fix(deploy): nginx 上游运行期重新解析 + 就绪探针；内存上限按 8C/32G 重新分配

问题：容器重建换 IP 后，网关与 admin-ui 仍往旧 IP 打，/openapi 与 /api
整片 502，必须手动重启 nginx 容器才恢复（2026-11-03 实机踩到）。

编排
- admin-svr / openapi / admin-ui / docs 增加 healthcheck
- admin-ui、gateway、nginx 改 depends_on: condition: service_healthy，
  保证 nginx 启动时后端已就绪
- 新增 deploy/compose.memlimit.yml（原来只存在于某台演示机上）：
  全套上限 8.5G、实测常驻 2G，留给同机其它服务 20G+；
  MySQL buffer pool 128M→768M、max_connections 151→300

nginx
- gateway / admin-ui / iotlcm.conf 示例 统一改 resolver 127.0.0.11 valid=10s
  + upstream zone/resolve：运行期跟随 IP 变化，不必重启（实测 6s 内自愈）

deploy/config/gateway/nginx.conf

@@ -16,9 +16,14 @@
 # 小程序 / H5 端的静态资源是根路径部署的，不能挂在同一域名的子路径下，
 # 需要单独域名或单独端口（见 config/nginx/iotlcm.conf 的 app 段）。
 
-upstream gw_admin_ui  { server admin-ui:80; }
-upstream gw_openapi   { server openapi:8000; }
-upstream gw_docs      { server docs:80; }
+# DNS 解析：nginx 默认只在启动时把 upstream 主机名解析一次，容器重建/重启换了 IP
+# 就一直往旧地址打（2026-11-03 踩到：整站 /openapi 全 502，重启网关才恢复）。
+# 127.0.0.11 是 Docker 内置 DNS；下面的 resolve + zone 让它在运行期自动跟随。
+resolver 127.0.0.11 valid=10s ipv6=off;
+
+upstream gw_admin_ui  { zone gw_admin_ui 64k;  server admin-ui:80  resolve; }
+upstream gw_openapi   { zone gw_openapi 64k;   server openapi:8000  resolve; }
+upstream gw_docs      { zone gw_docs 64k;      server docs:80      resolve; }
 
 server {
     listen 80;