fix(bilibili): hk 出口 WAF 412 改用官方 API 直取 + 重建文档补齐

- bilibili.py: view -> playurl -> 媒体段 的 API 直取主路径，绕开页面
  WAF/JS 挑战；yt-dlp 保留为后备；cookie 仅后备路径需要
- docs: 迁移步骤补 /var/cache/nginx 与 ffmpeg 两个重建坑位
- 实测: 公网 200/1.3MB/6.5s

docs/部署与运维.md

@@ -28,7 +28,7 @@
 |---|---|---|---|
 | `openapi.service` | `source/main.py` | `:9008` | 聚合层（aiohttp，纯转发，唯一入口） |
 | `pixiv.service` | `source/pixiv/pixiv.py` | `:9007` | Flask，由 waitress（8 线程）承载 |
-| `bilibili.service` | `source/bilibili/bilibili.py` | `:9006` | aiohttp + yt-dlp |
+| `bilibili.service` | `source/bilibili/bilibili.py` | `:9006` | aiohttp，官方 API 直取 + yt-dlp 后备 |
 | `ginkgo_sign_in.service` | `source/dufe/ginkgostu_sign_in/ginkgo_sign_in.py` | `:9005` | 银杏（DUFE）签到码查询，Flask + waitress（16 线程），`GET\|POST` |
 | `jm.service` | `source/jm/jm.py` | `:9004` | JM 漫画下载打包，aiohttp + jmcomic |
 | `pixiv-token-refresh.service` | `source/pixiv/refresh_token.py` | — | 常驻刷新 Pixiv OAuth token |
@@ -45,7 +45,7 @@
 │   │   ├── refresh_token.py          token 刷新守护
 │   │   └── tokens.json               Pixiv OAuth token（敏感，权限 600，不入库）
 │   ├── bilibili/
-│   │   ├── bilibili.py               视频代理（aiohttp + yt-dlp）
+│   │   ├── bilibili.py               视频代理（aiohttp，API 直取 + yt-dlp 后备）
 │   │   ├── cookies.txt               bilibili cookie（敏感，不入库）
 │   │   ├── refresh_cookie.py         cookie 刷新守护
 │   │   └── qr_login*.py              扫码登录工具（cookie 失效时人工重登用）
@@ -74,7 +74,7 @@
 **bilibili（视频）**：以 BV 号为键缓存到 `source/cache/bilibili/{BV}.mp4`
 
 - 命中即复用、不再下载
-- 未命中才调 yt-dlp，先下载到缓存目录内的隐藏暂存目录 `.dl-XXXX`，成功后原子 rename 落盘
+- 未命中时优先走 **官方 API 直取**（view → playurl → 媒体段，不受页面 WAF 影响）；失败回退 yt-dlp，均写入缓存目录内的隐藏暂存目录 `.dl-XXXX`，成功后原子 rename 落盘
 - 无论成功 / 失败 / 超时都 `rmtree` 该暂存目录
   （2026-09-12 修复：原实现从不清理 tmpdir，每次取视频都会把完整视频永久留在 `/tmp`，属无上限磁盘泄漏）
 - 淘汰策略：单文件 7 天未访问过期 + 总量超过 2 GiB 时按 mtime 从最旧开始删
@@ -110,10 +110,10 @@
 
 ## 迁移到新服务器
 
-1. **环境**：解压 `env/env_general.tar.gz`，直接使用其 `bin/python`（依赖齐全，含 waitress）；若整包过旧需补 `pip install jmcomic`
+1. **环境**：解压 `env/env_general.tar.gz`，直接使用其 `bin/python`（依赖齐全，含 waitress）；若整包过旧需补 `pip install jmcomic`；另装系统包 `ffmpeg`（yt-dlp 合流）
 2. **源码**：恢复 `source/{main.py,pixiv/,bilibili/,dufe/,jm/}` 到 `/home/openapi/source/`
 3. **systemd**：恢复 `systemd/*.service` 到 `/etc/systemd/system/`，`daemon-reload` + `enable` + `start`
-4. **nginx**：套用 `nginx/` 下三个文件到 `/etc/nginx/conf.d/`：`openapi.rrrosmontis.icu.conf` + `00-websocket.conf`（`$connection_upgrade` map，**必须**）+ `00-limits.conf`（限流 zone，**必须**，否则站点 conf 的 `limit_req zone=perip_req` 会使 `nginx -t` 失败），再 `nginx -t && systemctl reload nginx`
+4. **nginx**：先建缓存目录 `mkdir -p /var/cache/nginx`（站点 conf 的 `proxy_cache_path` 需要父目录存在，否则 `nginx -t` 报 mkdir 失败），再套用 `nginx/` 下三个文件到 `/etc/nginx/conf.d/`：`openapi.rrrosmontis.icu.conf` + `00-websocket.conf`（`$connection_upgrade` map，**必须**）+ `00-limits.conf`（限流 zone，**必须**，否则站点 conf 的 `limit_req zone=perip_req` 会使 `nginx -t` 失败），再 `nginx -t && systemctl reload nginx`
 5. **SSL**：恢复 `cert/<域名>/` 到 `/etc/nginx/cert/<域名>/`
 6. **凭据**：放回 `source/pixiv/tokens.json`(600) 与 `source/bilibili/cookies.txt`
 7. **软链**：`ln -s /home/openapi/source/cache/pixiv/images /home/images`
@@ -137,6 +137,14 @@
 
 ## 变更记录
 
+**2026-10-22（服务器重装重建 + bilibili 出口 WAF 修复）**
+
+- hk 重装为 Ubuntu 22.04，按本文件从零重建：nginx + acme.sh（Let's Encrypt ECC）+ Python venv + 7 个 systemd 单元 + 凭据恢复；补充恢复时的两个坑位：
+  - `proxy_cache_path /var/cache/nginx/...` 要求父目录存在 → 迁移步骤补 `mkdir -p /var/cache/nginx`
+  - `yt-dlp` 合流需要系统包 `ffmpeg`
+- **bilibili 修复**：hk 出口访问 `www.bilibili.com` 视频页被 WAF 下发 412/JS 挑战（浏览器 UA 触发，API 客户端 UA 可过），页面无 `__INITIAL_STATE__`，yt-dlp 页面提取必然失败；改为**官方 API 直取**（`x/web-interface/view` → `x/player/playurl` → 媒体段下载），yt-dlp 保留后备；实测公网 200/1.3MB/6.5s
+- jm/dufe/pixiv/openapi 重建后实测正常；证书由 acme.sh 自动续期（cron 每 6h 检查）
+
 **2026-09-23（仓库与线上一致性核对 + 完整性补齐）**
 
 - 逐文件 md5 核对：源码/main.py、systemd 全部 7 个单元、ginkgo/jm/bilibili/refresh 各模块、站点 nginx conf 均与仓库一致