docker-compose.yml

# aiduMEI docker-compose 一键起（v19.2.0）
# 用法：
#   docker compose up -d          # 后台启动
#   docker compose logs -f        # 跟踪日志
#   docker compose down           # 停止并移除容器
#
# 注意：
#   1. 默认使用仓库根目录的 mem0_config_local.json（可被环境变量覆盖）
#   2. 数据落盘在 ./data（已在 .gitignore，不会提交）
#   3. 生产部署建议仍用 systemd（见 deploy/aidumem-api.service）
#   4. 安全：默认只监听 127.0.0.1。要对外暴露请先设置
#      AIDUMEM_API_TOKEN + AIDUMEM_UI_PASSWORD，并前置 TLS 反代。
#   5. ★ 首次起之前先交接挂载目录的属主（v20.0 P3-8 起容器不再以 root 跑）：
#          mkdir -p ./data ./logs && sudo chown -R 10001:10001 ./data ./logs
#      漏了这一步的症状是**启动成功但写不进**：容器起来了、/health 也答，
#      第一次写记忆才报 `unable to open database file`。
#      bind mount 不做 uid 映射，宿主机目录归谁就得让容器内 uid 对得上。
#      10001 是 Dockerfile 里固定写死的 uid，不要随手改一边。

services:
  aidumem:
    build: .
    image: aidumei:local
    container_name: aidumem
    restart: unless-stopped
    ports:
      - "127.0.0.1:8767:8767"
    environment:
      - AIDUMEM_HOST=127.0.0.1
      - AIDUMEM_API_PORT=8767
      - MEM0_API_PORT=8767
      - MEM0_TELEMETRY=false
      # 安全：按需在宿主机 .env 注入（compose 会自动读取）
      # - AIDUMEM_API_TOKEN=change-me-please
      # - AIDUMEM_UI_PASSWORD=change-me-please
      # v19.0 认知层开关（默认开启 Reflect / self-edit；P1 的 LLM 增强默认关闭）
      - AIDUMEM_REFLECT_ENABLED=true
      - AIDUMEM_SELF_EDIT_ENABLED=true
      - AIDUMEM_TYPE_CLASSIFY_ENABLED=false
      - AIDUMEM_SKILL_GROWTH_ENABLED=false
      - AIDUMEM_REFINE_ENABLED=false
      - AIDUMEM_RECENCY_LAMBDA=0.05
    # 容器内已经是非 root（Dockerfile 里 USER aidumem，uid 10001）。
    # 这里再补一道：即使镜像被换成以 root 起的版本，也拿不到新特权。
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL
    #   ↑ 一个 capability 都不留：本服务只监听 8767（>1024），不需要
    #     NET_BIND_SERVICE。若你把端口改到 1024 以下，要补 cap_add。
    volumes:
      - ./data:/app/data
      - ./logs:/app/logs
      - ./mem0_config_local.json:/app/mem0_config_local.json:ro
      # 部署方如需自定义实体词表，取消下一行注释：
      # - ./.env:/app/.env