fix(deploy): nginx 上游运行期重新解析 + 就绪探针；内存上限按 8C/32G 重新分配

问题：容器重建换 IP 后，网关与 admin-ui 仍往旧 IP 打，/openapi 与 /api
整片 502，必须手动重启 nginx 容器才恢复（2026-11-03 实机踩到）。

编排
- admin-svr / openapi / admin-ui / docs 增加 healthcheck
- admin-ui、gateway、nginx 改 depends_on: condition: service_healthy，
  保证 nginx 启动时后端已就绪
- 新增 deploy/compose.memlimit.yml（原来只存在于某台演示机上）：
  全套上限 8.5G、实测常驻 2G，留给同机其它服务 20G+；
  MySQL buffer pool 128M→768M、max_connections 151→300

nginx
- gateway / admin-ui / iotlcm.conf 示例 统一改 resolver 127.0.0.11 valid=10s
  + upstream zone/resolve：运行期跟随 IP 变化，不必重启（实测 6s 内自愈）

deploy/config/nginx/iotlcm.conf

@@ -8,28 +8,42 @@
 # 把 your-domain.example.com 替换为你的实际域名。
 # ============================================================
 
+# ---------- 后端地址解析 ----------
+# 这些 upstream 写的是 compose 服务名。nginx 默认只在**启动时**解析一次，
+# 容器重建后 IP 变了就会持续 502（需重启 nginx）。resolve + zone 让它在运行期自动跟随。
+# 注意：127.0.0.11 是 Docker 内置 DNS，仅在容器内有效：
+#   ・在容器内用本文件   → 保持下面的 resolver 不动
+#   ・把本文件并入宿主机 nginx → 把 resolver 换成宿主机 DNS（或删掉 resolver 与各 upstream 的 resolve 参数）
+resolver 127.0.0.11 valid=10s ipv6=off;
+
 upstream iotlcm_admin_api {
-    server admin-svr:8008;
+    zone iotlcm_admin_api 64k;
+    server admin-svr:8008 resolve;
 }
 
 upstream iotlcm_admin_ui {
-    server admin-ui:80;
+    zone iotlcm_admin_ui 64k;
+    server admin-ui:80 resolve;
 }
 
 upstream iotlcm_openapi_api {
-    server openapi:8000;
+    zone iotlcm_openapi_api 64k;
+    server openapi:8000 resolve;
 }
 
 upstream iotlcm_docs {
-    server docs:80;
+    zone iotlcm_docs 64k;
+    server docs:80 resolve;
 }
 
 upstream iotlcm_app_web {
-    server app-web:80;
+    zone iotlcm_app_web 64k;
+    server app-web:80 resolve;
 }
 
 upstream iotlcm_app_server {
-    server app-server:8010;
+    zone iotlcm_app_server 64k;
+    server app-server:8010 resolve;
 }
 
 # ---------- OpenAPI 对外域名 ----------