直接用Docker构建带自签名证书的内部通信加密应用镜像需三步：生成适配域名的SAN证书→安全嵌入镜像→配置服务启用HTTPS/TLS；推荐OpenSSL或certs-maker工具生成证书，Nginx示例中需正确挂载证书并设置权限与配置。
直接用 Docker 构建带自签名证书的内部通信加密应用镜像，核心是三步：生成证书 → 放进镜像 → 配置服务启用 HTTPS 或 TLS。整个过程不依赖外部 CA，适合内网、测试、CI/CD 环境或私有 Registry 场景。
生成证书要适配运行时域名
证书的 Common Name（CN）或 Subject Alternative Name（SAN）必须匹配容器内服务被访问的域名（比如 app.internal、registry.lab 或 localhost）。否则客户端（如 curl、浏览器、其他容器）会拒绝连接。
推荐用 OpenSSL 一次性生成带 SAN 的证书，避免老式 CN 匹配失效问题：
- 创建配置文件
cert.conf：
[req]
req_extensions = req_ext
distinguished_name = dn
[dn]
C = CN
ST = Beijing
L = Beijing
O = MyOrg
[req_ext]
subjectAltName = @alt_names
[alt_names]
DNS.1 = app.internal
DNS.2 = *.internal
IP.1 = 127.0.0.1
- 执行命令生成密钥和证书：
openssl genrsa -out app.key 2048
openssl req -x509 -new -nodes -key app.key -sha256 -days 3650 -out app.crt -config cert.conf
Dockerfile 中嵌入证书并启用加密
不要在构建阶段暴露私钥到镜像历史层；推荐用多阶段构建或构建参数传入（更安全），或直接 COPY 到最终镜像的受控路径（如 /etc/tls/），并设最小权限。
以 Nginx 为例，Dockerfile 片段如下：
- 基础镜像拉取后，复制证书和配置：
FROM nginx:alpine
COPY app.crt /etc/nginx/ssl/app.crt
COPY app.key /etc/nginx/ssl/app.key
COPY nginx.conf /etc/nginx/nginx.conf
RUN chmod 600 /etc/nginx/ssl/app.key
对应 nginx.conf 中需开启 HTTPS server 块：
server {
listen 443 ssl;
ssl_certificate /etc/nginx/ssl/app.crt;
ssl_certificate_key /etc/nginx/ssl/app.key;
... # 其他配置
}
轻量替代方案：用 certs-maker 工具镜像动态生成
如果不想本地装 OpenSSL，或需 CI 流水线中按需生成证书，可用现成的极简工具镜像：soulteary/certs-maker（仅 3MB）。
例如，在 CI 脚本中一键生成并注入当前构建上下文：
- 运行命令生成证书到本地
./ssl目录：
docker run --rm -v $(pwd)/ssl:/ssl soulteary/certs-maker \
--CERT_DNS=app.internal,localhost
- 随后在 Dockerfile 中 COPY 这些文件即可，无需宿主机预装工具。
验证加密是否生效
容器启动后，用以下方式快速确认 HTTPS/TLS 正常工作：
- 进入容器内部测试：
curl -k https://localhost:443（-k 忽略证书校验，适用于自签名）
- 从宿主机访问（若端口映射为 8443）：
curl -k https://localhost:8443
- 检查证书细节（确认 SAN 包含目标域名）：
openssl s_client -connect localhost:8443 -servername app.internal 2>/dev/null | openssl x509 -noout -text | grep -A1 "Subject Alternative Name"
