zqlit
7abef4ac13
用户四问：「把项目文件全部理一遍 还有readme文件」「gitea 后面可能还要迁移 帮我写一个迁移文档」
「证书管家做完了吗」「感觉现在架构还是复杂了」
一、文档梳理：根目录 15 个 md → 2 个
根目录只留 README.md（入口）+ 架构总览.md（现状唯一事实源），其余全部归位：
docs/
├── README.md ← 新增：文档地图（入口 / 当前有效 / 历史归档 三层）
├── 证书管家.md ← 原「函数版证书管家-方案.md」改名
│ （它早已是「现状+沿革」文档，标题名不副实 —— 签发早已不在 CF Worker）
├── Gitea迁移指南.md ← 新增
├── 架构精简候选.md ← 新增
├── CNB构建落地方案.md / GITEA_SECRETS.md
└── archive/{平台与选型,功能与修复,主题与内容}/ ← 32 份
- 32 个归档文档统一加 `> 📦 本文档已归档` banner，并指向架构总览
—— 这个仓库历史文档里全是「权威口径」，混看很容易拿废弃结论当现状
- gitea-backup/ → deploy/gitea/（原名「backup」不准，它是部署包；与其它 deploy 单元并列）
- 新增 md 链接校验（python 脚本，中文路径用 sed 不安全）→ 首轮 18 处断链
（多一层目录要让 banner 里的相对路径补一个 ../）→ 修正后 0 断链
二、新增 docs/Gitea迁移指南.md（★ 有死线：境外 VPS 11 月到期）
★ 核心价值是「指出迁移面已大幅缩小」：仓库原有的 deploy/gitea/迁移前检查清单.md
（2026-10-04）是为「Gitea + act_runner + 又拍云同步 *整套* 搬迁」写的，**那个前提已经不存在**——
构建归 CNB，runner / upyun-sync / 中转机 / COS 都不需要了。迁移实际只剩「搬数据卷 + 改地址」。
★★ 全文最重要：本仓有 9 处写死了旧地址，按易漏程度排序（1-3 本机，4-5 线上）
1 本机 .git/config 的 gitea remote
2 scripts/setup-cnb-remotes.sh 的 GITEA_URL 默认值
3 deploy/editor-api/bootstrap.sh 的 GITEA_URL 默认值
4 ★ /srv/editor-api/.env 的 GITEA_URL ← 漏了会「持续报错但只警告不阻断」，没人发现
5 ★ /srv/blog 的 gitea remote ← 同上
6 docs/GITEA_SECRETS.md
7-9 架构总览.md / README.md / editor-api/README.md
（不用改：docker-compose.editor.yml、server.mjs、pushall 别名 —— 只引用 remote 名字）
另含：建议新实例改用域名而非 IP（以后搬机器只改 DNS；⚠️ Gitea 28 起只读 ROOT_URL 不读
[server] DOMAIN）；rsync 而非 dump（属主必须 uid/gid 1000）；切换顺序「先建新的→验证→再拆旧的」；
验证清单强调 `git push gitea --dry-run`；第九节给出「干脆不留这个辅仓」的选项与判断依据。
顺带修掉两个硬伤：
- deploy/gitea/docker-compose.yml 的镜像 tag `1.28.0-rootless` 根本不存在
（Gitea 28 起去掉 1. 前缀）→ 改 28.0.0-rootless（pin 死，不用 latest）
- deploy/gitea/.gitignore 漏了 backups/（跑一次备份就会把含 secrets 的 dump 写进历史）
三、证书管家核实（结论：已上线运行，2 个遗留）
线上实测：容器 Up (healthy)；/preflight 7/7 全过；3 组域名；下次自动续期 04:10。
遗留 ① writeapi.usj.cc 证书没纳管（真问题）：nginx 配置在 /www/conf.d/writeapi.usj.cc.conf，
不在 /www/sites/ 管理树里 → 1Panel 的 ssl/upload+sslID 物化碰不到它。
实测仍是 RSA / CN=usj.cc / 到期 2026-12-07，本项目续期不会更新 → 12 月会断。
遗留 ② dnsapi.usj.cc 没上 HTTPS。
（澄清假问题：200181.xyz 公网看到的 LE 证书是 CF 自家边缘证书，与本项目无关）
四、新增 docs/架构精简候选.md（回应「架构还是复杂了」）
结论：复杂度不在件数，在「跨 6 个环境，其中 4 个要自己维护」。国内机 9 个容器里属于本项目的
只有 3 个，能动的只有 2 个。5 个候选 + 建议执行顺序：
1 停 certimate 容器（工作流已全停用）——先 stop 观察，别急着删
2 cn-dns-helper 大概率已是遗留（「Worker 侧签发」时代产物；现在签发在国内机且自带 dnsprovider，
/preflight 显示 CF 凭据可读；Worker 侧 dnsremoted.ts 已无任何引用）
3 Gitea：迁 or 不留
4 两套写作前端收敛（本轮不动，先看使用频率）
5 writeapi.usj.cc 证书纳管（12 月死线）
并明确列出 6 项「必要复杂度，不建议动」。
五、架构总览补齐证书管家子系统（★ 之前完全缺席）
一个完整子系统在「事实源文档」里一个字都没有 —— 这本身就是文档债。补：
- §0 一句话（四→五个子系统）、§1.1 子系统表、§1.2 地址地图两行
- **新增 §5.7 证书管家**：职责划分 / 为什么非要这么分（Worker 免费版 CPU 10ms）/
三条不能破的红线（Worker 不得签发 · 证书路由只认 Bearer 会话 · 角色必须正着枚举放行）/
纳管域名表 / 与 certimate 的关系 / 已知遗留
- .cnb.yml 行数 284 → 337（数字漂了）；头部更新时间 → 2026-10-06；附录表改指 docs/
- §6 待办：#13（证书遗留）、#14（复杂度盘点）新增；#7 改写为「Gitea 11 月到期，★ 有死线」
六、记忆
.workbuddy/memory/MEMORY.md 新增「文档结构」「Gitea 迁移死线」两节；证书管家节补实测与遗留。
48 lines
2.3 KiB
Markdown
48 lines
2.3 KiB
Markdown
# Gitea Secrets 配置清单
|
|
|
|
> 在浏览器打开 http://23.254.236.47:3001/zqlit/blog/settings/actions/secrets
|
|
> 登录账号: zqlit / 密码同服务器
|
|
|
|
## 核心密钥（必须配置才能发布博客）
|
|
|
|
| # | Secret 名称 | 值 | 获取方式 |
|
|
|---|------------|-----|---------|
|
|
| 1 | COS_SECRET_ID | 你的腾讯云 SecretId | 腾讯云 → 访问管理 → API密钥管理 |
|
|
| 2 | COS_SECRET_KEY | 你的腾讯云 SecretKey | 同上 |
|
|
| 3 | COS_BUCKET | 你的 COS 存储桶名 | 腾讯云 COS 控制台 → 存储桶列表 |
|
|
| 4 | COS_REGION | COS 区域如 ap-guangzhou | COS 控制台 → 存储桶列表 |
|
|
| 5 | EDGEONE_API_TOKEN | EdgeOne API Token | EdgeOne 控制台 → API管理 |
|
|
| 6 | UPYUN_BUCKET | 又拍云服务名 | 又拍云控制台 → 服务管理 |
|
|
| 7 | UPYUN_OPERATOR | 又拍云操作员名 | 又拍云控制台 → 操作员管理 |
|
|
| 8 | UPYUN_PASSWORD | 又拍云操作员密码 | 又拍云控制台 → 操作员 → 重置密码 |
|
|
| 9 | DOGECLOUD_ACCESS_KEY | 多吉云 AccessKey | 多吉云控制台 → API密钥 |
|
|
| 10 | DOGECLOUD_SECRET_KEY | 多吉云 SecretKey | 同上 |
|
|
| 11 | CDN_URL_LIST | https://usj.cc | ✅ 已配置 |
|
|
|
|
## 通知密钥（可选，不配则跳过通知）
|
|
|
|
| # | Secret 名称 | 值 | 获取方式 |
|
|
|---|------------|-----|---------|
|
|
| 12 | TELEGRAM_BOT_TOKEN | TG Bot Token | @BotFather → /mybots → 选bot → API Token |
|
|
| 13 | TELEGRAM_CHAT_ID | 你的 TG ID | 给 @userinfobot 发消息获取 |
|
|
| 14 | FEISHU_WEBHOOK_URL | 飞书 Webhook | 飞书群 → 设置 → 群机器人 → 添加 → 复制地址 |
|
|
| 15 | MAIL_USERNAME | QQ邮箱 | 你自己知道 |
|
|
| 16 | MAIL_PASSWORD | QQ邮箱授权码 | QQ邮箱 → 设置 → 账户 → SMTP授权码 |
|
|
|
|
## 备份密钥（可选，阿里云OSS周备份）
|
|
|
|
| # | Secret 名称 | 值 | 获取方式 |
|
|
|---|------------|-----|---------|
|
|
| 17 | OSS_ACCESS_KEY_ID | 阿里云 AccessKey | 阿里云 RAM → AccessKey管理 |
|
|
| 18 | OSS_ACCESS_KEY_SECRET | 阿里云 SecretKey | 同上 |
|
|
| 19 | OSS_ENDPOINT | OSS Endpoint | 阿里云 OSS控制台 |
|
|
| 20 | OSS_BUCKET | OSS 桶名 | 同上 |
|
|
|
|
## 配置步骤
|
|
|
|
1. 浏览器打开 http://23.254.236.47:3001/zqlit/blog/settings/actions/secrets
|
|
2. 登录 (zqlit / 服务器密码)
|
|
3. 点击 "Add Secret"
|
|
4. 逐个添加上面的密钥
|
|
5. 核心密钥（1-11）配完后即可测试发布
|