edge 容器自带证书续期(certbot in nginx 镜像)

- edge 改为自定义镜像:官方 nginx + certbot + dns-cloudflare 插件
- pangolin-entrypoint.sh:后台每12h certbot renew,续期后本容器内 nginx -s reload
- 不再需要宿主 cron / docker socket / 独立 certbot 服务做日常续期
- /etc/letsencrypt 改 rw 挂载,挂入 cloudflare.ini
- compose 去掉 build:(宿主 docker-compose 不支持 compose build),改脚本 docker build
- deploy.sh/cutover.sh: docker build -t pangolin-edge:local 后再 up

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

deploy/README.md

@@ -39,19 +39,20 @@ sudo bash /home/ec2-user/pangolin/scripts/cutover.sh
 docker-compose -p pangolin stop edge && sudo systemctl start nginx
 ```
 
-## 证书续期(切换后)
+## 证书续期(自动,无需宿主 cron)
+
+`pangolin-edge` 是自定义镜像(官方 nginx + certbot),**容器内每 12h 自动 `certbot renew`(DNS-01/Cloudflare),续期后在本容器内 `nginx -s reload`**。见 `edge/pangolin-entrypoint.sh`。无需宿主 cron、无需 docker socket。
 
 ```bash
-# 一次性:把 blog/jiu/vpn 三证书改为 DNS-01(Cloudflare)
-cd ~/pangolin
+# 手动验证续期可用(staging,不动正式证书)
+docker exec pangolin-edge certbot renew --dry-run
+# 首次签发/重配(仅手动,用独立 certbot 服务)
 docker-compose -p pangolin run --rm certbot certonly --dns-cloudflare \
-  --dns-cloudflare-credentials /etc/cloudflare.ini \
-  -d blog.51yanmei.com -d jiu.51yanmei.com -d vpn.51yanmei.com --keep-until-expiring
-# 续期 + 重载(建议加进宿主 cron,每日一次)
-docker-compose -p pangolin run --rm certbot renew -q
-docker exec pangolin-edge nginx -s reload
+  --dns-cloudflare-credentials /etc/cloudflare.ini -d <域名> --cert-name <域名>
 ```
 
+> 证书文件在 `/etc/letsencrypt`(rw 挂载进 edge);CF 凭据 `secrets/cloudflare.ini` 挂到 `/etc/cloudflare.ini`。
+
 ## 取客户端导入串(Hy2,含口令)
 
 ```bash