解决acme.sh泛域名证书申请中通配符被替换的问题

在使用acme.sh工具申请泛域名SSL证书时，部分Linux系统环境下可能会出现一个特殊问题：通配符*被自动替换为all，导致生成的证书无法被浏览器识别。本文将详细分析该问题的成因并提供解决方案。

问题现象

当用户执行类似以下命令申请泛域名证书时：

acme.sh --issue --dns dns_ali -d *.example.com

系统会自动将*.example.com转换为all.example.com，这会导致：

1. 实际申请的证书主体为all.example.com而非*.example.com
2. 浏览器不会将all.example.com识别为有效的泛域名证书
3. 证书无法覆盖预期的所有子域名

问题原因

该问题主要出现在某些Linux发行版（如Ubuntu 22.04）的shell环境中，当命令行参数包含通配符*时，shell会尝试进行文件名扩展。由于没有匹配的文件，某些shell实现会将其替换为all。

解决方案

1. 使用引号包裹域名

最直接有效的解决方案是在域名参数两侧添加引号：

acme.sh --issue --dns dns_ali -d "*.example.com"

引号可以防止shell对*进行解释和扩展，确保acme.sh接收到原始的通配符参数。

2. 转义通配符

另一种方法是使用反斜杠对*进行转义：

acme.sh --issue --dns dns_ali -d \*.example.com

3. 检查shell环境

如果问题持续出现，可以检查当前shell的类型和版本：

echo $SHELL
echo $BASH_VERSION

考虑升级到较新的shell版本或更换shell类型（如从bash切换到zsh）。

最佳实践建议

1. 始终使用引号包裹特殊字符：不仅是*，其他可能被shell解释的特殊字符（如?、$等）都应使用引号包裹。

2. 验证参数传递：在执行命令前，可以通过简单的echo测试参数是否被正确传递：

   echo "*.example.com"
   

3. 检查acme.sh版本：虽然这不是版本问题，但保持acme.sh为最新版本总是有益的：

   acme.sh --upgrade
   

4. 证书验证：申请完成后，使用以下命令验证证书是否包含正确的域名：

   openssl x509 -in /path/to/cert.pem -noout -text | grep DNS
   

通过以上方法，可以确保acme.sh正确接收和处理泛域名请求，生成有效的通配符SSL证书。