服务端可调 API 脚本化检查：先验 /healthz 和公开配置，登录后查 20 项端点；密码从容器环境变量取，勿写脚本。using_default_credentials 只判断用户名是否为 admin，并非弱口令。凭据失效先查审计日志中的 token/password 重置；ERROR 日志按时间戳判断是否历史遗留；关验证码需备份恢复。服务器无源码，镜像更新走本地构建、save、上传、load、改 tag、up -d，保留旧 tag 可回滚。DSH 会话记录可恢复源码，zstd 需逐帧解压，只重放成功操作，防重复与 BOM 问题。

Halo 站点知识库设计分类与标签：分类按工作线划分，一级8个、二级20个，最长3级，每篇1个主分类；标签小写单数短横线，首批45个，单篇2~5个，全站上限50。实测20个二级分类为空且与一级平铺，前台曾列29个分类入口、28个空页，现全部隐藏，入口降至9个，首篇文章后恢复。分类与标签同slug可共存，显示名不得重复；3组完全同名分类已改显示名，未删分类标签，slug和旧链接不变。另建38节点知识库树，7顶级、3层，先占位发布。

Halo 2.x 插件选型调研确认，目标实例 Halo 2.26.1 满足 AI Foundation、智阅全能AI助手、MiniDocs、项目集的版本门槛。四者真实插件名为 ai-foundation、summaraidGPT、halo-plugin-minidocs、portfolio；智阅依赖 AI Foundation，MiniDocs、项目集独立。实例已启用 AI Foundation 1.1.0，但仅配 DeepSeek 语言模型，无 Embedding，导致 RAG、向量检索和前台访客问答当前不可用。AI Foundation 只是模型接入与调用底座，不含知识库、分块、向量库和前台页面，搜索仍为 Lucene 关键词。选型应先配语言与 Embedding 模型，再装智阅；版本以 Releases 或市场为准，不能信 plugin.yaml 的 version。

Halo Pro 2.26.1 实例的镜像 tag 2.26 为滚动标签，升级/回滚应锁 digest，镜像回滚不等于数据库回滚。Docker 日志已轮转，halo.log 无轮转，需用 logrotate 的 daily 加 maxsize 20M，避免 size 覆盖 daily；备份改用用户级 crontab，健康检查已启用并修正重启误报。项目集真实路由为 /portfolio，已新增“文档”“项目”菜单及 skills、timeline 页面，清理 7 个主题演示字段；但项目、技能、履历数据仍为空，external-url 实际生效公网域名故未改。前台匿名路径均 200，API 仍需登录。可据此避免版本漂移、日志漏轮转与告警误报。

构建 Docker 镜像须以仓库根目录为上下文，先构建前端产物，否则 go:embed 无法嵌入最新 WebUI。持久化目录须在 VOLUME 前 chown 给 tunnel(10001)，否则日志和备份静默失败；bind mount 需在 Linux 手动 chown。compose 部署已验证健康检查、17 张表、登录与验证码一次性；数据库默认仅绑 127.0.0.1，推荐 SSH 隧道。管理员口令不能只改 .env 重启，需后台修改或删 users 重建。上线清单涵盖部署、验证、安全加固与回滚。

飞牛 OS/Debian 12 的 Halo NAS 脚本提供全量备份、非破坏恢复验证、破坏性恢复、健康检查与定时轮转。备份含数据库、全局角色、halo2、compose/env 和校验清单，只增不改，默认保留 7 份；恢复前先验证，灾难恢复先备份现状，再停 Halo、恢复库和文件。数据库命令须显式走容器内 PostgreSQL，--clean --if-exists 具破坏性。隧道配置上，TUNNELS 仅支持简写且本地地址固定 127.0.0.1，容器须用 TUNNELS_FILE；域名跨客户端占用会被跳过；泛域新隧道云端零改动，改 tunnels.json 重启 tunnel-client，改 client.env 需强制重建容器。

如果你看到了这一篇文章，那么证明你已经安装成功了，感谢使用 Halo 进行创作，希望能够使用愉快。