自动 HTTPS

Caddy 的核心卖点是 开箱即用的 TLS：指定域名后自动向 Let's Encrypt 申请、续期证书。对照 ngx-ssl，无需 certbot 与 ssl_certificate 路径配置。

学习目标

Caddy 启动 → 解析站点域名 → ACME HTTP-01 / TLS-ALPN-01
         → 证书写入 /var/lib/caddy → 自动续期（到期前）

前提：DNS A/AAAA 指向本机（dns-records），80 或 443 可从公网访问。本地开发可用 tls internal 自签。

coderoadmap.cn {
    redir https://www.coderoadmap.cn{uri} permanent
}

www.coderoadmap.cn {
    # reverse_proxy ...
}

等价 Nginx 的 return 301 https://www.coderoadmap.cn$request_uri。Caddy 不会为纯 HTTP 站点自动证书 unless 配置了 HTTPS 站点块。

{
    acme_ca https://acme-staging-v02.api.letsencrypt.org/directory
}

staging 证书不被浏览器信任，用于验证 dns-troubleshoot 与防火墙。验证通过后改回默认 Let's Encrypt 生产 CA。

{
    on_demand_tls {
        ask http://127.0.0.1:8080/caddy/ask
    }
}

https:// {
    tls {
        on_demand
    }
    reverse_proxy ...
}

适用于 多租户自定义域名；需 ask 接口防滥用。CodeRoadMap 固定 www.coderoadmap.cn，生产用显式域名块即可，与 Nginx + certbot 固定证书策略一致。

Caddy → Spring Boot / Next.js 仍用 **http://127.0.0.1**（同机信任边界）。跨主机 upstream 应内网 TLS（kubernetes-essentials 另论）。