# github自动申请域名证书，加密推送到公开库以及自动部署等

# 自动申请

# 准备

1、两个github仓库 1个私有库存放自动脚本，另外一个公开仓库存放加密的证书压缩包公开就好，可以开pages 或者套cdn 默认分支为main

2、申请域名证书的域名dns服务器的api，我这里都是用dnspods为例

3、一对ssh公私钥。公钥匙要配置到公开仓库的Deploy keys，私玥部署到私有库的Secret

4、一个16位以上足够复杂的密码（zip包可以穷举，所以务必要高强度的密码）

5、少许linux基础知识

# 配置加密信息

# 配置公私玥

公开库的在仓库的 Settings 中Deploy keys添加填写 ssh公钥，勾选上 Allow write access 名字随意

私钥部署到私有库的Secret 名称为 MYGITHUBKEY

# dns api

在仓库的 Settings 中添加 Secret，创建 DNSAPI 填写上文获取的 API KEY 格式如下，具体格式查看 acme.sh 的文档

1
2
3
4
export DP_Id="214234234"
export DP_Key="XXXXXXXXXX"
export CF_Token="XXXXXXXXXXXXXX"
export CF_Account_ID="XXXXXXXXXXXX"

# 压缩包密码

再创建一个 ZIPPASSWORD 输入压缩包解压密码，一定必须要超级高强度的密码。比如 16位以上包含数字字母特殊符号汉字

# 配置github actions

在私有仓库中创建 .github/workflows/AutoACME.yml 配置文件,参考复制粘贴如下.

cron 是 UTC时间每月26日下午17点7分自动执行完整内容参考：https://github.com/joyanhui/file.leiyanhui.com/blob/main/github-actions/%E8%87%AA%E5%8A%A8%E7%94%B3%E8%AF%B7%E8%AF%81%E4%B9%A6%E5%B9%B6%E6%8E%A8%E9%80%81%E5%88%B0%E5%85%AC%E5%BC%80%E4%BB%93%E5%BA%93.yml

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
name: Auto ACME

on:
  workflow_dispatch:
  schedule:
    - cron: "7 17 20 * *"
  watch:
    types: [started]

env:
    ACME: /home/runner/.acme.sh/acme.sh
    PUBHUB: /你的用户名/仓库地址
    DNSAPI: ${{ secrets.DNSAPI }}
    ZIPPASSWORD: ${{ secrets.ZIPPASSWORD }}
    MYGITHUBKEY: ${{ secrets.MYGITHUBKEY }}
    EMAIL: 你的邮箱地址@qq.com
    TZ: Asia/Shanghai

jobs:
  build:
    runs-on: ubuntu-latest
    if: github.event.repository.owner.id == github.event.sender.id
    steps:
    - name: Checkout
      uses: actions/checkout@v2
      with:
        ref: main
        github_token: ${{ secrets.GITHUB_TOKEN }}
    - name: 安装和初始化acme.sh
      run: |
        curl  https://get.acme.sh | sh
        echo "$DNSAPI" >> /home/runner/.acme.sh/account.conf
        $ACME  --register-account -m $EMAIL 
    - name: 开始获取证书
      run: |
        mkdir -p ./ssl
        #如果要处理多个域名，复制后面三行即可 默认使用zerossl的证书 其他参数参考acme.sh文档
        mydomian=你的域名.com  
        $ACME --issue  --dns dns_dp -d ${mydomian} -d *.${mydomian} 
        $ACME --installcert -d ${mydomian} --key-file ./ssl/${mydomian}.key --fullchain-file ./ssl/${mydomian}.cer

    - name: 带密码打包证书
      run: |
        zip -r acme.zip /home/runner/.acme.sh -P $ZIPPASSWORD
        zip -r ssl.zip ssl -P $ZIPPASSWORD
    - name: 提交加密后的证书到公开库
      run: |
        mkdir -p ~/.ssh/
        echo "$MYGITHUBKEY" > ~/.ssh/id_rsa
        chmod 600 ~/.ssh/id_rsa
        ssh-keyscan github.com >> ~/.ssh/known_hosts
        rm -rf .git* && rm -rf README.md
        echo "处理公开库的readme文件"
        wget https://raw.githubusercontent.com/$PUBHUB/main/README.md
        echo -e "\n证书最后更新： $(date '+%Y-%m-%d %H:%M:%S')">>README.md
        git init
        git config --global user.name "githubactions bot"
        git config --global user.email "$ACME"
        git add ./ssl.zip  ./README.md ./acme.zip 
        git commit -m "证书自动更新 on $(date '+%Y-%m-%d %H:%M:%S')"
        git remote add origin git@github.com:$PUBHUB.git
        git remote -v
        git push origin master:main -f -q

‍

客户端使用 wget 后 7z -P 密码，然后 nginx -s reload即可

自动更新参考：https://dev.leiyanhui.com/web/auto-updatessl-form-github

自动部署到国内cdn 后续处理