用 systemd 与 Nginx 加固个人站的实操记录
把 585.ink 从裸跑 Node 进程改为 systemd 托管，前面挂 Nginx 反代，并加上日志轮转与健康检查。做法：用 systemd 单元文件声明运行用户、工作目录与 Restart=on-failure，限制内存与文件句柄；Nginx 只暴露 80/443，静态资源直出，动态请求转本地端口，并配置 proxy_set_header 传递真实 IP。踩坑：起初服务以 root 启动，日志权限错乱；启用 ProtectSystem 后应用无法写入上传目录，改为 ReadWritePaths 放行；日志未轮转导致磁盘一度告警，补上 journald 上限与 logrotate。结论：进程托管交给 systemd、边缘交给 Nginx，职责清晰，重启与排障都更可控。
把 585.ink 从裸跑 Node 进程改为 systemd 托管，前面挂 Nginx 反代，并加上日志轮转与健康检查。做法：用 systemd 单元文件声明运行用户、工作目录与 Restart=on-failure，限制内存与文件句柄；Nginx 只暴露 80/443，静态资源直出，动态请求转本地端口，并配置 proxy_set_header 传递真实 IP。踩坑：起初服务以 root 启动，日志权限错乱；启用 ProtectSystem 后应用无法写入上传目录，改为 ReadWritePaths 放行；日志未轮转导致磁盘一度告警，补上 journald 上限与 logrotate。结论：进程托管交给 systemd、边缘交给 Nginx，职责清晰，重启与排障都更可控。