用容器镜像起站时，默认端口和后台地址要不要一起改

用容器镜像起站时，默认端口和后台地址不需要一起改，这两件事解决的问题不同。默认端口要改的前提是它直接暴露在公网；站点放在反向代理之后，容器监听 8001 端口只要在代理的映射里对上，公网访问走的是代理监听的端口，改默认端口反而让部署描述与官方文档不一致。真正要收的是后台地址的暴露面，以及内置防护有没有启用。

默认端口要不要改

分三种情况。直接对公网提供服务，容器端口就是公网端口，这时改掉默认值有一定意义，但意义有限——端口是可以被扫描出来的，真正决定安全的是后台入口的认证与限流。放在 Nginx 或 Caddy 反向代理之后，用户访问的是代理端口，容器端口只在内部网络可见，保持默认值更省事，迁移和排障时少一处自定义。多站点共用一台机器时，端口分配要成表，改默认值容易留下记录不一致的机器。

判断点是「这个端口外部能不能直连」。能直连才谈改不改，不能直连就先确认映射与防火墙。

反向代理之后端口怎么看

三项要逐个确认。代理转发的目标地址与端口是否指向容器，容器重建后地址是否变化；访客真实 IP 是否通过转发头传给应用，这影响限流与日志的准确性；站点地址与生成内容里的链接是否按对外域名输出，否则后台预览正常、前台资源路径却带内网地址。

改完必须从外网验证一次，而不是在容器内测。以 HTTP 客户端从公网走一遍首页、文章页与后台登录页，三条路径都通，端口这条链路才算配好。

后台地址暴露面怎么收

后台入口地址要做的不是藏起来，是限制可达范围：能按来源 IP 限制的，把办公出口之外的地址挡在代理层；不能限制的，确认登录认证、验证码与限流都已启用。AnQiCMS 的技术栈是 GoLang 加 Iris 框架、GORM，内置 JWT 认证、内容敏感词过滤与防采集干扰码，用于防御 SQL 注入和 XSS 攻击；表单可以接入 reCAPTCHA 验证码防机器人，访问限制类配置里还有禁用选择、复制与右键等选项。这些开关默认状态各不相同，起站后逐项确认比改地址更有效。

高危能力按域收敛。备份、升级、多站点这类全站级操作在接口侧默认关闭，需要显式开启——把暴露范围按意图域收窄，比把它们全部打开再祈祷没人调用要实际得多。

几种部署方式怎么选

宝塔面板与 aaPanel 走一键部署，适合不熟命令行的运维；LNMP 命令部署适合已有标准环境的老项目；Docker 镜像 anqicms/anqicms 适合需要环境一致、可重建的站点，升级与回退都以镜像为单位。方式不同，配置项的落点不同：容器里改配置文件要重建镜像或挂载卷，面板里改的是站点设置，别在两套认知之间混用。

上线前的防护核对清单

按这张单子走一遍：数据与静态文件的备份已配置并能恢复（备份与恢复是回退的前提）；SMTP 与邮件提醒可用，出事时有人能收到站点事件；敏感词过滤与内容审核开启；后台登录认证与验证码生效；限流阈值按真实流量设过；高危接口域保持关闭。最后从外网复验一次后台地址是否只按需可达。

常见问题

改了默认端口更安全吗？ 有限。端口会被扫到，安全取决于后台认证、限流与暴露范围，直连场景下改端口只是减少噪音。

容器里能不能用 localhost 验证？ 不能代替外网验证，转发头、域名与证书问题只在公网路径上暴露。

镜像升级会不会丢配置？ 取决于配置与数据是否挂载在容器外，上线前把挂载清单写清并验证一次恢复。