自定义本地上传目录 UPLOADS_DIR —— 附件「本地上传」的落盘位置终于可以随心所欲了。设成 .output 之外的绝对路径（如 /data/uploads），从此 bun run build 重建产物再也不会把辛苦上传的图片一并抹掉，文件稳稳地留在独立磁盘上。

上传文件兜底读取路由 /uploads/** —— 当上传目录被挪到 public 之外、Nitro 静态服务够不着时，由这条路由从真实目录把文件读出来，带目录穿越防护与长缓存，前端访问照旧丝滑，不再撞 404。

CSP 开关 security.enableCsp —— 本地用 nuxi preview 验证打包产物时，CSP 老爱拦截音乐直链、地图第三方脚本。现在一键关掉验证、上线前再拧回 true，调试与安全两不误。

运行时资源大一统 —— 把 IP 归属地库、验证码字体、svg2png WASM 统统收进 server/runtime-assets/，打包后落到 .output/server/runtime-assets/。一处存放、整体拷贝/挂载，部署时不用再东奔西找。

Docker 数据库自动初始化 —— 把 init-db.sql 挂到 MySQL 官方镜像的 docker-entrypoint-initdb.d/，首次 docker compose up 即完成建表 + 默认设置 + 示例数据，一步到位，无需再手动跑初始化命令。

容器权限收紧到非 root —— 应用与数据库探活统一改用 nodejs 账户（root 仅存在、不使用），并预建 + chown 好缓存 / 上传 / 会话 / 日志等需写目录，从根上告别 EACCES/ENOENT。

导入数据保留本机会话配置 —— 一键导入备份时，sessionStoreType（Session 存储方式）视为本机部署配置予以保留，不被外来备份覆盖，与 users/sessions 被排除的考量一脉相承，导入后登录态与会话行为纹丝不动。

放行图标端点与媒体源 —— 无 Referer 场景下 @nuxt/icon 的按需取图端点不再被 403 误伤，图标加载更稳；CSP 的 media-src 放开 http:，本地/非 HTTPS 媒体直链正常播放。

MySQL 8 连接超时 —— 为 Prisma MariaDB 适配器开启 allowPublicKeyRetrieval，非 TLS 连接下驱动可正常拉取 RSA 公钥完成密码交换，根治「RSA public key is not available client side」导致的连接池取不到连接。

undici 依赖缺失 —— Nitro 对 undici 的 trace 不完整（缺 index.js），令 jsdom 运行时 require("undici") 崩溃。改用构建阶段完整的 undici 覆盖被裁剪的版本，服务端渲染重回正轨。

运行时资源路径漂移 —— 验证码字体 / WASM / IP 库改为以模块自身 URL 为锚点惰性寻址，不再依赖 process.cwd()。无论 node .output/server/index.mjs、nuxi preview 还是 Docker，路径都能稳稳命中，字体缺失也会优雅降级而非报错。

移除一次性 db-init 容器 —— 数据库初始化改由 MySQL 镜像原生的首次启动钩子接管后，docker-compose.yml 里那个专用的 init profile 容器功成身退，部署流程更清爽。

运维脚本依赖瘦身 —— 把 ffmpeg-static、cos-nodejs-sdk-v5 等较重的运维依赖挪到 scripts/package.json 单独管理，不再拖累主项目 bun install 与 Docker 构建；首次用相关脚本前跑一次 bun run scripts:install 即可。README 同步补齐说明。