# 插入到 /etc/nginx/sites-available/juzi 的 HTTPS server { } 块内。
# 作用：给淘宝小程序云网关一个专用入口 /tb/，反代到 juzi-taobao.service(127.0.0.1:18081)。
#
# 为什么要 allow 白名单：/tb/ 暴露在公网，后面是真实旷视计费调用。
# 只允许聚石塔 NAT 的出口 EIP（以及本机自测）访问，其余一律 403。
#
# 注意：nginx 会剥掉 /tb/ 前缀，所以 /tb/api/taobao/session → Node 收到 /api/taobao/session，
# 与 h5/server.js 的路由完全一致。
location = /tb {
    return 301 /tb/;
}
location /tb/ {
    # 聚石塔 NAT 网关绑定的 EIP。换环境时改这一行。
    allow 47.92.113.176;
    # 本机自测（curl -H 'Host: 1me.xajuzi.com' https://127.0.0.1/tb/api/health）
    allow 127.0.0.1;
    deny all;

    proxy_pass http://127.0.0.1:18081/;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_read_timeout 150s;
}