# ═══════════════════════════════════════════════════
# MAIN CONTEXT — Global settings, chạy trước tất cả
# ═══════════════════════════════════════════════════
user  nginx;                        # User chạy worker processes
worker_processes  auto;             # 1 worker per CPU core (recommended)
error_log  /var/log/nginx/error.log warn;
pid        /var/run/nginx.pid;       # PID file của master process

# ═══════════════════════════════════════════════════
# EVENTS CONTEXT — Cấu hình connection handling
# ═══════════════════════════════════════════════════
events {
    worker_connections  1024;        # Max connections per worker
    # Total max connections = worker_processes × worker_connections
    use  epoll;                       # Linux: epoll (best), macOS: kqueue
    multi_accept  on;                # Accept nhiều connections cùng lúc
}

# ═══════════════════════════════════════════════════
# HTTP CONTEXT — Web server settings
# ═══════════════════════════════════════════════════
http {
    include       /etc/nginx/mime.types;
    default_type  application/octet-stream;

    # Access log format
    log_format  main  '$remote_addr - $remote_user [$time_local] "$request" '
                      '$status $body_bytes_sent "$http_referer" '
                      '"$http_user_agent" "$http_x_forwarded_for"';

    access_log  /var/log/nginx/access.log  main;

    sendfile    on;      # Dùng sendfile() syscall — hiệu quả hơn read/write
    tcp_nopush  on;      # Gửi headers và data cùng một TCP packet
    tcp_nodelay on;      # Disable Nagle algorithm cho WebSockets

    keepalive_timeout  65;   # Keep connection alive 65 giây
    server_tokens      off;  # Ẩn version Nginx khỏi response headers

    # ─────────────────────────────────────────────────
    # SERVER CONTEXT — Virtual host / site config
    # ─────────────────────────────────────────────────
    server {
        listen       80;
        server_name  example.com www.example.com;
        root         /var/www/html;

        # ─────────────────────────────────────
        # LOCATION CONTEXT — URL pattern matching
        # ─────────────────────────────────────
        location / {
            try_files $uri $uri/ =404;
        }

        location /api/ {
            proxy_pass http://backend:3000;
        }
    }

    # Load thêm config từ thư mục conf.d
    include /etc/nginx/conf.d/*.conf;
}

# 1. EXACT MATCH (=) — Ưu tiên cao nhất
location = /favicon.ico { return 204; }

# 2. PREFERENTIAL PREFIX (^~) — Tìm thấy thì dừng, không thử regex
location ^~ /static/ { root /var/www; }

# 3. CASE-SENSITIVE REGEX (~) — Theo thứ tự trong file
location ~ .php$ { fastcgi_pass php-fpm:9000; }

# 4. CASE-INSENSITIVE REGEX (~*)
location ~* .(jpg|jpeg|png|gif)$ {
    expires 30d;
}

# 5. PREFIX MATCH (không có modifier) — Ưu tiên thấp nhất
location /api/ { proxy_pass http://api-backend; }

# ═══════════════════════════════════════════════════
# UPSTREAM — Định nghĩa pool của backend servers
# ═══════════════════════════════════════════════════
upstream app_backend {
    # Load balancing algorithm (chọn 1):

    # 1. Round Robin (default) — lần lượt
    # (không cần khai báo gì thêm)

    # 2. Least Connections — ưu tiên server ít connection nhất
    # least_conn;

    # 3. IP Hash — sticky sessions theo client IP
    # ip_hash;

    # 4. Weighted Round Robin — server mạnh hơn nhận nhiều hơn
    server 192.168.1.10:3000 weight=3;  # 60% traffic
    server 192.168.1.11:3000 weight=2;  # 40% traffic
    server 192.168.1.12:3000 weight=1;  # 20% traffic

    # Backup server — chỉ dùng khi tất cả primary down
    server 192.168.1.20:3000 backup;

    # Health check parameters
    # max_fails: số lần fail trước khi mark down
    # fail_timeout: thời gian mark down
    server 192.168.1.13:3000 max_fails=3 fail_timeout=30s;

    # Keepalive connections tới upstream
    keepalive 32;  # Max 32 idle connections per worker
}

server {
    listen 80;
    server_name example.com;

    location / {
        proxy_pass         http://app_backend;
        proxy_http_version 1.1;

        # Headers quan trọng cho upstream
        proxy_set_header   Upgrade          $http_upgrade;
        proxy_set_header   Connection       "upgrade";
        proxy_set_header   Host             $host;
        proxy_set_header   X-Real-IP        $remote_addr;
        proxy_set_header   X-Forwarded-For  $proxy_add_x_forwarded_for;
        proxy_set_header   X-Forwarded-Proto $scheme;

        # Timeout settings
        proxy_connect_timeout  5s;   # Timeout kết nối tới upstream
        proxy_send_timeout     60s;  # Timeout gửi request lên upstream
        proxy_read_timeout     60s;  # Timeout nhận response từ upstream

        # Buffer settings
        proxy_buffer_size       4k;
        proxy_buffers           8 4k;
        proxy_busy_buffers_size 8k;
    }
}

# ═══════════════════════════════════════════════════
# HTTP → HTTPS redirect
# ═══════════════════════════════════════════════════
server {
    listen 80;
    server_name example.com www.example.com;
    # Redirect tất cả HTTP sang HTTPS với 301
    return 301 https://$server_name$request_uri;
}

# ═══════════════════════════════════════════════════
# HTTPS Server Block
# ═══════════════════════════════════════════════════
server {
    listen 443 ssl http2;          # HTTP/2 cần ssl
    server_name example.com;

    # ─────────────── Certificate ───────────────
    ssl_certificate      /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key  /etc/letsencrypt/live/example.com/privkey.pem;

    # ─────────────── Protocol & Ciphers ────────
    ssl_protocols        TLSv1.2 TLSv1.3;   # Chỉ dùng TLS 1.2+ (tắt TLS 1.0/1.1)
    ssl_ciphers          ECDHE-RSA-AES256-GCM-SHA512:DHE-RSA-AES256-GCM-SHA512;
    ssl_prefer_server_ciphers on;           # Server chọn cipher thay vì client
    ssl_ecdh_curve       secp384r1;

    # ─────────────── Session Cache ─────────────
    ssl_session_cache    shared:SSL:10m;     # Share session cache giữa workers
    ssl_session_timeout  10m;               # Resume session trong 10 phút
    ssl_session_tickets  off;               # Tắt tickets vì PFS concerns

    # ─────────────── OCSP Stapling ─────────────
    ssl_stapling         on;                # Server tự fetch OCSP response
    ssl_stapling_verify  on;
    resolver             8.8.8.8 1.1.1.1 valid=300s;

    # ─────────────── Security Headers ──────────
    add_header Strict-Transport-Security  "max-age=63072000; includeSubDomains; preload" always;
    add_header X-Frame-Options            SAMEORIGIN;
    add_header X-Content-Type-Options     nosniff;
    add_header X-XSS-Protection           "1; mode=block";
    add_header Referrer-Policy            "no-referrer-when-downgrade";

    location / {
        proxy_pass http://app_backend;
        include    /etc/nginx/proxy_params;
    }
}

# ═══════════════════════════════════════════════════
# PROXY CACHE — Cache response từ upstream
# ═══════════════════════════════════════════════════
http {
    # Khai báo cache zone (trong http context)
    # keys_zone=name:size — shared memory cho cache keys
    # max_size — tổng disk space cho cache
    # inactive — xóa entries không được access trong 60p
    proxy_cache_path  /var/cache/nginx
                      levels=1:2
                      keys_zone=api_cache:10m
                      max_size=1g
                      inactive=60m
                      use_temp_path=off;

    # ═══════════════════════════════════════════════════
    # GZIP COMPRESSION
    # ═══════════════════════════════════════════════════
    gzip              on;
    gzip_vary         on;          # Thêm Vary: Accept-Encoding header
    gzip_proxied      any;         # Compress cả proxied responses
    gzip_comp_level   6;            # 1-9, level 6 = tốt nhất cost/benefit
    gzip_min_length   1024;         # Không compress file nhỏ hơn 1KB
    gzip_types
        text/plain text/css text/xml
        application/json application/javascript
        application/xml+rss image/svg+xml;

    server {
        listen 80;

        # ─────────────── Proxy Cache Usage ─────────
        location /api/ {
            proxy_pass         http://api_backend;
            proxy_cache        api_cache;          # Dùng zone đã khai báo
            proxy_cache_valid  200 302 5m;        # Cache 200/302 trong 5 phút
            proxy_cache_valid  404     1m;        # Cache 404 trong 1 phút
            proxy_cache_use_stale error timeout updating; # Serve stale nếu backend lỗi
            proxy_cache_lock   on;                # Chỉ 1 request đến backend khi cache miss

            # Bypass cache theo header (cho testing)
            proxy_cache_bypass $http_cache_bypass;
            proxy_no_cache     $http_cache_bypass;

            # Thêm header để debug cache HIT/MISS/BYPASS
            add_header X-Cache-Status $upstream_cache_status;
        }

        # ─────────────── Browser Cache cho Static Files ─
        location ~* .(jpg|jpeg|png|gif|ico|css|js|woff2)$ {
            root      /var/www/html;
            expires   1y;                   # Cache 1 năm trên browser
            add_header Cache-Control "public, immutable";
            access_log off;               # Tắt log cho static files
        }
    }
}

server {
    listen 80;

    # ─────────────── RETURN (nhanh nhất, không process regex) ────
    # Dùng cho redirect đơn giản, không cần logic
    return 301 https://$host$request_uri;       # HTTP → HTTPS
    # return 302 /new-path$request_uri;          # Temporary redirect
    # return 200 "OK";                           # Trả về text
    # return 204;                                # No content (favicon)

    # ─────────────── REWRITE (có thể dùng regex) ─────────────────
    # Syntax: rewrite regex replacement [flag]
    # Flags: last, break, redirect(302), permanent(301)
    rewrite ^/old-blog/(.*)$   /blog/$1   permanent;   # 301
    rewrite ^/user/(d+)$      /profile?id=$1   last;

    # ─────────────── TRY_FILES ───────────────────────────────────
    # Thử từng file, fallback cuối cùng là named location hoặc code
    location / {
        # Thử: exact file → directory index → 404
        try_files $uri $uri/ =404;
    }

    location /spa/ {
        # Single Page App: fallback về index.html (React/Vue router)
        try_files $uri $uri/ /spa/index.html;
    }

    location /api/ {
        # Thử file static trước, nếu không có thì proxy lên backend
        try_files $uri @api_backend;
    }

    location @api_backend {
        proxy_pass http://backend:3000;
    }

    # ─────────────── MAP — Dynamic variable ──────────────────────
    # Dùng trong http{} context để mapping variables
}

http {
    # Map để routing dựa theo subdomain
    map $host $backend {
        default          backend_prod;
        ~^api.          backend_api;
        ~^staging.      backend_staging;
        ~^admin.        backend_admin;
    }

    # Map để limit rate theo loại IP
    map $remote_addr $limit_key {
        default          $binary_remote_addr;
        10.0.0.0/8       "";  # Internal IPs không bị rate limit
        172.16.0.0/12    "";
    }

    limit_req_zone $limit_key zone=api_limit:10m rate=10r/s;

    server {
        location /api/ {
            limit_req zone=api_limit burst=20 nodelay;
            proxy_pass http://$backend;
        }
    }
}

# SYSTEM LIMITS — /etc/security/limits.conf
# nginx soft nofile 65535
# nginx hard nofile 65535

worker_processes  auto;           # = số CPU cores
worker_rlimit_nofile 65535;       # Max file descriptors per worker

events {
    worker_connections 4096;       # Max conn/worker. Total = workers × 4096
    use epoll;
    multi_accept on;
}

http {
    # TCP optimization
    sendfile        on;
    tcp_nopush      on;
    tcp_nodelay     on;

    # Keepalive
    keepalive_timeout         30;      # 30s idle timeout
    keepalive_requests        1000;    # Max requests per connection
    reset_timedout_connection on;      # Free up memory cho timed-out conn

    # Buffer tuning
    client_body_buffer_size    128k;
    client_max_body_size       50m;    # Max upload size
    client_header_buffer_size  1k;
    large_client_header_buffers 4 8k;
    client_body_timeout        10;
    client_header_timeout      10;
    send_timeout               10;

    # Open file cache
    open_file_cache          max=1000 inactive=20s;
    open_file_cache_valid    30s;
    open_file_cache_min_uses 2;
    open_file_cache_errors   on;

    # Hide Nginx version
    server_tokens off;
}

# ─── Ubuntu / Debian ─────────────────────────────────
sudo apt update
sudo apt install -y nginx

# Dùng official Nginx repo để có version mới nhất
curl -fsSL https://nginx.org/keys/nginx_signing.key | sudo gpg --dearmor -o /usr/share/keyrings/nginx-keyring.gpg
echo "deb [signed-by=/usr/share/keyrings/nginx-keyring.gpg] http://nginx.org/packages/ubuntu $(lsb_release -cs) nginx"   | sudo tee /etc/apt/sources.list.d/nginx.list
sudo apt update && sudo apt install -y nginx

# ─── CentOS / RHEL / Amazon Linux ───────────────────
sudo yum install -y epel-release
sudo yum install -y nginx

# ─── Docker ─────────────────────────────────────────
docker run -d   --name nginx   -p 80:80 -p 443:443   -v /path/to/nginx.conf:/etc/nginx/nginx.conf:ro   -v /path/to/certs:/etc/ssl/certs:ro   nginx:alpine

# Kiểm tra version và modules
nginx -V 2>&1 | head -5

# Kiểm tra process đang chạy
ps aux | grep nginx

# Đếm số active connections
ss -tnp | grep nginx | wc -l

# Xem Nginx status (nếu có stub_status module)
curl http://localhost/nginx_status

# Test SSL certificate
openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -dates

# Check certificate expiry
echo | openssl s_client -connect example.com:443 2>/dev/null   | openssl x509 -noout -enddate

# Benchmark với ab (Apache Benchmark)
ab -n 10000 -c 100 https://example.com/

# Benchmark với wrk
wrk -t4 -c100 -d30s https://example.com/

# Xem open files của Nginx
sudo lsof -p $(cat /var/run/nginx.pid) | head -20

# Kiểm tra file descriptor limit
cat /proc/$(cat /var/run/nginx.pid)/limits | grep "open files"

# BƯỚC 1: Test syntax config
sudo nginx -t

# BƯỚC 2: Xem full config đã parse (detect include issues)
sudo nginx -T 2>&1 | less

# BƯỚC 3: Enable debug logging cho 1 IP cụ thể
# Thêm vào server block:
# error_log /var/log/nginx/debug.log debug;
# events { debug_connection YOUR_IP; }

# BƯỚC 4: Check nếu location đúng bằng return debug
# Tạm thời thêm vào location cần test:
# return 200 "location matched: $uri
host: $host
";
# add_header Content-Type "text/plain";

# BƯỚC 5: Test request với curl verbose
curl -v -H "Host: example.com" http://localhost/api/test

# BƯỚC 6: Check upstream connectivity từ Nginx server
curl -v http://backend-host:3000/health

# BƯỚC 7: Xem real-time logs với filter
tail -f /var/log/nginx/error.log | grep -v "favicon"

# ❌ WRONG: Trailing slash vấn đề với proxy_pass
location /api {
    proxy_pass http://backend;    # /api/v1 → backend/api/v1
}
# ✅ CORRECT: Với trailing slash sẽ strip prefix
location /api/ {
    proxy_pass http://backend/;   # /api/v1 → backend/v1
}

# ❌ WRONG: if là antipattern trong location
location /download/ {
    if ($request_method = POST) {
        proxy_pass http://upload_server;  # CÓ THỂ gây undefined behavior!
    }
}
# ✅ CORRECT: Dùng separate location hoặc limit_except
location /download/ {
    limit_except GET HEAD {
        deny all;
    }
    root /var/files;
}

# ❌ WRONG: add_header không có 'always' sẽ bỏ qua error responses
add_header X-Frame-Options SAMEORIGIN;

# ✅ CORRECT: Dùng 'always' để include trong mọi response code
add_header X-Frame-Options SAMEORIGIN always;

# ❌ WRONG: Nested location với regex sẽ ignore nhau
location /images/ {
    location ~* .php$ { deny all; }  # ĐÂY KHÔNG WORK NHƯ MONG ĐỢI
}
# ✅ CORRECT: Dùng separate top-level location
location ~* /images/.*.php$ {
    deny all;
    return 403;
}