# Chép vào /etc/systemd/system/tiktok-auth.service
#
#   sudo cp deploy/tiktok-auth.service /etc/systemd/system/
#   sudo systemctl daemon-reload
#   sudo systemctl enable --now tiktok-auth
#
# Xem log:  journalctl -u tiktok-auth -f

[Unit]
Description=Website dang nhap bang TikTok
After=network.target

[Service]
Type=simple
User=tiktokauth
Group=tiktokauth

WorkingDirectory=/srv/tiktok-auth
ExecStart=/usr/bin/node server.js

# Secret đọc từ /srv/tiktok-auth/.env (dotenv tự nạp theo WorkingDirectory).
# Hai dòng dưới đặt ở đây để chắc chắn thắng giá trị trong .env — dotenv
# không ghi đè biến môi trường đã tồn tại, nên systemd luôn là bên quyết định.
Environment=NODE_ENV=production
Environment=HOST=127.0.0.1
Environment=PORT=3000

Restart=on-failure
RestartSec=5

# --- Siết quyền: tiến trình web bị thủng thì cũng không với được ra ngoài ---
NoNewPrivileges=true
PrivateTmp=true
ProtectSystem=strict
ProtectHome=true
# Dữ liệu nằm trong MySQL nên app không cần ghi vào đâu trên đĩa cả.
ProtectKernelTunables=true
ProtectKernelModules=true
ProtectControlGroups=true
RestrictAddressFamilies=AF_INET AF_INET6
RestrictNamespaces=true
LockPersonality=true
MemoryDenyWriteExecute=false

[Install]
WantedBy=multi-user.target