版本。建议先设为体验版点击“设为体验版”生成二维码用手机扫码先行测试核心功能是否正常避免带着明显缺陷提交审核。点击“提交审核”需要填写以下关键信息功能页面通常选择首页服务类目必须与小程序实际内容一致选错类目是常见驳回原因测试账号如果你的小程序需要登录才能使用务必提供测试账号密码隐私协议如果涉及获取手机号、定位等用户信息需在代码中声明隐私协议配置否则会被驳回审核时长常规审核通常在2—12 小时内完成医疗、金融等特殊行业可能需要1—3 天。9.5 发布上线审核通过后回到版本管理 → 审核版本点击“发布”。此时小程序才正式对线上用户开放。如果审核被驳回根据驳回原因修改代码后重新上传并提交审核即可覆盖原有的审核版本。全流程一览注册账号 → 邮箱激活 → 主体登记/认证 → 获取 AppID ↓ 配置服务器域名HTTPS ICP备案 ↓ 开发者工具导入项目 → 本地调试 → 上传代码 ↓ 后台设为体验版建议 → 提交审核 → 填写类目/测试账号/隐私协议 ↓ 审核通过 → 点击发布 → 正式上线总结至此从服务器证书签发到微信小程序域名配置的全流程已跑通。已经发布体验版在本机测试也都正常接口可以正常访问数据可以正常返回微信相关接口也可以调通。整个链路的核心在于确保域名已完成 ICP 备案且服务器已配置受信任的 HTTPS 证书同时在微信后台准确填写不带端口的合法域名。配置完成后后续的证书续签、文件替换以及 Nginx 容器重载均由acme.sh自动处理无需再人工干预。

部署实战（三）：ICP备案通过后，从HTTPS证书签发到微信小程序域名配置

相关推荐

前端教学5:视口 vs 文档 —— 滚动改变不了视口大小

微信小程序学习笔记｜案例 3.10 文件引用 include 标签

和小马一起学Python（五）——字符串编码转换、字符串运算符、字符串常见内建函数

更多资讯

AI主要应用领域全景解析：从感知到生成的技术落地地图

OpenClaw AI工具安全风险与企业防护实战指南

人工智能主要应用领域全景解析：NLP、CV、推荐系统与行业落地实践

人工智能主要应用领域系统梳理：从计算机视觉到生成式AI的落地实践

2026大模型选型指南：从通用底座到Agent应用的全维度拆解

AI生成代码仅需几秒，为何验证要半个月？嵌入式安全开发全解析

今日更新

基于YOLOv11的石油泄漏智能检测系统开发实践

AI行业变局：合规、Mod化与上下文管理的实战启示

计算机视觉与AI原生应用融合的技术实践

本周精选

防幻觉智能体架构：电源硬件设计中的大模型编排与工具化实践

OpenGL面试核心考点：渲染管线、矩阵变换与性能排查全解析

全国计算机二级C语言真题PDF高效刷题指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？