服务端可调 API 脚本化检查：先验 /healthz 和公开配置，登录后查 20 项端点；密码从容器环境变量取，勿写脚本。using_default_credentials 只判断用户名是否为 admin，并非弱口令。凭据失效先查审计日志中的 token/password 重置；ERROR 日志按时间戳判断是否历史遗留；关验证码需备份恢复。服务器无源码，镜像更新走本地构建、save、上传、load、改 tag、up -d，保留旧 tag 可回滚。DSH 会话记录可恢复源码，zstd 需逐帧解压，只重放成功操作，防重复与 BOM 问题。

Halo Pro 2.26.1 实例的镜像 tag 2.26 为滚动标签，升级/回滚应锁 digest，镜像回滚不等于数据库回滚。Docker 日志已轮转，halo.log 无轮转，需用 logrotate 的 daily 加 maxsize 20M，避免 size 覆盖 daily；备份改用用户级 crontab，健康检查已启用并修正重启误报。项目集真实路由为 /portfolio，已新增“文档”“项目”菜单及 skills、timeline 页面，清理 7 个主题演示字段；但项目、技能、履历数据仍为空，external-url 实际生效公网域名故未改。前台匿名路径均 200，API 仍需登录。可据此避免版本漂移、日志漏轮转与告警误报。

构建 Docker 镜像须以仓库根目录为上下文，先构建前端产物，否则 go:embed 无法嵌入最新 WebUI。持久化目录须在 VOLUME 前 chown 给 tunnel(10001)，否则日志和备份静默失败；bind mount 需在 Linux 手动 chown。compose 部署已验证健康检查、17 张表、登录与验证码一次性；数据库默认仅绑 127.0.0.1，推荐 SSH 隧道。管理员口令不能只改 .env 重启，需后台修改或删 users 重建。上线清单涵盖部署、验证、安全加固与回滚。

Docker 部署内网穿透客户端：客户端只出站连服务端 47800，开启 WEB_ENABLE 后才监听 47802 的 Web 配置界面，默认绑所有接口。部署前须运行 init.sh 并授权 data/ 给 uid 10001，否则配置库降级、界面配置重启丢失。配置优先级为 client.env、Web 界面、.env、默认值；改 client.env 需重建容器，Web 保存即时生效。容器内 127.0.0.1 是自身，宿主机服务用 host.docker.internal，静态隧道用 TUNNELS_FILE。验证看 /healthz 和 X-Proxy-By；隧道变更后反代规则不会自动更新，需重载或重启服务端。实测云端链路可打通，升级不影响 data/。