零代码快速建站指南：WordPress 与 Halo 实战

# 文件路径：/opt/wordpress/docker-compose.yml
# 使用前先创建目录：mkdir -p /opt/wordpress && cd /opt/wordpress

services:

  # ── MySQL 数据库 ────────────────────────────────────────────────────────────
  db:
    image: mysql:8.0
    container_name: wp-mysql
    restart: unless-stopped
    environment:
      MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD}   # 在 .env 文件中设置
      MYSQL_DATABASE: wordpress
      MYSQL_USER: wpuser
      MYSQL_PASSWORD: ${MYSQL_PASSWORD}
    volumes:
      - db_data:/var/lib/mysql    # 数据库文件持久化
    networks:
      - wp-net

  # ── WordPress 主程序 ────────────────────────────────────────────────────────
  wordpress:
    image: wordpress:latest
    container_name: wordpress
    restart: unless-stopped
    depends_on:
      - db
    ports:
      - "127.0.0.1:8080:80"    # 只绑定本地，通过 Nginx 反代对外提供 HTTPS
    environment:
      WORDPRESS_DB_HOST: db
      WORDPRESS_DB_NAME: wordpress
      WORDPRESS_DB_USER: wpuser
      WORDPRESS_DB_PASSWORD: ${MYSQL_PASSWORD}
      WORDPRESS_TABLE_PREFIX: wp_
    volumes:
      - wp_data:/var/www/html   # WordPress 文件持久化（主题/插件/上传文件）
    networks:
      - wp-net

volumes:
  db_data:
  wp_data:

networks:
  wp-net:

# 文件路径：/opt/wordpress/.env
# 密码不要提交到 Git！

MYSQL_ROOT_PASSWORD=请替换为强随机密码_Root
MYSQL_PASSWORD=请替换为强随机密码_WP

# 1. 进入工作目录
cd /opt/wordpress

# 2. 创建 .env 文件（修改密码后保存）
nano .env

# 3. 启动服务（后台运行）
docker compose up -d

# 4. 查看启动状态（应看到两个容器 running）
docker compose ps

# 5. 查看 WordPress 日志（排查启动问题）
docker compose logs wordpress

# 文件路径：/opt/halo/docker-compose.yml

services:

  # ── PostgreSQL 数据库（Halo 2.x 官方推荐）────────────────────────────────
  postgres:
    image: postgres:16-alpine
    container_name: halo-postgres
    restart: unless-stopped
    environment:
      POSTGRES_DB: halo
      POSTGRES_USER: halo
      POSTGRES_PASSWORD: ${PG_PASSWORD}
    volumes:
      - pg_data:/var/lib/postgresql/data
    networks:
      - halo-net
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U halo -d halo"]
      interval: 10s
      retries: 5

  # ── Halo 主程序 ──────────────────────────────────────────────────────────
  halo:
    image: halohub/halo:2
    container_name: halo
    restart: unless-stopped
    depends_on:
      postgres:
        condition: service_healthy
    ports:
      - "127.0.0.1:8090:8090"   # 只绑定本地，通过 Nginx 反代
    environment:
      SPRING_R2DBC_URL: r2dbc:pool:postgresql://postgres/halo
      SPRING_R2DBC_USERNAME: halo
      SPRING_R2DBC_PASSWORD: ${PG_PASSWORD}
      SPRING_SQL_INIT_PLATFORM: postgresql
      HALO_EXTERNAL_URL: https://blog.yourdomain.com   # 改为您的域名
      HALO_SECURITY_INITIALIZER_SUPERADMINUSERNAME: admin
      HALO_SECURITY_INITIALIZER_SUPERADMINPASSWORD: ${HALO_ADMIN_PASSWORD}
    volumes:
      - halo_data:/root/.halo2   # Halo 数据（主题/插件/附件）
    networks:
      - halo-net

volumes:
  pg_data:
  halo_data:

networks:
  halo-net:

# 文件路径：/opt/halo/.env

PG_PASSWORD=请替换为强随机密码
HALO_ADMIN_PASSWORD=请替换为管理员密码

# 1. 安装 certbot（Debian/Ubuntu）
apt install certbot python3-certbot-nginx -y

# 2. 申请 SSL 证书（自动修改 Nginx 配置）
certbot --nginx -d blog.yourdomain.com

# 或者只申请证书，不修改 Nginx（手动配置）
certbot certonly --nginx -d blog.yourdomain.com

# 3. 测试自动续期（证书 90 天有效，certbot 会自动续期）
certbot renew --dry-run

# 4. 查看已申请的证书
certbot certificates

# 文件路径：/etc/nginx/conf.d/blog.conf
# 适用于 WordPress（端口 8080）和 Halo（端口 8090），修改端口和域名即可

server {
    listen 443 ssl;
    http2 on;
    server_name blog.yourdomain.com;   # 改为您的域名

    # SSL 证书路径（使用 certbot 申请，见下文）
    ssl_certificate     /etc/letsencrypt/live/blog.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/blog.yourdomain.com/privkey.pem;

    # 上传文件大小限制（WordPress 上传图片/视频需要）
    client_max_body_size 64M;

    # 反代到本地容器
    location / {
        proxy_pass         http://127.0.0.1:8080;   # WordPress 用 8080，Halo 用 8090
        proxy_http_version 1.1;
        proxy_set_header   Host $host;
        proxy_set_header   X-Real-IP $remote_addr;
        proxy_set_header   X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header   X-Forwarded-Proto $scheme;
        proxy_read_timeout 300;
    }

    # 静态资源缓存（提升加载速度）
    location ~* .(css|js|png|jpg|jpeg|gif|ico|svg|woff2)$ {
        proxy_pass http://127.0.0.1:8080;
        expires 30d;
        add_header Cache-Control "public, immutable";
    }
}

# HTTP 强制跳转 HTTPS
server {
    listen 80;
    server_name blog.yourdomain.com;
    return 301 https://$host$request_uri;
}

保存配置后验证并重载 Nginx：

# 验证配置语法
nginx -t

# 无报错则重载
systemctl reload nginx

关键安全命令参考

# ── WordPress 文件权限加固 ──────────────────────────────────────────────────
# 在容器内执行（docker exec -it wordpress bash）
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;

# ── 关闭 WordPress 文件编辑器（防止被黑后直接改代码）────────────────────────
# 在 wp-config.php 末尾添加：
# define('DISALLOW_FILE_EDIT', true);

# ── 限制 wp-admin 只允许特定 IP 访问（Nginx 配置）───────────────────────────
# 在 nginx.conf 的 location / 块内添加：
# location /wp-admin {
#     allow 你的家庭IP;
#     deny all;
# }

# ── 定期备份数据库（配合第19篇备份方案）────────────────────────────────────
# WordPress 数据库备份：
docker exec wp-mysql mysqldump -u wpuser -p密码 wordpress > /backup/wp-$(date +%Y%m%d).sql

# Halo 数据库备份：
docker exec halo-postgres pg_dump -U halo halo > /backup/halo-$(date +%Y%m%d).sql