Prometheus、node_exporter、cAdvisor、Alertmanager 加一个看板，四条告警规则先跑起来。重点不在仪表盘好不好看，而在 up == 0 那天能不能真的推到你手机上。

实测 0.2.1-rc.2：--host 只接受具体地址、--trusted-host 才放行域名、--public-url 只负责公告。附 Caddy 与 Nginx 配置、子路径部署，以及 401/403 的分界线。

从 Immich 到 Pocket ID，8 个近 90 天仍在活跃维护的开源项目，按「它替代了什么、坑在哪」来筛；另附两份我建议你别自建的东西。

一个是一百 MB 的门户，一个是带 Postgres 的完整 IdP。选型标准不是功能多少，而是你有多少个应用需要统一身份。

docker stats 显示 600M/1G，进程还是被 137 杀掉。原因是 working set 和内核判死刑用的不是同一个数。从 free 与 available 的区别，到 cgroup v2 的 memory.current、memory.events 与 OOM ...

客户端还是官方的，只换控制面。设备注册、ACL、子网路由都能自己管，代价是版本兼容和「没有官方支持」。

锁版本、网络分段、健康检查、日志上限、卷备份、密钥管理，六条规矩加一份参考栈，让半年后的你还能把这套东西一模一样地重建出来。

客户端不用换，只把服务端搬回自己机器。真正的难点不是 compose，而是 TLS 强制、SQLite 的正确备份方式，以及 rsa_key 不能漏。