fix(deploy): nginx 上游运行期重新解析 + 就绪探针；内存上限按 8C/32G 重新分配

问题：容器重建换 IP 后，网关与 admin-ui 仍往旧 IP 打，/openapi 与 /api
整片 502，必须手动重启 nginx 容器才恢复（2026-11-03 实机踩到）。

编排
- admin-svr / openapi / admin-ui / docs 增加 healthcheck
- admin-ui、gateway、nginx 改 depends_on: condition: service_healthy，
  保证 nginx 启动时后端已就绪
- 新增 deploy/compose.memlimit.yml（原来只存在于某台演示机上）：
  全套上限 8.5G、实测常驻 2G，留给同机其它服务 20G+；
  MySQL buffer pool 128M→768M、max_connections 151→300

nginx
- gateway / admin-ui / iotlcm.conf 示例 统一改 resolver 127.0.0.11 valid=10s
  + upstream zone/resolve：运行期跟随 IP 变化，不必重启（实测 6s 内自愈）

deploy/config/admin-ui/default.conf

@@ -1,3 +1,9 @@
+# DNS 解析：nginx 只在启动时解析一次 upstream 主机名，admin-svr 重建换 IP 后
+# /api/ 会一直 502。127.0.0.11 是 Docker 内置 DNS，resolve + zone 让运行期自动跟随。
+resolver 127.0.0.11 valid=10s ipv6=off;
+
+upstream gw_admin_svr { zone gw_admin_svr 64k; server admin-svr:8008 resolve; }
+
 server {
     listen 80;
     root /usr/share/nginx/html;
@@ -40,7 +46,7 @@ server {
         proxy_set_header Upgrade $http_upgrade;
         proxy_http_version 1.1;
         chunked_transfer_encoding off;
-        proxy_pass http://admin-svr:8008/api/v1/;
+        proxy_pass http://gw_admin_svr/api/v1/;
         proxy_redirect off;
         proxy_set_header Host $host;
         proxy_set_header X-Real-IP $remote_addr;

deploy/config/gateway/nginx.conf

@@ -16,9 +16,14 @@
 # 小程序 / H5 端的静态资源是根路径部署的，不能挂在同一域名的子路径下，
 # 需要单独域名或单独端口（见 config/nginx/iotlcm.conf 的 app 段）。
 
-upstream gw_admin_ui  { server admin-ui:80; }
-upstream gw_openapi   { server openapi:8000; }
-upstream gw_docs      { server docs:80; }
+# DNS 解析：nginx 默认只在启动时把 upstream 主机名解析一次，容器重建/重启换了 IP
+# 就一直往旧地址打（2026-11-03 踩到：整站 /openapi 全 502，重启网关才恢复）。
+# 127.0.0.11 是 Docker 内置 DNS；下面的 resolve + zone 让它在运行期自动跟随。
+resolver 127.0.0.11 valid=10s ipv6=off;
+
+upstream gw_admin_ui  { zone gw_admin_ui 64k;  server admin-ui:80  resolve; }
+upstream gw_openapi   { zone gw_openapi 64k;   server openapi:8000  resolve; }
+upstream gw_docs      { zone gw_docs 64k;      server docs:80      resolve; }
 
 server {
     listen 80;

deploy/config/nginx/iotlcm.conf

@@ -8,28 +8,42 @@
 # 把 your-domain.example.com 替换为你的实际域名。
 # ============================================================
 
+# ---------- 后端地址解析 ----------
+# 这些 upstream 写的是 compose 服务名。nginx 默认只在**启动时**解析一次，
+# 容器重建后 IP 变了就会持续 502（需重启 nginx）。resolve + zone 让它在运行期自动跟随。
+# 注意：127.0.0.11 是 Docker 内置 DNS，仅在容器内有效：
+#   ・在容器内用本文件   → 保持下面的 resolver 不动
+#   ・把本文件并入宿主机 nginx → 把 resolver 换成宿主机 DNS（或删掉 resolver 与各 upstream 的 resolve 参数）
+resolver 127.0.0.11 valid=10s ipv6=off;
+
 upstream iotlcm_admin_api {
-    server admin-svr:8008;
+    zone iotlcm_admin_api 64k;
+    server admin-svr:8008 resolve;
 }
 
 upstream iotlcm_admin_ui {
-    server admin-ui:80;
+    zone iotlcm_admin_ui 64k;
+    server admin-ui:80 resolve;
 }
 
 upstream iotlcm_openapi_api {
-    server openapi:8000;
+    zone iotlcm_openapi_api 64k;
+    server openapi:8000 resolve;
 }
 
 upstream iotlcm_docs {
-    server docs:80;
+    zone iotlcm_docs 64k;
+    server docs:80 resolve;
 }
 
 upstream iotlcm_app_web {
-    server app-web:80;
+    zone iotlcm_app_web 64k;
+    server app-web:80 resolve;
 }
 
 upstream iotlcm_app_server {
-    server app-server:8010;
+    zone iotlcm_app_server 64k;
+    server app-server:8010 resolve;
 }
 
 # ---------- OpenAPI 对外域名 ----------