平台在构建镜像时按以下优先级自动推断并覆盖容器端口：1. 根目录 paas.json 声明 → 2. 自带 Dockerfile 的 EXPOSE → 3. 项目类型默认端口。若你的 Node.js 或自定义服务监听了非标准端口，只需在源码根目录放置 paas.json：

{
  "port": 3000
}

• 应用命名白名单：仅允许 1–63 位小写字母、数字与中划线，杜绝容器名与 Nginx 配置注入。
• Git 源 SSRF 防护：仅允许 HTTP/HTTPS 协议，自动解析域名并拦截指向本机、内网网段或云元数据的地址。
• Dockerfile 安全扫描：禁止 --privileged、--network=host、挂载 docker.sock 或宿主机敏感目录。
• CGroups 与运行时加固：强制禁用 Swap 使内存上限硬生效，挂载 no-new-privileges、cap_drop=ALL 与进程数限制（pids_limit）。