[RobbsLuo]

Closes #26

做了什么

按 issue 要求把「Caddy + override + README『公网部署（Docker）』」落成可合并的 PR。

• docker-compose.public.yml（新增）：在基础 compose 上叠一个 Caddy 入口。
  • 应用端口 !override 改绑 127.0.0.1:${PORT} —— 不留明文 http 旁路
  • TRUST_PROXY=true + HOST=0.0.0.0 + PUBLIC_BASE_URL=https://<域名>
  • ALLOWED_HOSTS 显式补域名 + 127.0.0.1：非空即「完全替换」语义，漏了会让全站 400 或 healthcheck 永远失败
  • Caddy 服务 depends_on: service_healthy，证书落具名卷 caddy_data
• deploy/caddy/Caddyfile（新增）：自动签发 / 续期、HTTP→HTTPS 308、flush_interval -1 保 SSE 逐帧、X-Forwarded-For 覆盖式写入（客户端伪造无效）、/metrics 公网返 404、反代不设超时上限（交给应用 STREAM_* / UPSTREAM_COMPLETE_TIMEOUT_SECONDS）
• README 中 / 英：新增「公网部署（Docker + Caddy 自动 HTTPS）」一节，含 .env 两项、启动命令、覆盖文件逐条解释与注意事项；「快速开始」互链
• .env.example：补 PUBLIC_DOMAIN / ACME_EMAIL；TECHNICAL.md 目录表同步
• CI compose job：新增覆盖文件 config --quiet 与 caddy validate 两步

验证

• docker compose config（base）+ 覆盖文件均通过；缺 PUBLIC_DOMAIN 时按预期报错
• 本地真实跑通：coding2api healthy → coding2api-caddy 起来；https://localhost/health 200、/metrics 404、http 80 → 308、SSE 逐帧 0.3s 间隔到达、客户端伪造的 X-Forwarded-For: 1.2.3.4 被改写为真实对端
• Caddyfile caddy validate 通过（v2.11.7）；docker build 通过
• 后端 ruff + pytest --cov-fail-under=100 → 100%

注：tests/deploy/test_assets.py::test_newsyslog_rule_matches_launchd_plist_paths 在本机 worktree 下失败，是本机已安装的 com.coding2api plist 指向主仓库路径所致（stash 掉本 PR 改动后同样失败），与本次改动无关，CI 上该用例跳过。

影响

• 常规（内网 / 本地）部署完全不受影响：不传覆盖文件时不引用 PUBLIC_DOMAIN，基础 compose 行为不变
• 需要 Docker Compose ≥ 2.24（!override 标签）

追加（2026-11-01，回应 #29）

已 rebase 到最新 main（只 TECHNICAL.md 一处冲突，已解决），并补上「只有公网 IP、没有域名」的支持：

• IP-only 两条路：① 用 sslip.io / nip.io 这类公共通配 DNS 名（203-0-113-10.sslip.io 自动解析到 203.0.113.10）照常走 Let's Encrypt，证书浏览器直接认（代价：证书按注册域限流，这两个域名被所有使用者共享，历史上被打满过）；② PUBLIC_DOMAIN=<公网 IP> + TLS_MODE=internal，Caddy 用自带 CA 自签，链路照样加密（浏览器告警 / curl -k / 客户端装根证书）。
• TLS_MODE 选证书来源：acme（默认，域名）/ internal（公网 IP）。Caddyfile 站点块按 TLS_MODE import deploy/caddy/tls_{acme,internal}.caddyfile；ACME_EMAIL 只在 acme 片段里被引用 → 自签模式不再被一个用不到的邮箱卡住。
• Caddyfile 加 default_sni {$PUBLIC_DOMAIN}：浏览器与 curl 对 IP 字面量一律不发 SNI（RFC 6066 只允许主机名），自签模式没有它选不出证书，客户端只看到 tlsv1 alert internal error（握手直接失败，不是「证书不受信任」）。
• CI：compose config 与 caddy validate 都按两种模式各跑一遍，并加了「缺 PUBLIC_DOMAIN 必须报错」的回归保护。
• tests/deploy：补公网部署静态断言（回环绑定、ALLOWED_HOSTS 补回环、XFF 覆盖式写入、default_sni、TLS 片段互不越界、.env.example / CI 与产物同源）。

验证：docker compose config（acme / internal / 缺 PUBLIC_DOMAIN 报错）+ caddy validate（域名模式、公网 IP 模式且不传 ACME_EMAIL）全通过；本地真起容器（公网 IP 站址 + internal）：no-SNI curl -k 拿到 200、80 端口 308、/metrics 404；后端 ruff + pytest --cov-fail-under=100 → 4430 passed / 100%。

[aiqujuni]

服务器没有绑定域名，只有公网IP可以正常部署，https吗？

[aiqujuni]

@RobbsLuo @claude