常见问题

镜像需包含 journalctl；添加以下挂载后重建容器。非 root 容器还需将宿主 systemd-journal 组的 GID 加入 group_add（在 NAS 执行 getent group systemd-journal 查看）。

volumes:
  - /var/log/journal:/var/log/journal:ro
  - /run/log/journal:/run/log/journal:ro
  - /etc/machine-id:/etc/machine-id:ro

优先使用主页面生成的命令。也可复制下方函数并调用，将最后一行替换为实际数据库路径；缺少 setfacl 时先执行 sudo apt-get install acl。

grant_db_read() {
    sudo bash -s -- "$1" FnMessageBot <<'FNMB_ACL'
db=$(realpath -e -- "$1") || exit 1
test -f "$db" || exit 1
account=$2
dir=$(dirname -- "$db")
while [ "$dir" != / ]; do
    /usr/bin/setfacl -m "u:$account:x" -- "$dir" || exit 1
    dir=$(dirname -- "$dir")
done
/usr/bin/setfacl -m "u:$account:rx" -- "$(dirname -- "$db")" || exit 1
/usr/bin/setfacl -m "u:$account:r" -- "$db" || exit 1
for side in "$db-wal" "$db-shm"; do
    if [ -f "$side" ]; then
        /usr/bin/setfacl -m "u:$account:r" -- "$side" || exit 1
    fi
done
FNMB_ACL
}
grant_db_read /var/apps/fn-scheduler/var/scheduler.db

此操作仅开放父目录进入、数据库目录读取及数据库和已有 WAL/SHM 文件的读取权限。

在 NAS 执行 stat -c '%g' /var/run/docker.sock 查看 GID，将下方 999 替换为实际值后重建容器；root 容器无需 group_add。

volumes:
  - /var/run/docker.sock:/var/run/docker.sock
group_add:
  - "999"

优先复制主页面的实际设备命令。以下两种示例按硬盘类型选一种，只保留本机存在且需要授权的设备。两步授权均需成功；命令中有报错时先处理报错。

仅 SATA / USB SAT（示例 /dev/sdb）：

sudo /usr/sbin/setcap cap_sys_rawio+ep /usr/sbin/smartctl &&
sudo /usr/bin/setfacl -m u:FnMessageBot:r -- /dev/sdb &&
{ sudo -u FnMessageBot /usr/sbin/smartctl -H -A /dev/sdb; echo "退出码: $?"; }

包含 NVMe：使用含 cap_sys_admin 的命令，不要再用上面的 SATA 命令覆盖。以下示例为两块盘：

sudo /usr/sbin/setcap cap_sys_rawio,cap_sys_admin+ep /usr/sbin/smartctl &&
sudo /usr/bin/setfacl -m u:FnMessageBot:r -- /dev/nvme0n1 /dev/sda &&
for disk in /dev/nvme0n1 /dev/sda; do
  echo "检查 $disk";
  sudo -u FnMessageBot /usr/sbin/smartctl -H -A "$disk";
  echo "退出码: $?";
done

缺少工具时先安装：sudo apt-get install smartmontools libcap2-bin acl。授权后通常无需重启应用；返回实际健康和温度数据后，再保存并立即巡检。

权限范围：capability 作用于所有能执行此 smartctl 的用户，并非只读授权；CAP_SYS_ADMIN 权限较大。工具升级或设备重建后可能需重新授权，系统禁止 capability 时不会生效。不要给 Python 解释器加 capability。

将 /dev/sdb 替换为实际设备。ACL 中应有 user:FnMessageBot:r-- 且未被 mask 限制，设备读取权限退出码应为 0；再比较应用账号与管理员的 SMART 输出：

sudo /usr/sbin/getcap /usr/sbin/smartctl;
sudo /usr/bin/getfacl -p /dev/sdb;
sudo -u FnMessageBot test -r /dev/sdb; echo "设备读取权限退出码: $?";
sudo -u FnMessageBot /usr/sbin/smartctl -H -A /dev/sdb; echo "应用账号退出码: $?";
sudo /usr/sbin/smartctl -H -A /dev/sdb; echo "管理员退出码: $?"

不要用管道后的退出码判断成功。非零退出码也可能是健康告警：例如 PASSED 配合 In_the_past 返回 32，表示历史属性阈值告警，数据仍可使用。应用账号失败而管理员成功时继续核对权限；两者都读不到时检查 USB / RAID 控制器支持，root 也不能保证取得数据。

内网 IP 推荐使用 host 网络；桥接网络可设置 NAS_LAN_IP。公网 IP 获取失败时检查 NAS 联网。系统 / 飞牛版本需读取宿主文件：

network_mode: host
volumes:
  - /etc/os-release:/host/etc/os-release:ro
  - /var/lib/dpkg/status:/host/dpkg/status:ro

host 模式不要配置 ports；监听端口使用 UI_PORT，修改后重建容器。FPK 的 IP / 版本通常无需提权；版本缺失时核对开放 API 配置和系统文件读取权限。

SMART 映射实际设备并添加所需 capability，不必设置 privileged。SATA / SAT 示例：

devices:
  - /dev/sdb:/dev/sdb:r
cap_add:
  - SYS_RAWIO

NVMe 必要时另加 SYS_ADMIN（权限较大），修改后重建容器。