acme.sh中EAB凭据在隐式创建账户时被忽略的问题分析

问题背景

在使用acme.sh工具进行证书签发时，当系统需要创建新的ACME账户时，如果通过--issue命令隐式创建账户，会导致外部账户绑定(EAB)凭据被忽略的问题。这一现象在用户使用--eab-kid和--eab-hmac-key参数时尤为明显。

技术细节分析

正常流程与问题流程对比

在acme.sh的正常工作流程中，当用户显式使用--register-account命令注册账户时，EAB凭据能够被正确处理。这是因为代码中明确调用了带有三个参数的_regAccount函数：

_regAccount "$_account_key_length" "$_eab_id" "$_eab_hmac_key"

然而，在隐式创建账户的情况下（即通过--issue命令触发账户创建），代码中调用的_regAccount函数仅传递了一个参数：

if ! _regAccount "$_accountkeylength"; then

这种不一致导致EAB凭据在隐式创建账户时被完全忽略，从而引发后续的证书签发失败。

问题根源

经过代码分析，问题主要存在于issue函数中。当检测到需要创建新账户时，该函数没有将命令行传入的EAB参数传递给账户注册函数。具体表现为：

1. 变量命名不一致：代码中EAB ID有时使用_eab_id，有时使用eab_kid，这种不一致性可能增加了维护难度
2. 参数传递不完整：隐式账户创建路径缺少必要的EAB参数传递

解决方案建议

临时解决方案

目前推荐的解决方法是采用两步操作：

1. 首先显式注册账户：

acme.sh --register-account --eab-kid "your_kid" --eab-hmac-key "your_hmac_key"

2. 然后再签发证书：

acme.sh --issue --domain example.com

长期修复建议

从代码层面，建议进行以下修复：

1. 统一变量命名，确保EAB ID使用一致的变量名
2. 修改issue函数中的_regAccount调用，确保传递所有必要参数：

if ! _regAccount "$_accountkeylength" "$_eab_kid" "$_eab_hmac_key"; then

3. 增加参数检查逻辑，当检测到EAB参数但无法使用时给出明确警告

最佳实践

对于需要使用EAB的用户，建议：

1. 始终先显式注册账户，再签发证书
2. 在自动化脚本中，将账户注册和证书签发分为两个独立步骤
3. 定期检查账户状态，特别是当ACME服务端策略变更时

总结