让 LND 开机自己解锁：wallet-unlock-password-file 的行为边界与代价

跑过 LND 的人都熟悉这个循环：服务器重启、SSH 上去、lncli unlock 输一遍密码。对只想让节点自己活过来的运维来说，这个手动步骤可以交给一个文件来消灭——wallet-unlock-password-file。但”消灭步骤”不等于”没有代价”，这个参数的帮助文本本身就写满了边界条件。本文按 LND v0.19.0-beta 源码逐项核对。

参数承诺了什么

帮助文本的原话值得完整读一遍：这是一个文件（或管道/设备）的完整路径，里面装着解锁钱包的密码；一旦设置，就不再可能通过 RPC 解锁；如果此时钱包不存在或密码错误，lnd 直接退出；如果同时设置了 wallet-unlock-allow-create，那么在钱包还不存在时这个标志会被忽略，允许走 RPC 建钱包。一句话拆出四条规则：读取来源是文件、RPC 解锁通道关闭、失败即退出不挂起、建钱包有例外开关。

为什么需要 wallet-unlock-allow-create

第一条初始化最容易被卡住：你按文档配好解锁文件，启动，结果 lnd 退出——因为钱包根本还没创建，而”钱包不存在就退出”正是上一条规则。官方给的出口是 wallet-unlock-allow-create：它的描述是”设置了 password-file 但钱包尚不存在时不要报错失败”，效果是这一次启动忽略解锁文件、回到可以通过 RPC 走 unlockwallet 建钱包的流程。建完钱包、把新钱包的私钥密码与解锁密码的关系处理清楚后，去掉这个例外开关恢复常态。另一个冲突也要记住：noseedbackup 与 wallet-unlock-password-file 互斥，同时设置时配置校验直接报”cannot set noseedbackup and wallet-unlock-password-file at the same time”。

管道与设备：文本里藏着的第三条路

帮助文本专门写了”文件（或管道/设备）“。这意味着密码可以不落盘：用一个命名管道、或者一个由密钥管理器按需吐字的设备路径，LND 打开读到一行密码就继续。这条路的价值在于磁盘上始终没有一份明文密码快照；代价是启动依赖上游进程活着，管道两端时序错了就变成”读取失败退出”。对多数家用服务器，普通文件加严格的文件权限（属主可读、600 一类）是务实选择。

安全模型的位移

手动 unlock 时，密码只在内存里短暂存在，且必须由人输入。改为文件自动解锁后，安全边界变成”谁能读那个文件，谁就能在重启时解锁钱包”：备份丢失、快照泄露、配置管理工具把文件内容抄进日志，都会把原来”你知道的密码”降级为”服务器持有的一段字节”。同时被关掉的是 RPC 解锁通道带来的操作弹性——lncli unlock 不再可用，改密码要按钱包解锁器的正规流程走。这些不是缺点，是取舍：无人值守的可用性换来的是密钥保管责任从人转移到了文件系统。

部署核对清单

上线前过一遍：文件存在且只含密码一行、权限收紧到属主、路径写绝对路径、首次创建钱包时用 allow-create 例外、验证重启后 lnd 无人值守进入解锁完成状态、确认监控里”lnd 退出”被当作需要人介入的事件（密码文件失效时它就是退出码非零，而不是卡在等待输入）。确认无误后再考虑把 allow-create 从配置里移除，避免以后误走建钱包分支。

systemd 集成的常见形态

把解锁文件交给服务管理器托管是最省心的闭环：在单元文件里用启动前置步骤从密钥管理命令生成密码文件（权限即时收紧），主服务进程再指向该路径；密钥轮换只改上游命令的输出，lnd 配置一行不动。要避免的反模式是用环境变量塞密码——Environment= 在多数管理器里对同机进程可读，/proc/<pid>/environ 也会暴露，而密码文件至少能用权限位锁死。另一个细节是日志卫生：自动解锁成功时 lnd 只打一行”正在用文件里的密码尝试自动解锁”，不会打印密码本身，但如果你的部署脚本自己 echo 了文件内容做调试，等于手动把秘密写进了日志收集管道，收尾时要删掉这类调试痕迹。

风险提示：自动解锁让节点可用性与服务器文件安全绑定，托管钱包与私钥的泄露即资产风险；本文为机制说明，不构成投资建议。