高级配置

Databasus 开箱即用，默认设置就很合理：标准的单容器安装完全不需要任何配置。本页的每个变量都是可选的，99% 的生产环境用不到。

OAuth

Databasus 默认使用邮箱加密码登录。你还可以额外允许用户用 Google 或 GitHub 账号登录。只要设置了某个提供商的 client ID，对应的按钮就会显示，但只有 client ID 和 client secret 都存在时，登录才能完成。

注册 OAuth 应用时，把重定向（回调）URL 设置为 https://<your-domain>/auth/callback。由于这个重定向，OAuth 登录要求你的实例通过公网域名以 HTTPS 提供服务，见下面的说明。

Google

在 Google Cloud Console 中创建 OAuth client（APIs & Services → Credentials → Create credentials → OAuth client ID，应用类型选 Web application），并把 https://<your-domain>/auth/callback 添加为授权重定向 URI。

GitHub

在 GitHub Developer settings 中创建 OAuth 应用（Settings → Developer settings → OAuth Apps → New OAuth App），把 authorization callback URL 设置为 https://<your-domain>/auth/callback。

邮件 (SMTP)

连接邮件服务器后，Databasus 就能发送工作区邀请、密码重置码和登录验证码。只要设置了 SMTP_HOST，邮件服务器就算已配置。没有它时，设置页面会显示邮件服务器未配置，登录页面也不会显示重置密码的链接。

这是实例的邮件服务器。邮件通知渠道用来报告备份情况，它们在各自的表单里有自己的 SMTP 设置，所以某个通知渠道能收发邮件，并不能说明这台服务器可用。要检查实例的邮件服务器，请打开 Databasus settings → Mail server 并点击 Send test email。测试邮件会发到你自己的地址，发送失败时会显示邮件服务器的回复。

SMTP_SECURITY 从三种模式中选一种。邮件通知渠道在 Advanced settings 里提供同样的选择。

注册验证码（Cloudflare Turnstile）

如果你的实例能从公网访问，可以在注册和登录表单上加一层 Cloudflare Turnstile 挑战来挡机器人。两个密钥都来自 Turnstile 控制台，只有两者都设置了，挑战才会生效。

Docker 存储权限

Databasus 通常先使用现有 pgdata 目录的用户和组 ID，再检查备份 mount 或数据根目录，最后使用 999。只有自动选择不适合你的 bind mount、CIFS 共享或 NFS 导出时，才需要设置 PUID 或 PGID。值必须是从 1 到 4294967294 的十进制整数。

Databasus 和 PostgreSQL 使用同一个名为 databasus 的无 root 权限操作系统账户。

Entrypoint 先以容器内的 root 身份启动，用于选择 ID 并尝试执行 chown 和 chmod。随后，它会以 databasus 身份检查完整的文件生命周期。即使 mount 拒绝更改所有者或模式，只要实际文件操作成功，容器仍可运行。不支持任意 Docker user: 覆盖。

ERROR: Databasus cannot write to local storage paths /databasus-data/temp and /databasus-data/backups as UID 999 and GID 999.
Required operation: save a file through local storage.
Set PUID and PGID or fix the mounted directory permissions: https://databasus.com/advanced-config/#docker-storage-permissions
Details: permission denied

之前用于不同服务的四个变量已被有意删除。升级时请从配置中移除这些变量。如果自动选择的 ID 无法访问 mount，启动会停止，并显示失败的操作以及本文档链接。

遥测

Databasus 默认发送匿名、无法识别身份的使用遥测。它不包含任何个人数据，帮助我们了解项目的使用情况。具体收集哪些内容可以在隐私政策中查看，你也可以完全关闭它。

日志

Databasus 把日志写到 stdout，并以 JSON 形式镜像到数据卷上的 databasus.log。设置 OPEN_TELEMETRY_URL 后，日志还会通过 Open Telemetry 导出到 VictoriaLogs、Graylog、SigNoz、Grafana Loki、Datadog、Honeycomb 等后端，或导出到 OpenTelemetry Collector（它本身就是一个 OTLP 接收端）。

• 传输方式由 URL 协议决定。 http:// 和 https:// 发送 OTLP/HTTP，按原样使用整个 URL（包含路径）； grpc:// 和 grpcs:// 发送 OTLP/gRPC，只使用主机和端口。
• 认证写在 OPEN_TELEMETRY_HEADERS 里，或以 user:password@host 的形式写进 URL。
• 敏感信息（密码、令牌、凭据）出现在 URL 中时，会在日志记录离开进程之前被脱敏。
• 审计条目随应用日志一起发送，带 log_type=audit 标签，且不受 LOG_LEVEL 影响，因此调高日志级别不会丢失审计记录。

常见后端的取值，以及各自用于认证的 header。把主机、区域和密钥替换成你自己的：

header 值会做百分号解码，所以 Basic 或 Bearer 后面的空格写作 %20，值里的逗号写作 %2C。Basic 认证也可以直接放进 URL：https://user:password@host/path，Databasus 会把它转换成同样的 header 并使其不出现在日志中。通过 http:// 和 grpc:// 传输时密钥和密码是明文的，所以在可信网络之外请使用 https:// 或 grpcs://。

分析脚本

Databasus 可以把你自己的分析或跟踪代码片段注入应用，例如 Google Analytics、Plausible、Umami 等。设置了 ANALYTICS_SCRIPT 后，它的值会在启动时插入到页面的 <head> 中。

安全警告：该值会被原样注入为 HTML 和 JavaScript，并在每个访问者的浏览器中以对 Databasus 界面的完全访问权限运行。只设置你完全掌控且信任的代码片段。