有实际 AI 使用需求的同事，可以申请免费的代理节点。这里提供的是网络连接，ChatGPT、Claude 等平台的账号和付费会员仍需自己管理。

一、先向管理员申请账号

目前由管理员协助开通，不需要自己注册。申请时准备好：

• 希望使用的用户名；
• 能正常收邮件的邮箱；
• 一张能显示 AI 平台名称和当前付费套餐状态的截图。

截图只需证明你已经订阅了 AI 服务，不必提供完整账单。发送前请遮挡付款信息和其他敏感内容。

通过指定的私聊或申请渠道提交，不要把完整账号信息发到大群。按下面的格式填写即可：

姓名／部门：
希望使用的用户名：
邮箱：
主要使用设备：
附件：已遮挡敏感信息的订阅截图。

这里申请的是代理面板账号，用户名和邮箱不必与 AI 账号完全相同。是否必须使用公司邮箱，以管理员要求为准。

管理员只需要订阅证明，不需要你的 AI 密码，也不需要登录你的 AI 账号。

提交后，等待开通通知。如果用户名重复或邮箱有误，管理员会与你确认；没有收到通知前，不必反复尝试登录。

二、登录面板，修改密码并获取订阅链接

账号开通后，通过管理员在群内发送的面板入口登录。账号和初始密码以开通通知为准，本文不提供面板地址。

首次登录后就修改初始密码，不要一直使用临时密码。 在账号设置或个人资料中寻找修改入口，找不到时联系管理员。

新密码建议至少 12 位，不与邮箱、AI 账号或其他网站共用。可以用密码管理器生成并保存，避免使用姓名、生日或简单数字组合。

登录后，找到“订阅链接”“生成订阅”或类似入口，复制自己的完整链接。

图中展开的是“复制”按钮旁的订阅格式菜单。Shadowrocket 选择同名格式；Nextin 可使用兼容的 Clash 格式。账号、订阅地址、二维码及套餐识别信息已遮挡。

面板入口用于登录管理，个人订阅链接用于导入客户端，不能混用。客户端需要的是后者，不是面板首页地址。

面板中的剩余流量和套餐有效期也可以顺手看一下，之后遇到连接问题时，这两项是最先要检查的内容。

三、安装客户端，导入订阅并连接

面板负责管理账号，真正建立连接的是客户端。只登录面板、复制链接，还没有开启代理。

按自己的设备选择兼容客户端，并从可信渠道安装。节点服务免费，不代表所有客户端都免费。

使用 Shadowrocket

已经安装 Shadowrocket 的，可以直接导入：

1. 打开应用，找到添加入口，通常是右上角的“＋”。
2. 选择订阅类型，例如 Subscribe。
3. 将个人订阅链接粘贴到 URL 栏，备注填写一个容易辨认的名字。
4. 保存并更新订阅，等待节点列表出现。
5. 选择管理员推荐的可用节点，打开连接开关。

按钮名称可能随版本变化，以实际界面为准。

首次连接时，系统可能要求添加 VPN 配置。确认请求来自正在使用的可信客户端，再按提示授权。连接后，实际打开需要使用的网站或应用，确认能正常访问。

使用 Nextin

Nextin 是一款 Clash/Mihomo 类代理客户端，可以导入订阅、选择节点，并按规则分流。它本身不提供节点，需要使用前面取得的个人订阅链接。

测试入口：Nextin TestFlight 邀请。

先安装 TestFlight，再打开邀请链接。有适合自己设备的版本时，接受邀请并安装 Nextin。装好 TestFlight 本身，还不算装好了代理客户端。

安装前注意：

• 当前邀请页的说明写着“tvOS 测试版本”，是否有适合自己设备的版本，以 TestFlight 中实际显示为准。
• 按现有安装说明，这个测试方案需要非中国大陆区 Apple 账号，并不是所有 TestFlight 测试都有这个要求。
• 测试构建从开发者上传时起，最多可用 90 天。到期后需要新的可用版本；没有兼容版本、名额已满或测试不可用时，联系管理员确认替代方案。

安装好 Nextin 后：

1. 打开应用，在首页“输入站点识别码或订阅链接”的输入框中，粘贴个人订阅链接。
2. 点击“下一步”，等待下载并解析。
3. 导入成功后，打开当前订阅的节点列表。
4. 选择可用节点，打开连接开关。
5. 按系统提示允许添加 VPN 配置，再打开目标网站测试。

具体入口可参考 Nextin 快速开始。

如果提示格式不支持，先向管理员确认适配 Nextin 的 Clash/Mihomo 订阅。不要把完整链接交给陌生转换网站。

Windows 或其他设备，先向管理员确认兼容客户端和订阅格式，不必照搬苹果设备的安装步骤。

四、节点和分流怎么选？

节点：先选能正常使用的线路

节点就是一条可使用的网络线路。第一次先用管理员推荐的节点，不需要把列表里的每条线路都试一遍。

如果界面提供延迟测试，可以先测一次。显示“超时”的线路先跳过；延迟数字较小，通常表示测试请求响应较快，但不能据此判断下载速度或某个服务是否可用。最终还是要实际打开目标服务确认。

在 Clash/Mihomo 配置中，手动选择和自动选择是两种不同的分组方式：

• 手动选择：自己决定使用哪条线路，便于控制当前出口。
• 自动选择：软件按测试结果选择线路，之后可能发生变化。

不是选了“自动”就一定更适合 AI 使用。手动选择说明、自动选择说明

分流：不同请求可以走不同的连接方式

分流就是按照配置，决定哪些请求直连、哪些走代理，以及使用哪个代理分组。

它不是软件自动判断“国内网站全部直连、国外网站全部代理”。实际怎么走，取决于导入的规则。

常见模式可以这样理解：

模式入口和名称以客户端实际界面为准。Clash/Mihomo 的全局模式还需要在 GLOBAL 分组中选择出口，不是只切换模式就完成了设置。模式说明

日常优先使用管理员提供并确认适合 AI 服务的规则配置。 全局模式主要用于短时排查，具体方法见后面的故障处理。

Nextin 里有多个分组，该改哪一个？

导入配置后，你可能看到“代理选择”“AI”“OpenAI”“Claude”等分组。这些名字由订阅配置决定，不是每份配置都有。

规则会先把请求交给对应分组，再由分组决定使用哪个节点。因此，选了主代理节点，不一定就改变了所有服务的线路：

• 如果 AI 分组选择的是“代理选择”，它会跟随主代理分组。
• 如果 AI 分组单独选了某条节点，只改主代理分组，不会影响它。
• 如果相关请求被规则设为直连，就不会使用你选的代理节点。

使用 AI 时，如果配置里有对应分组，就打开它，确认选择的是管理员推荐的节点或代理分组。没有对应分组时，先沿用现有配置，向管理员确认，不必自己从头写规则。路由规则说明

第一次使用，也不用急着修改“自定义规则”“订阅文件覆写”或“订阅模板覆写”。这些功能会改变分流方式，先把现有配置用明白，再考虑调整。Nextin 规则说明

使用 Claude 时，尽量保持连接稳定

现有使用建议是：不要让同一个 Claude 账号同时通过两个不同节点持续对话，尤其是手机、电脑使用地区差异很大的线路，还频繁切换。

找到正常可用的线路后，先保持使用。故障需要换节点时，停止当前请求，再重新连接；出现验证或异常提示时，不要连续更换大量节点反复重试。

这是稳定连接、方便排错的建议。“两个节点同时用就一定封号”没有依据，“固定一个节点就绝对安全”也不成立。

五、流量和订阅链接怎么管理？

每人每月 100GB，留意后台消耗

上方四个卡片依次显示总配额、已用流量、剩余流量和使用率。图中数值只是界面示例，你自己的剩余流量以面板为准。

流量统计的是传输的数据量，不是使用时长。文字聊天通常消耗较少，上传文件、语音、图片、视频和大文件下载会消耗更多，实际以面板为准。

尽量用于工作和 AI 使用需求，避免长时间高清视频、大型游戏下载、持续测速、批量下载，以及后台相册或云备份同步。不要转借账号，或让大量设备同时使用。

套餐有效期和每月流量重置是两回事。套餐还有效，不代表本月额度没有用完；具体重置日期以面板或管理员说明为准。

流量突然掉得很快时，先检查是否开启了全局模式，以及后台是否有下载、更新或同步任务。找不到原因时，也要考虑订阅链接是否泄露。

确实有工作需要补充额度，可以向管理员说明用途、当前剩余流量、消耗原因和所需额度。管理员可视情况协助重置，但总资源有限，不是无限使用，也不保证随时恢复额度。

订阅链接按密码保管

很多订阅链接拿到后就能获取节点配置，不会再要求输入面板密码。别人可能因此使用你的服务、消耗你的流量。

不要把完整链接或二维码放进公开群、论坛和公开文档，也不要上传给 AI 工具分析。截图时记得遮挡。

怀疑泄露后，联系管理员撤销或更换。只修改面板密码，不一定能让旧订阅链接失效。

六、保护 AI 账号和工作资料

邮箱往往是接收登录邮件和找回账号的入口。邮箱与 AI 账号使用不同密码，平台支持时开启多因素认证，并保存好恢复码。通过 Google、Apple 登录的，也要保护对应账号。

不要交出验证码、登录邮件链接、Cookie 或 API Key。Cookie 是登录凭证，泄露后别人可能直接使用你的账号。在公共设备上使用后，记得退出登录。

不要为了安装客户端交出 Apple 账号密码，也不要随便安装“防封”“解锁”插件。要求读取所有网页、导出登录状态或上传凭证的工具，尤其要谨慎。

AI 平台有各自的服务地区和使用规则。在支持地区之外访问，可能面临账号限制；代理连接不能替代这些要求，也不能保证账号安全。具体以 OpenAI 和 Claude 的官方说明为准。

上传工作资料前，仍需确认是否允许上传，并按信息管理要求脱敏，例如去掉客户联系方式、合同敏感条款、内部凭证和代码中的密钥。能连接 AI，不代表获得了上传内部机密资料的权限。

七、不能用时，按问题排查

面板登录失败

确认账号是否已经开通，入口是否来自管理员，以及登录标识和密码是否正确。不要反复猜密码，联系管理员核实。

导入后没有节点

检查是否复制了完整的个人订阅链接，有没有误用面板首页地址，是否更新了订阅，以及客户端是否支持该格式。套餐状态和原网络也要一起检查。

显示已连接，但 AI 打不开

先确认设备本身能正常上网，再检查剩余流量、套餐有效期、当前节点和对应代理分组，同时确认没有运行其他 VPN 或代理软件。

必要时，可以短暂切到全局模式，并确认全局出口使用可用节点：

• 全局能用，规则模式不能用：优先检查分流规则和对应分组。
• 两种模式都不能用：继续检查节点、套餐状态和平台的具体报错。

每次只改一项，再测试。不要同时换节点、改规则和更新订阅，否则即使恢复了，也很难知道是哪一步解决的。

排查结束后切回规则模式，避免视频、下载和后台同步持续经过代理。

手机能用，电脑不能用

电脑通常需要单独安装和配置客户端。即使电脑连接手机热点，也不能默认手机的代理会共享给电脑。

Nextin 测试版打不开

先到 TestFlight 查看测试版本是否到期、是否有更新。这类问题不一定与节点有关。

AI 提示异常活动或账号暂停

停止反复登录和频繁切换，保存错误提示，检查平台发来的安全邮件，通过官方支持处理。

“连接失败”“登录失败”“额度用完”“地区不支持”是不同问题，不能都靠换节点解决。管理员可以协助检查网络，但 AI 账号是否恢复由平台决定。

找不到原因时，怎样求助？

按下面的格式提供信息：

设备／系统：
客户端名称：
问题发生时间：
当前节点名称：
无法使用的服务及具体报错：
剩余流量：
已尝试的操作：
附件：已遮挡敏感信息的截图。

具体报错比一句“不能用”更容易解决。确需核查订阅时，通过管理员指定的私密渠道处理。

面板操作按已有截图整理，具体菜单、客户端版本及测试入口可能调整，以实际页面和管理员最新说明为准。

这里整理了一份自用 Docker 项目清单，部分配置参考 部署汇总。不同项目的维护状态和版本差异很大，不能保证所有示例在 2026 年都能直接运行。

清单区分两类配置：标为“文档核对”的条目参考当前项目说明；其他条目是历史配置，明确标为待复测。镜像、凭据、端口和初始化方式都需要在部署前确认。没有拉起这些容器，也没有迁移任何数据库。

不同项目的同名宿主机端口会冲突。下面各段是独立项目，不要把整篇拼成一个 Compose 文件。latest 只是示例选择；实际落地应核对发行与架构，固定已验证版本，保留备份与回退条件。

常用参数

Compose V2 使用 docker compose。顶层 version 已过时，本文配置不再添加它。restart: "no" 不自动重启；on-failure 仅失败时重启；always 与 unless-stopped 对手动停止后重启守护进程的行为不同。重启策略不等于健康检查，也不保证应用已经可以对外服务。

端口左边是宿主机入口，右边是容器监听端口。默认不加地址的发布通常会绑定所有接口；本文普通 Web 服务示例改为 127.0.0.1，从别的机器访问需另行配置可信 LAN、SSH 转发或有认证的反向代理。DNS、硬件与 host 网络类服务不能生搬这一规则。

数据库、配置和上传文件要持久化；挂载目录、用户权限和数据备份是部署的一部分。.env 只是避免把值硬编码到文章，不是加密保险箱，不能提交到公开仓库。

docker compose config --quiet
docker compose up -d
docker compose logs --tail=100

语法检查通过不等于镜像存在、应用配置正确或数据能迁移。这里没有实际执行这些部署命令。

cloudflare穿透工具flaresolverr

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  flaresolverr:
    image: ghcr.io/flaresolverr/flaresolverr:latest
    container_name: flaresolverr
    environment:
    - LOG_LEVEL=info
    - TZ=Asia/Shanghai
    ports:
    - 127.0.0.1:8191:8191
    restart: unless-stopped

思维导图mind-map

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  mindmap:
    container_name: mindmap
    image: shuiche/mind-map
    ports:
    - 127.0.0.1:6679:8080
    environment:
      TZ: Asia/Shanghai
    restart: always

小雅阿里资源

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  xiaoya:
    container_name: xiaoya
    image: xiaoyaliu/alist
    ports:
    - 127.0.0.1:3579:80
    volumes:
    - /home/zsg/docker/xiaoya:/data
    - /home/zsg/docker/xiaoya/alist:/opt/alist/data
    environment:
      TZ: Asia/Shanghai
    restart: always

Snapdrop网页文件传输

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  snapdrop:
    image: lscr.io/linuxserver/snapdrop:latest
    container_name: snapdrop
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - /home/zsg/docker/snapdrop:/config
    ports:
    - 127.0.0.1:7635:80
    restart: unless-stopped

web-check网站测试

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  webcheck:
    container_name: webcheck
    restart: unless-stopped
    image: lissy93/web-check
    ports:
    - 127.0.0.1:3084:3000
    environment:
    - TZ=Asia/Shanghai

迅雷

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

本条涉及宿主机网络、设备或高权限挂载。只在确有必要且可信的环境评估，不把容器视为绝对隔离；Docker socket 权限尤其敏感。

services:
  xunlei:
    image: cnk3x/xunlei:latest
    privileged: true
    container_name: xunlei
    hostname: nas
    network_mode: host
    environment:
    - XL_WEB_PORT=4321
    - XL_BA_USER=user
    - XL_BA_PASSWORD=${XL_BA_PASSWORD:?set XL_BA_PASSWORD in a private .env file}
    volumes:
    - /home/zsg/docker/xunlei/data:/xunlei/data
    - /home/zsg/docker/xunlei/downloads:/xunlei/downloads
    restart: unless-stopped

Fail2ban

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

本条涉及宿主机网络、设备或高权限挂载。只在确有必要且可信的环境评估，不把容器视为绝对隔离；Docker socket 权限尤其敏感。

services:
  fail2ban:
    container_name: fail2ban
    restart: 'no'
    network_mode: host
    volumes:
    - /home/zsg/docker/fail2ban/data:/data
    - /var/log:/var/log:ro
    image: crazymax/fail2ban:latest
    environment:
    - TZ=Asia/Shanghai
    - F2B_LOG_TARGET=STDOUT
    - F2B_LOG_LEVEL=INFO
    - F2B_DB_PURGE_AGE=1d
    cap_add:
    - NET_ADMIN
    - NET_RAW

群晖DSM

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

本条涉及宿主机网络、设备或高权限挂载。只在确有必要且可信的环境评估，不把容器视为绝对隔离；Docker socket 权限尤其敏感。

docker network create -d macvlan \
     --subnet=10.0.0.0/24 \
     --gateway=10.0.0.1 \
     --ip-range=10.0.0.160/28 \
     -o parent=eth0 vdsm
 # 先建立macvlan网络，eth0要改成你的网卡地址
 # 以上按照你的局域网ip改

services:
  synology-dsm:
    container_name: dsm
    restart: always
    environment:
      TZ: Asia/Shanghai
      CPU_CORES: '2'
      RAM_SIZE: 1024M
      DISK_SIZE: 16G
      ALLOCATE: N
      DHCP: Y
    devices:
    - /dev/kvm
    - /dev/vhost-net
    device_cgroup_rules:
    - c *:* rwm
    cap_add:
    - NET_ADMIN
    ports:
    - 127.0.0.1:5000:5000
    volumes:
    - /home/zsg/docker/dsm:/storage
    stop_grace_period: 1m
    image: kroese/virtual-dsm:latest
    networks:
      vdsm:
        ipv4_address: 10.0.0.160
networks:
  vdsm:
    external: true

单点登录Authelia

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

Compose 只是容器结构，不包含完整认证、TLS、路由或业务配置。初始化和访问控制完成前，不要把入口开放给不可信网络。

services:
  authelia:
    container_name: authelia
    image: authelia/authelia:latest
    restart: unless-stopped
    ports:
    - 127.0.0.1:19091:9091
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - /home/zsg/docker/authelia/config:/config

内网穿透FRP

frps 在公网，frpc 在内网。不要混用第三方镜像、旧 INI 与不同版本的路径。匹配版本、端口、鉴权和 TLS 的完整配置见本站的《Frp搭建以及配置》。参考：官方项目。不要直接开放路由器管理入口。

RustDesk远程桌面

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

远程桌面客户端需要到达对应 TCP/UDP 端口，不能用普通 HTTP 反代替代；本条保留历史端口结构，部署前还要按上游核对服务端密钥、数据共享与网络限制。不要向不可信网络暴露未配置好的远控入口。

services:
  hbbs:
    container_name: rustdesk-hbbs
    ports:
    - 21115:21115
    - 21116:21116
    - 21116:21116/udp
    - 21118:21118
    image: rustdesk/rustdesk-server
    command: hbbs
    volumes:
    - /home/zsg/docker/rustdesk/hbbs:/root
    restart: always
  hbbr:
    container_name: rustdesk-hbbr
    ports:
    - 21117:21117
    - 21119:21119
    image: rustdesk/rustdesk-server
    command: hbbr
    volumes:
    - /home/zsg/docker/rustdesk/hbbr:/root
    restart: always

Stirling PDF工具箱

当前官方文档使用下面的镜像和数据路径。旧 frooodle/s-pdf 配置不再作为新部署示例：

services:
  stirling-pdf:
    image: docker.stirlingpdf.com/stirlingtools/stirling-pdf:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:8080:8080"
    volumes:
      - ./stirling-data:/configs

先在受控入口完成初始化与账户设置，不要关闭登录后直接开放公网。OCR、存储和附加能力按当前版本继续配置；不沿用旧环境变量来承诺全部功能。参考：官方 Docker 安装。未实机部署。

Alist

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  alist:
    restart: always
    volumes:
    - ./docker/alist:/opt/alist/data
    - /home:/home/alist
    ports:
    - 127.0.0.1:5244:5244
    environment:
    - TZ=Asia/Shanghai
    container_name: alist
    image: xhofe/alist:latest

思维导图wiseapp

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

mkdir ./wiseapp
 docker run --name wiseapp -d --mount type=bind,source=./wiseapp,target=/var/lib/wise-db wisemapping/wisemapping:latest
 docker run --name wiseapp -d -v ./wiseapp:/var/lib/wise-db wisemapping/wisemapping:latest
 docker cp wiseapp:/var/lib/wisemapping/db ./wiseapp
 docker stop wiseapp;docker rm wiseapp
 docker run --mount type=bind,source=./wiseapp/db,target=/var/lib/wisemapping/db -it --rm -p 6080:8080 wisemapping/wisemapping:latest
 docker run --name wiseapp -v ./wiseapp/db:/var/lib/wisemapping/db -d -p 6080:8080 wisemapping/wisemapping:latest
 
 默认账号：test@wisemapping.org密码test
 默认账号：admin@wisemapping.org密码test

services:
  wisemapping:
    container_name: wiseapp
    restart: always
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./wiseapp/db:/var/lib/wisemapping/db
    ports:
    - 127.0.0.1:6080:8080
    image: wisemapping/wisemapping:latest

静态站点nginx-php

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  nginx:
    container_name: nginx
    ports:
    - 127.0.0.1:3387:80
    environment:
    - TZ=Asia/Shanghai
    restart: always
    volumes:
    - ./zdj:/usr/share/nginx/html
    image: gindex/nginx-php

网站访问统计Umami

以当前官方 Compose 为基准，应用通过内部网络访问 PostgreSQL，不把数据库端口发布到宿主机。下面是新空实例的结构示例，不是旧数据库的升级命令：

services:
  umami:
    image: ghcr.io/umami-software/umami:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:3000:3000"
    environment:
      DATABASE_URL: "postgresql://umami:${POSTGRES_PASSWORD:?set POSTGRES_PASSWORD}@db:5432/umami"
      APP_SECRET: "${UMAMI_APP_SECRET:?set UMAMI_APP_SECRET}"
      TWO_FACTOR_ENCRYPTION_KEY: "${UMAMI_2FA_KEY:?set UMAMI_2FA_KEY}"
    depends_on:
      db:
        condition: service_healthy
    init: true
  db:
    image: postgres:15-alpine
    restart: unless-stopped
    environment:
      POSTGRES_DB: umami
      POSTGRES_USER: umami
      POSTGRES_PASSWORD: "${POSTGRES_PASSWORD:?set POSTGRES_PASSWORD}"
    volumes:
      - umami-db-data:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U $${POSTGRES_USER} -d $${POSTGRES_DB}"]
      interval: 5s
      timeout: 5s
      retries: 5
volumes:
  umami-db-data:

密码如果用于连接 URI，选用 URI 安全的高强度随机字符，或正确编码特殊字符。2FA 加密密钥按项目要求生成 64 位十六进制值，保存好后不要随意轮换。初始化方式以当前项目为准，不要手工导入来源或版本不匹配的固定 SQL 文件。PostgreSQL 主版本变更必须做独立迁移，不能直接让新版本打开旧数据目录。

参考：官方 Compose。未实机部署。

WebSSH

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  webssh:
    container_name: webssh
    restart: 'no'
    ports:
    - 127.0.0.1:5032:5032
    environment:
    - PUID=0
    - PGID=0
    - TZ=Asia/Shanghai
    image: jrohy/webssh

备忘录memos

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  memos:
    container_name: memos
    restart: always
    environment:
    - TZ=Asia/Shanghai
    ports:
    - 127.0.0.1:5230:5230
    volumes:
    - ./memos/:/var/opt/memos
    image: neosmemo/memos:latest

Chatgpt-web

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  chatgpt-web:
    container_name: chatgpt
    restart: always
    image: yidadaa/chatgpt-next-web
    ports:
    - 127.0.0.1:3355:3000
    environment:
    - TZ=Asia/Shanghai
    - OPENAI_API_KEY=${OPENAI_API_KEY:?set OPENAI_API_KEY in a private .env file}
    - CODE=${CODE:?set CODE in a private .env file}
    - BASE_URL=https://api.openai.com

Traccar位置追踪

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

导出traccar.xml默认文件

docker run \
 --rm \
 --entrypoint cat \
 traccar/traccar:latest \
 /opt/traccar/conf/traccar.xml > ./traccar/traccar.xml

services:
  traccar:
    container_name: traccar
    restart: always
    environment:
    - TZ=Asia/Shanghai
    ports:
    - 127.0.0.1:3697:8082
    - 5000-5150:5000-5150
    - 5000-5150:5000-5150/udp
    volumes:
    - ./traccar/data:/opt/traccar/data:rw
    - ./traccar/logs:/opt/traccar/logs:rw
    - ./traccar/traccar.xml:/opt/traccar/conf/traccar.xml:ro
    image: traccar/traccar:latest

反代服务器Traefik

原段落除了 YAML 引号缺失，还只有容器配置，没有入口点、路由、证书与访问控制配置，不能作为完整的 HTTPS 反代教程。它也直接挂载了 Docker socket，权限需要单独评估。

当前部署请从 Traefik 官方指南 选择匹配版本与配置方式，先在测试环境核对 entryPoints、providers、TLS 与路由，再接入真实域名。DNS 服务商 API 密钥只放在自己的私有配置里，不粘贴到公开文章。本文不再保留不完整且误导性的旧堆栈。

Reader阅读

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  reader:
    restart: always
    container_name: reader
    environment:
    - SPRING_PROFILES_ACTIVE=prod
    - READER_APP_SECURE=true
    - READER_APP_SECUREKEY=282828
    - READER_APP_INVITECODE=33655
    - TZ=Asia/Shanghai
    volumes:
    - ./reader/log:/log
    - ./reader/storage:/storage
    ports:
    - 127.0.0.1:8769:8080
    image: hectorqin/reader

绘图Draw

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  drawio:
    container_name: draw
    ports:
    - 127.0.0.1:8322:8080
    environment:
    - TZ=Asia/Shanghai
    restart: always
    image: jgraph/drawio

RSS订阅FreshRSS

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  freshrss:
    container_name: freshrss
    environment:
    - CRON_MIN=*/45
    - TZ=Asia/Shanghai
    ports:
    - 127.0.0.1:5655:80
    volumes:
    - ./freshrss:/var/www/html/data
    image: freshrss/freshrss

ESP32HOME

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  esphome:
    container_name: esphome
    ports:
    - 127.0.0.1:6052:6052
    environment:
    - http_proxy=http://10.0.0.5:7890
    - https_proxy=http://10.0.0.5:7890
    - no_proxy=localhost,10.0.0.5,10.0.0.1,192.168.1.1,127.0.0.1,.local,localhost
    image: esphome/esphome

手绘白板

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  excalidraw:
    container_name: excalidraw
    ports:
    - 127.0.0.1:8099:80
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./excalidraw:/app/web
    restart: always
    image: excalidraw/excalidraw

Nginx+PHP

PHP 5.6、7.3、8.0 曾被用于并排运行不同站点，这些分支已不在当前支持范围内。保留“不同站点可以使用不同 PHP-FPM”的思路，但不再提供这些旧版本的新部署清单。

新应用先选仍受支持、且依赖兼容的 PHP 版本，再配置 Nginx 的 FastCGI 上游、站点目录与权限。迁移旧站点需要在测试环境检查扩展、语法与数据库兼容，不是换镜像标签就完成升级。参考：PHP 支持周期。

phpmyadmin

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

# 任意服务器
 docker run --name phpmyadmin -d -e PMA_ARBITRARY=1 -p 18080:80 phpmyadmin
 # 指定服务器及端口
 docker run --name phpmyadmin -d -e PMA_HOST=127.0.0.1 -e PMA_PORT=3306 -p 18080:80 phpmyadmin

MySQL

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  mysql:
    container_name: mysql
    restart: always
    ports:
    - 127.0.0.1:3306:3306
    volumes:
    - ./mysql/data:/var/lib/mysql
    environment:
    - MYSQL_ROOT_PASSWORD=${MYSQL_ROOT_PASSWORD:?set MYSQL_ROOT_PASSWORD in a private .env file}
    - TZ=Asia/Shanghai
    image: mysql

Linux命令查询

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  web:
    image: stilleshan/linux-command
    container_name: linux-command
    ports:
    - 127.0.0.1:7326:80
    restart: always

docker-proxy

旧配置发布无认证的 2375，并允许大量写操作，风险过高，不再保留为可照抄的部署方法。Docker API 与 socket 可以带来宿主机级权限，给 socket 挂载加 :ro 不会把 API 变成只读。

确需读取容器状态时，可以评估受限 socket proxy：只接入专用内部网络、不发布 2375、默认关闭 POST，逐项开放确实需要的读接口。这仍是敏感接口，不是安全隔离的万能边界。参考：docker-socket-proxy 项目。具体集成需按调用方复核，本文不提供全权限配置。

文件快递柜

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  filecodebox:
    container_name: filecodebox
    restart: always
    ports:
    - 127.0.0.1:12345:12345
    volumes:
    - ./FileCodeBox/:/app/data
    image: lanol/filecodebox:latest

MQTT

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

Compose 只是容器结构，不包含完整认证、TLS、路由或业务配置。初始化和访问控制完成前，不要把入口开放给不可信网络。

services:
  eclipse-mosquitto:
    container_name: MQTT
    restart: always
    ports:
    - 127.0.0.1:1883:1883
    - 127.0.0.1:9001:9001
    volumes:
    - ./mqtt/conf:/mosquitto/config
    - ./mqtt/data:/mosquitto/data
    - ./mqtt/log:/mosquitto/log
    image: eclipse-mosquitto

测速speedtest

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  speedtest:
    container_name: speedtest
    restart: always
    ports:
    - 127.0.0.1:12345:80
    image: adolfintel/speedtest

订阅转换

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  subweb:
    container_name: subweb
    restart: always
    ports:
    - 127.0.0.1:58080:80
    image: careywong/subweb:latest
  subconverter:
    container_name: sub
    restart: always
    ports:
    - 127.0.0.1:25500:25500
    image: tindy2013/subconverter:latest

Docker命令转堆栈

带特殊字符的挂载路径应加引号；下面的镜像和页面功能仍属于未实机复测的历史配置。转换工具生成的 Compose 也要自己复核权限、卷、端口和凭据，不能转换后就当作安全部署方案。

services:
  composerize:
    image: alcapone1933/composerize
    restart: unless-stopped
    ports:
      - "127.0.0.1:9080:80"
    environment:
      TZ: Asia/Shanghai
    volumes:
      - ./composerize:/var/www

Docker更新通知

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

本条涉及宿主机网络、设备或高权限挂载。只在确有必要且可信的环境评估，不把容器视为绝对隔离；Docker socket 权限尤其敏感。

services:
  diun:
    container_name: diun
    restart: always
    environment:
    - TZ=Asia/Shanghai
    - LOG_LEVEL=info
    - LOG_JSON=false
    - DIUN_PROVIDERS_DOCKER=true
    - DIUN_PROVIDERS_FILE_FILENAME=/custom-images.yml
    volumes:
    - ./diun:/data
    - ./diun/custom-images.yml:/custom-images.yml:ro
    - ./diun/diun.yml:/diun.yml:ro
    - /var/run/docker.sock:/var/run/docker.sock
    image: crazymax/diun:latest

看板homepage

Homepage 与 Diun 是不同的项目，部署时应使用 Homepage 自己的镜像，并配置允许的访问 Host：

services:
  homepage:
    image: ghcr.io/gethomepage/homepage:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:3000:3000"
    environment:
      HOMEPAGE_ALLOWED_HOSTS: "localhost:3000,127.0.0.1:3000"
    volumes:
      - ./config:/app/config

域名访问时把允许列表改成实际域名。这个最小示例没有接入 Docker socket；需要容器状态集成时，另外评估访问权限。参考：官方 Docker 说明。配置按文档修正，未实机运行。

trilium笔记

nriver/trilium-cn 是第三方中文镜像。当前项目由 TriliumNext/Trilium 维护，不能把旧镜像与现在的官方发行混为一谈。

新部署按 官方 Docker 指南 选择 triliumnext/trilium 的已核对版本，持久化 /home/node/trilium-data。先核对服务端与客户端同步版本再升级，不要直接换成 latest 去打开已有笔记库。旧库迁移需要单独备份和验证，本文不把它改写成已经完成的操作。

FileBrowser文件管理

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  filebrowser:
    container_name: filebrowser
    ports:
    - 127.0.0.1:9696:80
    environment:
    - TZ=Asia/Shanghai
    - PUID=0
    - PGID=0
    volumes:
    - .:/Disk
    - ./filebrowser/database.db:/database.db
    - ./filebrowser/filebrowser.json:/.filebrowser.json
    - ./filebrowser/cache:/cache
    image: filebrowser/filebrowser

filebrowser.json

VSCode

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  code-server:
    container_name: vscode
    environment:
    - TZ=Asia/Shanghai
    - PUID=0
    - PGID=0
    - PASSWORD=${PASSWORD:?set PASSWORD in a private .env file}
    - DEFAULT_WORKSPACE=/000
    ports:
    - 127.0.0.1:5797:8443
    volumes:
    - ./vscode:/config
    - .:/000
    restart: always
    image: linuxserver/code-server

百度脑图

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  kityminder:
    container_name: mind
    restart: always
    ports:
    - 127.0.0.1:2333:80
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./mind:/data
    image: xinyewdz/kityminder

RSSPush

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  rsspush:
    container_name: rsspush
    ports:
    - 127.0.0.1:6863:8000
    volumes:
    - ./rsspush:/rsspush/api/data
    environment:
    - TZ=Asia/Shanghai
    - RSS_BASE=http://10.0.0.9:8556
    - ADMIN_KEY=123456
    image: easychen/rsspush

‍

OCR文字识别

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  trwebocr:
    ports:
    - 127.0.0.1:18089:8089
    restart: always
    container_name: trwebocr
    image: mmmz/trwebocr

相册（MT Photo）

旧镜像名 mtphotos/mt-photos/photosync 写错了；当前项目发布的是 mtphotos/mt-photos。下面只说明容器结构，授权和相册导入按项目要求处理：

services:
  mt-photos:
    image: mtphotos/mt-photos:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:8063:8063"
    environment:
      TZ: Asia/Shanghai
    volumes:
      - ./mt_photos/config:/config
      - ./mt_photos/upload:/upload

不要添加服务未使用的 CIFS 卷，也不要把共享账户密码写入公开配置。已有照片目录与上传目录要分清，挂载外部相册前先看当前文档。参考：项目发布镜像。未实机部署。

ADGuard Home

旧配置里的 image: run 不是有效的项目镜像，应该是 adguard/adguardhome。DNS 服务需要让指定局域网设备可达，所以不能把 53 端口只绑定回环地址后宣称整个 LAN 都能用。

新部署按 官方 Docker 指南 设置 work、conf 两个持久化目录和所需端口，先检查宿主机 53 是否被现有 DNS 服务占用。3000 通常用于首次设置，设置后的管理端口以实际选择为准。不要不看现有网络就停掉系统 DNS，也不要把 DNS 和管理面板无保护开放到公网。本文暂不提供一组声称适用于所有网络的端口映射。

SmartDNS

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

本条涉及宿主机网络、设备或高权限挂载。只在确有必要且可信的环境评估，不把容器视为绝对隔离；Docker socket 权限尤其敏感。

services:
  smartdns:
    network_mode: host
    hostname: smartdns
    container_name: smartdns
    restart: always
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./smartdns:/smartdns
    image: ghostry/smartdns

xTeVe

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  xteve:
    container_name: xteve
    restart: always
    hostname: xteve
    ports:
    - 127.0.0.1:34400:34400
    logging:
      options: max-size=10m,max-file=3
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./xteve/xteve:/root/.xteve:rw
    - ./xteve/config:/config:rw
    - ./xteve/tmp:/tmp/xteve:rw
    - ./xteve/tvheadend/data:/TVH
    image: alturismo/xteve

思源笔记（siyuan）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  siyuan:
    container_name: siyuan
    restart: always
    volumes:
    - ./siyuan:/siyuan
    ports:
    - 127.0.0.1:6806:6806
    image: b3log/siyuan

网页监控（uptime-kuma）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  uptime-kuma:
    restart: always
    environment:
    - TZ=Asia/Shanghai
    ports:
    - 127.0.0.1:3001:3001
    volumes:
    - ./uptime-kuma/data:/app/data
    container_name: uptime-kuma
    image: louislam/uptime-kuma:latest

影音机器人（movierobot）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  movie-robot:
    restart: always
    container_name: movie-robot
    ports:
    - 127.0.0.1:1329:1329
    volumes:
    - ./movie-robot:/data
    - /path/to/media:/media
    environment:
    - LICENSE_KEY=xxxxxxxxxx
    image: yipengfei/movie-robot

overseerr

第三方 Overseerr 镜像与当前官方发行要分开核对。当前相关项目已转向 Seerr，官方镜像发布为 ghcr.io/seerr-team/seerr 或 seerr/seerr，不能把旧容器名和新项目无条件互换。

新部署参考 Seerr 入门文档；旧 Overseerr 实例先看对应迁移说明、备份配置与数据库，再决定是否迁移。这里只介绍部署入口，没有实际执行媒体服务迁移。

docker可视化管理（portainer）

当前 Portainer CE 的主要管理入口是 HTTPS 9443。以下入口仅监听本机，远程使用需配合安全转发或经过验证的反向代理：

services:
  portainer:
    image: portainer/portainer-ce:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:9443:9443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - portainer_data:/data
volumes:
  portainer_data:

Portainer 通过 Docker socket 管理宿主机容器，具有高权限；先完成管理员初始化，不要公开无人管理的入口。证书也要按实际访问域名与信任方式配置，不是要求读者忽略所有证书错误。参考：官方 CE 安装。未实机部署。

RSS生成（rsshub）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  rsshub:
    restart: always
    container_name: rsshub
    ports:
    - 127.0.0.1:8556:1200
    image: diygod/rsshub

flexget

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  flexget:
    image: madwind/flexget
    container_name: flexget
    environment:
      FG_WEBUI_PASSWD: ${FG_WEBUI_PASSWD:?set FG_WEBUI_PASSWD in a private .env file}
      FG_LOG_LEVEL: INFO
      TZ: Asia/Shanghai
      PUID: 1000
      PGID: 1000
    volumes:
    - ./flexget/config:/config
    - ./flexget/downloads:/downloads
    ports:
    - 127.0.0.1:8385:3539
    restart: always

bark

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  bark-server:
    restart: always
    environment:
    - TZ=Asia/Shanghai
    container_name: bark
    ports:
    - 127.0.0.1:8383:8080
    volumes:
    - ./bark/data:/data
    image: finab/bark-server

密码管理（vaultwarden/Bitwarden）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

Compose 只是容器结构，不包含完整认证、TLS、路由或业务配置。初始化和访问控制完成前，不要把入口开放给不可信网络。

services:
  server:
    restart: always
    container_name: vaultwarden
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./Bitwarden/data/:/data/
    ports:
    - 127.0.0.1:12256:80
    image: vaultwarden/server

docker容器自动更新（watchtower）

Watchtower 可以自动替换运行中的镜像。截至本次核对，原项目仓库已归档，不再作为新部署的默认推荐。尤其是数据库、笔记、密码管理与核心服务，不适合不看发布说明就自动更新。

更稳妥的流程是收到更新通知后，核对变更，备份并测试恢复，再在维护窗口手动更新、检查服务与数据，保留可用的回退条件。回退镜像不一定能回退已经迁移的数据格式。Diun 可以用作更新通知，但通知本身不等于完成更新。

参考：Watchtower 仓库状态、Diun。删除的是文章中的自动更新建议，没有改动任何运行中的容器。

网址收藏夹（shaarli）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  shaarli:
    container_name: Shaarli
    restart: always
    ports:
    - 127.0.0.1:8561:80
    volumes:
    - ./shaarli:/var/www/shaarli/data
    image: shaarli/shaarli

智能家居（HASS）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

本条涉及宿主机网络、设备或高权限挂载。只在确有必要且可信的环境评估，不把容器视为绝对隔离；Docker socket 权限尤其敏感。

services:
  home-assistant:
    restart: always
    container_name: hass
    privileged: true
    network_mode: host
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./hass:/config
    - /run/dbus:/run/dbus
    - /var/run/dbus:/var/run/dbus
    - /dev:/dev
    - /var/run/docker.sock:/var/run/docker.sock
    - /dev/bus/usb:/dev/bus/usb
    image: homeassistant/home-assistant:latest

为知笔记（wiz）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  wizserver:
    container_name: wiz
    volumes:
    - ./wiz/data:/wiz/storage
    - /etc/localtime:/etc/localtime
    ports:
    - 127.0.0.1:8357:80
    - 127.0.0.1:9269:9269/udp
    image: wiznote/wizserver

默认管理员账号：admin@wiz.cn，密码：123456

堡垒机（next-terminal）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

Compose 只是容器结构，不包含完整认证、TLS、路由或业务配置。初始化和访问控制完成前，不要把入口开放给不可信网络。

services:
  guacd:
    container_name: guacd
    image: dushixiang/guacd:latest
    volumes:
    - ./next-terminal/data:/usr/local/next-terminal/data
    restart: always
  next-terminal:
    container_name: next-terminal
    image: dushixiang/next-terminal:latest
    environment:
      DB: sqlite
      GUACD_HOSTNAME: guacd
      GUACD_PORT: 4822
    ports:
    - 127.0.0.1:8068:8088
    volumes:
    - /etc/localtime:/etc/localtime
    - ./next-terminal/data:/usr/local/next-terminal/data
    restart: always

相册（photoprism）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  photoprism:
    container_name: photoprism
    ports:
    - 127.0.0.1:8568:2342
    environment:
    - PHOTOPRISM_UPLOAD_NSFW=false
    - PHOTOPRISM_ADMIN_PASSWORD=${PHOTOPRISM_ADMIN_PASSWORD:?set PHOTOPRISM_ADMIN_PASSWORD in a private .env file}
    volumes:
    - ./photoprism:/photoprism/storage
    - ./Pictures/Pictures:/photoprism/originals
    - ./Pictures/Example:/photoprism/originals/Example
    image: photoprism/photoprism

node-red

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  node-red:
    container_name: nodered
    restart: always
    ports:
    - 127.0.0.1:1880:1880
    environment:
    - TZ=Asia/Shanghai
    volumes:
    - ./nodered/data:/data
    image: nodered/node-red

PLEX监视器（Tautulli）

Tautulli 应使用官方项目提供的镜像，不是 argparse：

services:
  tautulli:
    image: tautulli/tautulli:latest
    restart: unless-stopped
    ports:
      - "127.0.0.1:8181:8181"
    volumes:
      - ./tautulli/config:/config
    environment:
      TZ: Asia/Shanghai

初始化时连接自己的 Plex，并妥善保护相应凭据。统计服务不需要因为能读播放数据就直接暴露在公网。参考：官方项目。未实机部署。

个人导航（onenav）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  onenav:
    container_name: onenav
    ports:
    - 127.0.0.1:8252:80
    environment:
    - USER=zsg
    - PASSWORD=${PASSWORD:?set PASSWORD in a private .env file}
    volumes:
    - ./onenav:/data/wwwroot/default/data
    image: helloz/onenav

网页剪切（wallabag）

历史配置，尚未按当前镜像实机复测。镜像标签、应用配置、卷路径与首次初始化请以维护者当前说明为准；下面不能当成已验证的新部署方案。

services:
  wallabag:
    container_name: wallabag
    restart: always
    volumes:
    - ./wallabag/data:/var/www/wallabag/data
    - ./wallabag/images:/var/www/wallabag/web/assets/images
    ports:
    - 127.0.0.1:5631:80
    environment:
    - SYMFONY__ENV__DOMAIN_NAME=https://wb.abc.com:8080
    image: wallabag/wallabag

TTRSS

wangqiru/ttrss 曾使用多容器方案和 PostgreSQL 13。它是特定项目的历史配置，不是官方上游的通用 Compose；PostgreSQL 13 已不适合继续作为新部署默认数据库。

新部署先核对 Tiny Tiny RSS 上游 与所选镜像维护者的当前安装说明。已有 PostgreSQL 数据需要按支持的导出恢复或升级流程迁移，不能直接把 13 的数据目录挂到任意新主版本镜像。数据库密码应自行生成，初始化清单必须与所用版本匹配。

维护与备份

配置文件、数据库备份和上传目录分别保存，测试恢复后再更新服务。不要运行整盘清理、删除数据卷或重置数据库命令来“修复”启动失败。参考：Docker 端口发布、重启策略、Compose version 字段。

2023 年那次故障里，cloudflared 容器一直报 QUIC 连接超时，网站随之掉线。指定 HTTP/2 后恢复了连接。这个处理可以作为诊断办法，但不能据此认定运营商屏蔽 UDP，也不能认为当前版本不会自动回退。

日志说明了什么

当时的关键报错是：

Failed to create new quic connection
failed to dial to edge with quic: timeout: no recent network activity

它说明这次 QUIC 连接没有成功，不能单凭这两行断言一定是运营商屏蔽 UDP。主机防火墙、路由器、网络策略和当时的链路情况都可能需要排查。

QUIC 基于 UDP，cloudflared 使用 QUIC 时需要出站 UDP 7844；HTTP/2 使用出站 TCP 7844。当前 --protocol auto 是默认值，会尝试 QUIC，并在无法建立时回退到 HTTP/2。不要把持续的 QUIC 超时理解为软件不支持自动切换。

临时指定 HTTP/2

如果日志持续是 QUIC 超时，可以显式指定 --protocol http2，观察是否恢复。下面使用 token 文件，避免把 tunnel token 直接写在 Compose 命令里：

services:
  cloudflared:
    image: cloudflare/cloudflared:latest
    restart: unless-stopped
    command: tunnel --no-autoupdate --protocol http2 run --token-file /run/secrets/tunnel_token
    volumes:
      - ./tunnel-token:/run/secrets/tunnel_token:ro

--token-file 需要 cloudflared 2025.4.0 或更新版本。先准备包含自己 token 的真实文件，并设置仅必要账户可读的权限；还要确认容器运行用户能读取它，不能只对 root 可读却让非 root 容器来打开。不要把该文件提交到 Git 或同步到公开目录。

docker compose up -d
docker compose logs --tail=100 cloudflared

重建容器前确认自己有可用的管理入口。成功日志应能看到 Registered tunnel connection 以及所用协议；这是观察方法，不是本文新执行过的结果截图。

HTTP/2 也需要相应 TCP 出站连接。如果 TCP 7844 同样被阻断，换参数不能解决。Tunnel 不要求给家中路由器添加入站 7844 端口映射。

隧道在线，网站却仍打不开

cloudflared 到 Cloudflare 边缘的连接正常，只说明第一跳正常。还要检查 cloudflared 能否访问自己配置的源站。

如果 cloudflared 在 Docker 里，源站写 localhost 指向的是它自己的容器，不是 NAS。源站是另一容器时，放在合适的同一 Docker 网络并使用服务名；源站在局域网机器上时，使用从容器实际可达的地址与端口。再检查源站协议和证书，而不是直接关掉所有证书校验。

本文结合当年的故障经过说明当前默认协议行为、端口与凭据处理。配置示例经文档核对，未在真实 Tunnel 上实机测试。

参考：运行参数、防火墙要求。

这是我 2024 年整理的 macOS 工具清单。当时这些软件都在用，同类型里，我觉得它们最顺手。下面按用途整理这份个人选择，功能与收费以当前官方说明为准；这不是我今天仍在使用全部软件的承诺。

配图使用应用图标，不是新版软件界面截图。免费、试用与付费按这次核对的官方说明区分，实际购买还要看当前版本、渠道和套餐。

基础工具

Raycast · 基础功能免费，另有付费方案 · 官网

用快捷键打开启动器，搜索应用、文件或命令，再通过扩展接入其他工具。扩展仓库 提供了许多可选插件，可以按自己的习惯配置。启动器的免费核心功能与 Pro、AI 等付费服务是不同部分，不能笼统说整套 Raycast 都免费。

Mos · 免费、开源 · 项目

主要用来调整鼠标的平滑滚动与方向。水平、垂直滚动方向、速度和加速度可以按习惯调整，也可以用快捷操作控制滚动行为。它改善的是滚轮操作，不是替换触控板的所有手势。

SoundSource · 付费，有试用 · 官网

在菜单栏管理输入输出设备、系统音量与各个应用的音量。一个应用太响时可以单独调低，也能为应用选择输出设备，使用均衡器等音频效果。安装前核对当前 macOS 与硬件支持范围，不把“支持 Mac”理解为支持所有系统版本。

赤友 NTFS 助手 · 付费，有试用 · 官网

macOS 通常能读取 NTFS 磁盘，但默认不提供完整写入能力。这类驱动补上的是 NTFS 读写，用来和 Windows 交换硬盘或 U 盘里的文件。当前系统版本、芯片架构与磁盘状态要单独核对，不保证任何版本、任何磁盘都能无条件使用。

Keka · 官网可免费下载，App Store 有付费支持渠道 · 官网

拖放文件即可压缩或解压，支持压缩级别、加密和分卷等选项。ZIP、7z 等支持创建，RAR 支持解压，不能把“支持 RAR”误写成也能创建 RAR。支持的压缩与解压格式要分别看。

CleanShot X · 付费 · 官网

全屏、区域、滚动截图，屏幕录制、标注和云端分享放在同一个工具里，也可以设置自己的快捷键。云端容量、链接与更新权益随方案不同，不是所有功能无限制包含。旧清单的试用标记不作为现在一定有免费试用的保证。

系统增强

AutoCode · 当前商店页面标为免费 · App Store

用来处理短信验证码在设备间的使用问题。它并不适用于所有身份验证方式；邮件验证链接、第三方验证器与短信验证码不能都视为同一功能。具体支持的来源、系统条件与权限以当前应用说明为准，验证码工具的隐私权限也值得先看。

Bartender · 付费，有试用 · 官网

整理菜单栏图标，隐藏不常用的项目，调整显示顺序，再用快捷键找回来。它管理的是菜单栏项目，不是 macOS 的通知中心，不能把它当成系统通知的优先级管理工具。

AltTab · 免费、开源 · 官网

把类似 Windows Alt-Tab 的窗口切换带到 Mac，可以看窗口缩略预览，再跳到目标窗口。快捷键、筛选范围和切换方式都能调整，适合经常开多个窗口的工作方式。

Maccy · 开源，下载渠道收费方式不同 · 官网

记录剪贴板历史，搜索曾经复制过的内容，再快速粘贴。支持调整历史容量、快捷键与忽略范围。密码、token 和敏感文本不适合长期留在剪贴板历史里，需要配置排除或及时清理；网站版本与 App Store 渠道也不要混成同一个价格结论。

PopClip · 付费，有试用 · 官网

选中文本时弹出操作条，可以复制、搜索、翻译，或通过扩展执行其他动作。触发点是选中文本，不是“复制之后才出现”。旧清单把它标为免费，这里更正。

AppCleaner · 免费 · 官网

把应用拖进去，查看它找到的关联文件，再决定删除哪些。预览列表比盲目删除更重要；它不能保证找出所有残留，也不能把删除预览当成独立备份。重要资料还是要另外备份。

Tiles · 免费 · 官网

通过拖动窗口或快捷键，把窗口放到预设的位置和尺寸。它解决的是快速排布窗口，不是保存和恢复所有应用状态；是否需要额外工具，取决于自己的窗口使用习惯。

Stats · 免费、开源 · 项目

在菜单栏查看 CPU、内存、磁盘和网络等指标，也有温度、风扇等硬件数据。能读到哪些传感器取决于机型、系统和权限。这些指标用于观察负载，不代表装上它就能自动优化性能或诊断所有硬件问题。

浏览娱乐

Chrome · 免费 · 官网

跨平台浏览器，提供扩展、主题、书签和安全浏览等功能。登录并启用相应同步设置后，可以在设备间同步所选数据。扩展本身也有权限与安全边界，不要因为来自扩展商店就忽略它能读取哪些网页内容。

IINA · 免费、开源 · 官网

macOS 视频播放器，支持许多常见媒体格式、字幕、画中画和播放参数调整，也能处理部分流媒体输入。是否流畅仍取决于文件编码、硬件与解码条件，不能承诺所有大文件都一定流畅。

Downie 4 · 付费，有试用 · 官网

从受支持的视频网站保存媒体，支持批量任务与相关输出选项。网站支持情况会变，下载能力也不等于取得转载或分发授权；只处理自己有权保存的内容。

Permute 3 · 付费，有试用 · 官网

用于媒体格式转换和批量处理，也提供裁剪、旋转、尺寸调整等简单操作。具体输入输出格式按当前版本查看，别把它当成完整的视频剪辑软件。

HandBrake · 免费、开源 · 官网

用于视频转码、压缩和参数调整，支持预设，也能手动控制编码器、质量和其他选项。输出容器是 MP4、MKV、WebM，不要把 AVI 算进输出格式。输入能读取和输出能生成是两回事。

阅读写作

Typora · 付费，有试用 · 官网

Markdown 编辑器，写作时直接显示排版效果，支持标题、列表、代码、表格与主题。macOS、Windows 和 Linux 都有版本；跨设备同步由文件所在的同步服务负责，不是安装 Typora 就自动同步文档。

UPDF · 付费，试用有限制 · 官网

用于 PDF 编辑、注释、页面管理、转换和保护，OCR、AI 等能力及使用额度还要按版本和许可分别核对。不要假定基础购买包含所有附加服务。

图压 · 保留原清单中的历史工具 · 原项目站

原清单里，它是免费的本地图片压缩软件，包含按目标文件大小压缩的功能，适合遇到上传限制时使用。本次未能访问原项目站，因此没有确认现在的维护状态、下载可用性和系统兼容范围；不把历史介绍当作当前服务仍可用的保证。

压缩后仍要检查画面与文字，不能承诺所有图片都能大幅变小且完全没有视觉损失。

frp 用一台可从公网访问的服务器，把内网服务转发出来。frps 在公网服务器上运行，frpc 在内网机器上运行，两端配置不能写反。

这篇使用官方当前支持的 TOML 配置方式，以官方发行作为安装入口，不混用第三方一键脚本与旧 Docker 镜像。

下载与目录

从 frp 官方 Releases 选择与系统、CPU 架构匹配的包，两端尽量使用匹配版本。解压后保留需要的二进制和配置文件，不必在教程里固定一个很快过时的下载版本号。

先在前台运行，确认端口与鉴权正常，再按官方指南或当前系统的服务管理方式配置开机运行。服务目录、运行用户和配置文件权限也要一起规划，不要把配置中的 token 留给所有本机用户读取。

服务端 frps.toml

下面开放 7000 作为控制连接端口，只允许代理使用远端 8443。token 和面板密码都是必须替换的占位符。

bindPort = 7000
allowPorts = [{ single = 8443 }]

[auth]
method = "token"
token = "REPLACE_WITH_THE_SAME_LONG_RANDOM_TOKEN"

[transport.tls]
force = true

[webServer]
addr = "127.0.0.1"
port = 7500
user = "frp-admin"
password = "REPLACE_WITH_ANOTHER_LONG_RANDOM_PASSWORD"

填写 allowPorts 时注意数组括号完整闭合。控制端口、业务端口和管理面板各做一件事，不要把整个端口范围都开放出来。

客户端 frpc.toml

假设你确实需要把内网 192.168.100.20:443 的 HTTPS 服务暴露到服务器 8443：

serverAddr = "YOUR_PUBLIC_SERVER_IP"
serverPort = 7000

[auth]
method = "token"
token = "REPLACE_WITH_THE_SAME_LONG_RANDOM_TOKEN"

[transport.tls]
enable = true

[[proxies]]
name = "home-https"
type = "tcp"
localIP = "192.168.100.20"
localPort = 443
remotePort = 8443

把服务端地址、内网 IP 和 token 替换成真实值，并确认 frpc 所在机器可以直接访问这个内网服务。目标服务自己应有合适的 HTTPS 证书和认证；不要直接把路由器或 NAS 的无保护管理界面开放到公网。

frp 传输层的 TLS 加密的是两端之间的连接。它不会把目标服务的 HTTP 自动改成 HTTPS，也不替代业务账户认证。HTTPS 域名与证书仍需匹配实际使用方式。

启动与检查

服务端从对应目录启动：

./frps -c ./frps.toml

客户端先核对配置，再启动：

./frpc verify -c ./frpc.toml
./frpc -c ./frpc.toml

在服务端安全组和防火墙放行需要的 TCP 7000 与 8443，限制控制连接来源更好。7500 面板只监听回环地址，需要查看时用 SSH 转发，不要为了方便直接改成全网监听。

ssh -L 7500:127.0.0.1:7500 your-user@your-server

故障先分层

frpc 连不上，先查服务端地址、7000、防火墙与 token；登录成功但代理注册失败，查远端端口冲突和 allowPorts；代理正常但页面打不开，查内网服务本身、8443 与 HTTPS 域名/证书。每一层都看对应日志，不要同时乱改所有参数。

配置已做 TOML 语法检查，尚未在你的两台机器上建立隧道。参考：官方项目、服务端配置、示例与说明。

这篇的用途是给自己的企业微信应用提供一个固定的 API 转发入口。调用方请求自己的域名，由 Caddy 转发到 qyapi.weixin.qq.com。这不是登录企业微信的替代办法，也不会绕过应用权限或企业后台的访问限制。

准备域名与服务器

准备能访问企业微信 API 的服务器，把自己的域名解析到它。本文以 wecom.example.com 为占位符，部署时必须替换成真实域名。服务器的实际出口 IP 也要和企业后台的相关限制一起核对；并不是只能使用境外服务器。

公网入口使用 HTTPS。Caddy 自动申请证书还需要域名解析与相应验证端口正常，不应为了省事让包含 access_token 的调用经过明文 HTTP。

Caddyfile

下面只允许一个固定的调用方公网 IP。198.51.100.10 是文档示例地址，必须替换，不能原样使用。

wecom.example.com {
    @allowed remote_ip 198.51.100.10
    handle @allowed {
        reverse_proxy https://qyapi.weixin.qq.com {
            header_up Host {upstream_hostport}
        }
    }
    handle {
        respond "Forbidden" 403
    }
}

这个配置固定了上游，不是允许客户端任意指定目标的开放代理。允许列表按 Caddy 实际看到的来源 IP 匹配；如果入口前还有 CDN 或其他代理，不能直接照抄为真实客户端地址，需要另外规划可信代理链。

header_up Host {upstream_hostport} 不是所有版本都必需的固定写法。当前 Caddy 2.11 起对 HTTPS 上游有自动 Host 处理；这里显式写出是为了说明请求关系和兼容配置，不要把显式 Host 配置当成所有版本的要求。

用官方 Caddy 镜像运行

services:
  caddy:
    image: caddy:2
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "443:443/udp"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data
      - caddy_config:/config
volumes:
  caddy_data:
  caddy_config:

先准备真实的 Caddyfile 文件，再检查配置：

docker compose run --rm caddy caddy validate --config /etc/caddy/Caddyfile --adapter caddyfile
docker compose up -d
docker compose logs --tail=100 caddy

htnanako/wxproxy 是另一种第三方代理容器，不是官方 Caddy 镜像。两者是不同的部署方案，不要混写成同一个服务。

接入应用时只替换 API 基地址

应用原本请求 https://qyapi.weixin.qq.com/cgi-bin/...，在它支持自定义企业微信 API 地址的前提下，改为自己的 https://wecom.example.com/cgi-bin/...。路径和业务参数仍按企业微信接口要求填写。

不要把企业微信 secret、access_token 或消息正文写进公开示例。开启请求日志前先考虑查询字符串中的 token，排错截图也要遮掉它。先用不含真实凭据的请求确认来源限制，再在自己的环境里完成有权限的接口测试。

Discord 的邀请链接不是 Webhook。两者接入方式不同，不能拿邀请地址当消息 API。

参考：Caddy 安装、reverse_proxy、企业微信开发者文档。本文完成文档与配置结构核对，未在你的服务器上实际部署或发送消息。

Plex 开启代理后，如果元数据访问改善了，远程访问却出了问题，可以先检查分流策略。但“所有远程故障都是代理导致的”不成立。

先分清三条连接

Plex 服务器向外请求海报和元数据，是出站访问；服务器向 Plex 服务注册连接信息，也是出站访问；远程客户端连接到家里的 Plex 服务，则依赖实际可达的入站路径。

代理可能改变外部看到的出口地址，也可能让注册或探测使用不同路径。这是排查方向之一，不等于已经证明故障原因。

按顺序检查

先确认局域网客户端能直接访问 Plex。然后检查路由器的公网地址是否真的是可从外部连接的公网地址；双重 NAT 和 CGNAT 不能只靠改分流规则解决。

手动映射端口时，要把路由器的指定外部 TCP 端口转到 Plex 主机的 TCP 32400，并在 Plex 远程访问设置中填入相应的外部端口。不要把“外部端口也一定是 32400”当成要求。再检查主机防火墙与目标地址有没有改变。

用手机移动网络等真正的外部网络测试，避免只在局域网里测试回环访问。只看面板短暂显示绿色，也不足以说明所有客户端路径都正常。

再检查代理与 DNS

保留当前策略备份，查看 Plex 注册、探测相关请求实际走了哪条路径。需要调整时只改已确认相关的域名或设备策略，再对比开启和关闭代理的表现。

把 *.amazonaws.com 整段划为直连，范围太大，不适合作为默认规则。也不建议把所有 Plex 元数据域名强制走同一个出口，然后宣称可以修复所有远程问题。

安全连接还可能受 DNS 重绑定保护影响。Plex 官方安全连接说明 给出了 plex.direct 的处理方式。按所用 DNS 服务配置针对该域名的例外，而不是关掉整套重绑定保护。

端口可达与播放权限是两回事

网络连接正常，不一定代表账户可以按当前产品规则远程播放视频。还要核对当前 Plex Pass、Remote Watch Pass 等适用条件。先分清是连接失败、走了 Relay，还是播放权限提示，再找对应解决办法。

排查资料中如果涉及 Plex Token，不要把包含 token 的完整地址贴在评论、截图或公开日志里。排查时应遮蔽 URL 中的凭据。

参考：远程访问排查、安全连接与 DNS。本文按官方说明修正，未修改你的路由器、代理或 Plex 服务。