Add managed Nginx HTTP-01 gateway activation and certificate status

docs/deploy.md

@@ -65,9 +65,9 @@ Go 模式（默认）使用 `golang.org/x/crypto/acme/autocert` 监听 80/443，
 
 “预览 Nginx 配置”仅生成当前域名和后端实际注册 API 路由对应的两段站点配置，不会写入系统目录或启动服务。第一段监听 80，仅从 `/var/lib/opsx-vpn/acme` 提供 `/.well-known/acme-challenge/`；其他路径 `return 444`。第二段在证书**已签发后**监听 443：只反代已知前端页面、构建资源和已注册 API，其余路径 `return 444`；未知 TLS 主机名拒绝握手。切换模式必须按以下顺序进行（先备份现有站点，检查是否已有服务占用 80/443）：
 
-1. 可用引导按钮安装 `nginx`、`certbot`，检查云安全组放行 TCP 80/443 和域名 A/AAAA 记录；检查现有 `/etc/nginx/sites-enabled/`，若自带 default 站点占用 `default_server`，先备份并禁用该站点。若 Go 当前监听 80/443，先规划停机切换，不能同时启动 Nginx。
-2. 创建 `/var/lib/opsx-vpn/acme/.well-known/acme-challenge`，让 Nginx 工作账户能读取该目录；将页面预览的 HTTP 段保存为站点文件，先运行 `nginx -t`，再启动或重载 Nginx。先确认挑战路径从公网可读、其他 HTTP 请求断开，再执行 `certbot certonly --webroot -w /var/lib/opsx-vpn/acme -d test-link.appx365.com`。预览中的域名是页面实际配置的域名，替换示例命令中的域名。
-3. 确认证书和私钥存在于 `/etc/letsencrypt/live/<域名>/` 后，追加预览的 HTTPS 段；运行 `nginx -t` 后重载。设置 Certbot 续期定时器和 deploy hook：续期成功时先 `nginx -t`，再 `systemctl reload nginx`。运行 `certbot renew --dry-run` 并确认 hook 的实际生效方式（测试续期时可能需要 `--run-deploy-hooks`）。
+1. 在设置页安装 `nginx`、`certbot`，检查云安全组 TCP 80/443 和域名 A/AAAA 记录；保存公网域名与 Nginx 入口模式，重启 opsx-vpn 使模式生效。页面的“启用站点并申请证书”会核对已有站点和端口冲突，拒绝覆盖非默认站点；发行版默认软链接移至 `/etc/nginx/opsx-vpn-default.disabled`。Go 与 Nginx 不能同时监听 80/443。
+2. 点击启用操作后，服务生成 HTTP-01 站点并校验 `nginx -t`，使用 `certbot certonly --webroot` 申请证书；失败时页面展示过程与错误，并保留 HTTP 验证站点供重试。Certbot 当前使用无邮箱注册，续签异常不会发送邮件提醒。
+3. 证书签出后程序自动追加 HTTPS 站点、检查配置并重载，同时安装固定续签钩子（`nginx -t` + `systemctl reload nginx`）。确认 Certbot 续签定时器运行，执行 `certbot renew --dry-run` 检查续签；生产验证时再核对 `--run-deploy-hooks` 对钩子的实际效果。证书状态页读取实际的证书到期日；不要仅以站点文件存在判断公网可用。
 4. 页面保存入口模式为 Nginx，启动或重启 opsx-vpn 并设置 `VPN_LISTEN_ADDR=127.0.0.1:18080`；确认 `https://<域名>/api/health`、登录及各业务页面可用，未知路径断开，80 的挑战仍可读，然后收紧 18080 公网安全组。若现有业务必须从公网直连 18080，先迁移这些客户端。
 
 不要只开放 `/oauth2/callback`：独立的 OIDC 认证域名还要转发认证组件的完整登录流程，且应另为该域名申请证书。管理站点的路由预览不覆盖认证域名；真实认证域名和组件端口确认后单独配置。若代理和 VPN 主机分离，预览里的 `127.0.0.1` 指代理主机自身，应改成受限私网地址并保护传输链路。回退时先恢复原 Nginx 配置及 opsx-vpn 入口模式，运行 `nginx -t` 后重载，不删除 `data/` 或已有证书。

docs/specs/SDD-004-nginx-acme-entry.md

@@ -3,7 +3,7 @@
 | 字段 | 内容 |
 |---|---|
 | 级别 | S3（公网暴露面、系统服务、证书私钥） |
-| 状态 | 本地实现入口模式保存、首次初始化与路由白名单预览；线上未安装 Nginx/Certbot，80/443 尚未启用 |
+| 状态 | 已实现入口模式、依赖准备、管理员启用站点与申请证书；2026-10-22 线上已安装 Nginx/Certbot，80/443 待发布验证 |
 | 已有实现 | SDD-003 的 Go `autocert` 单域名监听已在本地完成，尚未上线 |
 | 目标 | 管理员从页面设置域名并查看证书；可选地由 Nginx 承担 80/443、HTTP-01 和认证反代，未知管理站点路径直接断开 |
 
@@ -17,10 +17,10 @@
 
 首次引导增量：设置页将通用网络检查（root、默认出口、IPv4 转发）与可选的 Nginx 入口准备分开；只有管理员点击通用修复时才启用 IPv4 转发。各协议专属依赖仍在“创建专线”按所选协议单独检测、安装。Nginx 卡片只读检测 `/etc/os-release`、root、软件可用性；点击准备后以 POST 流接收逐条进度。服务端只执行 Ubuntu 的 `apt-get` 或 TencentOS Server 4 的 `dnf` 固定安装参数，创建 ACME webroot，不接受客户端命令、路径或包名。单次仅一项任务、各命令有超时；浏览器离开不取消已开始的系统包操作。不会写已有 Nginx 站点配置，也不会假称证书已签出。安装完成后须按下述步骤启用 HTTP 站点并签发。初始化失败保留软件包状态，重新检测后可重试，不删除已有配置。
 
-1. 由管理员先核对域名、云安全组 TCP 80/443、站点冲突、Nginx/Certbot 软件包和 Certbot 续期定时器；如启用 Go 监听，先规划停止 Go 80/443 后再启动 Nginx。页面只保存入口模式和预览配置，不会写入 `/etc/nginx`，也不会实际检测外部代理状态。
-2. 生成最小 HTTP 站点，仅让指定域名的 `/.well-known/acme-challenge/` 从固定 webroot 读取令牌；其他请求关闭。检查 `nginx -t` 后启动 Nginx，用 Certbot `--webroot` 首次签发。
-3. 证书签出后添加 443 站点；Nginx 配置要精确匹配管理站点路由，TLS 默认主机拒绝握手，认证入口仅以独立 Host 转发到 `127.0.0.1:19090+`。`nginx -t` 通过后 reload，再验证合法 API、SPA 深链接、未知路径、HTTP-01、证书域名和到期日。
-4. 验证续期的 `certbot renew --dry-run` 与 deploy hook；失败时恢复原站点配置与原 HTTP 服务，保留 `data/` 和证书缓存。Nginx 模式不把签发结果宣称为 Go `autocert` 的缓存证书。
+1. 由管理员核对域名、云安全组 TCP 80/443、站点冲突、Nginx/Certbot 软件包和 Certbot 续期定时器；先保存 `nginx` 模式并重启服务，避免 Go 占用 80/443。页面启用操作会检查现有启用站点及监听端口；拒绝覆盖非发行版默认站点或其他自定义站点。
+2. 生成最小 HTTP 站点，仅让指定域名的 `/.well-known/acme-challenge/` 从固定 webroot 读取令牌；其他请求关闭。检查 `nginx -t` 后启动 Nginx，用 Certbot `--webroot` 首次签发。发行版默认站点软链接移动至 `/etc/nginx/opsx-vpn-default.disabled`，失败时原路径恢复；签发失败保留 HTTP 验证站点供重试。
+3. 证书签出后添加 443 站点；Nginx 配置要精确匹配管理站点路由，TLS 默认主机拒绝握手，认证入口仅以独立 Host 转发到 `127.0.0.1:19090+`。`nginx -t` 通过后 reload，再验证合法 API、SPA 深链接、未知路径、HTTP-01、证书域名和到期日。管理员 API 的 NDJSON 输出在页面实时展示；证书公钥元数据从 Certbot 路径读取，私钥不返回。
+4. 验证续期的 `certbot renew --dry-run` 与 deploy hook；证书更新后通过固定钩子校验、重载 Nginx。HTTP 站点安装失败时恢复原配置；证书签发失败保留 HTTP 验证站点；HTTPS 配置校验失败时退回 HTTP 站点。保留 `data/` 和证书缓存。Nginx 模式不把签发结果宣称为 Go `autocert` 的缓存证书。当前 Certbot 注册不提供邮箱，续签异常须主动监控。
 
 ## 验收
 
@@ -34,4 +34,4 @@
 
 ## 边界
 
-`return 444` 是 Nginx 的断连响应，不是权限控制；合法接口仍必须由 Gin 鉴权。Go `autocert` 模式不会提供 `return 444`。不能用路径白名单阻断 ACME 续期、MFA 或 WebAuth。认证域名与管理域名若合并，需要重新设计路径分发及 Cookie 隔离，不能直接套用独立域名配置。安装初始化已提供页面按钮；签发、续期、Nginx 站点启用及认证域名接入尚未开发成页面一键操作，也未在生产环境执行。
+`return 444` 是 Nginx 的断连响应，不是权限控制；合法接口仍必须由 Gin 鉴权。Go `autocert` 模式不会提供 `return 444`。不能用路径白名单阻断 ACME 续期、MFA 或 WebAuth。认证域名与管理域名若合并，需要重新设计路径分发及 Cookie 隔离，不能直接套用独立域名配置。认证域名接入仍待独立域名和真实发行者信息；Certbot 续签 dry-run 与公网联调以实际执行记录为准。