negiix 更换成 caddy

backend/.env.example

@@ -14,6 +14,10 @@ REDIS_DB=0
 
 JWT_SECRET=change-me
 
+# API 限流：默认开启，每个 IP 每分钟 300 次。
+RATE_LIMIT_ENABLED=true
+RATE_LIMIT_REQUESTS_PER_MINUTE=300
+
 LOG_LEVEL=info
 LOG_DIR=logs
 LOG_ENABLE_CONSOLE=true

backend/.env.prod.example

@@ -2,6 +2,10 @@
 APP_ENV=production
 APP_ADDR=:8080
 
+# Caddy 自动申请和续签 HTTPS 证书使用。
+CADDY_DOMAIN=hfb.221329.cc.cd
+CADDY_EMAIL=admin@example.com
+
 # MySQL 容器初始化变量，同时供后端 DSN 使用。
 MYSQL_ROOT_PASSWORD=change-root-password
 MYSQL_DATABASE=hfb_sys
@@ -15,6 +19,10 @@ REDIS_DB=0
 
 JWT_SECRET=change-to-a-long-random-secret
 
+# API 限流：默认开启，每个 IP 每分钟 300 次。
+RATE_LIMIT_ENABLED=true
+RATE_LIMIT_REQUESTS_PER_MINUTE=300
+
 LOG_LEVEL=info
 LOG_DIR=/app/logs
 LOG_ENABLE_CONSOLE=true

backend/internal/router/router.go

@@ -48,6 +48,9 @@ func New(cfg config.Config, deps Dependencies, logger *zap.Logger) *gin.Engine {
 	}
 
 	engine := gin.New()
+	// 生产环境前置 Caddy，已用实测对端地址覆盖 X-Real-IP，
+	// 直接据此取真实客户端 IP，避免客户端伪造 X-Forwarded-For。
+	engine.TrustedPlatform = "X-Real-IP"
 	engine.Use(middleware.RequestID())
 	engine.Use(middleware.RequestLogger(logger))
 	engine.Use(middleware.Recovery(logger))