Initial

2026-09-06 13:25:44 +02:00
commit 7d82e807fc
71 changed files with 10601 additions and 0 deletions
@@ -0,0 +1,97 @@
+# EK-DOS-WEB
+#
+# nginx macht beides: es liefert das statisch gebaute React-Bündel aus und
+# reicht ausschliesslich /api/ an php-fpm weiter. Auf dem Server läuft kein
+# Node und kein Anwendungsserver -- nur nginx und php8.5-fpm.
+#
+# Ablage:  /etc/nginx/sites-available/ekdos.conf  ->  sites-enabled/
+# Prüfen:  nginx -t && systemctl reload nginx
+
+upstream ekdos_php {
+    # Unix-Socket statt TCP: kein Netzwerkstack, keine offene Portnummer.
+    server unix:/run/php/ekdos.sock;
+}
+
+server {
+    listen 80;
+    listen [::]:80;
+    server_name schulung.elektro-krueger.local;
+
+    # Hinter einem TLS-Terminator (Cloudflare, vorgelagertes nginx) diesen Block
+    # entfernen und stattdessen den 443-Block unten verwenden.
+    return 301 https://$host$request_uri;
+}
+
+server {
+    listen 443 ssl;
+    listen [::]:443 ssl;
+    http2 on;
+    server_name schulung.elektro-krueger.local;
+
+    ssl_certificate     /etc/ssl/ekdos/fullchain.pem;
+    ssl_certificate_key /etc/ssl/ekdos/privkey.pem;
+    ssl_protocols       TLSv1.2 TLSv1.3;
+
+    # Das gebaute Bündel aus dem Gitea-Lauf.
+    root  /var/www/ekdos/current;
+    index index.html;
+
+    # Die Anwendung ist intern; sie gehört in keinen Suchindex.
+    add_header X-Robots-Tag "noindex, nofollow" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header Referrer-Policy "same-origin" always;
+
+    # Rechnungen und Serviceberichte sind mehrere Megabyte gross.
+    client_max_body_size 32m;
+
+    # ── Statische Oberfläche ──────────────────────────────────────────────
+    # Vite vergibt Inhaltshashes, deshalb dürfen die Bündel dauerhaft im Cache
+    # liegen. Nur index.html darf das nicht, sonst sieht niemand ein Update.
+    location /assets/ {
+        expires 1y;
+        add_header Cache-Control "public, immutable";
+        try_files $uri =404;
+    }
+
+    location = /index.html {
+        add_header Cache-Control "no-store";
+    }
+
+    # Einseitenanwendung: jede unbekannte Adresse bekommt index.html.
+    location / {
+        try_files $uri $uri/ /index.html;
+    }
+
+    # ── Backend ───────────────────────────────────────────────────────────
+    location /api/ {
+        include       fastcgi_params;
+        fastcgi_pass  ekdos_php;
+
+        # Einziger Einstiegspunkt. Es gibt keine weiteren .php-Dateien im Web.
+        fastcgi_param SCRIPT_FILENAME /var/www/ekdos/backend/public/index.php;
+        fastcgi_param SCRIPT_NAME     /index.php;
+        fastcgi_param DOCUMENT_ROOT   /var/www/ekdos/backend/public;
+
+        # Der Rechnungsabgleich und grosse PDFs brauchen Luft.
+        fastcgi_read_timeout 60s;
+        fastcgi_buffering    off;
+
+        # Damit die Anmeldebremse die echte Adresse sieht.
+        fastcgi_param HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
+        fastcgi_param HTTPS on;
+    }
+
+    # PHP wird nirgendwo sonst ausgeführt.
+    location ~ \.php$ {
+        return 404;
+    }
+
+    # Punktdateien bleiben unerreichbar (.env, .git und Ähnliches).
+    location ~ /\. {
+        deny all;
+    }
+
+    access_log /var/log/nginx/ekdos.access.log;
+    error_log  /var/log/nginx/ekdos.error.log warn;
+}