Lego项目Exoscale DNS Provider在通配符证书申请中的问题分析

问题背景

在Lego项目中，Exoscale DNS Provider在处理包含通配符域名和基础域名的证书申请时出现了一个技术问题。当用户同时申请*.domain.example和domain.example两个域名的证书时，DNS-01挑战会失败。

问题现象

正常情况下，ACME DNS-01挑战应该为两个域名分别创建TXT记录并成功验证。但实际运行中发现：

1. 系统尝试为两个域名创建TXT记录时，后创建的记录会覆盖前一个记录
2. 清理阶段无法正确删除创建的TXT记录
3. 日志中虽然显示清理操作，但实际上记录仍然存在

技术分析

根本原因

经过深入分析，发现问题的根源在于Exoscale DNS Provider的实现逻辑存在两个关键缺陷：

1. 记录创建逻辑：原始代码在处理相同名称的TXT记录时采用了更新而非追加的方式，导致后创建的记录会覆盖前一个记录。

2. 记录清理逻辑：findExistingRecordID函数在查找记录时只返回第一个匹配的TXT记录，无法处理多个同名记录的情况。

解决方案演进

开发团队经过多次讨论和测试，最终确定了以下解决方案：

1. 记录创建优化：修改代码逻辑，使其能够创建多个同名但不同值的TXT记录，而不是覆盖现有记录。

2. 清理逻辑改进：增强清理功能，确保能够准确识别和删除特定的TXT记录，避免误删其他记录。

技术细节

记录创建机制

在DNS-01挑战过程中，系统需要为每个域名创建特定的TXT记录。对于*.domain.example和domain.example，虽然它们解析到相同的_acme-challenge.domain.example记录名，但需要存储不同的验证值。

并发处理考虑

开发团队还考虑了多实例并发运行的情况。如果多个Lego实例同时处理相同域名的验证，原始的简单清理逻辑可能会导致错误删除。改进后的方案需要确保：

1. 每个实例只能删除自己创建的记录
2. 清理操作需要精确匹配记录值而不仅仅是记录名

验证结果

在修复版本4.17.4中测试发现：

1. 记录创建功能已正常工作，能够正确创建多个同名TXT记录
2. 但清理功能仍存在问题，创建的记录未被正确删除
3. 日志显示系统尝试清理，但实际记录仍然存在

后续优化方向

基于当前测试结果，建议进一步优化：

1. 完善清理逻辑，确保能够精确删除特定记录
2. 增强日志记录，帮助诊断清理失败的原因
3. 考虑添加记录生命周期管理机制

总结

Lego项目中Exoscale DNS Provider的这一案例展示了在实现DNS-01挑战时需要考虑的各种边界条件。特别是处理通配符域名和基础域名的组合时，需要特别注意记录创建和清理的精确性。这一问题的解决不仅提升了Exoscale Provider的可靠性，也为其他DNS Provider的实现提供了有价值的参考。