这事情是这样的，我半个月前发现之前配置的 Syncthing 代理和 Nextcloud 页面的 Let’s Encrypt 证书都过期了。按道理讲，oneinstack 的一键包会添加一个 crontab 任务自动续签证书，但是就是没 work，手动执行 acme.sh 以后，发现是域名认证无法通过，请求 .well-known/acme-challenge下的认证文件时返回 403 错误。
Nextcloud 使用了一键包中提供的 rewrite rule，Syncthing 是自己改的 nginx 配置文件，而同服务器上的 h5ai 却续签正常。在这种情况下，首先肯定是怀疑自己改错了。
在查看了 Syncthing 的 nginx 配置文件以后，发现默认将所有请求转发给 localhost 处理，那么问题就显而易见了，Syncthing 不知道那个 .well-known 是什么东西，自然返回错误，因此加上了一条 location 规则：
location /.well-known {
}
嗯，可以续签了。
但是同样的方法在 Nextcloud 上却行不通，加入了这个规则以后，curl 仍然返回 403 错误。查看了 oneinstack 的 rewrite rule 以后发现，似乎本来就对这个目录做了处理。考虑到一堆正则看得头大，想着直接 override 掉好了，在查找了 location 的用法以后，加上了这么一行：
location ^~ /.well-known/acme-challenge {
}
然后就能用了。
最后再转载一些对于 location 用法的解释：
location = / {
# 精确匹配 / ，主机名后面不能带任何字符串
[ configuration A ]
}
location / {
# 因为所有的地址都以 / 开头，所以这条规则将匹配到所有请求
# 但是正则和最长字符串会优先匹配
[ configuration B ]
}
location /documents/ {
# 匹配任何以 /documents/ 开头的地址，匹配符合以后，还要继续往下搜索
# 只有后面的正则表达式没有匹配到时，这一条才会采用这一条
[ configuration C ]
}
location ~ /documents/Abc {
# 匹配任何以 /documents/Abc 开头的地址，匹配符合以后，还要继续往下搜索
# 只有后面的正则表达式没有匹配到时，这一条才会采用这一条
[ configuration CC ]
}
location ^~ /images/ {
# 匹配任何以 /images/ 开头的地址，匹配符合以后，停止往下搜索正则，采用这一条。
[ configuration D ]
}
location ~* \.(gif|jpg|jpeg)$ {
# 匹配所有以 gif,jpg或jpeg 结尾的请求
# 然而，所有请求 /images/ 下的图片会被 config D 处理，因为 ^~ 到达不了这一条正则
[ configuration E ]
}
location /images/ {
# 字符匹配到 /images/，继续往下，会发现 ^~ 存在
[ configuration F ]
}
location /images/abc {
# 最长字符匹配到 /images/abc，继续往下，会发现 ^~ 存在
# F与G的放置顺序是没有关系的
[ configuration G ]
}
location ~ /images/abc/ {
# 只有去掉 config D 才有效：先最长匹配 config G 开头的地址，继续往下搜索，匹配到这一条正则，采用
[ configuration H ]
}
location ~* /js/.*/\.js
已=开头表示精确匹配
如 A 中只匹配根目录结尾的请求，后面不能带任何字符串。
^~ 开头表示uri以某个常规字符串开头，不是正则匹配
~ 开头表示区分大小写的正则匹配;
~* 开头表示不区分大小写的正则匹配
/ 通用匹配, 如果没有其它匹配,任何请求都会匹配到
顺序 no优先级：
(location =) > (location 完整路径) > (location ^~ 路径) > (location ~,~* 正则顺序) > (location 部分起始路径) > (/)上面的匹配结果
按照上面的location写法，以下的匹配示例成立：/ -> config A
精确完全匹配，即使/index.html也匹配不了
/downloads/download.html -> config B
匹配B以后，往下没有任何匹配，采用B
/images/1.gif -> configuration D
匹配到F，往下匹配到D，停止往下
/images/abc/def -> config D
最长匹配到G，往下匹配D，停止往下
你可以看到 任何以/images/开头的都会匹配到D并停止，FG写在这里是没有任何意义的，H是永远轮不到的，这里只是为了说明匹配顺序
/documents/document.html -> config C
匹配到C，往下没有任何匹配，采用C
/documents/1.jpg -> configuration E
匹配到C，往下正则匹配到E
/documents/Abc.jpg -> config CC
最长匹配到C，往下正则顺序匹配到CC，不会往下到E