直接设 SERVER_NAME=:8443 不行，因为 Caddy 默认不识别带端口的字符串为合法监听地址，需在 Caddyfile 中显式配置 https_port 8443 和 tls 路径，并确保端口映射、证书权限及浏览器协议前缀正确。
为什么直接设 SERVER_NAME=:8443 不行
因为 Caddy 默认不把带端口的字符串（如 :8443）识别为合法监听地址——它只接受纯域名或 :端口 形式，但前提是该端口必须配合 TLS 配置显式启用。单纯写 SERVER_NAME=:8443 会让 Caddy fallback 到 HTTP 模式并监听 :8443，但不会加载证书、不启用 HTTPS，浏览器访问会提示“不安全连接”或直接拒绝。
正确做法：用 Caddyfile 显式声明 HTTPS 监听 + TLS 路径
FrankenPHP 容器内 HTTPS 的开关不在环境变量，而在 Caddyfile。你需要挂载自定义配置，并明确指定监听地址、TLS 证书路径和协议版本：
-
docker run启动时通过-v $(pwd)/Caddyfile:/etc/caddy/Caddyfile挂载配置文件 - Caddyfile 内容示例（注意不是
yourdomain.com，而是:8443）：
{
servers {
https_port 8443
}
}
:8443 {
tls /app/certs/tls.crt /app/certs/tls.key
php_server
}
-
/app/certs/必须是容器内路径，且需提前把证书文件复制进镜像或通过 volume 挂载 - 不能省略
servers { https_port 8443 }全局块，否则 Caddy 仍默认监听:443 - 别用
automatic_https off—— 它只禁用自动申请，不解决手动证书加载问题
宿主机端口映射与防火墙要同步对齐
容器内监听 :8443，不代表外部能访问到。你得确保三件事同时成立：
- Docker 启动加
-p 8443:8443，不是-p 8443:443或其他错位映射 - 阿里云安全组放行 TCP 8443 端口（不是 443）
- 如果服务器启用了
firewalld，还得执行：firewall-cmd --permanent --add-port=8443/tcp并 reload - 浏览器访问必须用
https://your-ip:8443，不能漏掉https://前缀，否则会被当成 HTTP 请求而失败
非 root 用户运行时的权限坑
如果你的 FrankenPHP 镜像以 www-data 这类非 root 用户启动（如官方 frankenphp:1.2），它无法绑定特权端口，但 :8443 是合法的（≥1024）。不过仍要注意：
立即学习“PHP免费学习笔记（深入）”；
- 证书文件路径（如
/app/certs/）必须对运行用户可读，否则 Caddy 启动时报open /app/certs/tls.crt: permission denied - 不要试图在容器内用
chown www-data:www-data /app/certs，除非你确定镜像里有该用户；更稳妥的是启动时加--user root（仅调试），或改用USER www-data构建时就赋权 - 若用 Kubernetes，
containerPort: 8443必须和 Caddyfile 中的监听端口一致，且 Service 的targetPort要匹配（数字或 name）
真正卡住的往往不是配置逻辑，而是证书路径权限、端口映射错位、或者忘了浏览器强制加 https://。跑通一次后，后续换域名或证书只需改 Caddyfile 和挂载内容，不用动 Docker 命令。
