FrankenPHP只映射高位端口会影响证书验证吗-php教程-PHP中文网

只映射高位端口（如8443）必然导致let’s encrypt acme验证失败，因http-01挑战强制使用80端口、tls-alpn-01强制使用443端口；若需高位https，必须禁用自动https（caddy_auto_https=off），手动挂载证书并显式配置tls路径，同时确保端口映射、caddyfile、安全组和udp支持全部对齐。

frankenphp只映射高位端口会影响证书验证吗

只映射高位端口（如 8443）会导致 Let’s Encrypt ACME 验证失败

会，而且几乎必然失败。FrankenPHP 内置的 Caddy 默认依赖标准端口完成证书申请流程，80 和 443 不是“建议开放”，而是 HTTP-01 和 TLS-ALPN-01 验证的硬性要求——哪怕你只想用 8443 提供服务，Caddy 仍会主动尝试监听并响应这两个端口上的挑战请求。

Caddy 的 ACME 客户端默认向 http://example.com/.well-known/acme-challenge/... 发起 HTTP-01 请求，目标端口固定为 80；它不会因你映射了 8443:443 就自动改用 8443
如果你只开放了 8443，但没放行宿主机的 80/tcp（防火墙、云安全组、Docker 网络层），ACME 日志里会出现 acme: error: 400 :: urn:ietf:params:acme:error:connection 或超时
即使你手动指定 CADDY_AUTO_HTTPS=off 关闭自动 HTTPS，只要 SERVER_NAME 是域名（非 :80 或 localhost），Caddy 仍可能尝试监听 :443 并报错 listen tcp :443: bind: permission denied（尤其在非 root 容器中）

想用高位端口又需要证书？必须跳过 ACME，手动挂载

唯一可行路径是彻底禁用自动申请，改用已有证书文件，并确保 Caddy 显式加载它们——否则 Caddy 启动后发现没有可用证书，会拒绝绑定 HTTPS 端口，或 fallback 到自签名（浏览器直接拦截）。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

设置环境变量：CADDY_AUTO_HTTPS=off，同时确保 SERVER_NAME 是有效域名（如 example.com），否则 Caddy 不会加载 TLS 配置块
挂载证书到容器内固定路径，例如：-v ./certs/fullchain.pem:/data/certificates/example.com.crt:ro 和 -v ./certs/privkey.pem:/data/certificates/example.com.key:ro
在 Caddyfile 中显式声明：https://example.com { tls /data/certificates/example.com.crt /data/certificates/example.com.key }
证书文件权限必须为 600（-rw-------），否则 Caddy 拒绝读取；可加 chmod 600 ./certs/*.pem 在启动前执行

高位端口 + HTTP/3 会额外暴露 UDP 映射陷阱

如果你还启用了 HTTP/3（默认开启），而只映射了 8443:443/tcp 却漏掉 8443:443/udp，HTTP/3 会静默失效——浏览器 DevTools 看不到 h3，curl --http3 报错，但 HTTPS 本身仍能用。这个错误极难排查，因为 TCP 层一切正常。

正确写法是同时映射：-p 8443:443/tcp -p 8443:443/udp；注意 /tcp 和 /udp 必须分开写，不能合并
云厂商安全组（阿里云/腾讯云）必须单独添加一条 8443/udp 入方向规则；很多控制台默认只开 TCP，UDP 需手动勾选协议类型
本地测试时，ss -tuln | grep :8443 应同时看到 tcp 和 udp 行；缺一不可

SERVER_NAME=:8443 这种写法无效

别试图用 SERVER_NAME=:8443 让 Caddy 监听高位端口并启用 HTTPS——Caddy 不识别带端口的主机名格式，它会忽略该值，退回到默认行为（监听 :443 或 :8080），导致端口不匹配、证书加载失败或连接拒绝。

真正生效的 SERVER_NAME 值只有两类：:80（强制纯 HTTP）、example.com（启用 HTTPS+ACME 或证书加载）
若要用高位端口提供 HTTPS，必须配合 -listen 0.0.0.0:8443 参数透传给 FrankenPHP 二进制（需 -- 分隔），且确保 CADDY_AUTO_HTTPS=off + 手动证书挂载
监听地址和证书路径必须严格一致：如果 -listen 0.0.0.0:8443，Caddyfile 中的 server 块也得写 https://example.com:8443 { ... }，否则匹配失败，返回 404 或 400