直接挂载宿主机证书目录到nginx容器是最轻量可靠的https持久化方案，需挂载整个live目录（非单个文件）、开放o+r权限、通过--deploy-hook精准重载nginx -s reload。
直接挂载宿主机证书目录到 Nginx 容器内，是最轻量、最可靠的 HTTPS 持久化方案。关键不是“挂载完就完事”，而是路径对、权限通、重载准——证书更新后，Nginx 必须能立刻读到新内容并生效。
挂载整个 live 目录，别只挂单个文件
Let’s Encrypt 生成的证书在 /etc/letsencrypt/live/your-domain/ 下，里面是两个符号链接：fullchain.pem 和 privkey.pem。这些链接的目标会随续签动态变化。
- ❌ 错误做法：只挂载两个 .pem 文件（如
-v /etc/letsencrypt/live/example.com/fullchain.pem:/etc/nginx/ssl/fullchain.pem），续签后容器内仍指向旧目标 - ✅ 正确做法：挂载整个
live目录或其父级（如/etc/letsencrypt），确保符号链接及其目标文件一并可见 - 推荐加一层软链接统一入口：在宿主机执行
ln -sf /etc/letsencrypt/live/example.com /opt/nginx/ssl，然后挂载/opt/nginx/ssl
确保容器内 nginx 用户有读取权限
Nginx 容器默认以 UID 101（nginx 用户）运行，它必须能读取证书文件。宿主机上需开放其他用户（others）的读权限：
minimax-mcp-docker版（适配极空间）
下载
MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
- 执行
chmod -R o+r /etc/letsencrypt/live/example.com - SELinux 环境下还需补充
chcon -Rt svirt_sandbox_file_t /etc/letsencrypt - 验证方式：进入容器执行
ls -l /etc/nginx/ssl/，确认fullchain.pem和privkey.pem可读
容器启动时使用只读目录挂载
证书目录应以只读方式挂载，既安全又符合最佳实践：
- 启动命令示例（关键参数）：
docker run -d --name nginx \-v /opt/nginx/conf/nginx.conf:/etc/nginx/nginx.conf:ro \-v /opt/nginx/conf/conf.d:/etc/nginx/conf.d:ro \-v /opt/nginx/ssl:/etc/nginx/ssl:ro \-p 80:80 -p 443:443 nginx:alpine - Nginx 配置中必须写绝对路径：
ssl_certificate /etc/nginx/ssl/fullchain.pem;ssl_certificate_key /etc/nginx/ssl/privkey.pem; - 禁止使用
~或相对路径；挂载源路径（如/opt/nginx/ssl）也必须是绝对路径，否则 Docker 启动失败
证书更新后必须触发 Nginx 重载
BindMount 是实时同步的——宿主机证书一变，容器内文件立即更新。但 Nginx 不会自动 reload，必须主动通知：
- 最稳妥方式：在 Certbot 的
--deploy-hook中调用重载命令：certbot renew --deploy-hook "docker exec nginx nginx -s reload" - 不建议用
kill -HUP或重启容器，会导致连接中断 - 可配合健康检查验证：重载后执行
curl -I https://example.com，确认返回 200 且 TLS 握手正常
