# EK-DOS-WEB
#
# nginx macht beides: es liefert das statisch gebaute React-Bündel aus und
# reicht ausschliesslich /api/ an php-fpm weiter. Auf dem Server läuft kein
# Node und kein Anwendungsserver -- nur nginx und php8.5-fpm.
#
# Ablage:  /etc/nginx/sites-available/ekdos.conf  ->  sites-enabled/
# Prüfen:  nginx -t && systemctl reload nginx

upstream ekdos_php {
    # Unix-Socket statt TCP: kein Netzwerkstack, keine offene Portnummer.
    server unix:/run/php/ekdos.sock;
}

server {
    listen 80;
    listen [::]:80;
    server_name schulung.elektro-krueger.local;

    # Hinter einem TLS-Terminator (Cloudflare, vorgelagertes nginx) diesen Block
    # entfernen und stattdessen den 443-Block unten verwenden.
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    listen [::]:443 ssl;
    http2 on;
    server_name schulung.elektro-krueger.local;

    ssl_certificate     /etc/ssl/ekdos/fullchain.pem;
    ssl_certificate_key /etc/ssl/ekdos/privkey.pem;
    ssl_protocols       TLSv1.2 TLSv1.3;

    # Das gebaute Bündel aus dem Gitea-Lauf.
    root  /var/www/ekdos/current;
    index index.html;

    # Die Anwendung ist intern; sie gehört in keinen Suchindex.
    add_header X-Robots-Tag "noindex, nofollow" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "same-origin" always;

    # Rechnungen und Serviceberichte sind mehrere Megabyte gross.
    client_max_body_size 32m;

    # ── Statische Oberfläche ──────────────────────────────────────────────
    # Vite vergibt Inhaltshashes, deshalb dürfen die Bündel dauerhaft im Cache
    # liegen. Nur index.html darf das nicht, sonst sieht niemand ein Update.
    location /assets/ {
        expires 1y;
        add_header Cache-Control "public, immutable";
        try_files $uri =404;
    }

    location = /index.html {
        add_header Cache-Control "no-store";
    }

    # Einseitenanwendung: jede unbekannte Adresse bekommt index.html.
    location / {
        try_files $uri $uri/ /index.html;
    }

    # ── Backend ───────────────────────────────────────────────────────────
    location /api/ {
        include       fastcgi_params;
        fastcgi_pass  ekdos_php;

        # Einziger Einstiegspunkt. Es gibt keine weiteren .php-Dateien im Web.
        fastcgi_param SCRIPT_FILENAME /var/www/ekdos/backend/public/index.php;
        fastcgi_param SCRIPT_NAME     /index.php;
        fastcgi_param DOCUMENT_ROOT   /var/www/ekdos/backend/public;

        # Der Rechnungsabgleich und grosse PDFs brauchen Luft.
        fastcgi_read_timeout 60s;
        fastcgi_buffering    off;

        # Damit die Anmeldebremse die echte Adresse sieht.
        fastcgi_param HTTP_X_FORWARDED_FOR $proxy_add_x_forwarded_for;
        fastcgi_param HTTPS on;
    }

    # PHP wird nirgendwo sonst ausgeführt.
    location ~ \.php$ {
        return 404;
    }

    # Punktdateien bleiben unerreichbar (.env, .git und Ähnliches).
    location ~ /\. {
        deny all;
    }

    access_log /var/log/nginx/ekdos.access.log;
    error_log  /var/log/nginx/ekdos.error.log warn;
}