数据库外访默认仅绑定本机回环，局域网和公网不可直连；开放须同时改 compose 绑定并放行防火墙，更推荐 SSH 隧道，注释映射不影响服务端。备份链路已跑通且可恢复，建议装 cron，日志轮转用 maxsize；宿主另有 PostgreSQL，DB 操作走 docker exec。镜像须在 VOLUME 前创建并 chown 数据、日志、备份、证书目录，否则文件日志和备份静默失败；bind mount 需将宿主目录权限改为 10001。发现端口暴露、角色权限过高、私钥可读与口令明文等风险，需收敛暴露与权限。