运营监控
Prometheus + Grafana

          (公网, Caddy 反代)                      (都只绑 127.0.0.1, 不上公网)
浏览器 ──► https://api.oaf.world ──► api:8000 ──/metrics──►  prometheus:9090
                                                                │ 每 30s 抓取
                                                                ▼
你的 Mac ──SSH 隧道 -L 3000/9090──► ECS ──────────────►  grafana:3000 ──查询──► prometheus

• 三个监控容器同在 compose 项目 deploy 的网络里，故 Prometheus 用服务名 api:8000、Grafana 用 http://prometheus:9090 互访，不经公网。
• Prometheus / Grafana 只映射到 127.0.0.1（:9090 / :3000），公网访问不到 → 少一个要加固的入口。看图靠 SSH 隧道。

1. 设 Grafana 密码（ECS）

   cd ~/InvesResearch/web-backend/deploy
   umask 077; printf 'GRAFANA_ADMIN_PASSWORD=%s\n' '换成你的强密码' >> .env  # 单引号防解析、别贴进历史

2. 起监控叠加层（ECS，必须带 -p deploy）

   docker compose -p deploy -f docker-compose.prod.yml -f monitoring/docker-compose.monitoring.yml up -d
   docker ps --format '{{.Names}}  {{.Status}}' | grep deploy   # 应见 4 个：api/caddy/prometheus/grafana

   只新增 prometheus+grafana，api/caddy 不重启。拉镜像 ~650MB，起前 df -h / 看眼余量。
3. 验证抓取链路（ECS，等 ~40s）

   curl -sS 'http://localhost:9090/api/v1/targets' | python3 -c "import sys,json;[print(t['labels'].get('job'),t['health']) for t in json.load(sys.stdin)['data']['activeTargets']]"
   # 期望：invesresearch-api  up

4. 让 Mac 能 SSH 进 ECS（若 ssh 报 Permission denied）。Mac 上生成并打印公钥，把它加进 ECS 的 ~/.ssh/authorized_keys：

   # Mac：
   ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519 -N "" -C "my-mac"   # 已有则跳过
   cat ~/.ssh/id_ed25519.pub
   # ECS（用现有进入方式，如阿里云 Workbench）：
   umask 077; mkdir -p ~/.ssh && echo '粘贴 Mac 公钥整行' >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys

   （本来就有该机 .pem 则用 ssh -i 密钥.pem …，不用加公钥。）
5. Grafana 配数据源 + 导面板（浏览器，先开隧道见第 04 节）
   • 登录 admin / 第 1 步的密码
   • Connections → Data sources → Add → Prometheus → URL http://prometheus:9090 → Save & test
   • Dashboards → New → Import → 粘 monitoring/grafana-dashboard.json 内容 → 选数据源 → Import

采集一直在跑，隧道只为「看」。 Prometheus 每 30s 抓取、历史一直攒，和你连不连隧道无关；隧道断了只是看不到，数据不丢。

# Mac 上开隧道（保持窗口开着）：
ssh -L 3000:localhost:3000 -L 9090:localhost:9090 root@<你的 ECS>
# 浏览器开 http://localhost:3000 → 登录 → 看「InvesResearch API · 运营监控」
# 想看曲线动：for i in $(seq 30); do curl -s https://api.oaf.world/health >/dev/null; done

# 停监控（不影响 api/caddy；加 --volumes 连历史数据一并删）
docker compose -p deploy -f docker-compose.prod.yml -f monitoring/docker-compose.monitoring.yml down

grep GRAFANA_ADMIN_PASSWORD ~/InvesResearch/web-backend/deploy/.env   # 看当初设的
docker exec -it deploy-grafana-1 grafana cli admin reset-admin-password '新密码'  # 或直接重置

• target down：确认 prometheus 与 api 同项目（都 -p deploy）；docker exec deploy-prometheus-1 wget -qO- http://api:8000/metrics | head。
• 所有面板 No data：数据源 URL 必须是 http://prometheus:9090（不是 localhost）；时间范围要覆盖有流量的时段。（错误率/限流平时 No data 是正常的。）
• 隧道 Permission denied：Mac 公钥没加进 ECS，见第 03 节第 4 步。
• 本地 3000/9090 被占：换端口，如 -L 3001:localhost:3000 再开 localhost:3001。