[功能] 添加域名证书绑定支持，允许为每个域名单独选择证书并优化相关逻辑

docs/website-configuration-redesign.md

@@ -6,7 +6,7 @@
 
 现阶段已经出现以下真实需求：
 
-* 多个域名指向同一站点，并共享反向代理、HTTPS、缓存等设置
+* 多个域名指向同一站点，并共享反向代理、缓存等设置，同时允许按域名分别绑定 HTTPS 证书
 * 后续希望围绕“网站”继续叠加更多功能，而不是持续在规则列表中堆积字段
 * 现有抽屉式编辑界面已经不适合承载更复杂的配置结构
 
@@ -29,7 +29,6 @@
 * 域名设置
 * 流量限制
 * 反向代理
-* HTTPS
 * 缓存
 
 ## 4. 核心模型要求
@@ -89,8 +88,7 @@
 1. 域名设置
 2. 流量限制
 3. 反向代理
-4. HTTPS
-5. 缓存
+4. 缓存
 
 为降低跨分区校验干扰，每个分区应支持独立保存与反馈；若采用统一保存，也必须提供未保存修改提示。
 
@@ -102,12 +100,16 @@
 * 可维护 `domains` 列表
 * 可新增、删除、排序域名
 * 明确提示第一项为主域名
+* 每个域名可单独选择一张证书，形成与 `domains` 平行的 `domain_cert_ids`
+* 若某个域名未选择证书，则该域名不启用 HTTPS
+* `HTTP -> HTTPS` 跳转逻辑与域名证书绑定放在同一分区维护
 * 保存前校验：
   `site_name` 非空且唯一
   `domains` 非空
   每个域名格式合法
   域名在当前站点内不重复
   域名在全局不与其他网站冲突
+  已选择证书的域名必须被对应证书覆盖
 
 ### 5.4 流量限制
 
@@ -141,19 +143,7 @@
 * 多上游模式下，上游项保持 `scheme://host[:port]` 形式
 * 同一网站的多个上游在多上游模式下维持统一协议，降低渲染复杂度
 
-### 5.6 HTTPS
-
-HTTPS 分区负责维护站点级 TLS 行为，要求如下：
-
-* 支持开启或关闭 HTTPS
-* 支持选择一张或多张证书
-* 支持保留现有 `HTTP -> HTTPS` 跳转能力
-* 当 HTTPS 开启时必须明确证书来源
-* 若只选择一张证书，则该证书必须覆盖当前网站的全部域名
-* 若选择多张证书，则所选证书集合必须联合覆盖当前网站的全部域名；任一域名至少要被其中一张证书覆盖
-* 发布渲染时应在同一 `server` 块内输出多组 `ssl_certificate` / `ssl_certificate_key`，并保证证书顺序稳定、文件输出可复用
-
-### 5.7 缓存
+### 5.6 缓存
 
 缓存分区负责维护站点级缓存策略，要求如下：
 
@@ -177,6 +167,7 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
   域名列表变更
   站点级配置变更
 * 发布渲染时，同一网站的全部域名必须落入同一份站点配置上下文中
+* 同一网站内，带证书的域名需按证书分组生成 HTTPS `server`；未配置证书的域名只保留 HTTP
 
 ## 7. 前端实现要求
 
@@ -191,8 +182,8 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
 
 实施前必须准备显式数据库迁移与校验逻辑，至少包含：
 
-1. 新增 `site_name` 与 `domains` 存储结构
-2. 将旧数据从单域名回填到站点结构
+1. 新增 `site_name`、`domains` 与 `domain_cert_ids` 存储结构
+2. 将旧数据从单域名回填到站点结构，并补齐逐域名证书映射
 3. 为 `site_name` 建立唯一约束
 4. 为域名唯一性建立可校验约束
 5. 对迁移结果做一致性校验
@@ -243,7 +234,7 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
 
 * 列表页 UI 改造
 * 子页面路由与布局
-* 域名设置、流量限制、反向代理、HTTPS、缓存五个分区
+* 域名设置、流量限制、反向代理、缓存四个分区
 * 前端交互与表单测试
 
 ### 阶段四：联调、发布验证与文档收口
@@ -270,6 +261,6 @@ HTTPS 分区负责维护站点级 TLS 行为，要求如下：
 * 原列表页已用“配置”按钮替代“编辑”按钮
 * 网站配置子页面已经采用左侧菜单、右侧设置的布局
 * 五个分区均可独立完成基本配置与保存
-* 发布后的渲染结果可正确覆盖同一网站的全部域名
+* 发布后的渲染结果可正确覆盖同一网站的全部域名，并只为已绑定证书的域名生成 HTTPS 配置
 * Agent 同步、应用、回滚链路不被破坏
 * 迁移、接口、渲染与前端关键路径均有对应测试或等效回归验证