Docker + Nginx + HTTPS 上线与续期排障包：从问题定位到结果验收

这个问题为什么经常做错

本地服务正常，上线后出现 502、证书过期、端口冲突或容器重启后不可用。

很多项目失败并非缺少更复杂的算法，而是输入口径、验证方式、版本环境和验收标准没有在开始前写清楚。下面先用一条最小闭环完成验证，再决定是否扩大投入。

一条可复现的解决路径

1. 第 1 步：先让应用仅监听本机端口。完成后立即保存输入、配置和输出摘要，不要等到最后再补记录。
2. 第 2 步：配置 Nginx 反向代理。完成后立即保存输入、配置和输出摘要，不要等到最后再补记录。
3. 第 3 步：签发证书并验证完整链。完成后立即保存输入、配置和输出摘要，不要等到最后再补记录。
4. 第 4 步：模拟续期并检查定时任务环境。完成后立即保存输入、配置和输出摘要，不要等到最后再补记录。
5. 第 5 步：发布前备份并保留回滚版本。完成后立即保存输入、配置和输出摘要，不要等到最后再补记录。

开始前先准备这四样东西

• 一份只读的原始输入或最小测试样例
• 当前运行环境、依赖版本和系统信息
• 你真正关心的结果指标与容许误差
• 失败时停止、回滚和人工复核的条件

高频错误与修正

cron 的 PATH 往往比交互 shell 少

遇到这一情况时，先缩小到能人工核验的样例，打印中间结果，再逐步恢复完整数据。不要只通过调整参数掩盖输入或定义错误。

容器端口与宿主端口不要混淆

遇到这一情况时，先缩小到能人工核验的样例，打印中间结果，再逐步恢复完整数据。不要只通过调整参数掩盖输入或定义错误。

证书续期成功不等于 Nginx 已重载

遇到这一情况时，先缩小到能人工核验的样例，打印中间结果，再逐步恢复完整数据。不要只通过调整参数掩盖输入或定义错误。

如何判断已经完成

至少满足以下条件再宣称任务完成：

• HTTP 正确跳转 HTTPS
• TLS 证书链与域名匹配
• 健康检查返回 200
• 续期 dry-run 成功
• 回滚命令已演练

此外，还应让另一台机器或一个全新目录按照 README 从零运行一次。只有“结果可重现、错误可定位、输出可解释”，才算形成可交付成果。

需要完整模板时怎么办

按检查表完成反向代理、健康检查、证书续期验证、日志定位和可回滚发布。对应的完整资料包提供可修改模板、专项检查表、验收标准与官方来源说明。只需要理解思路时，本文已经足够；需要节省搭建时间、直接在样例上验证时，再考虑购买。

官方资料入口

• Dockerfile 官方概览
• Nginx 反向代理
• Certbot 文档

本文根据公开官方资料独立整理，不包含第三方付费教程、论文全文或受限数据集。工具版本会变化，实际使用时请再次核对官方当前文档。