✨ feat(bookSource): 聚合书源适配阅读 app 并完善评论体验

- 聚合书源取代早期书源版本：发现页筛选宫格/分类宫格、x:t:m:d: 前缀搜索、
  fqtab 类型随书切换、段评气泡(内置六种样式可配)；showCmt 能力检测，魔改版
  原地弹窗(点遮罩关闭)、官方阅读降级 startBrowser；jsLib 不引用规则变量，
  searchUrl 修正编码与作用域
- 评论页：注入绝对 API_BASE，修复弹窗 WebView 内切换排序/懒加载失败；
  externalBaseURL 识别 X-Forwarded-Proto，气泡 ident 不再硬编码 http；
  顶栏固定(拖拽把手)+评论区独立滚动
- 部署：证书方案从 certbot 迁移到 acme.sh(CERT_DIR 可配置)；新增服务生命
  周期参数 --stop/--start/--no-restart/--no-autostart；--clean 一键清理全部
  部署内容(服务/nginx/二进制/证书，含 certbot 残留)，acme.sh 定位抽为
  find_acme_sh 供 init/clean 共用
- 忽略 .codegraph 本地索引目录

deploy.sh

@@ -7,6 +7,11 @@
 #   ./deploy.sh v1.2.0                # 编译 + 部署（指定版本）
 #   ./deploy.sh v1.2.0 --init         # 首次初始化（写 systemd/nginx 配置）
 #   ./deploy.sh v1.2.0 --no-pull      # 跳过 git pull
+#   ./deploy.sh v1.2.0 --no-autostart # 部署后不开机自启
+#   ./deploy.sh v1.2.0 --no-restart   # 只部署，不重启服务
+#   ./deploy.sh --stop                # 停止服务
+#   ./deploy.sh --start               # 启动服务
+#   ./deploy.sh --clean               # 清除所有部署内容（服务/nginx/证书），重新 --init 前用
 #   ./deploy.sh --build-only          # 只编译，不部署
 #   ./deploy.sh --rollback            # 交互式回滚到指定版本
 #   ./deploy.sh --rollback v1.0.0     # 直接回滚到指定版本
@@ -36,9 +41,11 @@ NGINX_CONF="${NGINX_CONF:-/etc/nginx/conf.d/${APP_NAME}.conf}"
 APP_PORT="${APP_PORT:-40180}"              # 程序监听端口
 DOMAIN="${DOMAIN:-fq.20010117.xyz}"        # 域名
 CERT_EMAIL="${CERT_EMAIL:-admin@${DOMAIN}}"  # 证书申请邮箱（过期提醒）
+CERT_DIR="${CERT_DIR:-/etc/nginx/ssl}"       # 证书目录（acme.sh --install-cert 安装位置）
 BUILD_TARGET="${BUILD_TARGET:-./cmd/fanqie}"  # go build 的包路径
 ENV_FILE="${ENV_FILE:-${SRC_DIR}/.env}"    # 应用环境变量（.env.example 为模板）
 KEEP_VERSIONS="${KEEP_VERSIONS:-5}"        # 保留最近几个版本
+AUTO_START="${AUTO_START:-true}"           # 服务是否开机自启（--no-autostart 覆盖）
 
 # ==================== 颜色与日志 ====================
 C_GREEN='\033[1;32m'; C_YELLOW='\033[1;33m'; C_RED='\033[1;31m'; C_BLUE='\033[1;34m'; C_RESET='\033[0m'
@@ -63,6 +70,11 @@ ROLLBACK_VERSION=""
 LIST=false
 FORCE=false
 SYNC_NGINX=false
+AUTO_START="${AUTO_START:-true}"
+NO_RESTART=false
+STOP=false
+START=false
+CLEAN=false
 
 print_help() {
   cat <<EOF
@@ -71,6 +83,12 @@ print_help() {
 选项:
   --init                首次初始化，写入 systemd 和 nginx 配置
   --no-pull             跳过 git pull
+  --no-autostart        服务不设置开机自启（默认自启）
+  --no-restart          只部署不重启服务（自启设置仍会应用）
+  --stop                停止服务后退出
+  --start               启动服务后退出
+  --clean               清除本脚本部署的全部内容（服务/nginx/二进制/证书，含 certbot 残留；
+                        保留 SRC_DIR 下的 .env/配置/数据库），之后重新 --init 即可
   --build-only          只编译，不部署、不重启服务
   --force, -f           允许覆盖已存在的同名版本（默认报错退出）
   --rollback [版本]     回滚到指定版本（不带版本号则交互式选择）
@@ -96,6 +114,11 @@ while [ $i -lt ${#ARGS[@]} ]; do
   case "$arg" in
     --init)        INIT=true ;;
     --no-pull)     NO_PULL=true ;;
+    --no-autostart) AUTO_START=false ;;
+    --no-restart)  NO_RESTART=true ;;
+    --stop)        STOP=true ;;
+    --start)       START=true ;;
+    --clean)       CLEAN=true ;;
     --build-only)  BUILD_ONLY=true ;;
     --rollback)
       ROLLBACK=true
@@ -171,28 +194,61 @@ cleanup_old_versions() {
   done
 }
 
-# 重启服务 + 验证
-restart_and_verify() {
-  log "重启 ${APP_NAME} 服务..."
-  # 注意：不要用 "list-unit-files | grep -q"——grep -q 提前退出会让 systemctl 收到
-  # SIGPIPE，在 pipefail 下整条管道判假（unit 多的机器必踩），误报"服务不存在"
-  if systemctl cat "${APP_NAME}" >/dev/null 2>&1; then
-    $SUDO systemctl restart "${APP_NAME}"
+# 定位 acme.sh：PATH → 当前用户目录 → root 目录（sudo 后 HOME 可能被重置）
+find_acme_sh() {
+  local acme
+  acme="$(command -v acme.sh 2>/dev/null || true)"
+  for c in "${HOME}/.acme.sh/acme.sh" "/root/.acme.sh/acme.sh"; do
+    if [ -z "$acme" ] && [ -x "$c" ]; then acme="$c"; fi
+  done
+  echo "$acme"
+}
+
+# 应用开机自启设置（AUTO_START 由 --no-autostart / .deploy.env 决定）
+apply_autostart() {
+  if [ "$AUTO_START" = true ]; then
     $SUDO systemctl enable "${APP_NAME}" >/dev/null 2>&1 || true
   else
+    $SUDO systemctl disable "${APP_NAME}" >/dev/null 2>&1 || true
+    info "开机自启已禁用（--no-autostart）"
+  fi
+}
+
+# 重启服务 + 验证
+restart_and_verify() {
+  # 注意：不要用 "list-unit-files | grep -q"——grep -q 提前退出会让 systemctl 收到
+  # SIGPIPE，在 pipefail 下整条管道判假（unit 多的机器必踩），误报"服务不存在"
+  if ! systemctl cat "${APP_NAME}" >/dev/null 2>&1; then
     warn "服务 ${APP_NAME}.service 不存在，请先执行 $0 --init"
     return 0
   fi
 
+  apply_autostart
+
+  if [ "$NO_RESTART" = true ]; then
+    info "跳过服务重启（--no-restart），需要时执行: sudo systemctl restart ${APP_NAME}"
+    return 0
+  fi
+
+  log "重启 ${APP_NAME} 服务..."
+  $SUDO systemctl restart "${APP_NAME}"
+
   if command -v nginx >/dev/null 2>&1; then
     $SUDO systemctl reload nginx 2>/dev/null || $SUDO nginx -s reload 2>/dev/null || true
   fi
 
-  sleep 2
-
   # 健康自检：确认服务真正响应，而非仅进程存活
+  # 应用启动时初始化设备池（逐个注册设备）较慢，轮询等待就绪，最多 60s
   if command -v curl >/dev/null 2>&1; then
-    if curl -fsS --max-time 5 "http://127.0.0.1:${APP_PORT}/healthz" >/dev/null 2>&1; then
+    healthy=false
+    for _ in $(seq 1 30); do
+      if curl -fsS --max-time 2 "http://127.0.0.1:${APP_PORT}/healthz" >/dev/null 2>&1; then
+        healthy=true
+        break
+      fi
+      sleep 2
+    done
+    if [ "$healthy" = true ]; then
       log "健康检查通过: /healthz"
     else
       err "健康检查失败: http://127.0.0.1:${APP_PORT}/healthz"
@@ -212,14 +268,12 @@ restart_and_verify() {
 
 
 # 写入 nginx 配置（--init 与 --sync-nginx 共用的唯一模板来源）
+# 模板自带完整 443/证书配置（证书存在时启用），不依赖签发工具注入——
+# 这样 --sync-nginx 覆盖配置时不会丢失 HTTPS 段（注入式配置会被覆盖回 80-only）
 write_nginx_conf() {
-  $SUDO tee "${NGINX_CONF}" >/dev/null <<NGINX_EOF
-server {
-    listen 80;
-    server_name ${DOMAIN};
-
-    access_log /var/log/nginx/${APP_NAME}.access.log;
-    error_log  /var/log/nginx/${APP_NAME}.error.log;
+  # 反代 location（80 无证书时与 443 共用）
+  local proxy_locations
+  proxy_locations=$(cat <<LOC_EOF
 
     # 视频解密代理：关闭缓冲，分片（Range/206）直通，避免 nginx 对大文件二次落盘
     location /video/proxy/ {
@@ -246,9 +300,66 @@ server {
         proxy_read_timeout 300s;
         proxy_send_timeout 300s;
     }
+LOC_EOF
+)
+
+  local ssl_block=""
+  if [ -f "${CERT_DIR}/${DOMAIN}/fullchain.pem" ]; then
+    log "检测到 ${DOMAIN} 证书，配置启用 443"
+    ssl_block=$(cat <<SSL_EOF
+
+server {
+    listen 443 ssl http2;
+    server_name ${DOMAIN};
+
+    ssl_certificate     ${CERT_DIR}/${DOMAIN}/fullchain.pem;
+    ssl_certificate_key ${CERT_DIR}/${DOMAIN}/privkey.pem;
+    ssl_protocols TLSv1.2 TLSv1.3;
+
+    access_log /var/log/nginx/${APP_NAME}.access.log;
+    error_log  /var/log/nginx/${APP_NAME}.error.log;
+${proxy_locations}
 }
+SSL_EOF
+)
+  else
+    warn "未找到 ${CERT_DIR}/${DOMAIN}/ 证书，本次仅写 80 配置（不跳转 HTTPS）；证书签发后重跑: $0 --sync-nginx"
+  fi
+
+  # 80 端口：有证书时仅 ACME 验证 + 301 跳转；无证书时直接反代
+  local root_location
+  if [ -n "${ssl_block}" ]; then
+    root_location='    location / {
+        return 301 https://$host$request_uri;
+    }'
+  else
+    root_location="${proxy_locations}"
+  fi
+
+  $SUDO tee "${NGINX_CONF}" >/dev/null <<NGINX_EOF
+server {
+    listen 80;
+    server_name ${DOMAIN};
+
+    access_log /var/log/nginx/${APP_NAME}.access.log;
+    error_log  /var/log/nginx/${APP_NAME}.error.log;
+
+    # ACME http-01 验证（acme.sh webroot 模式依赖）
+    location /.well-known/acme-challenge/ {
+        root /var/www/html;
+    }
+
+${root_location}
+}${ssl_block}
 NGINX_EOF
+
+  # 写入后立即校验并重载：ACME 验证必须打到最新配置，
+  # 否则签发时线上仍是内存里的旧配置（80→301→443→反代→404），验证必败
+  if $SUDO nginx -t 2>/dev/null; then
+    $SUDO systemctl reload nginx 2>/dev/null || $SUDO nginx -s reload 2>/dev/null || true
+  fi
 }
+
 # 更新已部署服务器的 nginx 配置：备份 → 重写 → 校验 → 失败回滚
 sync_nginx_conf() {
   local backup=""
@@ -293,6 +404,79 @@ if [ "$SYNC_NGINX" = true ]; then
   exit 0
 fi
 
+# ==================== --stop / --start ====================
+if [ "$STOP" = true ] || [ "$START" = true ]; then
+  systemctl cat "${APP_NAME}" >/dev/null 2>&1 || { err "服务 ${APP_NAME}.service 不存在，请先执行 $0 --init"; exit 1; }
+  if [ "$STOP" = true ]; then
+    $SUDO systemctl stop "${APP_NAME}"
+    log "✅ 已停止 ${APP_NAME}（开机自启设置不变）"
+  else
+    $SUDO systemctl start "${APP_NAME}"
+    sleep 1
+    $SUDO systemctl status "${APP_NAME}" --no-pager -l | head -n 15 || true
+  fi
+  exit 0
+fi
+
+# ==================== --clean ====================
+# 清除本脚本部署的全部内容，便于重新 --init 初次部署
+if [ "$CLEAN" = true ]; then
+  warn "将删除以下内容："
+  echo "  - systemd 服务: ${SERVICE_FILE}"
+  echo "  - nginx 配置:   ${NGINX_CONF}（含 --sync-nginx 的 .bak.* 备份）"
+  echo "  - 二进制目录:   ${BIN_DIR}"
+  echo "  - 证书:         ${CERT_DIR}/${DOMAIN}（并移除 acme.sh 对该域名的管理）"
+  echo "  - certbot 残留: ${DOMAIN} 的证书、续期 timer 与 hook"
+  echo "  （保留 ${SRC_DIR} 下的 .env / 配置 / 数据库；acme.sh 本体保留供重新部署使用）"
+  read -rp "确认清理？输入 yes 继续: " REPLY
+  [ "$REPLY" = "yes" ] || { info "已取消"; exit 0; }
+
+  # 服务
+  if systemctl cat "${APP_NAME}" >/dev/null 2>&1; then
+    $SUDO systemctl disable --now "${APP_NAME}" || true
+    $SUDO rm -f "${SERVICE_FILE}"
+    $SUDO systemctl daemon-reload
+    log "已删除服务 ${APP_NAME}.service"
+  else
+    info "服务不存在，跳过"
+  fi
+
+  # nginx 配置（含 --sync-nginx 产生的 .bak.* 备份）
+  if [ -f "${NGINX_CONF}" ] || ls "${NGINX_CONF}".bak.* >/dev/null 2>&1; then
+    $SUDO rm -f "${NGINX_CONF}" "${NGINX_CONF}".bak.*
+    if $SUDO nginx -t 2>/dev/null; then
+      $SUDO systemctl reload nginx 2>/dev/null || $SUDO nginx -s reload 2>/dev/null || true
+    fi
+    log "已删除 nginx 配置（含 .bak.* 备份）并重载"
+  fi
+
+  # 二进制与版本目录
+  $SUDO rm -rf "${BIN_DIR}"
+  log "已删除二进制目录: ${BIN_DIR}"
+
+  # 证书：移除 acme.sh 管理（--remove 不吊销，LE 证书自然过期）+ 删安装目录
+  ACME_SH="$(find_acme_sh)"
+  if [ -n "$ACME_SH" ]; then
+    $SUDO "$ACME_SH" --remove -d "${DOMAIN}" >/dev/null 2>&1 || true
+  fi
+  $SUDO rm -rf "${CERT_DIR}/${DOMAIN}"
+  log "已清除证书: ${CERT_DIR}/${DOMAIN}"
+
+  # certbot 残留（历史部署用 certbot 时遗留）
+  if command -v certbot &>/dev/null; then
+    $SUDO systemctl disable --now certbot.timer >/dev/null 2>&1 || true
+    $SUDO certbot delete --cert-name "${DOMAIN}" --non-interactive >/dev/null 2>&1 || true
+  fi
+  $SUDO rm -rf "/etc/letsencrypt/live/${DOMAIN}" "/etc/letsencrypt/archive/${DOMAIN}" \
+              "/etc/letsencrypt/renewal/${DOMAIN}.conf" \
+              "/etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh"
+  log "已清理 certbot 残留"
+
+  echo ""
+  log "✅ 清理完成。重新部署: $0 --init"
+  exit 0
+fi
+
 # ==================== --rollback ====================
 if [ "$ROLLBACK" = true ]; then
   if [ ! -d "${BIN_DIR}" ]; then
@@ -410,31 +594,27 @@ EOF
   write_nginx_conf
 
 
-  # ---- Certbot 续期后自动重载 Nginx（deploy-hook 只在续期成功时执行）----
-  HOOK_FILE="/etc/letsencrypt/renewal-hooks/deploy/reload-nginx.sh"
-  if [ ! -f "${HOOK_FILE}" ]; then
-    log "创建 Certbot 续期重载 Hook: ${HOOK_FILE}"
-    $SUDO mkdir -p /etc/letsencrypt/renewal-hooks/deploy/
-    $SUDO tee "${HOOK_FILE}" >/dev/null <<'HOOK'
-#!/bin/bash
-if /usr/sbin/nginx -t 2>/dev/null; then
-    systemctl reload nginx
-fi
-HOOK
-    $SUDO chmod +x "${HOOK_FILE}"
-  fi
-
-  # ---- 首次初始化自动申请 HTTPS 证书（一次性；续期由 certbot.timer 自动处理）----
-  if [ ! -d "/etc/letsencrypt/live/${DOMAIN}" ]; then
-    if command -v certbot >/dev/null 2>&1; then
-      log "未检测到证书，尝试自动申请: ${DOMAIN}"
-      $SUDO certbot --nginx -d "${DOMAIN}" --non-interactive --agree-tos -m "${CERT_EMAIL}" --redirect \
-        || warn "证书申请失败，请检查域名解析与 80 端口；可稍后手动执行 certbot --nginx -d ${DOMAIN}"
-    else
-      warn "未安装 certbot，跳过证书申请。可手动执行: dnf install certbot python3-certbot-nginx"
-    fi
-  else
+  # ---- 首次初始化自动申请 HTTPS 证书（一次性；续期由 acme.sh cron 自动处理）----
+  if [ -f "${CERT_DIR}/${DOMAIN}/fullchain.pem" ]; then
     log "证书已存在，跳过申请"
+  else
+    ACME_SH="$(find_acme_sh)"
+    if [ -z "$ACME_SH" ]; then
+      err "未找到 acme.sh，请先安装: curl https://get.acme.sh | sh -s email=${CERT_EMAIL}"
+      exit 1
+    fi
+    log "未检测到证书，使用 acme.sh 申请: ${DOMAIN}"
+    $SUDO mkdir -p /var/www/html "${CERT_DIR}/${DOMAIN}"
+    if $SUDO "$ACME_SH" --issue -d "${DOMAIN}" -w /var/www/html --server letsencrypt --keylength ec-256 -m "${CERT_EMAIL}" \
+       && $SUDO "$ACME_SH" --install-cert -d "${DOMAIN}" --ecc \
+            --fullchain-file "${CERT_DIR}/${DOMAIN}/fullchain.pem" \
+            --key-file "${CERT_DIR}/${DOMAIN}/privkey.pem" \
+            --reloadcmd "systemctl reload nginx"; then
+      log "证书申请成功，写入 443 配置..."
+      write_nginx_conf
+    else
+      warn "证书申请失败，请检查域名解析与 80 端口；成功后重跑: $0 --sync-nginx"
+    fi
   fi
 
   if command -v getenforce >/dev/null 2>&1 && [ "$(getenforce)" != "Disabled" ]; then