#SSL 证书与 HTTPS：用 Certbot 0成本启动全站加密

# /etc/nginx/conf.d/daomanpy.conf
# 注意：把所有 daomanpy.com 换成你自己的域名

# --------------------------
# 1. HTTP → HTTPS 强制重定向（301永久跳转）
# --------------------------
server {
    listen 80;
    listen [::]:80; # IPv6支持（云服务器一般都支持，加上更好）
    server_name daomanpy.com www.daomanpy.com;

    # 保留 Let's Encrypt 的验证路径（续期时必须能访问）
    location /.well-known/acme-challenge/ {
        root /var/www/html;
    }

    # 其他所有请求301跳转
    return 301 https://$host$request_uri;
}

# --------------------------
# 2. HTTPS 主站配置
# --------------------------
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name daomanpy.com www.daomanpy.com;

    # 根目录和入口（如果是静态站需要，反向代理可以不加，但加了更规范）
    root /var/www/daoman;
    index index.html index.htm;

    # --------------------------
    # SSL 核心配置（必须改路径）
    # --------------------------
    ssl_certificate /etc/letsencrypt/live/daomanpy.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/daomanpy.com/privkey.pem;

    # --------------------------
    # SSL 安全优化（Mozilla 推荐的 Intermediate 级配置）
    # --------------------------
    ssl_protocols TLSv1.2 TLSv1.3; # 只留安全的协议版本（TLS1.0/1.1 已被禁用）
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305; # 只留安全的加密套件
    ssl_prefer_server_ciphers off; # 让浏览器自己选最优的加密套件（TLS1.3 不需要，但兼容老版本）
    ssl_session_cache shared:SSL:10m; # SSL 会话缓存（减少握手时间，提升性能）
    ssl_session_timeout 1d; # 会话缓存有效期1天
    ssl_session_tickets off; # 关闭会话票证（防止部分安全漏洞）

    # --------------------------
    # OCSP Stapling（优化证书验证速度）
    # --------------------------
    ssl_stapling on; # 开启 OCSP Stapling（服务器代替浏览器去验证证书有效性，减少网络延迟）
    ssl_stapling_verify on; # 验证 OCSP 响应的有效性
    resolver 8.8.8.8 8.8.4.4 valid=300s; # DNS 解析器（Google的，也可以换国内的114.114.114.114）
    resolver_timeout 5s; # DNS 超时时间5秒

    # --------------------------
    # 安全响应头（防止常见的 Web 攻击）
    # --------------------------
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always; # HSTS（强制浏览器1年内只访问HTTPS，preload可选但需要申请）
    add_header X-Frame-Options "SAMEORIGIN" always; # 防止点击劫持
    add_header X-Content-Type-Options "nosniff" always; # 防止 MIME 类型嗅探
    add_header Referrer-Policy "strict-origin-when-cross-origin" always; # 控制 Referer 头的发送
    add_header Permissions-Policy "geolocation=(), microphone=(), camera=()" always; # 控制浏览器API的访问权限

    # --------------------------
    # 反向代理到 Gunicorn（Flask/Django 等后端项目需要）
    # --------------------------
    location / {
        proxy_pass http://127.0.0.1:8000; # Gunicorn 监听的端口
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme; # 告诉后端当前是 HTTPS 协议
        proxy_redirect off;
        proxy_connect_timeout 60s;
        proxy_read_timeout 60s;
        client_max_body_size 20M; # 允许上传的最大文件大小（根据项目调整）
    }

    # --------------------------
    # 静态文件（Nginx 直接服务，比后端快10倍+）
    # --------------------------
    location /static/ {
        alias /var/www/daoman/static/; # 静态文件目录（根据项目调整）
        expires 30d; # 静态文件缓存30天
        add_header Cache-Control "public, immutable"; # 告诉浏览器缓存期间不用重新请求
        access_log off; # 静态文件访问日志可以关，减少磁盘IO
    }

    # --------------------------
    # 健康检查（负载均衡/监控需要）
    # --------------------------
    location /health {
        return 200 "healthy\n";
        add_header Content-Type text/plain;
        access_log off;
    }
}