mnote/design/cloudflare-path-a-runbook.md

路径 A 实施手册：Cloudflare 入口 + 本地/自建服务器跑完整后端

目标：用户访问你的域名（Cloudflare，当前为 aichem.dpdns.org），请求通过 Cloudflare Tunnel 回源到你自建服务器（或家里电脑）上的 Next.js（wolai-frontend）与 Supabase/LightRAG/MinerU 等服务。

1. 推荐拓扑（最接近你当前代码形态）

• app.aichem.dpdns.org → wolai-frontend（Next 3000：页面 + /api/*）
• supabase.aichem.dpdns.org → Supabase Kong（示例 18000）
• backend.aichem.dpdns.org → wolai-backend（示例 8000，可选）
• onlyoffice.aichem.dpdns.org → OnlyOffice Document Server（示例 8081）
• lightrag.aichem.dpdns.org → LightRAG（示例 7777，建议加 Access）
• mineru.aichem.dpdns.org → MinerU（示例 18888，建议加 Access）

用子域名的原因：Supabase JS 在浏览器端需要一个“稳定的 base URL”。把 Supabase 放在 path（例如 /supabase）会牵涉 WebSocket/重写/多服务路径复杂度，不建议前期这样做。

2. Cloudflare Tunnel 配置

仓库提供了示例文件（已按 aichem.dpdns.org 预填 hostname，可直接改端口/删减服务）：

• scripts/cloudflared/config.yml.example
• scripts/cloudflared/docker-compose.cloudflared.example.yml

你需要做的事：

1. Cloudflare 控制台创建 Tunnel
2. 下载 credentials.json
3. 替换 config.yml 里的 tunnel 与 credentials-file
4. 绑定 DNS：为每个 hostname 绑定到该 tunnel
5. 在服务器上运行 cloudflared（Windows 可直接运行；Linux 可用 docker compose）

3. 环境变量（关键：区分“浏览器访问地址”和“服务端内网地址”）

在路径 A 下，浏览器端必须访问 Cloudflare 域名；但 Next 服务端访问 Supabase/Backend 建议走内网地址（更快、更稳定，不绕 Cloudflare）。

3.1 wolai-frontend

浏览器端（公开）：

• NEXT_PUBLIC_SUPABASE_URL=https://supabase.aichem.dpdns.org
• NEXT_PUBLIC_SUPABASE_ANON_KEY=<anon key>
• NEXT_PUBLIC_BACKEND_URL=https://backend.aichem.dpdns.org（可选）
• NEXT_PUBLIC_ONLYOFFICE_BASE_URL=https://onlyoffice.aichem.dpdns.org（OnlyOffice）
• NEXT_PUBLIC_ONLYOFFICE_STORAGE_HOST_OVERRIDE=supabase.aichem.dpdns.org（可选：仅当你的 signedUrl 里仍出现 127.0.0.1/host.docker.internal 时用）

服务端内网（仅 Next 服务器用，不暴露给浏览器）：

• SUPABASE_INTERNAL_URL=http://127.0.0.1:18000
• SUPABASE_ANON_KEY=<同一个 anon key>
• BACKEND_URL=http://127.0.0.1:8000（可选）

推荐用 wolai-frontend/.env.production.local 来承载生产配置；仓库提供了模板：

• wolai-frontend/.env.production.example

已做代码支持：wolai-frontend/src/lib/supabase/server.ts 会优先用 SUPABASE_INTERNAL_URL；wolai-frontend/src/app/api/media/ocr/route.ts 会优先用 BACKEND_URL。

3.2 ingest_service / rag_gateway

你现在的 services/ingest_service/app/core/config.py 已优先读取仓库根目录 .env.local/.env。 因此只要在根目录 .env.local 正确配置：

• SUPABASE_URL=http://127.0.0.1:18000
• SUPABASE_SERVICE_ROLE_KEY=...
• LIGHTRAG_URL=http://127.0.0.1:7777
• MINERU_ENDPOINT=http://127.0.0.1:18888

即可。

4. 安全建议（路径 A 很重要）

• lightrag.<域名>、mineru.<域名>：建议用 Cloudflare Access 或至少 IP 白名单，否则等同于把内部能力直接暴露到公网。
• supabase.<域名>：若暴露到公网，务必确认 RLS 与 Auth 配置正确；不要泄露 service_role key。