這張卡做什麼（白話）

寫落地版的 nginx 設定檔 nginx.onprem.conf：讓前端容器成為整套系統唯一對外入口（80/443），瀏覽器打進來的 API 請求、WebSocket 即時連線都由 nginx 轉發到內網的後端服務——客戶只需要開一個網址就能用整套系統，後端 port 全部收進內網。

• 母案 CM-1189：https://app.notion.com/p/FR-065-Installer-3bc346da4cd081c4abf3ce74a28ba384
• 所屬子需求卡 CM-1243：https://app.notion.com/p/FR-065-1-docker-compose-DB-Redis-3be346da4cd08137a49ee57856e80143
• 設計文件：docs/features/FR-065-2608-onprem-installer/design.md §4.1（nginx 段）＋§3.2 借鑑表

具體實作內容

以 FE repo 既有 nginx.e2e.conf（test repo e2e-env 驗證過的同源反代範本）為底改成產品版，upstream 指向 compose service 名：

• 同源反代：/api/1.0 → guidant-api:8000；/socket.io → guidant-socketio:8002（必須分開兩個 upstream／service，含 WebSocket upgrade header：Upgrade/Connection）
• resolver 127.0.0.11 valid=10s＋變數形式 upstream 動態解析（docker 內建 DNS）
• 調校：client_max_body_size 0（大檔上傳）；API 段 proxy_read_timeout 600s＋proxy_buffering off（長工時匯出如 SSP docx/PDF）；socket.io 段 timeout 3600s
• SPA 路由：靜態檔 try_files $uri $uri/ /index.html
• 443 HTTPS＋憑證掛載（bind ro，私鑰不進 image）：這不是資安加分項而是功能必要——FE aiChatStore 用 crypto.randomUUID()，非 secure context（localhost 之外的裸 HTTP）下為 undefined 且錯誤被吞，登入直接卡死零訊息

易踩雷提醒

• 不寫 resolver 動態解析 → BE restart 換 IP 後 nginx 快取舊 IP，全站 502——客戶自己重啟服務是常態，必踩
• WS upgrade 沒設，SocketIO 握手失敗、即時功能全啞
• 憑證私鑰絕不可 build 進 image，一律 bind mount 唯讀

驗收條件

• 反代全路由通（/api/1.0、/socket.io、SPA 路由重整不 404）
• BE restart 後前端不 502（動態解析生效）
• HTTPS 下登入流程通（secure context 驗證，crypto.randomUUID() 有值）