188 lines
5.4 KiB
Plaintext
188 lines
5.4 KiB
Plaintext
cat >/usr/local/bin/issue_cert.sh <<'EOF'
|
||
#!/usr/bin/env bash
|
||
set -euo pipefail
|
||
|
||
# ===== 可调参数 =====
|
||
INSTALL_BASE="/data" # 证书安装目录根路径
|
||
ACME="${HOME}/.acme.sh/acme.sh" # acme.sh 路径（默认安装位置）
|
||
CA_SERVER="letsencrypt" # 默认使用 Let's Encrypt
|
||
KEY_NAME="key.pem"
|
||
FULLCHAIN_NAME="fullchain.pem"
|
||
|
||
# ===== 工具函数 =====
|
||
log() { printf "\n[%s] %s\n" "$(date '+%F %T')" "$*"; }
|
||
die() { printf "\n[ERROR] %s\n" "$*" >&2; exit 1; }
|
||
|
||
need_cmd() {
|
||
command -v "$1" >/dev/null 2>&1 || die "缺少命令: $1，请先安装。"
|
||
}
|
||
|
||
usage() {
|
||
cat <<USAGE
|
||
用法:
|
||
issue_cert.sh <domain> [--email you@example.com] [--force] [--wildcard]
|
||
|
||
说明:
|
||
- 自动尝试多种签发机制（Cloudflare DNS API -> standalone 80 -> 手动DNS保底）
|
||
- 证书安装到: ${INSTALL_BASE}/<domain>/${KEY_NAME} 与 ${FULLCHAIN_NAME}
|
||
- 自动续期: DNS API/standalone 都会被 acme.sh cron 管理（手动DNS无法自动续期）
|
||
|
||
参数:
|
||
--email 指定邮箱（首次安装 acme.sh 时用过也可不填）
|
||
--force 强制重签
|
||
--wildcard 同时签发通配符 *.domain（仅DNS方式支持；standalone不支持）
|
||
USAGE
|
||
}
|
||
|
||
# ===== 解析参数 =====
|
||
if [[ $# -lt 1 ]]; then usage; exit 1; fi
|
||
|
||
DOMAIN=""
|
||
EMAIL=""
|
||
FORCE="0"
|
||
WILDCARD="0"
|
||
|
||
DOMAIN="$1"; shift || true
|
||
while [[ $# -gt 0 ]]; do
|
||
case "$1" in
|
||
--email) EMAIL="${2:-}"; shift 2;;
|
||
--force) FORCE="1"; shift;;
|
||
--wildcard) WILDCARD="1"; shift;;
|
||
-h|--help) usage; exit 0;;
|
||
*) die "未知参数: $1";;
|
||
esac
|
||
done
|
||
|
||
# ===== 前置检查 =====
|
||
need_cmd curl
|
||
need_cmd mkdir
|
||
need_cmd awk
|
||
need_cmd sed
|
||
|
||
if [[ ! -x "$ACME" ]]; then
|
||
log "未发现 acme.sh，开始安装..."
|
||
if [[ -n "${EMAIL}" ]]; then
|
||
curl -fsSL https://get.acme.sh | sh -s email="${EMAIL}"
|
||
else
|
||
curl -fsSL https://get.acme.sh | sh
|
||
fi
|
||
fi
|
||
|
||
# 兼容 alias 未生效情况
|
||
if [[ ! -x "$ACME" ]]; then
|
||
die "acme.sh 安装后仍未找到: $ACME。请确认是否安装在 ${HOME}/.acme.sh/ 下。"
|
||
fi
|
||
|
||
# 设定默认 CA
|
||
log "设置默认 CA 为: ${CA_SERVER}"
|
||
"$ACME" --set-default-ca --server "${CA_SERVER}" >/dev/null
|
||
|
||
INSTALL_DIR="${INSTALL_BASE}/${DOMAIN}"
|
||
mkdir -p "${INSTALL_DIR}"
|
||
|
||
KEY_PATH="${INSTALL_DIR}/${KEY_NAME}"
|
||
FULLCHAIN_PATH="${INSTALL_DIR}/${FULLCHAIN_NAME}"
|
||
|
||
ISSUE_ARGS=(--issue -d "${DOMAIN}")
|
||
if [[ "${WILDCARD}" == "1" ]]; then
|
||
# 通配符只适用于 DNS 验证
|
||
ISSUE_ARGS=(--issue -d "${DOMAIN}" -d "*.${DOMAIN}")
|
||
fi
|
||
if [[ "${FORCE}" == "1" ]]; then
|
||
ISSUE_ARGS+=("--force")
|
||
fi
|
||
|
||
install_cert() {
|
||
log "安装证书到: ${INSTALL_DIR}"
|
||
"$ACME" --install-cert -d "${DOMAIN}" \
|
||
--key-file "${KEY_PATH}" \
|
||
--fullchain-file "${FULLCHAIN_PATH}" \
|
||
--reloadcmd "echo cert_installed_for_${DOMAIN}" >/dev/null
|
||
|
||
log "完成。证书文件："
|
||
ls -l "${KEY_PATH}" "${FULLCHAIN_PATH}" || true
|
||
|
||
if command -v openssl >/dev/null 2>&1; then
|
||
log "证书信息："
|
||
openssl x509 -in "${FULLCHAIN_PATH}" -noout -subject -issuer -dates || true
|
||
fi
|
||
}
|
||
|
||
try_cloudflare_dns() {
|
||
# 若 WILDCARD=1 必须 DNS，且 Cloudflare 是最稳之一
|
||
if [[ -n "${CF_Token:-}" ]]; then
|
||
log "检测到 CF_Token，尝试 Cloudflare DNS API（dns_cf）签发..."
|
||
"$ACME" "${ISSUE_ARGS[@]}" --dns dns_cf && return 0
|
||
log "Cloudflare DNS API 签发失败，将尝试其他方式。"
|
||
return 1
|
||
fi
|
||
return 1
|
||
}
|
||
|
||
try_standalone_80() {
|
||
if [[ "${WILDCARD}" == "1" ]]; then
|
||
log "通配符证书不支持 standalone 80 验证，跳过。"
|
||
return 1
|
||
fi
|
||
|
||
# 仅做基础检查：80 端口本地可监听（不等于公网可达，但能过滤一部分情况）
|
||
if command -v ss >/dev/null 2>&1; then
|
||
if ss -lnt 2>/dev/null | awk '{print $4}' | grep -qE '(:80$)|(\[::\]:80$)'; then
|
||
log "检测到本机已有服务占用 80 端口，standalone 可能失败（仍会尝试）。"
|
||
fi
|
||
fi
|
||
|
||
log "尝试 standalone 80（需要公网 80 可达）..."
|
||
"$ACME" "${ISSUE_ARGS[@]}" --standalone && return 0
|
||
log "standalone 80 签发失败。"
|
||
return 1
|
||
}
|
||
|
||
try_manual_dns() {
|
||
log "进入保底：手动 DNS TXT 验证（--dns）。"
|
||
log "注意：这种模式无法自动续期；续期时仍需要你手动添加 TXT。"
|
||
"$ACME" "${ISSUE_ARGS[@]}" --dns
|
||
log "上面输出了 TXT 记录，请去 DNS 面板添加后，等待生效。"
|
||
log "添加完成后，执行下面命令完成签发/续期："
|
||
echo " ${ACME} --renew -d ${DOMAIN} --force"
|
||
echo
|
||
log "当你确认 TXT 已生效后，也可以直接回车继续（脚本会尝试 renew）。"
|
||
read -r -p "按回车继续（或 Ctrl+C 退出）: " _
|
||
|
||
"$ACME" --renew -d "${DOMAIN}" --force
|
||
return 0
|
||
}
|
||
|
||
main() {
|
||
log "开始签发域名证书：${DOMAIN}"
|
||
log "安装目录：${INSTALL_DIR}"
|
||
|
||
# 1) Cloudflare DNS API（最稳）
|
||
if try_cloudflare_dns; then
|
||
install_cert
|
||
log "提示：DNS API 模式支持自动续期（acme.sh cronjob 已自动管理）。"
|
||
exit 0
|
||
fi
|
||
|
||
# 2) standalone 80
|
||
if try_standalone_80; then
|
||
install_cert
|
||
log "提示：standalone 模式支持自动续期，但续期时仍需要 80 可用且公网可达。"
|
||
exit 0
|
||
fi
|
||
|
||
# 3) 手动 DNS 保底
|
||
if try_manual_dns; then
|
||
install_cert
|
||
log "提示：手动 DNS 模式不支持自动续期。建议尽快切换到 DNS API（如 Cloudflare Token）。"
|
||
exit 0
|
||
fi
|
||
|
||
die "所有方式都失败了。建议使用：${ACME} --issue -d ${DOMAIN} --debug 2 查看详细日志。"
|
||
}
|
||
|
||
main
|
||
EOF
|
||
|
||
chmod +x /usr/local/bin/issue_cert.sh
|