如何解决自动化续期期间80端口重定向干扰验证文件的暗坑-Nginx-PHP中文网

必须排除.well-known目录的HTTPS重定向，因其会干扰Let’s Encrypt的HTTP-01验证；应在Nginx 80端口server块中用if+set变量精准控制跳转开关，或显式配置location ^~ /.well-known/acme-challenge/放行。

如何解决自动化续期期间80端口重定向干扰验证文件的暗坑

80端口重定向是自动化续期中最隐蔽也最常被忽略的问题之一。它不会报错，也不会拒绝连接，而是悄悄把 Let’s Encrypt 的验证请求（http://域名/.well-known/acme-challenge/xxx）301 或 302 重定向到 HTTPS 或其他路径，导致 ACME 服务收不到预期的 challenge 响应，最终判定验证失败。

检查是否真正在发生重定向

别只看浏览器访问首页有没有跳转——要专门测试验证路径：

在服务器本地执行：curl -I http://yourdomain.com/.well-known/acme-challenge/test，观察返回状态码。若出现 301 Moved Permanently 或 302 Found，就已中招
用公网机器（如另一台云服务器）同样测试，排除本地 hosts 或缓存干扰
对比 curl -I http://yourdomain.com/ 和 curl -I http://yourdomain.com/.well-known/ 的响应头，确认重定向是否针对整个域名或特定路径

常见重定向来源及关闭方式

重定向往往来自多层配置叠加，需逐层排查：

Nginx 主配置或全局规则：检查 /www/server/nginx/conf/nginx.conf 或 /etc/nginx/nginx.conf 中是否存在 return 301 https://$host$request_uri; 类规则，尤其注意是否写在 server { listen 80; ... } 块顶部，未加 location 限定
站点配置中的强制跳转：进入宝塔 → 网站 → 设置 → 配置文件，查找 if ($scheme = http) { return 301 https://$host$request_uri; } 或类似 rewrite，把它移到 location / 外、但用 location ^~ /.well-known/ 显式放行
伪静态规则误伤：宝塔「伪静态」选项卡里若启用了 WordPress、ThinkPHP 等模板，部分模板自带全站 HTTP→HTTPS 跳转，需手动删掉或注释掉相关行
CDN 层自动 HTTPS：Cloudflare 的 “Always Use HTTPS”、阿里云 CDN 的“强制跳转 HTTPS”功能，会拦截并重写所有 HTTP 请求，必须临时关闭

安全放行验证路径的推荐写法

不建议关掉全部跳转，而是精准豁免 .well-known 路径。在站点 Nginx 配置中加入以下标准段（放在 server 块内、其他 rewrite 之前）：

location ^~ /.well-known/acme-challenge/ {
  default_type "text/plain";
  root /www/wwwroot/your-site;
  # 不做任何重定向，不走 proxy_pass，不触发 rewrite
}

注意：root 必须指向你站点实际的根目录（不是 Nginx 默认 html），且确保该路径下能真实生成 .well-known/acme-challenge/ 文件（可手动建个 test.txt 验证是否可访问）。

验证通过后再恢复跳转的实操节奏

续签不是一锤子买卖，而是有节奏的操作：

先停用所有层级的 HTTP→HTTPS 跳转（Nginx、CDN、伪静态）
执行一次强制续签（宝塔点「续签」或终端运行 acme.sh --renew -d yourdomain.com）
成功后立即检查证书文件更新时间：ls -l /www/server/panel/vhost/cert/yourdomain.com/
确认新证书已写入，再逐层恢复跳转配置，并重启 Nginx（bt 7）
最后用 curl -I http://yourdomain.com/ 确认跳转恢复，同时再次测试 /.well-known/ 返回 404（表示路径存在但无文件，属正常）