一、现状实测（2026-10-06 SSH 直连）
| 项目 | 实测值 | 评价 |
|---|---|---|
| 公网 IP / 地域 | 43.161.225.209 · 中国香港 | 免 ICP 备案 |
| 系统 / 配置 | Ubuntu 24.04.4 LTS · 2核4G · 59G 盘（用 22%） | 充裕 |
| 运行时长 / 负载 | 2 天 22 小时 · 0.11 / 0.03 / 0.01 | 很空闲 |
| 容器 | ext-web(nginx:80) + ext-backend(127.0.0.1:8000) | 隔离得当·自愈 |
| 外网链路 | 首页/后台/移动端/API/APK 全 HTTP 200 | 全通 |
| HTTPS（443） | 未监听 · https 访问 000 | 缺口 |
| 防火墙 UFW | inactive（靠云安全组兜底） | 建议启用 |
| SSH 账号 | ubuntu（非 root）· 密码登录 | 建议改密钥 |
二、待决事项 ①：服务器续费口径
这台是月付试用档（2核4G 锐驰型 200Mbps）——正是"一个月快到期"所指。月付不续费即停，外部项目与药材谷子域会一起断。
| 方案 | 口径 | 估算费用 | 建议 |
|---|---|---|---|
| A · 续月付 | 按月付，灵活但单价高 | 约 ¥95~105 / 月 | 过渡用 |
| B · 转年付 | 年付通常省 2 个月，锁定成本 | 约 ¥1000~1150 / 年 | 推荐 |
| C · 降配/换机 | 负载仅 0.11，可评估更低配 | 视机型 | 暂不急 |
需王先生确认：请登录腾讯云控制台 → 轻量应用服务器 → 查看「到期时间」与「续费价格」。把确切到期日与价格告诉我，我按你的选择出续费操作步骤 + 停机风险预案。
三、待决事项 ②：HTTPS + 域名加固
当前 443 未监听，用户访问 https://(外部项目域名) 会连不上，浏览器对 http 站点提示"不安全"。这是对外发布架构变更，属人工闸门。
证书选型（三选一）
| 方案 | 说明 | 成本 | 适用 |
|---|---|---|---|
| Let's Encrypt（certbot） | 免费 90 天自动续期，nginx 插件一键签发 | ¥0 | 推荐 |
| 云厂商免费 DV 证书 | 腾讯云/阿里云免费 DV，1 年期，控制台下载 | ¥0 | 可用 |
| 付费 DV / OV | 商业证书，含赔付与技术支持 | ¥数百~数千/年 | 商用期再上 |
执行步骤（确认后我全程可代跑或出脚本）
1
备份现有 nginx 配置
docker exec ext-web cat /etc/nginx/conf.d/*.conf > nginx.bak2
安装 certbot 并签发证书
sudo apt install certbot python3-certbot-nginx → sudo certbot --nginx -d (外部项目域名) -d www.(外部项目域名)3
nginx 加 443 server 块 + http→https 301 跳转（保留 80 供证书校验）
4
自动续期验证
sudo certbot renew --dry-run5
回归验收：https 首页/后台/移动端/API 全 200，http 正确 301
需王先生确认：① 是否授权我按上述步骤（需 SSH 凭据）；② 域名
(外部项目域名) 的 DNS 解析是否已在腾讯云/其它服务商（证书校验需要）。
四、待决事项 ③：安全加固（顺带）
| 项 | 现状 | 建议动作 |
|---|---|---|
| 防火墙 | UFW inactive | 启用 UFW，仅放行 22/80/443 |
| SSH 登录 | 密码登录（发现密钥明文风险） | 改密钥登录 + 禁用密码 |
| docker 权限 | ubuntu 不在 docker 组（需 sudo） | 加入 docker 组，或保持现状 |
建议：与 HTTPS 一起做，一次停机窗口内完成，减少反复重启。
五、执行清单（等你拍板）
| # | 事项 | 状态 |
|---|---|---|
| 1 | 告知服务器到期日 + 续费价格 → 定 A/B 方案 | 待你确认 |
| 2 | 确认是否授权做 HTTPS（含 SSH 凭据） | 待你确认 |
| 3 | 确认 DNS 解析所在服务商 | 待你确认 |
| 4 | 确认安全加固是否一起做 | 待你确认 |
以上 4 项，你回复口径后，我立即出可直接执行的脚本 + 停机预案，并全程跟踪回归。