#在 Docker 中使用 Nginx 的最佳实践

# HTTP 默认配置 - 处理所有 your.domain 的子域名
server {
    listen 80 default_server;
    listen [::]:80 default_server;
    server_name *.your.domain your.domain;

    # 可选：保留 HTTP 验证路径（作为备用方案）
    # location /.well-known/acme-challenge/ {
    #    root /var/www/acme-challenges;
    # }

    # 强制跳转 HTTPS
    location / {
        return 301 https://$host$request_uri;
    }
}

location /.well-known/acme-challenge/ {
    root /var/www/acme-challenges;
}

# 动态决定 Connection 头的值
# $http_upgrade 是客户端发来的 Upgrade 头的值
# 这个文件会自动被加载到 http {} 块中
map $http_upgrade $connection_upgrade {
    # 如果客户端发来了 Upgrade (例如 "websocket")，则变量值为 "upgrade"
    default upgrade;
    
    # 如果客户端没发 Upgrade (为空)，则变量值为空字符串 (为了启用 Keep-Alive)
    ''      "";
}

# 公共代理配置，所有反向代理都可以引用

# 允许客户端上传无限大小的请求体（解决 413 Request Entity Too Large）
client_max_body_size 0;

proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

# WebSocket 支持
# 默认情况下 Nginx 使用 HTTP/1.0 连接后端，而 WebSocket 必须使用 HTTP/1.1
# 必须指定 HTTP 1.1，否则 WebSocket 无法握手
proxy_http_version 1.1;
proxy_set_header Upgrade $http_upgrade;
# 使用刚才在 00-map.conf 里定义好的全局变量
# 既能自动处理 WebSocket 握手，又能让普通请求保持长连接
proxy_set_header Connection $connection_upgrade;

# 公共 SSL 配置，所有 HTTPS server 都可以引用

ssl_certificate /etc/nginx/certs/your.domain.pem;
ssl_certificate_key /etc/nginx/certs/your.domain.key;

ssl_protocols TLSv1.2 TLSv1.3;
ssl_ciphers HIGH:!aNULL:!MD5;
ssl_prefer_server_ciphers on;

ssl_session_cache shared:SSL:10m;
ssl_session_timeout 10m;

# 安全响应头
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-XSS-Protection "1; mode=block" always;

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;

    server_name cloudreve.your.domain;

    include /etc/nginx/conf.d/snippets/ssl-common.conf;

    access_log /var/log/nginx/cloudreve_access.log;
    error_log /var/log/nginx/cloudreve_error.log warn;

    location / {
        # 你的后端服务地址
        # 如果是本机其他容器，请使用 IP 或 Docker 网络名
        proxy_pass http://cloudreve:5212;

        include /etc/nginx/conf.d/snippets/proxy-common.conf;

        # =========================================
        # 1. 缓存控制 (全部关闭)
        # =========================================
        # 禁止 Nginx 将后端响应存入磁盘缓存 (防止权限泄露和磁盘爆满)
        proxy_cache off;

        # 关闭响应缓冲 (针对下载优化)
        # 让 Nginx 收到数据就立即发给客户端，而不是存满内存缓冲区再发
        # 解决下载大文件时内存飙升或卡顿的问题
        proxy_buffering off;

        # =========================================
        # 2. 上传控制 (针对上传优化)
        # =========================================
        # 关闭请求缓冲 (核心配置)
        # 允许 Cloudreve 边接收边处理，支持超大文件流式上传
        proxy_request_buffering off;

        # 解除上传大小限制
        client_max_body_size 0;

        # =========================================
        # 3. 连接保活 (防止断连)
        # =========================================
        # 针对极差网络环境，给予充足的时间
        proxy_connect_timeout 86400s;
        proxy_send_timeout 86400s;
        proxy_read_timeout 86400s;
    }
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;

    # 你的域名
    server_name code.your.domain;

    # 复用 SSL 配置
    include /etc/nginx/conf.d/snippets/ssl-common.conf;

    access_log /var/log/nginx/code_access.log;
    error_log /var/log/nginx/code_error.log warn;

    location / {
        # LinuxServer 镜像默认容器内监听 8443
        # 且在同一网络下，直接用服务名访问
        proxy_pass http://code-server:8443;

        # 复用通用 Header (包含 Host, Real-IP, WebSocket Upgrade)
        include /etc/nginx/conf.d/snippets/proxy-common.conf;

        # =========================================
        # code-server 专属优化
        # =========================================

        # 1. WebSocket 核心 (终端必须)
        # 你的 proxy-common.conf 已经包含了 Upgrade 和 Connection 头
        # 所以这里不需要重复写，但下面的超时必须加

        # 2. 长连接超时设置
        # 如果不设置，你在网页终端里写代码，过一会不动就会断开连接
        proxy_read_timeout 86400s;
        proxy_send_timeout 86400s;

        # 3. 关闭缓冲
        # 保证终端输入输出的实时性
        proxy_buffering off;
        proxy_request_buffering off;
    }
}

# --------------------------------------------------------
# 1. 默认捕获：直接 IP 访问 HTTP (80) -> 直接拒绝
# --------------------------------------------------------
server {
    listen 80 default_server;
    listen [::]:80 default_server;
    
    # 匹配所有未定义的域名或直接 IP 访问
    server_name _;
    
    # 返回 444 代表 Nginx 直接关闭连接，不返回任何 HTTP 头部，节省资源
    return 444;
}

# --------------------------------------------------------
# 2. 默认捕获：直接 IP 访问 HTTPS (443) -> 防止测绘的关键
# --------------------------------------------------------
server {
    listen 443 ssl default_server;
    listen [::]:443 ssl default_server;
    
    server_name _;
    
    # 【关键】使用刚才生成的假证书
    # 扫描器扫描 IP 时，只会看到这张假证书，无法关联到你的真实域名
    ssl_certificate /etc/nginx/certs/fake.crt;
    ssl_certificate_key /etc/nginx/certs/fake.key;
    
    # 握手完成后直接关闭连接
    return 444;
}

# --------------------------------------------------------
# 3. 正常业务：域名访问 HTTP (80) -> 强制跳转 HTTPS
# --------------------------------------------------------
server {
    listen 80;
    listen [::]:80;
    
    # 只有明确匹配到你的域名时，才进行跳转
    server_name *.your.domain your.domain;

    location / {
        return 301 https://$host$request_uri;
    }
}

server {
    # 这里的 listen 不要加 default_server
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;

    # 你的域名
    server_name app.your.domain;

    # 复用 SSL 配置
    include /etc/nginx/conf.d/snippets/ssl-common.conf;

    # 日志
    access_log /var/log/nginx/app_access.log;
    error_log /var/log/nginx/app_error.log warn;

    location / {
        # 在同一网络下，直接用服务名加端口号访问
        proxy_pass http://app:8443;

        # 复用通用 Header (包含 Host, Real-IP, WebSocket Upgrade)
        include /etc/nginx/conf.d/snippets/proxy-common.conf;

        # 其他配置
    }
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;

    # 你的域名
    server_name code.your.domain *.your.domain;

    # 复用 SSL 配置
    include /etc/nginx/conf.d/snippets/ssl-common.conf;

    access_log /var/log/nginx/code_access.log;
    error_log /var/log/nginx/code_error.log warn;

    location / {
        # LinuxServer 镜像默认容器内监听 8443
        # 且在同一网络下，直接用服务名访问
        proxy_pass http://code-server:8443;

        # 复用通用 Header (包含 Host, Real-IP, WebSocket Upgrade)
        include /etc/nginx/conf.d/snippets/proxy-common.conf;

        # =========================================
        # code-server 专属优化
        # =========================================

        # 1. WebSocket 核心 (终端必须)
        # 你的 proxy-common.conf 已经包含了 Upgrade 和 Connection 头
        # 所以这里不需要重复写，但下面的超时必须加

        # 2. 长连接超时设置
        # 如果不设置，你在网页终端里写代码，过一会不动就会断开连接
        proxy_read_timeout 86400s;
        proxy_send_timeout 86400s;

        # 3. 关闭缓冲
        # 保证终端输入输出的实时性
        proxy_buffering off;
        proxy_request_buffering off;
    }

    # ===============================
    #      秘密通道 (s-ui 分流)
    # ===============================
    location /your_secret_path {
        proxy_pass http://s-ui:10000;

        # 1. 基础 WebSocket 必须头
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;

        # 2. 传递真实 IP (配合 s-ui 日志或审计)
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

        # =========================================
        # 核心优化部分
        # =========================================

        # 3. 关闭缓冲 (极重要：降低延迟)
        # Nginx 默认会缓存后端的数据。对于代理流量，我们希望数据来了立马转给客户端。
        # 开启这个可以显著降低延迟，提升浏览网页和看视频的流畅度。
        proxy_buffering off;

        # 4. 延长超时时间 (极重要：防止断连)
        # Nginx 默认 60秒 无数据传输就切断连接。
        # 挂梯子时（特别是 SSH 或看长视频暂停时），容易因此意外断开。
        # 设置为一天 (86400s) 确保连接极其稳定。
        proxy_read_timeout 86400s;
        proxy_send_timeout 86400s;

        # 5. 支持 Xray/Sing-box 的 0-RTT (Early Data)
        # 这可以让连接建立更快。如果不透传这些头，Early Data 功能会失效。
        # 客户端需设置 Max Early Data > 0 才能生效。
        proxy_set_header Sec-WebSocket-Key $http_sec_websocket_key;
        proxy_set_header Sec-WebSocket-Extensions $http_sec_websocket_extensions;
        proxy_set_header Sec-WebSocket-Accept $http_sec_websocket_accept;
        proxy_set_header Sec-WebSocket-Protocol $http_sec_websocket_protocol;

        # 6. 禁用重定向处理
        # 代理隧道不需要 Nginx 去处理 301/302 跳转，直接透传即可。
        proxy_redirect off;
    }
}