构建 Docker 镜像须以仓库根目录为上下文，先构建前端产物，否则 go:embed 无法嵌入最新 WebUI。持久化目录须在 VOLUME 前 chown 给 tunnel(10001)，否则日志和备份静默失败；bind mount 需在 Linux 手动 chown。compose 部署已验证健康检查、17 张表、登录与验证码一次性；数据库默认仅绑 127.0.0.1，推荐 SSH 隧道。管理员口令不能只改 .env 重启，需后台修改或删 users 重建。上线清单涵盖部署、验证、安全加固与回滚。