edge 容器自带证书续期(certbot in nginx 镜像)

- edge 改为自定义镜像:官方 nginx + certbot + dns-cloudflare 插件
- pangolin-entrypoint.sh:后台每12h certbot renew,续期后本容器内 nginx -s reload
- 不再需要宿主 cron / docker socket / 独立 certbot 服务做日常续期
- /etc/letsencrypt 改 rw 挂载,挂入 cloudflare.ini
- compose 去掉 build:(宿主 docker-compose 不支持 compose build),改脚本 docker build
- deploy.sh/cutover.sh: docker build -t pangolin-edge:local 后再 up

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

deploy/docker-compose.yml

@@ -4,9 +4,12 @@
 # project 名由命令行 `-p pangolin` 指定(兼容宿主 docker-compose 版本)。
 
 services:
-  # 分发层:接管 80/443,移植现网全部路由(host 网络才能绑端口并回连 127.0.0.1 后端)
+  # 分发层:接管 80/443,移植现网全部路由(host 网络才能绑端口并回连 127.0.0.1 后端)。
+  # 自定义镜像 = 官方 nginx + certbot,容器自己续签自己用的证书(无需宿主 cron / docker socket)。
   edge:
-    image: nginx:1.27-alpine
+    # 镜像由脚本用 `docker build -t pangolin-edge:local ./edge` 预先构建
+    # (宿主 docker-compose 版本不支持 compose build)。
+    image: pangolin-edge:local
     container_name: pangolin-edge
     restart: unless-stopped
     network_mode: host
@@ -14,9 +17,10 @@ services:
       - ./edge/nginx.conf:/etc/nginx/nginx.conf:ro
       - ./edge/stream.conf:/etc/nginx/stream.conf:ro
       - ./edge/conf.d:/etc/nginx/conf.d:ro
-      - /etc/letsencrypt:/etc/letsencrypt:ro     # 证书(只读)
-      - /opt/jiu:/opt/jiu:ro                     # jiu 静态(images/web/marketing)
-      - /var/www/pay:/var/www/pay:ro             # 收款页静态
+      - /etc/letsencrypt:/etc/letsencrypt              # rw:certbot 续期写入,nginx 读取
+      - ./secrets/cloudflare.ini:/etc/cloudflare.ini:ro # DNS-01 续期凭据
+      - /opt/jiu:/opt/jiu:ro                           # jiu 静态(images/web/marketing)
+      - /var/www/pay:/var/www/pay:ro                   # 收款页静态
     healthcheck:
       test: ["CMD", "nginx", "-t"]
       interval: 1m
@@ -34,8 +38,9 @@ services:
       - ./secrets/hy2:/etc/sing-box/cert:ro
     command: ["run", "-c", "/etc/sing-box/config.json"]
 
-  # 证书续期(DNS-01 / Cloudflare)—— 按需运行:`docker compose run --rm certbot renew`
-  # 由宿主 cron 每日调用,renew 后宿主再 `docker exec pangolin-edge nginx -s reload`。
+  # 证书工具(DNS-01 / Cloudflare)—— 仅手动用于首次签发/重配:
+  #   docker-compose -p pangolin run --rm certbot certonly --dns-cloudflare ...
+  # 日常【自动续期由 edge 容器自身完成】(见 edge/pangolin-entrypoint.sh),无需本服务。
   certbot:
     image: certbot/dns-cloudflare:latest
     container_name: pangolin-certbot