技术网

GitHub Actions 续签 ESA 证书

技术网 — Mon, 17 Aug 2026 00:00:00 GMT

说明：本文使用模型辅助整理与润色，但文中涉及的 GitHub Actions、Alibaba Cloud International ESA、Cloudflare DNS 配置、证书申请逻辑与实际签发结果均已核对并确认可行。

这次先从 GitHub Actions 开始。

该网站现在每天会运行一次名为 ESA certificate watch 的 Workflow。证书正常时，它检查完就退出；当证书缺失或进入续订窗口后，它会向 Alibaba Cloud International ESA 申请新的 Let’s Encrypt 证书，取得 DNS-01 验证值，再通过 Cloudflare API 写入 TXT。签发完成后，临时 _acme-challenge 记录也会被清掉。

最终维护的是同一张同时覆盖下面两个名称的边缘证书：

jsw.ac.cn
*.jsw.ac.cn

这样 jsw.ac.cn 根域与 www.jsw.ac.cn、blog.jsw.ac.cn、files.jsw.ac.cn 这类一级子域可以放在同一张证书里处理。

Action 本身怎么写

目前该网站实际使用的 Workflow 如下：

name: ESA certificate watch

on:
  schedule:
    - cron: "17 2 * * *"
  workflow_dispatch:

permissions:
  contents: read

concurrency:
  group: esa-certificate-watch
  cancel-in-progress: false

jobs:
  monitor-and-renew:
    runs-on: ubuntu-latest
    timeout-minutes: 15

    env:
      PYTHONUNBUFFERED: "1"
      ALIBABA_CLOUD_ACCESS_KEY_ID: ${{ secrets.ALIBABA_CLOUD_ACCESS_KEY_ID }}
      ALIBABA_CLOUD_ACCESS_KEY_SECRET: ${{ secrets.ALIBABA_CLOUD_ACCESS_KEY_SECRET }}
      CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}

      ESA_REGION_ID: ${{ vars.ESA_REGION_ID || 'ap-southeast-1' }}
      ESA_ENDPOINT: ${{ vars.ESA_ENDPOINT }}
      ESA_SITE_ID: ${{ vars.ESA_SITE_ID }}
      ESA_SITE_NAME: ${{ vars.ESA_SITE_NAME || 'jsw.ac.cn' }}
      ESA_DOMAINS: ${{ vars.ESA_DOMAINS || 'jsw.ac.cn,*.jsw.ac.cn' }}
      ESA_RENEW_BEFORE_DAYS: ${{ vars.ESA_RENEW_BEFORE_DAYS || '14' }}
      ESA_CERT_TYPE: ${{ vars.ESA_CERT_TYPE || 'lets_encrypt' }}
      ESA_ISSUANCE_WAIT_SECONDS: ${{ vars.ESA_ISSUANCE_WAIT_SECONDS || '300' }}

      CLOUDFLARE_ZONE_ID: ${{ vars.CLOUDFLARE_ZONE_ID }}
      CLOUDFLARE_ZONE_NAME: ${{ vars.CLOUDFLARE_ZONE_NAME || 'jsw.ac.cn' }}
      CLOUDFLARE_DCV_TTL: ${{ vars.CLOUDFLARE_DCV_TTL || '120' }}
      CLOUDFLARE_PURGE_CONFLICTING_ACME: ${{ vars.CLOUDFLARE_PURGE_CONFLICTING_ACME || 'true' }}
      CLOUDFLARE_CLEAN_AFTER_ISSUE: ${{ vars.CLOUDFLARE_CLEAN_AFTER_ISSUE || 'true' }}

    steps:
      - name: Checkout
        uses: actions/checkout@v4

      - name: Set up Python
        uses: actions/setup-python@v5
        with:
          python-version: "3.12"

      - name: Install Alibaba Cloud International ESA SDK
        run: python -m pip install --disable-pip-version-check alibabacloud_esa20240910

      - name: Monitor ESA certificate and reconcile Cloudflare DNS DCV
        run: python -u scripts/esa_certificate_watch.py

Workflow 本身很薄。GitHub Actions 主要负责四件事：定时启动、注入 Secret 与 Variable、准备 Python 环境、运行真正的续订脚本。

也就是说，核心其实是最后这一行：

python -u scripts/esa_certificate_watch.py

为什么还要接 Cloudflare

该网站使用 Alibaba Cloud International ESA 做边缘加速，HTTPS 最终在 ESA 边缘结束，所以 ESA 上需要可用的边缘证书。

不过该网站并没有把 NS 托管给 ESA，权威 DNS 仍然在 Cloudflare。这样一来，ESA 可以负责申请 Let’s Encrypt 证书，却不能直接替 Cloudflare 完成 DNS-01 验证。

于是续订链路自然变成：

GitHub Actions
      ↓
Alibaba Cloud International ESA
      ↓
读取 DNS DCV
      ↓
Cloudflare DNS
      ↓
Let's Encrypt 验证
      ↓
ESA 获得新证书

原来需要在 ESA 和 Cloudflare 之间手动复制 TXT，现在由 Action 来做。

先检查，不急着申请

脚本启动后先读取当前证书，并检查有没有一张证书同时覆盖 jsw.ac.cn 和 *.jsw.ac.cn。

def cert_covers_bundle(cert):
    return all(
        cert_covers_target(cert, domain)
        for domain in DOMAINS
    )

然后从可用证书中找有效期最靠后的那一张：

def newest_usable_bundle(certificates):
    usable = [
        cert
        for cert in certificates
        if cert_covers_bundle(cert)
        and str(cert.get("Status") or "")
        in {"OK", "Issued", "Expiring"}
    ]

    if not usable:
        return None

    usable.sort(
        key=lambda cert:
            parse_not_after(cert.get("NotAfter")),
        reverse=True,
    )

    return usable[0]

默认续订阈值是 14 天。因此每天运行并不会每天申请证书，大部分运行实际上只是：

找到证书
→ SAN 正确
→ 状态正常
→ 距离到期还很久
→ 退出

只有没有完整证书，或者进入续订窗口，才继续调用 ESA。

申请一张根域 + 泛域证书

申请部分并不长：

def apply_bundle_certificate(client, site_id):
    response = client.apply_certificate(
        esa_models.ApplyCertificateRequest(
            site_id=site_id,
            domains=",".join(DOMAINS),
            type=CERT_TYPE,
        )
    )

    result = body_map(response).get("Result") or []

    log(
        "Requested one Let's Encrypt bundle for: "
        + ", ".join(DOMAINS)
    )

    for item in result:
        log(
            f"ESA result domain={item.get('Domain')} "
            f"id={item.get('Id')} "
            f"status={item.get('Status')}"
        )

当前 DOMAINS 默认值是：

jsw.ac.cn,*.jsw.ac.cn

这里要求的是一张同时覆盖根域与 wildcard 的证书，而不是分别维护两张证书。*.jsw.ac.cn 可以覆盖一级子域，却不会自动覆盖 jsw.ac.cn 本身，所以根域仍然需要出现在 SAN 中。

ESA 给验证值，Cloudflare 负责落地

进入 Applying 后，ESA 会暴露 DNS DCV。脚本把当前仍有效的验证值收集起来：

def active_esa_dns_challenges(certificates):
    active = {}

    for cert in certificates:
        if str(cert.get("Status") or "") != "Applying":
            continue

        for dcv in cert.get("DCV") or []:
            if str(dcv.get("Type") or "").upper() != "DNS":
                continue

            key = str(dcv.get("Key") or "").strip().rstrip(".")
            value = str(dcv.get("Value") or "").strip()

            if not key or not value:
                continue

            key = validate_dcv_name(key)
            active.setdefault(key, set()).add(value)

    return active

这里用了 set()，因为 jsw.ac.cn 与 *.jsw.ac.cn 的 DNS-01 验证都可能落在：

_acme-challenge.jsw.ac.cn

同一个名字下面可能同时需要两个 TXT：

_acme-challenge.jsw.ac.cn TXT "value-a"
_acme-challenge.jsw.ac.cn TXT "value-b"

如果直接把 TXT 当作单值更新，第二个 challenge 很容易把第一个覆盖掉。现在的逻辑是先把 ESA 当前这一轮要求的值全部收集起来，再让 Cloudflare 同时保留。

Cloudflare 这边没有额外装 SDK，直接用 API v4：

def cf_request(method, path, *, query=None, payload=None):
    url = "https://api.cloudflare.com/client/v4" + path

    if query:
        url += "?" + parse.urlencode(query)

    data = (
        json.dumps(payload).encode("utf-8")
        if payload is not None
        else None
    )

    req = request.Request(
        url,
        data=data,
        method=method,
        headers={
            "Authorization": f"Bearer {CF_TOKEN}",
            "Content-Type": "application/json",
            "User-Agent": "siteforge-inkstone-theme/esa-certificate-watch",
        },
    )

    with request.urlopen(req, timeout=30) as response:
        result = json.loads(response.read().decode("utf-8"))

    if not result.get("success", False):
        raise RuntimeError(result.get("errors"))

    return result.get("result")

写 TXT 也就变成普通的 API 请求：

cf_request(
    "POST",
    f"/zones/{zone_id}/dns_records",
    payload={
        "type": "TXT",
        "name": record_name,
        "content": value,
        "ttl": CF_DCV_TTL,
        "comment": MANAGED_COMMENT,
    },
)

签完就把 TXT 收掉

ACME 验证记录没有必要长期留在 DNS 里。

脚本只允许操作目标 Zone 内、名称以 _acme-challenge. 开头的 TXT：

def validate_dcv_name(record_name):
    name = record_name.lower().rstrip(".")

    if (
        name != CF_ZONE_NAME
        and not name.endswith("." + CF_ZONE_NAME)
    ):
        raise RuntimeError(
            "Refusing to modify Cloudflare DNS outside zone"
        )

    if not name.startswith("_acme-challenge."):
        raise RuntimeError(
            "Refusing to modify non-ACME TXT record"
        )

    return name

所以 SPF、DKIM、DMARC、MX 等记录不在脚本的操作范围里。

当前 ESA 申请需要的 TXT 会被保留，同名但已经不属于本轮申请的旧 challenge 可以删除。等 ESA 确认证书已经 Issued 或 OK，脚本再清掉自己管理的临时 ACME TXT。

如果五分钟内 ESA 仍然在验证，当前 challenge 不会被强制删除，下一轮 cron 会继续检查。

def wait_for_issuance(client, site_id, zone_id):
    deadline = (
        time.monotonic()
        + max(0, ISSUANCE_WAIT_SECONDS)
    )

    while True:
        certificates = list_certificates(client, site_id)
        active = reconcile_dcv(certificates, zone_id)

        cleanup_orphaned_managed_txt(
            zone_id,
            active,
        )

        if bundle_issued(certificates):
            cleanup_orphaned_managed_txt(
                zone_id,
                {},
            )
            return

        if time.monotonic() >= deadline:
            return

        time.sleep(10)

Action 运行时能看见它在干什么

第一次调试时遇到过一个很简单的问题：Python stdout 缓冲让 Action 长时间没有新日志，看起来像任务卡住。

所以 Workflow 里现在同时有：

PYTHONUNBUFFERED: "1"

以及：

python -u scripts/esa_certificate_watch.py

脚本日志也主动 flush：

def log(message):
    print(message, flush=True)

现在运行时可以直接看到证书 SAN、Site、Cloudflare Zone、当前 challenge、轮询状态等信息。自动化本身不一定要复杂，但至少应该知道它现在卡在哪一步。

换成别的域名还能跑吗

可以。现在大部分站点相关值都通过 GitHub Repository Variables 注入，而不是写死在 Action 里。

例如要换成：

example.com
*.example.com

可以设置：

ESA_SITE_NAME=example.com
ESA_DOMAINS=example.com,*.example.com
CLOUDFLARE_ZONE_NAME=example.com

凭据仍然放在 Repository Secrets：

ALIBABA_CLOUD_ACCESS_KEY_ID
ALIBABA_CLOUD_ACCESS_KEY_SECRET
CLOUDFLARE_API_TOKEN

如果已经知道具体 ID，还可以直接提供：

ESA_SITE_ID
CLOUDFLARE_ZONE_ID

需要更换 ESA 地域时，则修改：

ESA_REGION_ID

或者直接指定：

ESA_ENDPOINT

因此在同样使用 Alibaba Cloud International ESA + Cloudflare 权威 DNS 的站点上，主要替换域名、Zone、Site 与凭据就可以复用。

如果连证书平台也换掉，例如不再使用 ESA，那么 Cloudflare DNS 这一半依然可以保留，但 ListCertificates、ApplyCertificate 和读取 ESA DCV 的部分需要替换成对应平台的 API。

GitHub Actions 也不是必须的。脚本本身只是普通 Python 程序，把同样的环境变量放到 VPS 上，再用 cron 运行同一个脚本也可以。GitHub Actions 的价值主要是省掉一台专门跑定时任务的机器。

现在它每天做的事情很少

最终该网站的续订链路已经变成：

GitHub Actions
       ↓
检查 ESA 证书
       ↓
还没到续订时间 → 退出
       ↓
需要续订
       ↓
申请 jsw.ac.cn + *.jsw.ac.cn
       ↓
获取 ESA DNS DCV
       ↓
写入 Cloudflare TXT
       ↓
等待 Let's Encrypt 验证
       ↓
ESA 获得新边缘证书
       ↓
删除临时 TXT

它没有重新发明一套证书管理平台，只是把 ESA 和 Cloudflare 之间原本需要手动处理的那一小段接起来。

对于该网站这种 ESA 负责边缘 HTTPS、Cloudflare 继续负责权威 DNS 的结构，一个 Workflow 加一个 Python 脚本已经足够。

手把手教你安装和运行 Hexo 博客框架

技术网 — Sat, 27 Jun 2026 00:00:00 GMT

Hexo 是一个快速、简洁且强大的静态博客框架，非常适合个人博客搭建。本文将带你一步步完成 Hexo 的安装和运行，新手也能轻松上手！

环境准备

在开始之前，请确保你的电脑已安装以下工具：

Node.js 和 npm 下载地址：Node.js 官方网站 推荐版本：LTS

安装 Hexo

打开终端，安装 Hexo 的命令行工具：
```
npm install -g hexo-cli
```

创建博客项目 选择一个空文件夹作为你的博客目录，例如 hexo-blog，然后执行以下命令：

mkdir hexo-blog
cd hexo-blog
hexo init

安装完成后，目录结构如下：

hexo-blog/
├── _config.yml    # 站点配置文件
├── package.json   # 项目信息
├── scaffolds/     # 模板文件
├── source/        # 博客内容
└── themes/        # 主题文件

安装依赖：
```
npm install
```

运行 Hexo

启动本地服务器：
```
hexo server
```
打开浏览器，访问 http://localhost:4000，你将看到 Hexo 的默认页面。

撰写博客文章

新建文章 使用命令：
```
hexo new "文章标题"
```
文章文件会保存在 source/_posts/ 文件夹下，文件格式为 .md。

编辑文章 打开新建的 Markdown 文件，在其中撰写你的内容。例如：

---
title: 我的第一篇博客
date: 2025-06-18 10:00:00
tags: [Hexo, 博客]
---
这是我的第一篇 Hexo 博客文章！欢迎阅读！

生成静态页面 在终端运行：
```
hexo generate
```
再次启动服务器 如果服务器已经关闭，请重新运行：
```
hexo server
```

常用命令汇总

命令	作用
`hexo new <标题>`	新建文章
`hexo generate`	生成静态文件
`hexo server`	本地预览
`hexo deploy`	部署
`hexo clean`	清理缓存与旧的静态文件

部署网站

（推荐）SSH登入后上传到nginx指向路径即可
（不太推荐）使用hexo-deployer-sftp插件上传，因为太久没维护了，不安全，上传推送可能不支持。使用方法

结语

恭喜你完成了 Hexo 博客的安装和运行！通过 Hexo，你可以轻松记录生活和技术点滴，还可以通过丰富的主题和插件打造个性化博客。快去试试吧！

如何申请免费的阿里云域名邮箱

技术网 — Mon, 15 Dec 2025 00:00:00 GMT

本文介绍如何白嫖阿里云邮箱的免费版本，创建一个常用日常用的邮箱，开启第三方邮件客户端登陆

首先给个阿里云免费企业邮箱申请入口链接：阿里云免费企业邮箱申请填入绑定邮箱域名才能生成价格，价格会显示0元然后点击支付，支付完成后，进入控制台配置解析记录解析记录配对好且有效时候就可以访问邮箱访问地址使用初始的 postmaster账户登录进行邮箱分配登陆后点击域管理点击组织与用户>员工账户>创建账户，输入账户和密码和选择是否要求初始化密码，最后保存配置点击安全管理>账户安全策略，下拉找到三方客户端安全登录，选择允许使用第三方客户端，然后点击保存配置第三方客户端登录配置可以参考这里

如何将hexo部署到阿里云pages上

技术网 — Tue, 09 Dec 2025 00:00:00 GMT

最近阿里云开放了pages服务，所以本网站搭个车将网站迁移到阿里云pages上面。本文介绍如何通过hexo d上传到GitHub，然后让阿里云pages拉取github项目完成部署。

阿里云推广图片在原先你的hexo目录中_config.yml的deploy部分填入：

deploy:
  type: git
  repo: git@github.com:你的GitHub账号/项目名称.git
  branch: main
  message: "Site updated: {{ now('YYYY-MM-DD HH:mm:ss') }}"

本地 hexo d 时，会自动把 public 的内容推到 main。
仓库的 main 分支里就是“纯静态站点”。

在阿里云 ESA：

导入这个 blog 仓库，
分支选 main，
同样配置：
- 安装命令：echo skip
- 构建命令：echo skip
- 静态目录：./

完成部署后可以绑定自定义域名，同时建议将NS交给ESA托管

等待DNS记录传播生效，同时留意pages目前只提供ipv4访问，少部分纯ipv6环境不完全支持，所以itdog提供ipv6 https测试部分地区出现解析失败无法访问是正常现象

将 Hexo 站点部署到阿里云 OSS 并绑定 ESA 加速

技术网 — Wed, 10 Sep 2025 00:00:00 GMT

使用 Hexo 搭建博客后，我们通常会得到一个 public/ 文件夹，其中就是最终的静态站点文件。本文介绍如何将这些文件上传到阿里云 OSS，并开启静态网站托管，再通过 ESA（Edge Side Acceleration）进行全球加速。

一、生成站点文件

进入 Hexo 项目根目录，执行命令：

hexo g

生成的静态文件会存放在 public/ 目录下。

二、配置并使用 `ossutil`

1. 安装 `ossutil`

前往阿里云 OSS 官方下载页面，下载对应系统的 ossutil 工具。 Windows 用户下载 .exe 文件后放到 PATH 路径下，方便调用。

2. 初始化配置

执行：

ossutil config

依次输入：

Config file path：直接回车默认即可
AccessKey ID / Secret：RAM 用户的凭证
Region：如 cn-hangzhou、ap-southeast-1
Endpoint：可留空，默认使用公网域名，例如 oss-cn-hangzhou.aliyuncs.com

3. 上传 Hexo 静态文件

推荐使用同步方式上传：

ossutil sync 需要上传目录位置 oss://你的Bucket名/ --delete

-f：强制覆盖
--delete：让远端和本地完全一致，会删除 OSS 上多余文件

这样，public 内的内容就会直接部署到 Bucket 的根目录。

三、开启 OSS 静态网站托管

为了让 OSS 直接作为网站访问，需要开启 静态网站托管：

打开 OSS 控制台 → 选择对应 Bucket → 数据管理 → 静态页面
配置：
- 索引页面：index.html
- 错误页面：404.html

四、绑定阿里云 ESA 加速

为了加速境内外访问速度，可以绑定阿里云 ESA：

在 ESA 控制台新建加速实例
绑定自定义域名
在源站地址选择 OSS Bucket 域名
配置 HTTPS（可在NS托管下让其生成免费的SSL证书）之后就会通过 ESA 节点加速，提升国内外访问体验。

acme.sh 安装及使用指南

技术网 — Mon, 26 May 2025 00:00:00 GMT

acme.sh 是一个用于申请和管理 CA 证书的轻量级 ACME 客户端，支持自动续订。

1. acme.sh 安装

**1.1 安装 socat

apt install socat -y  # Ubuntu/Debian
yum install socat -y  # CentOS

1.2 安装 acme.sh

使用以下命令安装 acme.sh：

curl https://get.acme.sh | sh

安装完成后，可能需要重新加载 shell 以生效：

source ~/.bashrc

2. 申请泛域名证书（使用阿里云DNS 验证）

2.1 配置阿里云DNS API

登录阿里云账户管理，创建一个具有DNS管理权限的RAM用户

在申请证书前，需要提供阿里云DNS 的 API Key 和 Email：

export Ali_Key="sddi*********daf"
export Ali_Secret="jls******************lsa"

2.2 申请泛域名证书

注意yourdomain.com填写的是你的域名

使用阿里云 DNS 验证方式申请：

acme.sh --issue --dns dns_ali -d yourdomain.com -d '*.yourdomain.com'

参数说明：

--dns dns_ali：使用 Cloudflare DNS 进行域名验证。
-d yourdomain.com -d '*.yourdomain.com'：申请主域名和泛域名证书。

3. 证书安装及自动续订

3.1 安装证书到指定目录

将证书安装到 /etc/nginx/cert/ 目录，并自动续订：

acme.sh --install-cert -d yourdomain.com \
    --key-file /etc/nginx/cert/private.key \
    --fullchain-file /etc/nginx/cert/cert.crt \
    --reloadcmd "systemctl reload nginx"

3.2 确保证书自动续订

acme.sh 会自动续订证书，无需手动干预。可以使用以下命令检查续订任务：

crontab -l | grep acme.sh

如果需要手动触发续订：

acme.sh --renew -d yourdomain.com

4. 其他常用命令

4.1 查看证书列表

acme.sh --list

4.2 强制更新 acme.sh

acme.sh --upgrade

4.3 卸载 acme.sh

如果不再使用，可以卸载：

acme.sh --uninstall
rm -rf ~/.acme.sh

5. 最后

使用 acme.sh，可以轻松申请和管理 CA 证书，结合阿里云 DNS 验证，支持泛域名证书，并且自动续订，适用于大多数网站的 HTTPS 配置需求。

技术网