ClaudeandClaude Sonnet 5.5
5500495443
Fällt aircard-api aus, verschwindet sein Traefik-Router und /api/* fiel auf index.html (200 text/html) zurück.
Jetzt 503 mit {"error":"Der Dienst ist gerade nicht erreichbar."} und Content-Type application/json.
Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>
81 lines
3.0 KiB
Plaintext
81 lines
3.0 KiB
Plaintext
# nginx für aircard-ios.org (Container webklar-aircard, nginx:alpine; wird nach
|
|
# /etc/nginx/conf.d/default.conf gemountet). Ausgeliefert wird die statische Seite aus
|
|
# /usr/share/nginx/html (= out/ des Build-Containers). TLS macht Traefik davor.
|
|
#
|
|
# Wichtig: In den location-Blöcken kein add_header verwenden - sonst entfallen die
|
|
# Sicherheits-Header vom server-Block. "expires" ist davon nicht betroffen.
|
|
server {
|
|
listen 80;
|
|
server_name _;
|
|
server_tokens off;
|
|
|
|
root /usr/share/nginx/html;
|
|
index index.html;
|
|
|
|
# Sicherheits-Header (alle Antworten, auch Fehler)
|
|
add_header X-Frame-Options "SAMEORIGIN" always;
|
|
add_header X-Content-Type-Options "nosniff" always;
|
|
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
|
|
# TLS endet bei Traefik; der Header läuft durch und gilt für den Browser (kein includeSubDomains).
|
|
add_header Strict-Transport-Security "max-age=31536000" always;
|
|
|
|
gzip on;
|
|
gzip_vary on;
|
|
gzip_min_length 1024;
|
|
gzip_comp_level 6;
|
|
gzip_types
|
|
text/plain
|
|
text/css
|
|
text/xml
|
|
text/javascript
|
|
application/javascript
|
|
application/json
|
|
application/manifest+json
|
|
application/xml
|
|
image/svg+xml;
|
|
|
|
# Gehashte Build-Dateien: ein Jahr, nie auf index.html zurückfallen.
|
|
location ^~ /assets/ {
|
|
try_files $uri =404;
|
|
expires 1y;
|
|
access_log off;
|
|
}
|
|
|
|
# Die Appwrite-API liegt nur über Traefik (Header X-Appwrite-Project) auf /v1.
|
|
# Ohne diesen Header darf nginx hier nie die App (index.html) ausliefern, auch nicht für genau /v1.
|
|
# Regex-Block: steht vor den anderen Regex-Blöcken (die erste passende Regel gewinnt, /v1/x.png
|
|
# soll also 404 liefern); /assets/ bleibt durch das ^~ oben unberührt.
|
|
location ~ ^/v1(/|$) {
|
|
return 404;
|
|
}
|
|
|
|
# Die Community-API (aircard-api) liegt ebenfalls nur über Traefik auf /api. Fehlt der Dienst (Container weg, damit
|
|
# auch sein Traefik-Router), darf /api/* nie die App ausliefern: der Client bekäme HTML mit 200 statt eines Fehlers.
|
|
# Stattdessen 503 mit JSON-Text, den die Seite wie eine API-Antwort anzeigt. Gleiche Reihenfolge-Regel wie bei /v1.
|
|
# (Kein add_header: sonst entfallen die Sicherheits-Header des server-Blocks; default_type setzt den Content-Type.)
|
|
location ~ ^/api(/|$) {
|
|
default_type application/json;
|
|
return 503 '{"error":"Der Dienst ist gerade nicht erreichbar."}';
|
|
}
|
|
|
|
location = /index.html {
|
|
expires -1;
|
|
}
|
|
|
|
# Versteckte Dateien sperren (außer /.well-known). Steht vor den Regex-Blöcken
|
|
# darunter, damit z. B. /.git/x.png nicht als Bild durchgeht.
|
|
location ~ /\.(?!well-known) {
|
|
deny all;
|
|
}
|
|
|
|
location ~* \.(?:png|jpe?g|gif|webp|avif|svg|ico|woff2?|ttf|otf)$ {
|
|
expires 7d;
|
|
}
|
|
|
|
# Single-Page-App: alle anderen Pfade (/karten, /editor ...) liefern index.html.
|
|
location / {
|
|
try_files $uri $uri/ /index.html;
|
|
expires -1;
|
|
}
|
|
}
|