# Keep redirects relative so a host-published port is preserved.
absolute_redirect off;

server {
    listen 80;
    server_name _;

    # 不在响应头与默认错误页暴露 nginx 版本号
    server_tokens off;

    root /usr/share/nginx/html;
    index index.html;

    # 安全响应头与 site/dev-server.js 的 SECURITY_HEADERS 保持一致：
    # 同一批页面在本地 dev-server 下用这套 CSP 已实测可用，不能再收紧
    # （演示页与文档站大量依赖内联 script/style）。
    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self' data:; connect-src 'self'; frame-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'; form-action 'self'" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "no-referrer" always;
    add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=()" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    # 文档站改得频繁：让浏览器每次带 If-None-Match 重新校验，避免出现
    # 「已经部署了新 app.js，但浏览器仍跑旧版」这类"改了看不到"。
    # 实测过：没有这条时浏览器会启发式缓存 app.js，重新部署后必须强刷才生效。
    # 未变更时 ETag 命中返回 304，开销极小。
    add_header Cache-Control "no-cache" always;

    # /healthz 只设 default_type（覆盖 http 级 application/octet-stream），
    # 不能用 add_header Content-Type —— 那会追加出重复的 Content-Type；
    # 且 location 内任何 add_header 都会覆盖 server 级继承的安全头。
    location = /healthz {
        access_log off;
        default_type text/plain;
        return 200 'ok\n';
    }

    # 默认重定向到 /site/
    location = / {
        return 302 /site/;
    }

    location = /index.html {
        return 302 /site/;
    }

    location / {
        try_files $uri $uri/ =404;
    }

    gzip on;
    gzip_types text/plain text/css application/javascript application/json image/svg+xml;
    gzip_min_length 1024;
}