来源：intranet-tunnel/docs/docker-build.md → ## 六、数据库外部访问（Navicat / DBeaver / pgAdmin）（原文 1233 字符）

六、数据库外部访问（Navicat / DBeaver / pgAdmin）

compose 已把 PostgreSQL 映射到宿主机，可直接用图形化工具连接：

安全边界

映射只绑定宿主机回环地址，因此本机工具可连，而局域网其它机器与公网均无法直连数据库。

若确需从其它机器连接，必须同时修改两处，缺一不可：

1. docker-compose.yml 中把 "127.0.0.1:${DB_EXPOSE_PORT:-5432}:5432" 改为 "0.0.0.0:..."；
2. 云安全组 / 主机防火墙放行该端口。

更推荐的做法是不放开端口，改用 SSH 隧道：

ssh -L 5432:127.0.0.1:5432 user@your-server

然后 Navicat 连接本机的 127.0.0.1:5432。这样数据库始终不对外暴露。

关闭外部访问

注释掉 docker-compose.yml 中 postgres 服务的整个 ports 段即可。服务端容器通过 compose 网络用服务名 postgres 访问数据库，不依赖该端口映射。

实测确认

来源：halo-kb/备份运维与安全.md → ## 0. 结论摘要（原文 2200 字符）

0. 结论摘要

来源：intranet-tunnel/docs/docker-build.md → ## 三、持久化目录权限（重要）（原文 916 字符）

三、持久化目录权限（重要）

镜像声明了三个 VOLUME：/app/logs、/app/backups、/app/certs。

这四个目录必须在 VOLUME 指令之前创建并 chown：

RUN mkdir -p /app/data /app/logs /app/backups /app/certs \
    && chown -R tunnel:tunnel /app
VOLUME /app/logs /app/backups /app/certs

若顺序写反（先 VOLUME 后 chown，或只 chown 了 /app/data），Docker 会把挂载点建成 root:root，而已知服务端以 tunnel(10001) 运行 —— 文件日志与自动备份会静默失败：容器日志中没有任何报错，只是 /app/logs 一直是空的。

这个问题在本次构建中实测确认过：

bind mount 场景

若把持久化目录改为绑定宿主机路径（compose 中形如 ./logs:/app/logs），容器内看到的属主由宿主机目录决定，镜像内的 chown 不再生效。Linux 上需要：

mkdir -p ./logs ./backups ./certs
sudo chown -R 10001:10001 ./logs ./backups ./certs

Docker Desktop（Windows / macOS）通过文件共享层自动映射权限，通常无需处理。