一个是一百 MB 的门户，一个是带 Postgres 的完整 IdP。选型标准不是功能多少，而是你有多少个应用需要统一身份。

客户端还是官方的，只换控制面。设备注册、ACL、子网路由都能自己管，代价是版本兼容和「没有官方支持」。

备份好不好，只看两个数字：恢复过几次、每次多久。从 init 到异地副本、保留策略、抽查校验，再到 systemd timer 和四个真会踩的坑，一篇把 restic 的正确用法走完。

Prometheus、node_exporter、cAdvisor、Alertmanager 加一个看板，四条告警规则先跑起来。重点不在仪表盘好不好看，而在 up == 0 那天能不能真的推到你手机上。

docker stats 显示 600M/1G，进程还是被 137 杀掉。原因是 working set 和内核判死刑用的不是同一个数。从 free 与 available 的区别，到 cgroup v2 的 memory.current、memory.events 与 OOM ...

从 Immich 到 Pocket ID，8 个近 90 天仍在活跃维护的开源项目，按「它替代了什么、坑在哪」来筛；另附两份我建议你别自建的东西。

锁版本、网络分段、健康检查、日志上限、卷备份、密钥管理，六条规矩加一份参考栈，让半年后的你还能把这套东西一模一样地重建出来。

实测 0.2.1-rc.2：--host 只接受具体地址、--trusted-host 才放行域名、--public-url 只负责公告。附 Caddy 与 Nginx 配置、子路径部署，以及 401/403 的分界线。