2.1 架构定稿#

1
访客 → https://tu.mstzuomu.space
2
         │
3
      Nginx（:80/:443，certbot 证书）
4
         ├─ /file/*  → 磁盘静态直出（try_files，老图+新图都在这）
5
         │              查无此文件时回退 @imgbed
6
         └─ 其余路径  → 反代 http://127.0.0.1:7658
7
                          │
8
                    imgbed 容器（Docker）
9
                    上传页 / 管理后台 / API
10
                          │ 存储渠道：WebDAV
11
                          ▼
12
                    rclone serve webdav（172.17.0.1:8081）
13
                          ▼
14
                    /var/www/imgbed/file（真身，Nginx 同时静态托管）

要点：新上传经 WebDAV 落到与静态托管同一目录，于是新老图片统一走 Nginx 静态，应用只负责上传/管理；?width= 尺寸参数会被 Nginx 无视并返回原图（博客端本就有回退兜底，显示无碍）。

2.2 数据无损导出（旧站侧）#

CloudFlare-ImgBed 的「备份恢复」只导元数据不含图片二进制，别用它当迁移。可用路径：

• 管理 API 枚举 + 逐张下载（本文采用）：
  1. POST /api/auth/adminLogin，JSON {"username":"...","password":"..."}，保存 HttpOnly Cookie；
  2. GET /api/manage/list?start=0&count=1000&recursive=true（或 /api/manage/batch/list?limit=1000&includeValue=true）拿全量 fileId 列表；
  3. 逐个 GET /file/<URL逐段编码的fileId>（不带 width/fallback 参数即为原件），按 fileId 相对路径落盘——fileId 本身含目录（如 文章/1791196825739_19文章.jpg），目录结构天然保留；
• 也可在后台开启 WebDAV 后用 rclone/Cyberduck 递归下载，效果等同。

本站实测：56 个文件、45.63 MiB、零失败，JPEG/PNG/PDF 魔数头尾全量校验通过。导出目录整包留了一份本地备份（imgbed-export），确认新站稳定后再删。

注意：Windows 下 PowerShell 5.1 读 UTF-8 JSON 会按 ANSI 解码炸掉，用 pwsh 7 或 [IO.File]::ReadAllText(...,[Text.Encoding]::UTF8)；curl 提交登录 JSON 建议 -d @文件（BOM 也会让 JSON 解析失败）。

2.3 服务器侧：Nginx#

Ubuntu（备案载体轻量服务器，不要重装系统——备案接入资源绑着它）上：

1
sudo apt-get install -y nginx
2
sudo mkdir -p /var/www/imgbed/file   # 导出的目录树放进 file/ 下，对齐 /file/ URL 空间

站点配置（/etc/nginx/sites-available/imgbed，核心段）：

1
server {
2
    listen 80 default_server;
3
    listen [::]:80 default_server;
4
    server_name tu.mstzuomu.space _;
5
    root /var/www/imgbed;
6
    charset utf-8;
7
    client_max_body_size 100m;
8

9
    location /file/ {
10
        add_header Cache-Control "public, max-age=31536000, immutable";
11
        try_files $uri @imgbed;
12
    }
13
    location @imgbed {
14
        proxy_pass http://127.0.0.1:7658;
15
        proxy_set_header Host $host;
16
        proxy_set_header X-Real-IP $remote_addr;
17
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
18
        proxy_set_header X-Forwarded-Proto $scheme;
19
    }
20
    location / {
21
        proxy_pass http://127.0.0.1:7658;
22
        proxy_set_header Host $host;
23
        proxy_set_header X-Real-IP $remote_addr;
24
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
25
        proxy_set_header X-Forwarded-Proto $scheme;
26
    }
27
}

2.4 服务器侧：Docker 部署 CF-ImgBed 本体#

官方提供 Docker 部署（文档 https://cfbed.sanyue.de/ 有专门章节），无需改代码。国内服务器拉 Docker Hub 会超时，必须换镜像源前缀，实测腾讯内网源 mirror.ccs.tencentyun.com 对轻量服务器可用：

1
services:
2
  imgbed:
3
    image: mirror.ccs.tencentyun.com/marseventh/cloudflare-imgbed:latest
4
    container_name: imgbed
5
    restart: unless-stopped
6
    ports:
7
      - "127.0.0.1:7658:8080"   # 注意：应用容器内监听 8080，不是 7658！
8
    environment:
9
      - BASIC_USER=<管理员用户名>
10
      - BASIC_PASS=<管理员密码>
11
    volumes:
12
      - /opt/imgbed/data:/app/data

1
cd /opt/imgbed && docker compose up -d

两个端口坑：

• 容器日志会写 Server running at http://0.0.0.0:8080——映射写 宿主机端口:8080，照抄 7658<7658> 会连不上；
• 首次启动可能报 duplicate column name: tags 迁移警告，无害。

2.5 服务器侧：rclone WebDAV（应用的「本地磁盘」渠道）#

图床程序的存储渠道选 WebDAV，指向宿主机上的 rclone：

1
sudo apt-get install -y rclone

systemd 单元（/etc/systemd/system/rclone-webdav.service）：

1
[Service]
2
User=ubuntu
3
ExecStart=/usr/bin/rclone serve webdav /var/www/imgbed/file --addr 172.17.0.1:8081 --user <dav用户名> --pass <dav密码>
4
Restart=on-failure

1
sudo systemctl enable --now rclone-webdav

本方案最大的坑在这里：--addr 绝不能写 127.0.0.1:8081。Docker 容器里的 127.0.0.1 是容器自己，访问宿主机要走 docker0 网桥地址 172.17.0.1。绑定网桥地址后容器可达、公网不可达（配合防火墙），安全与功能兼得。症状是上传接口 500、应用日志 WebDAV upload error: fetch failed。

2.6 后台配置#

浏览器访问 https://tu.mstzuomu.space/dashboard 登录（BASIC_USER/BASIC_PASS）：

1. 系统设置 → 上传设置 → 上传渠道管理：添加渠道，类型 WebDAV，基础地址 http://172.17.0.1:8081，填 dav 账号密码；启用该渠道；
2. 顺手关掉默认开启的 R2_env 渠道开关（Docker 版会把上传塞进容器内 /app/data/r2，Nginx 静态层看不见，表现为「上传成功但外网 0 字节」）；
3. 安全设置 → 管理端认证可改用户名/密码——注意改密码时除了新密码还有**「确认密码」框**，漏填会静默保存失败（接口表现：旧密码仍可登录）。改完记得同步 docker-compose.yml 的 BASIC_* 环境变量并 docker compose up -d。

2.7 HTTPS 与防火墙#

1
sudo apt-get install -y certbot python3-certbot-nginx
2
sudo certbot --nginx -d tu.mstzuomu.space -n --redirect --agree-tos --register-unsafely-without-email

轻量应用服务器控制台的防火墙默认只开了 22/80/ICMP，443 需要手动「添加规则」放行 TCP 443，否则证书和 Nginx 都就绪、外网 443 依然不通。certbot 会重排 Nginx 配置，用 IP 直连 <80> 可能从此 404，属正常现象，管理走域名即可。

2.8 DNS 与验收#

EdgeOne zone（NS 已在 EO）里给 tu 加 A 记录 → 服务器公网 IP。验收清单：

• https://tu.mstzuomu.space/ 出上传页；
• 老图片原 URL（/file/目录/文件名）200 且字节数与导出一致；
• http:// 自动 301 到 https；
• 后台拖图上传 → 返回 /file/ 链接 → 外网可访问 → 服务器磁盘 /var/www/imgbed/file 能看到该文件；
• /dashboard 用新账号登录成功。

自托管后 Docker、rclone、Nginx 均已 enable 开机自启，certbot 走 systemd timer 自动续签。

3.1 备案号页脚#

src/config/FooterConfig.html（Firefly 主题专用页脚注入文件）挂 ICP 号。规则：广东备案挂主体号，非广东挂服务备案号（本站为山东，挂 -1 后缀的服务号），链接到 https://beian.miit.gov.cn/。公安备案号下证后在同文件解注释补挂（去 beian.mps.gov.cn 复制官方 HTML）。

3.2 博客三入口统一到 azuma#

Layout.astro 头部有一段 is:inline 跳转脚本，白名单只匹配 www.mstzuomu.space 与根域 mstzuomu.space，302 到 azuma 并保留路径/查询串。两轮收紧的教训：

1. 第一版判断「非 azuma 就跳」——localhost 预览也被跳走，改为线上域名匹配；
2. 第二版用正则匹配所有 *.mstzuomu.space——误伤 tu（若某域名返回了含博客脚本的 HTML）。最终白名单化。

另：siteConfig.ts 的 site_url 已同步为 https://azuma.mstzuomu.space（canonical/sitemap 基址）。

平台侧还埋过一颗雷：曾按「所有域名统一 301」的思路在 EO zone 建过边缘函数规则（匹配全部 Host）。EO 的规则只对 zone 加速域名生效、对 EO Pages 域名（www/azuma/根域）不生效——所以博客没事，但后加的 zone 加速域名 tu 被规则误 301 到博客。已删除该规则。复刻时若只要页面级跳转，别在 zone 上留「匹配全部」的边缘函数。

3.3 fc / pub / twikoo 的复活#

三个子域在 NS 切换时 DNS 记录丢失，均为 Vercel 项目，在 EO zone 各补一条 CNAME → cname.vercel-dns.com 即复活：

博客端评论开关在 src/config/commentConfig.ts（type: "twikoo"，envId 指向自有域名）。

3.4 服务器与备案的绑定关系#

轻量服务器是 ICP 备案的接入资源（备案单上的云资源 IP），也是本次图床的宿主机。不要释放/退订它——备案接入悬空有被注销风险。网站本体跑在 EdgeOne Pages 上属于常见实践，但服务器必须保持在网。

3.5 DNSPod 控制台的「未生效」提示#

域名 NS 在 EdgeOne 的 qeodns 上，不在 DNSPod。腾讯云「云解析 DNS（DNSPod）」控制台提示「未设置正确的 DNS 服务器」是跨产品的正常现象，无视即可，解析记录都在 EO 站点的「域名服务 → DNS 记录」里管理。