[功能] 添加域名证书绑定支持，允许为每个域名单独选择证书并优化相关逻辑

docs/design.md

@@ -109,7 +109,9 @@ Origin
 * `proxy_routes` 至少包含一个上游地址；为兼容历史数据保留 `origin_url` 主上游字段，也允许在同一规则内补充多个上游做负载均衡
 * `proxy_routes` 上游统一渲染为带 keepalive 的 named `upstream`；单上游可附带 base path 或 query 并在 `proxy_pass` 中追加，多上游仍限定为纯 `scheme://host[:port]`
 * `proxy_routes.origin_host` 为可选字段，用于回源时覆盖 `Host` 请求头；未设置时默认透传访问域名
-* 网站级流量限制、反向代理、HTTPS 与缓存配置当前按站点共享，不在同一网站内做域名级差异化配置；但 HTTPS 允许为同一站点绑定多张证书，由服务端在同一 `server` 块内联合渲染并按域名完成覆盖校验
+* 网站级流量限制、反向代理与缓存配置当前按站点共享，不在同一网站内做域名级差异化配置；但 HTTPS 允许在同一站点内按域名绑定证书
+* `proxy_routes.domain_cert_ids` 用于记录与 `domains` 平行的域名证书绑定；值为 `0` 表示该域名不启用 HTTPS，仅保留 HTTP
+* 发布渲染时，带证书的域名按证书分组输出独立 `443 ssl` `server` 块；未绑定证书的域名不得被自动带入 HTTPS
 * 发布渲染时必须将 `proxy_routes.domains` 中的全部域名一并纳入同一站点配置，避免同站点在版本快照中被拆散
 * 所有上游地址都必须为合法 `http://` 或 `https://`
 * `config_versions` 必须保存完整快照、渲染结果与 `checksum`

docs/development-guidelines.md

@@ -124,7 +124,9 @@
 * `proxy_routes` 如关联 `origins`，必须同时保存可直接渲染的 `origin_url`；源站地址变更时，由 service 负责同步更新引用该源站的规则快照
 * `proxy_routes` 的上游统一使用 named `upstream` + keepalive；单上游如带 base path 或 query，应在 `proxy_pass` 上补回 URI，多上游仅允许纯 `scheme://host[:port]`
 * `proxy_routes.origin_host` 为可选字段，仅用于覆盖回源 `Host` 请求头，不引入新的平台化对象
-* 流量限制、反向代理、HTTPS 与缓存配置当前都归属站点级 `proxy_routes`，同一网站内不拆分域名级差异配置；其中 HTTPS 可绑定一张或多张证书，但证书选择仍属于站点级配置而非域名级配置
+* 流量限制、反向代理与缓存配置当前都归属站点级 `proxy_routes`，同一网站内不拆分域名级差异配置
+* HTTPS 的启停仍由站点级 `proxy_routes` 控制，但证书绑定必须通过与 `domains` 平行的 `domain_cert_ids` 记录逐域名保存；未绑定证书的域名不得参与 HTTPS 渲染
+* `proxy_routes.cert_ids` 仅作为站点级证书集合与兼容镜像，必须由 `domain_cert_ids` 推导生成；`cert_id` 继续作为首个已使用证书的兼容镜像
 * `config_versions` 必须保存完整快照与渲染结果
 * 全局同时只能有一个激活版本
 * 回滚通过重新激活旧版本实现

docs/website-configuration-redesign.md

@@ -6,7 +6,7 @@
 
 现阶段已经出现以下真实需求：
 
-* 多个域名指向同一站点，并共享反向代理、HTTPS、缓存等设置
+* 多个域名指向同一站点，并共享反向代理、缓存等设置，同时允许按域名分别绑定 HTTPS 证书
 * 后续希望围绕“网站”继续叠加更多功能，而不是持续在规则列表中堆积字段
 * 现有抽屉式编辑界面已经不适合承载更复杂的配置结构
 
@@ -29,7 +29,6 @@
 * 域名设置
 * 流量限制
 * 反向代理
-* HTTPS
 * 缓存
 
 ## 4. 核心模型要求
@@ -89,8 +88,7 @@
 1. 域名设置
 2. 流量限制
 3. 反向代理
-4. HTTPS
-5. 缓存
+4. 缓存
 
 为降低跨分区校验干扰，每个分区应支持独立保存与反馈；若采用统一保存，也必须提供未保存修改提示。
 
@@ -102,12 +100,16 @@
 * 可维护 `domains` 列表
 * 可新增、删除、排序域名
 * 明确提示第一项为主域名
+* 每个域名可单独选择一张证书，形成与 `domains` 平行的 `domain_cert_ids`
+* 若某个域名未选择证书，则该域名不启用 HTTPS
+* `HTTP -> HTTPS` 跳转逻辑与域名证书绑定放在同一分区维护
 * 保存前校验：
   `site_name` 非空且唯一
   `domains` 非空
   每个域名格式合法
   域名在当前站点内不重复
   域名在全局不与其他网站冲突
+  已选择证书的域名必须被对应证书覆盖
 
 ### 5.4 流量限制
 
@@ -141,19 +143,7 @@
 * 多上游模式下，上游项保持 `scheme://host[:port]` 形式
 * 同一网站的多个上游在多上游模式下维持统一协议，降低渲染复杂度
 
-### 5.6 HTTPS
-
-HTTPS 分区负责维护站点级 TLS 行为，要求如下：
-
-* 支持开启或关闭 HTTPS
-* 支持选择一张或多张证书
-* 支持保留现有 `HTTP -> HTTPS` 跳转能力
-* 当 HTTPS 开启时必须明确证书来源
-* 若只选择一张证书，则该证书必须覆盖当前网站的全部域名
-* 若选择多张证书，则所选证书集合必须联合覆盖当前网站的全部域名；任一域名至少要被其中一张证书覆盖
-* 发布渲染时应在同一 `server` 块内输出多组 `ssl_certificate` / `ssl_certificate_key`，并保证证书顺序稳定、文件输出可复用
-
-### 5.7 缓存
+### 5.6 缓存
 
 缓存分区负责维护站点级缓存策略，要求如下：
 
@@ -177,6 +167,7 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
   域名列表变更
   站点级配置变更
 * 发布渲染时，同一网站的全部域名必须落入同一份站点配置上下文中
+* 同一网站内，带证书的域名需按证书分组生成 HTTPS `server`；未配置证书的域名只保留 HTTP
 
 ## 7. 前端实现要求
 
@@ -191,8 +182,8 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
 
 实施前必须准备显式数据库迁移与校验逻辑，至少包含：
 
-1. 新增 `site_name` 与 `domains` 存储结构
-2. 将旧数据从单域名回填到站点结构
+1. 新增 `site_name`、`domains` 与 `domain_cert_ids` 存储结构
+2. 将旧数据从单域名回填到站点结构，并补齐逐域名证书映射
 3. 为 `site_name` 建立唯一约束
 4. 为域名唯一性建立可校验约束
 5. 对迁移结果做一致性校验
@@ -243,7 +234,7 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
 
 * 列表页 UI 改造
 * 子页面路由与布局
-* 域名设置、流量限制、反向代理、HTTPS、缓存五个分区
+* 域名设置、流量限制、反向代理、缓存四个分区
 * 前端交互与表单测试
 
 ### 阶段四：联调、发布验证与文档收口
@@ -270,6 +261,6 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
 * 原列表页已用“配置”按钮替代“编辑”按钮
 * 网站配置子页面已经采用左侧菜单、右侧设置的布局
 * 五个分区均可独立完成基本配置与保存
-* 发布后的渲染结果可正确覆盖同一网站的全部域名
+* 发布后的渲染结果可正确覆盖同一网站的全部域名，并只为已绑定证书的域名生成 HTTPS 配置
 * Agent 同步、应用、回滚链路不被破坏
 * 迁移、接口、渲染与前端关键路径均有对应测试或等效回归验证