diff --git a/.env.example b/.env.example
index b95cd91..7f56b27 100644
--- a/.env.example
+++ b/.env.example
@@ -11,6 +11,9 @@ FRONTEND_PORT=10003
 MOLDINSIGHT_PORT=10003
 # inventory-only 独立部署时使用
 INVENTORY_PORT=10004
+# unified 模式 backend 是否暴露宿主端口：留空 = 不暴露（仅经前端 /api 反代），
+# 设值（如 10003）= 直接暴露（调试 / 压测用）
+# BACKEND_PORT=
 # ================================
 
 DEBUG=false
diff --git a/docker-compose.yml b/docker-compose.yml
index 4d11558..c567dde 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -76,10 +76,11 @@ services:
     image: gemold-backend:latest
     container_name: gemold_backend
     command: ["python", "-m", "uvicorn", "entrypoints.unified:app", "--host", "0.0.0.0", "--port", "8000"]
-    # 不映射端口到宿主机：backend 仅供 frontend 反代（docker 网络内 backend:8000 互通），
-    # 避免与 frontend 抢占宿主 10003。BACKEND_PORT 仍保留以便调试时临时开放。
-    expose:
-      - "8000"
+    # 宿主机端口由 .env 的 BACKEND_PORT 决定：空/不设则不暴露宿主机端口
+    # （仅经前端 /api 反代同域访问，避免与 frontend 抢占宿主 10003）。
+    # 调试时设 BACKEND_PORT=10003 即可独立访问。
+    ports:
+      - "${BACKEND_PORT:-}:8000"
     environment:
       <<: *base_env
       ADMIN_USERNAME: ${ADMIN_USERNAME:-admin}