背景

自托管 Appwrite 当前仅开放 80 端口（HTTP），API Key、登录密码、用户数据均以明文传输，存在中间人窃取风险。

现状证据（可验证）

• README.md「边界说明」与 SKILL.md「高频陷阱 #6 / #9」：明确记录服务器只开 80 端口、443 超时。
• harmony_app/entry/src/main/ets/utils/HttpUtil.ets：APPWRITE_HOST 示例为 http://。
• harmony_cloud/deploy/deploy.py：请求走 APPWRITE_HOST（HTTP）。

改造范围

1. TLS 终止：Nginx/Caddy 反向代理 443 → 内部 80，配置有效证书（Let's Encrypt 或商业证书）。
2. 端侧切换：HttpUtil.ets 的 APPWRITE_HOST 改为 https://；建议增加协议校验，拒绝 http://（生产构建）。
3. 安全响应头：HSTS、TLS 1.2+、禁用弱套件。
4. 证书续期：自动化续期（cron / Caddy 内建）。
5. 文档同步：README / SKILL 更新部署步骤与验证方式。

验收标准

• https://<host>/v1/health 返回 pass；http:// 访问被拒绝或 301 重定向到 https。
• 端侧仅在 https 下可用（生产构建中 http 被拒绝）。
• 抓包确认登录请求中的密码/API Key 为密文。
• 证书到期前自动续期，无人工干预。

关联

Refs #2。与「鉴权体系」Issue 配套：会话凭证必须走 TLS。