零代码快速建站指南：WordPress 与 Halo 实战

# ── 安装 WP Panel ────────────────────────────────────────────────────────
# 当前官方安装命令仅支持全新 Debian 13；面板以 root 管理 Nginx/PHP/数据库
# 先下载、阅读并与 GitHub Release 核对，再决定是否执行
curl -fL -o wp-panel-install.sh   https://raw.githubusercontent.com/naibabiji/wp-panel/main/install.sh
less wp-panel-install.sh
sudo bash wp-panel-install.sh

# 安装后立即保存恢复信息、修改随机初始密码并收敛面板入口
# 不要在已有业务机上直接安装；先做快照并准备控制台恢复路径

# 文件路径：/opt/wordpress/docker-compose.yml
# 使用前先创建目录：mkdir -p /opt/wordpress && cd /opt/wordpress

services:

  # ── MySQL 数据库 ────────────────────────────────────────────────────────────
  db:
    image: mysql:${MYSQL_VERSION}       # .env 固定已复核的兼容版本
    container_name: wp-mysql
    restart: unless-stopped
    environment:
      MYSQL_RANDOM_ROOT_PASSWORD: "1"   # 应用不使用 root，初始化时生成随机 root 密码
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wpuser
      MYSQL_PASSWORD: ${MYSQL_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql    # 数据库文件持久化
    networks:
      - wp-net

  # ── WordPress 主程序 ────────────────────────────────────────────────────────
  wordpress:
    image: wordpress:${WORDPRESS_VERSION} # 固定 WordPress + PHP + Apache 组合版本
    container_name: wordpress
    restart: unless-stopped
    depends_on:
      - db
    ports:
      - "127.0.0.1:8080:80"    # 只绑定本地，通过 Nginx 反代对外提供 HTTPS
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_NAME: wordpress
      WORDPRESS_DB_USER: wpuser
      WORDPRESS_DB_PASSWORD: ${MYSQL_PASSWORD}
      WORDPRESS_TABLE_PREFIX: wp_
    volumes:
      - wp_data:/var/www/html   # WordPress 文件持久化（主题/插件/上传文件）
    networks:
      - wp-net

volumes:
  db_data:
  wp_data:

networks:
  wp-net:

# 文件路径：/opt/wordpress/.env
# 密码不要提交到 Git！

MYSQL_VERSION=填写已复核版本
WORDPRESS_VERSION=填写已复核的完整镜像标签
MYSQL_PASSWORD=请替换为强随机密码_WP

# chmod 600 .env；生产环境可进一步改用官方镜像支持的 *_FILE 密钥变量

# 1. 进入工作目录
cd /opt/wordpress

# 2. 创建 .env 文件（修改密码后保存）
nano .env

# 3. 启动服务（后台运行）
docker compose up -d

# 4. 查看启动状态（应看到两个容器 running）
docker compose ps

# 5. 查看 WordPress 日志（排查启动问题）
docker compose logs wordpress

# 文件路径：/opt/halo/docker-compose.yml

services:

  # ── PostgreSQL 数据库（Halo 2.x 官方推荐）────────────────────────────────
  postgres:
    image: postgres:${POSTGRES_VERSION}
    container_name: halo-postgres
    restart: unless-stopped
    environment:
      POSTGRES_DB: halo
      POSTGRES_USER: halo
      POSTGRES_PASSWORD: ${PG_PASSWORD}
    volumes:
      - pg_data:/var/lib/postgresql/data
    networks:
      - halo-net
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U halo -d halo"]
      interval: 10s
      retries: 5

  # ── Halo 主程序 ──────────────────────────────────────────────────────────
  halo:
    image: halohub/halo:${HALO_VERSION} # 固定已复核的 Halo 2.x 发布版
    container_name: halo
    restart: unless-stopped
    depends_on:
      postgres:
        condition: service_healthy
    ports:
      - "127.0.0.1:8090:8090"   # 只绑定本地，通过 Nginx 反代
    environment:
      SPRING_R2DBC_URL: r2dbc:pool:postgresql://postgres/halo
      SPRING_R2DBC_USERNAME: halo
      SPRING_R2DBC_PASSWORD: ${PG_PASSWORD}
      SPRING_SQL_INIT_PLATFORM: postgresql
      HALO_EXTERNAL_URL: https://blog.yourdomain.com   # 改为您的域名
      HALO_SECURITY_INITIALIZER_SUPERADMINUSERNAME: admin
      HALO_SECURITY_INITIALIZER_SUPERADMINPASSWORD: ${HALO_ADMIN_PASSWORD}
    volumes:
      - halo_data:/root/.halo2   # Halo 数据（主题/插件/附件）
    networks:
      - halo-net

volumes:
  pg_data:
  halo_data:

networks:
  halo-net:

# 文件路径：/opt/halo/.env

PG_PASSWORD=请替换为强随机密码
HALO_ADMIN_PASSWORD=请替换为管理员密码
POSTGRES_VERSION=填写 Halo 当前文档支持的版本
HALO_VERSION=填写已复核的完整版本

# chmod 600 .env；初始化完成后妥善保存恢复凭据

# 1. 安装 certbot（Debian/Ubuntu）
apt install certbot python3-certbot-nginx -y

# 2. 申请 SSL 证书（自动修改 Nginx 配置）
certbot --nginx -d blog.yourdomain.com

# 或者只申请证书，不修改 Nginx（手动配置）
certbot certonly --nginx -d blog.yourdomain.com

# 3. 测试自动续期（证书 90 天有效，certbot 会自动续期）
certbot renew --dry-run

# 4. 查看已申请的证书
certbot certificates

# 文件路径：/etc/nginx/conf.d/blog.conf
# 适用于 WordPress（端口 8080）和 Halo（端口 8090），修改端口和域名即可

server {
    listen 443 ssl;
    http2 on;
    server_name blog.yourdomain.com;   # 改为您的域名

    # SSL 证书路径（使用 certbot 申请，见下文）
    ssl_certificate     /etc/letsencrypt/live/blog.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/blog.yourdomain.com/privkey.pem;

    # 上传文件大小限制（WordPress 上传图片/视频需要）
    client_max_body_size 64M;

    # 反代到本地容器
    location / {
        proxy_pass         http://127.0.0.1:8080;   # WordPress 用 8080，Halo 用 8090
        proxy_http_version 1.1;
        proxy_set_header   Host $host;
        proxy_set_header   X-Real-IP $remote_addr;
        proxy_set_header   X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header   X-Forwarded-Proto $scheme;
        proxy_read_timeout 300;
    }

    # 缓存策略应按资源是否带内容哈希设置；不要对所有 WordPress 资源强制 immutable
}

# HTTP 强制跳转 HTTPS
server {
    listen 80;
    server_name blog.yourdomain.com;
    return 301 https://$host$request_uri;
}

保存配置后验证并重载 Nginx：

# 验证配置语法
nginx -t

# 无报错则重载
systemctl reload nginx

关键安全命令参考

# ── 关闭 WordPress 文件编辑器（降低后台账号失陷后的修改面）──────────────
# 在 wp-config.php 末尾添加：
# define('DISALLOW_FILE_EDIT', true);

# 文件所有者和权限按官方镜像运行用户、只读范围和实际上传目录设置
# 不要对整个持久卷无差别 chmod；同时启用强密码、2FA 和最少管理员账号

# ── 一致性数据库导出（密码通过受限客户端配置或 secret 提供）──────────────────
docker exec wp-mysql mysqldump --single-transaction -u wpuser wordpress   > /backup/wp-$(date +%Y%m%d).sql

# Halo 使用容器内受限环境认证导出：
docker exec halo-postgres pg_dump -U halo -d halo   > /backup/halo-$(date +%Y%m%d).sql

# 数据库导出必须与同一时点的 uploads/wp-content 或 Halo 数据目录配套
# 上传异地后做校验，并定期在隔离实例验证登录、文章、媒体和固定链接