  JianMiauandClaude Opus 5
|
ae3221c460
|
移除 app 容器的對外埠，對外只保留 nginx 的 HTTPS 入口
摘要：
360-player 服務改為只 expose 不 ports，明文 HTTP 不再離開容器內網，
對外入口只剩 360-player-web 的 8443。
根本原因：
先前為了讓區網能用 IP 免憑證警告直連，保留了 app 的 ${PORT}:8360 對外映射。
但該埠在路由器上也有對外轉發，實際使用時是以網域連線
（http://jianmiau.tk:8360），等於在外網留了一條明文路徑。
影響：
外網走 8360 時，影片內容與 API 全程未加密，加上 TLS 的意義被抵消。
修法：
- docker-compose.yml 拿掉 360-player 的 ports，只留 expose: 8360；
nginx 仍可經容器內網以服務名連到它
- 保留註解說明如何加回來，並註明要綁死區網介面而非 0.0.0.0
- .env / .env.example 移除不再被 compose 參照的 PORT
- README 的 SSL 段落改寫，說明代價是區網也要用網域連
驗證：
docker compose config 展開後只有一個 published port（8443 → 8443），
360-player 服務底下僅剩 expose。
備註：路由器上 8360 的 port forwarding 需另外手動關閉，僅改 compose 不足以關掉外網入口。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
|
2026-08-21 15:01:56 +08:00 |
|
|
JianMiauandClaude Opus 5
|
fa220b00eb
|
新增 nginx 容器終結 TLS，讓播放器可用 HTTPS 連線
摘要：
比照 badminton-scoreboard 的做法，加一個 nginx 容器負責 SSL，
反向代理到原本的 Node 應用；Node 端維持純 HTTP，不碰憑證。
根本原因：
播放器原本只提供 HTTP。專案內原先想直接 symlink www/certificate 進來，
但那份憑證是 2026-04-16 從 DSM 複製出來的靜態副本，已於 2026-07-01 過期，
且 DSM 續期後不會自動更新副本。共用目錄 /volume1/docker/certs 才是
其他專案在用、且持續被續期的來源（目前效期至 2026-09-04）。
影響：
- 外網連線全程明文
- 若沿用 www/certificate，瀏覽器會直接因憑證過期而擋下連線
修法：
- 新增 docker/nginx/（Dockerfile + entrypoint.sh）：啟動時把 cert.pem 與
chain.pem 正規化並串成 fullchain，依環境變數產生 nginx 設定，
再用 inotifywait 監看憑證目錄，續期後自動 reload，不需重啟容器
- docker-compose.yml 拆成 360-player（app）與 360-player-web（nginx）兩個服務，
憑證以唯讀掛載 ${SSL_CERT_DIR:-/volume1/docker/certs}
- 保留 app 的 HTTP 埠：憑證綁網域，區網用 IP 連 HTTPS 必定跳警告，
維持 區網走 http / 外網走 https 兩條路
- .env.example 補上 SSL_* 與 HTTPS_PORT 設定項
針對本專案調整（與 badminton-scoreboard 不同之處）：
- proxy_buffering off + proxy_max_temp_file_size 0：影片走 HTTP Range 串流，
開著緩衝 nginx 會把整段回應先寫成暫存檔，數 GB 來源會塞爆容器磁碟
- proxy_read_timeout/send_timeout 24h：/api/events 是 SSE，轉檔動輒數小時，
預設 60 秒會被切斷導致進度停止更新
- 移除 websocket 的 Upgrade 標頭：本專案用 SSE，沒有 websocket
驗證：
以 entrypoint 相同的 awk 邏輯在本機組出 fullchain，openssl 解析得到完整三層
憑證鏈（jianmiau.tk → Let's Encrypt YR2 → ISRG Root YR），且 cert 與 privkey
的 modulus 相符。docker compose config 展開後的路徑與埠號皆正確。
註：無 docker daemon 權限，未實際 build 與啟動容器。
順帶修正 README：videoDir 範例改為 NAS 路徑、VAAPI 一節更新為已實機驗證。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
|
2026-08-21 11:07:29 +08:00 |
|
|
JianMiauandClaude Opus 5
|
2a9e59357e
|
初始化 360 全景影片播放器專案並完成 NAS 部署設定
摘要：
將本機開發的 360° 全景影片播放器納入版控，同時把執行環境從 Windows
切換到 Synology NAS，改以 Docker 部署。
根本原因：
專案原本只在有 NVIDIA 顯卡的 Windows 機器上跑，config.json 寫死了
Windows 磁碟機路徑 W:/photo/Badminton，NAS 上無法直接啟動。
另外 DSM 內建的 ffmpeg 拿掉了 VAAPI 編碼器，裸跑只能走 libx264，
Celeron J4025 雙核轉 4K 360 影片的速度無法接受。
影響：
- 在 NAS 上 npm start 會因為找不到影片資料夾而列不出任何影片
- 即使把路徑改對，轉檔仍只能用 CPU，82 分鐘的 4K 360 影片要跑十幾小時
修法：
- config.json 的 videoDir 改為 NAS 實際路徑 /volume1/photo/Badminton
- docker-compose.yml 啟用 devices: /dev/dri，讓容器取得 Intel UHD 600
的 render node；容器內 Alpine 版 ffmpeg 保有完整 VAAPI 支援，啟動時
會自動偵測成 vaapi 模式，並保留 libx264 當備援
- .env（不進版控）提供 VIDEO_DIR / CACHE_DIR 等 NAS 路徑給 compose 使用
驗證：
容器啟動 log 顯示「轉檔引擎：VAAPI 硬體編碼（Intel/AMD，/dev/dri）」，
/api/config 回傳 modes: ["vaapi","cpu"]，/api/videos 正確辨識來源影片為
3840x1920 equirectangular。
Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
|
2026-08-21 10:57:17 +08:00 |
|