# 生产部署 (Docker)

用 `docker-compose.prod.yml` 部署，与本地 `docker-compose.yml` 的区别：

- 仅 `api` 映射宿主端口，且绑定 `127.0.0.1:8120`（由外层 nginx 反代 + HTTPS）；`postgres`/`redis`/`minio` 不对外暴露端口，仅容器内网互通。
- 所有服务 `restart: unless-stopped`。
- 凭据从 `.env` 注入（见 `.env.example`），不写入仓库。
- `api` 使用 `api/Dockerfile.prod`：运行镜像用 `scratch`（从构建镜像拷贝 ca-certs），适用于 `gcr.io/distroless` 不可达的环境；Go 模块走 `goproxy.cn`。

## 步骤

```bash
cp .env.example .env   # 填入真实随机密码
docker compose -f docker-compose.prod.yml up -d --build

# 迁移（migrate 容器接入同一网络，DSN 指向 postgres 服务）
set -a; . ./.env; set +a
DBURL="postgres://${POSTGRES_USER}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB}?sslmode=disable"
docker run --rm --network goods_default -v "$PWD/migrations:/migrations" \
  migrate/migrate -path=/migrations -database "$DBURL" up

curl -s http://127.0.0.1:8120/healthz   # {"status":"ok"}
```

nginx 反代（子域 + HTTPS）：80 端口 301 跳转到 443，443 `proxy_pass http://127.0.0.1:8120`，证书用 acme.sh 签发并配 `--reloadcmd "nginx -s reload"` 自动续期。