网关管理
网关（nginx）是整套部署对外的唯一入口：除网关外，容器默认不发布端口到宿主机，所有外部流量由网关按域名分发和代理。本页覆盖域名绑定、CDN 外层接入、回源 Token 与对外接口放行；各服务的端口暴露档位（off / local / public）见配置与排障 - 端口暴露。
域名绑定与 CDN 外层接入
网关支持以下绑定目标：
| 目标 | 用途 |
|---|---|
| ui-admin | 运营管理端 |
| ui-merchant | 商户端 |
| h5 | H5 端 |
| backend | 后端 API |
| app | 移动端 API（小程序/APP 专用入口） |
| artemis | Artemis 控制台 |
域名只填写裸域名，不要带协议和路径。
移动端 API 域名是小程序/APP 的专用入口：绑定后该域名恒放行小程序/APP 登录态接口族与收银开放接口（/unipay），不受「对外接口」开关影响；不绑定时小程序/APP 默认经后端 API 域名接入（由对外接口中的「小程序 / APP API」开关控制）。绑定前提与后端域名一致——须在外层（CDN / 外层网关）配好 HTTPS，微信/支付宝小程序仅允许请求 HTTPS 域名。使用方式：在面板「移动端管理」构建小程序时，把 API 接口地址填为该域名（留空则仍默认用后端 API 域名）。
接入模式
网关源站不配置任何证书，恒只监听 80 回源 HTTP；HTTPS 统一由外侧 CDN / 网关层终结（证书的签发、续期、验证都在外层控制台完成）。接入模式两种：
| 模式 | 行为 | 适用场景 |
|---|---|---|
| 直连源站（默认） | 域名直接解析到服务器，网关不校验请求来源 | 未接入 CDN、内网或临时联调 |
| 经 CDN / 外层网关回源 | 各绑定域名入口只放行带正确回源 Token 的请求，其余 404 | 生产环境，域名已接入 CDN |
CDN 接入清单
切换为「经 CDN / 外层网关回源」后，按面板「CDN 外层接入」页展示的清单操作：
- 在 CDN 控制台为各绑定域名配置 HTTPS 证书（免费证书即可）；
- 回源协议选 HTTP，回源端口填网关监听端口（默认 80）；
- 域名解析指向 CDN 分配的 CNAME；
- CDN 厂商公布回源网段（阿里云 / 腾讯云等）时，建议在云控制台安全组只对网段放行 80 端口（云侧操作），与回源 Token 双层叠加。
切换模式前先配好回源头
切入 CDN 回源模式并应用网关后，在 CDN 控制台配置好回源头之前，直接解析到本机的域名访问将被 404 拒绝——这是预期的防护行为。面板在切换时会给出二次确认提示。
回源 Token
开启 CDN 回源模式后，面板生成回源 Token。在 CDN 控制台配置自定义回源头 X-Daxpay-Origin 的值为该 Token：各绑定域名入口只放行带正确 Token 的请求，防止伪造 Host 绕过 CDN 直连源站。
- 仅绑定域名的入口参与校验：商户 API、通道回调的直连入口不校验 Token（回调服务器不会携带自定义头，必须放行）；
- 「重新生成」Token 后须点击「应用网关配置」生效，旧 Token 立即失效，必须同步修改 CDN 控制台的回源头，否则 CDN 回源请求被 404 拒绝、网站立即断流；
- 绑定后端 API 域名时，该域名必须 CNAME 到 CDN 并配好回源头，微信 / 支付宝等通道回调才能正常回源；
- Artemis 控制台域名不建议走 CDN（多数 CDN 对 WebSocket 支持有限，控制台实时视图可能异常），保持仅内网访问或经 SSH 隧道管理。
域名、接入模式与接口开关保存后，点击「应用网关配置」渲染 nginx 配置并 reload 生效。
对外接口
网关在「网关管理 → 对外接口」按路径前缀放行外部请求，未放行的路径一律拒绝。四个接口组的默认状态：
| 接口组 | 用途 | 默认 |
|---|---|---|
| /unipay | 商户开放 API | 开 |
| /unipay/callback | 通道回调 | 开 |
| /app-* | 小程序 / APP API：管理端/商户端小程序与 APP 的登录态接口 | 开 |
| /epay | 易支付兼容 API | 关 |
小程序 / APP API 覆盖小程序与 APP 登录运行所需的整组后端接口（登录认证、公告、字典、文件上传等），只作用于后端 API 域名这条线。接入路线有三种，开关卡底部的状态行会实时显示当前生效的一种：
- 兼容方式（默认）：小程序构建时 API 地址留空（即用后端 API 域名），开关开启即可正常登录使用；
- 专用入口：绑定了移动端 API 域名，且小程序构建时填入该域名——恒放行、不受本开关影响；存量小程序/APP 全部切换到专用域名后，建议关闭本开关，让登录接口只经专用域名暴露；
- 失联：开关关闭且未绑定移动端 API 域名时，小程序/APP 无法登录——面板在关闭该开关时会弹出后果确认。
直接用 IP 访问时本组接口恒 404（登录端点防暴力破解，与 /admin 恒封禁同立场），不受任何开关影响。
/admin/、/mch/、/demo/、/test/、/swagger-ui/ 等管理或调试路径保持封禁。上线前核对各接口组开关，并结合域名、网关规则和防火墙限制来源。