最终结构#

anpier.cn：主域名。
www.anpier.cn、blog.anpier.cn：301 跳转到主域名。
Nginx：提供 Astro 静态文件，并把 /api/ 转发到 Node.js。
Node.js：提供浏览量和点赞接口，只监听 127.0.0.1:8787。
SQLite：保存统计数据，文件为 /var/lib/anpier/stats.db。
systemd：守护统计服务。
GitHub Actions：推送 main 后自动构建、上传和切换版本。
Cloudflare：只负责 DNS，不再使用 Pages、Functions 和 D1。

服务器购买于雨云，系统镜像为 Debian 12 + 宝塔 LNMP，运行 Node.js 22。所有 SERVER_IP 都要替换成服务器公网 IP。

一、准备服务器#

以 root 登录服务器：

1
apt update
2
apt install -y ca-certificates curl git openssl rsync sqlite3 sudo
3

4
curl -fsSL https://deb.nodesource.com/setup_22.x -o /tmp/nodesource_setup.sh
5
bash /tmp/nodesource_setup.sh
6
apt install -y nodejs
7

8
node -v
9
sqlite3 --version

创建部署用户、服务用户和目录：

1
adduser --disabled-password --gecos "" deploy
2
useradd --system --user-group --no-create-home \
3
  --home-dir /opt/anpier-api --shell /usr/sbin/nologin anpier
4

5
install -d -o deploy -g deploy -m 0755 /var/www/anpier
6
install -d -o deploy -g deploy -m 0755 /var/www/anpier/releases
7
install -d -o deploy -g deploy -m 0755 /opt/anpier-api
8
install -d -o deploy -g deploy -m 0755 /opt/anpier-api/releases
9
install -d -o anpier -g anpier -m 0750 /var/lib/anpier
10
install -d -o root -g anpier -m 0750 /etc/anpier
11
install -d -o root -g root -m 0750 /var/backups/anpier
12
install -d -o deploy -g deploy -m 0700 /home/deploy/.ssh

二、配置自动部署 SSH#

在 Windows PowerShell 生成 GitHub Actions 专用密钥：

1
$ServerIp = "SERVER_IP"
2
ssh-keygen -t ed25519 -C "anpier-github-actions" `
3
  -f "$env:USERPROFILE\.ssh\anpier_github_actions"

公钥可以放到服务器，私钥不能上传到仓库或服务器：

1
Get-Content "$env:USERPROFILE\.ssh\anpier_github_actions.pub" | `
2
  ssh root@$ServerIp "cat >> /home/deploy/.ssh/authorized_keys"

回到服务器设置权限：

1
chown deploy:deploy /home/deploy/.ssh/authorized_keys
2
chmod 600 /home/deploy/.ssh/authorized_keys

测试部署账户：

1
ssh -i "$env:USERPROFILE\.ssh\anpier_github_actions" deploy@$ServerIp

在服务器查看主机密钥指纹：

1
ssh-keygen -lf /etc/ssh/ssh_host_ed25519_key.pub

在 Windows 获取同一指纹并核对：

1
ssh-keyscan -t ed25519 $ServerIp 2>$null | ssh-keygen -lf -

三、安装统计服务#

仓库内已经包含以下文件：

1
deploy/anpier-api.service
2
deploy/api.env.example
3
server/
4
scripts/activate-release.sh
5
.github/workflows/deploy.yml

在仓库目录上传 systemd 配置：

1
scp .\deploy\anpier-api.service root@${ServerIp}:/tmp/anpier-api.service

在服务器安装服务并创建环境变量：

1
install -o root -g root -m 0644 \
2
  /tmp/anpier-api.service /etc/systemd/system/anpier-api.service
3

4
install -o root -g anpier -m 0640 /dev/null /etc/anpier/api.env
5
hash_secret="$(openssl rand -hex 32)"
6
printf '%s\n' \
7
  'ANPIER_HOST=127.0.0.1' \
8
  'ANPIER_PORT=8787' \
9
  'ANPIER_DB_PATH=/var/lib/anpier/stats.db' \
10
  "ANPIER_HASH_SECRET=$hash_secret" \
11
  'ANPIER_ALLOWED_ORIGINS=https://anpier.cn,https://www.anpier.cn,https://blog.anpier.cn' \
12
  > /etc/anpier/api.env
13
unset hash_secret
14

15
systemctl daemon-reload
16
systemctl enable anpier-api.service

只允许 deploy 重启统计服务：

1
printf '%s\n' \
2
  'deploy ALL=(root) NOPASSWD: /usr/bin/systemctl restart anpier-api.service' \
3
  > /etc/sudoers.d/anpier-deploy
4
chmod 0440 /etc/sudoers.d/anpier-deploy
5
visudo -cf /etc/sudoers.d/anpier-deploy

四、配置 GitHub Actions#

打开 GitHub 仓库：

1
Settings -> Environments -> New environment -> production

在 production 的 Environment secrets 中添加：

名称	值
`DEPLOY_HOST`	服务器公网 IP
`DEPLOY_PORT`	`22`
`DEPLOY_USER`	`deploy`
`DEPLOY_SSH_KEY`	`anpier_github_actions` 私钥的完整内容
`SSH_KNOWN_HOSTS`	服务器的 ED25519 主机密钥行

在 Windows 把私钥送入剪贴板，再粘贴到 DEPLOY_SSH_KEY：

1
Get-Content -Raw "$env:USERPROFILE\.ssh\anpier_github_actions" | Set-Clipboard

把主机密钥送入剪贴板，再粘贴到 SSH_KNOWN_HOSTS：

1
ssh-keyscan -t ed25519 $ServerIp 2>$null | Set-Clipboard

推送一次代码，首次部署会自动创建 current 软链接并启动 API：

1
git push origin main

确认 GitHub Actions 中以下任务全部通过：

1
Deploy to VPS
2
Build and Check
3
Code quality

服务器验证：

1
systemctl status anpier-api.service --no-pager
2
curl --fail http://127.0.0.1:8787/api/healthz
3
ls -l /var/www/anpier/current /opt/anpier-api/current

五、配置 Nginx 和 HTTPS#

在宝塔中新建站点，添加三个域名：

1
anpier.cn
2
www.anpier.cn
3
blog.anpier.cn

网站目录设为：

1
/var/www/anpier/current

不需要创建 MySQL 数据库，也不需要 PHP。

在站点配置的 server 块中加入：

1
if ($host != 'anpier.cn') {
2
    return 301 https://anpier.cn$request_uri;
3
}
4

5
location ^~ /api/ {
6
    proxy_pass http://127.0.0.1:8787;
7
    proxy_http_version 1.1;
8
    proxy_set_header Host $host;
9
    proxy_set_header X-Real-IP $remote_addr;
10
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
11
    proxy_set_header X-Forwarded-Proto $scheme;
12
    proxy_connect_timeout 5s;
13
    proxy_read_timeout 15s;
14
}

在宝塔的 SSL 页面选择 Let’s Encrypt，同时申请以下三个域名的免费证书，然后开启强制 HTTPS：

1
anpier.cn
2
www.anpier.cn
3
blog.anpier.cn

不需要购买商业 SSL 证书。证书必须包含三个域名，否则别名在跳转前会先出现证书错误。

检查并重载 Nginx：

1
/www/server/nginx/sbin/nginx -t
2
/etc/init.d/nginx reload

六、切换 DNS#

域名在阿里云购买，但 NS 已指向 Cloudflare，因此 DNS 记录在 Cloudflare 修改。

添加以下记录，代理状态先设为 DNS only：

类型	名称	内容
`A`	`@`	服务器公网 IP
`CNAME`	`www`	`anpier.cn`
`CNAME`	`blog`	`anpier.cn`

验证：

1
Resolve-DnsName anpier.cn
2
curl.exe -I http://anpier.cn/about/
3
curl.exe -I https://www.anpier.cn/about/
4
curl.exe -I https://blog.anpier.cn/about/
5
curl.exe https://anpier.cn/api/healthz

预期结果：HTTP 跳转 HTTPS，www 和 blog 跳转 anpier.cn，健康接口返回 {"status":"ok"}。

七、迁移浏览量和点赞#

第一次部署后数据库会自动创建。迁移前先停止 API 并备份：

1
systemctl stop anpier-api.service
2
backup_file="/var/backups/anpier/stats-before-import-$(date +%Y%m%d-%H%M%S).db"
3
sqlite3 /var/lib/anpier/stats.db ".backup '$backup_file'"
4
chmod 600 "$backup_file"

本次迁移使用浏览量 1203、点赞 280：

1
sudo -u anpier sqlite3 /var/lib/anpier/stats.db "
2
BEGIN IMMEDIATE;
3
INSERT INTO counters (name, value) VALUES ('site_total', 1203)
4
  ON CONFLICT(name) DO UPDATE SET value = excluded.value;
5
INSERT INTO counters (name, value) VALUES ('site_like', 280)
6
  ON CONFLICT(name) DO UPDATE SET value = excluded.value;
7
DELETE FROM action_locks;
8
COMMIT;
9
"
10

11
systemctl start anpier-api.service
12
curl --fail http://127.0.0.1:8787/api/healthz
13
sqlite3 /var/lib/anpier/stats.db \
14
  "SELECT name, value FROM counters ORDER BY name;"

浏览量按访客 12 小时去重；点赞每次点击都会增加，后端限制每个 IP 每小时最多 120 次。

八、配置数据库备份#

创建备份脚本：

1
tee /usr/local/sbin/backup-anpier-db >/dev/null <<'EOF'
2
#!/usr/bin/env bash
3
set -Eeuo pipefail
4

5
backup_dir=/var/backups/anpier
6
database=/var/lib/anpier/stats.db
7
timestamp=$(date +%Y%m%d-%H%M%S)
8

9
umask 077
10
sqlite3 "$database" ".backup '$backup_dir/stats-$timestamp.db'"
11
find "$backup_dir" -type f -name 'stats-*.db' -mtime +30 -delete
12
EOF
13

14
chmod 0750 /usr/local/sbin/backup-anpier-db

每天 03:30 备份：

1
printf '%s\n' \
2
  '30 3 * * * root /usr/local/sbin/backup-anpier-db' \
3
  > /etc/cron.d/anpier-backup
4
chmod 0644 /etc/cron.d/anpier-backup
5

6
/usr/local/sbin/backup-anpier-db
7
ls -lh /var/backups/anpier

九、配置管理账户#

生成管理员密钥：

1
ssh-keygen -t ed25519 -C "anpier-admin" `
2
  -f "$env:USERPROFILE\.ssh\anpier_admin"

服务器创建管理员账户：

1
adduser adrian
2
usermod -aG sudo adrian
3
install -d -o adrian -g adrian -m 0700 /home/adrian/.ssh

从 Windows 安装管理员公钥：

1
Get-Content "$env:USERPROFILE\.ssh\anpier_admin.pub" | `
2
  ssh root@$ServerIp "cat >> /home/adrian/.ssh/authorized_keys"

服务器修正权限：

1
chown adrian:adrian /home/adrian/.ssh/authorized_keys
2
chmod 600 /home/adrian/.ssh/authorized_keys

先保持原 SSH 会话，另开窗口测试：

1
ssh -i "$env:USERPROFILE\.ssh\anpier_admin" adrian@$ServerIp

确认密钥登录和 sudo 正常后，再关闭 root 和密码远程登录：

1
printf '%s\n' \
2
  'PermitRootLogin no' \
3
  'PasswordAuthentication no' \
4
  'PubkeyAuthentication yes' \
5
  > /etc/ssh/sshd_config.d/00-anpier.conf
6

7
sshd -t
8
systemctl reload ssh
9
sshd -T | grep -E '^(permitrootlogin|passwordauthentication|pubkeyauthentication) '

十、日常发布#

修改文章或代码后，在 Windows 仓库目录执行：

1
pnpm.cmd check
2
pnpm.cmd api:test
3
pnpm.cmd build
4

5
git status
6
git add .
7
git commit -m "更新博客"
8
git push origin main

推送完成后不需要手动上传文件。GitHub Actions 会构建静态站点、测试 API、上传新版本、切换 current 软链接并重启服务；健康检查失败时会自动恢复上一个版本。

十一、换电脑后的操作#

先在旧电脑或加密备份中保存管理员私钥：

1
C:\Users\用户名\.ssh\anpier_admin
2
C:\Users\用户名\.ssh\anpier_admin.pub

GitHub Actions 的部署私钥已经保存在 GitHub，新电脑发布文章不需要该私钥。不要把任何私钥提交到仓库。

新电脑安装 Git、Node.js 22、pnpm 9.14.4 和 VS Code，然后执行：

1
git config --global user.name "你的 GitHub 用户名"
2
git config --global user.email "你的 GitHub 邮箱"
3

4
corepack enable
5
corepack prepare pnpm@9.14.4 --activate
6

7
Set-Location C:\Blog
8
git clone https://github.com/Adrian-Pierre/anpier_blog.git
9
Set-Location C:\Blog\anpier_blog
10
pnpm.cmd install --frozen-lockfile
11
pnpm.cmd check
12
pnpm.cmd build

把备份的 anpier_admin 和 anpier_admin.pub 放回新电脑的 .ssh 目录，即可管理服务器：

1
ssh -i "$env:USERPROFILE\.ssh\anpier_admin" adrian@SERVER_IP

如果管理员私钥已经丢失，通过雨云控制台的远程连接进入服务器，生成一对新密钥，并把新公钥加入：

1
/home/adrian/.ssh/authorized_keys

十二、故障检查#

1
# API 状态和日志
2
systemctl status anpier-api.service --no-pager
3
journalctl -u anpier-api.service -n 100 --no-pager
4

5
# 本机 API
6
curl --fail http://127.0.0.1:8787/api/healthz
7
curl http://127.0.0.1:8787/api/site-total
8
curl http://127.0.0.1:8787/api/site-like
9

10
# Nginx
11
/www/server/nginx/sbin/nginx -t
12
tail -n 100 /www/wwwlogs/anpier.cn.error.log
13

14
# 当前版本
15
readlink /var/www/anpier/current
16
readlink /opt/anpier-api/current
17

18
# 数据库
19
sqlite3 /var/lib/anpier/stats.db \
20
  "SELECT name, value FROM counters ORDER BY name;"

不要使用 POST /api/site-like 做普通检查，因为每次 POST 都会真实增加点赞数。