diff --git a/deploy/nginx/observe.shaguabijia.com.conf b/deploy/nginx/observe.shaguabijia.com.conf
new file mode 100644
index 0000000..dd2c01e
--- /dev/null
+++ b/deploy/nginx/observe.shaguabijia.com.conf
@@ -0,0 +1,47 @@
+# OpenObserve 监控台反代(单独子域名)。前提:
+#   - DNS: observe.shaguabijia.com A 记录 → 本机公网 IP
+#   - 证书: /etc/nginx/ssl/observe.shaguabijia.com.pem|.key(同现有域名放法)
+#   - OpenObserve 只绑 127.0.0.1:5080(见 docker-compose.prod.yml)
+# 三重防护:IP 白名单 + nginx TLS + OpenObserve 自身登录。
+# 只你/少数人看的话,更省事的是 SSH 隧道(README「UI 访问」方案 A),不用域名/证书。
+
+# 80 → 301 → 443
+server {
+    listen 80;
+    listen [::]:80;
+    server_name observe.shaguabijia.com;
+    return 301 https://$host$request_uri;
+}
+
+# 443 SSL 反代到本地 OpenObserve (127.0.0.1:5080)
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name observe.shaguabijia.com;
+
+    ssl_certificate     /etc/nginx/ssl/observe.shaguabijia.com.pem;
+    ssl_certificate_key /etc/nginx/ssl/observe.shaguabijia.com.key;
+
+    ssl_protocols       TLSv1.2 TLSv1.3;
+    ssl_ciphers         HIGH:!aNULL:!MD5;
+    ssl_session_cache   shared:SSL:10m;
+
+    # ★ 只放行你的固定出口 IP(办公/家宽)。监控台不必对全网开。
+    allow 1.2.3.4;      # ← 换成真实 IP,可多行
+    deny  all;
+
+    client_max_body_size 10m;
+
+    location / {
+        proxy_pass http://127.0.0.1:5080;
+        proxy_http_version 1.1;
+        proxy_set_header Host $host;
+        proxy_set_header X-Real-IP $remote_addr;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+        # OpenObserve 有实时/流式,需透传 WebSocket
+        proxy_set_header Upgrade $http_upgrade;
+        proxy_set_header Connection "upgrade";
+        proxy_read_timeout 300s;
+    }
+}
diff --git a/deploy/openobserve/.gitignore b/deploy/openobserve/.gitignore
index ba13d2a..bcf98ee 100644
--- a/deploy/openobserve/.gitignore
+++ b/deploy/openobserve/.gitignore
@@ -1,2 +1,4 @@
 # OpenObserve 落盘数据(parquet/索引/元数据),运行时产生,不入库。
 data/
+# 生产 compose 的密码文件(OO_ROOT_PASSWORD),含机密,不入库。
+.env
diff --git a/deploy/openobserve/README.md b/deploy/openobserve/README.md
index b0fa327..70925f4 100644
--- a/deploy/openobserve/README.md
+++ b/deploy/openobserve/README.md
@@ -79,4 +79,48 @@ docker compose down            # 停止(保留数据)
 docker compose down -v && rm -rf data   # 停止并清空数据
 ```
 
-> 生产部署（持久化规格、独立 ingest 账号、鉴权收紧）见 spec 第 9 节，本期不做。
+## 生产部署（单机）+ UI 访问
+
+前提:app-server 与 OpenObserve **同机**,app→OO 走 localhost(`127.0.0.1:5080`)、不出网、无需 TLS。
+唯一要防的是**别把 :5080 裸暴露公网**。硬化版编排见 [docker-compose.prod.yml](docker-compose.prod.yml)。
+
+### 部署步骤
+
+```bash
+# 1) 密码文件(本目录,已 gitignore)
+echo "OO_ROOT_PASSWORD=$(python -c 'import secrets;print(secrets.token_urlsafe(24))')" > deploy/openobserve/.env
+
+# 2) 起 OpenObserve(只绑 127.0.0.1、命名卷持久化、mem 1g)
+cd deploy/openobserve && docker compose -f docker-compose.prod.yml up -d
+sudo systemctl enable docker            # 开机自起
+```
+
+3) app-server 的 `.env` 打开观测并**重启**(用非 root 的专用 ingest 账号):
+```dotenv
+OBSERVE_ENABLED=true
+OBSERVE_ENDPOINT=http://127.0.0.1:5080
+OBSERVE_ORG=default
+OBSERVE_STREAM=app_requests
+OBSERVE_USER=ingest@shaguabijia.com     # UI → Users 建的非 root 账号
+OBSERVE_PASSWORD=<该账号密码>
+```
+```bash
+sudo systemctl restart shaguabijia-app-server   # 日志出现 "observe worker started" 即生效
+```
+
+4) 两个必做收口(磁盘/安全):
+- **保留期**:UI → Streams → `app_requests` → Data Retention 设 14/30 天(一请求一行,不封顶迟早撑爆盘)。
+- **专用账号**:UI → Users 建非 root 账号给 app 上报,root 只留人工登 UI。
+
+### UI 访问(二选一)
+
+**A. SSH 隧道(推荐,零暴露、不用域名/证书):**
+```bash
+ssh -L 5080:127.0.0.1:5080  用户@服务器IP
+# 然后本机浏览器开 http://localhost:5080
+```
+
+**B. nginx 子域名反代(要固定 URL / 团队常看):** 见 [../nginx/observe.shaguabijia.com.conf](../nginx/observe.shaguabijia.com.conf)。
+需 DNS `observe.shaguabijia.com` → 本机 + 证书放 `/etc/nginx/ssl/`;含 IP 白名单 + TLS + WebSocket 透传。
+
+> ⚠️ prod compose 必须保持 `127.0.0.1:5080:5080`;写成 `5080:5080`(绑 0.0.0.0)= 裸暴露公网,这是唯一真正的坑。
diff --git a/deploy/openobserve/docker-compose.prod.yml b/deploy/openobserve/docker-compose.prod.yml
new file mode 100644
index 0000000..4340915
--- /dev/null
+++ b/deploy/openobserve/docker-compose.prod.yml
@@ -0,0 +1,27 @@
+# 生产用 OpenObserve(单机)。相对本地版 docker-compose.yml 的区别:
+#   - 端口只绑 127.0.0.1 → 公网/外网都到不了(UI 访问走 SSH 隧道或 nginx 反代,见 README)
+#   - root 密码走环境变量(放同目录 .env,已 gitignore,勿提交)
+#   - 数据用 docker 命名卷(免 bind-mount 权限坑)+ 内存上限(与 app/PG 共存防抢内存)
+#
+# 用法:
+#   1) 本目录建 .env(已 gitignore):
+#        OO_ROOT_PASSWORD=<强随机串>     # 生成: python -c "import secrets;print(secrets.token_urlsafe(24))"
+#   2) docker compose -f docker-compose.prod.yml up -d
+#   3) 开机自起: sudo systemctl enable docker
+services:
+  openobserve:
+    image: public.ecr.aws/zinclabs/openobserve:latest
+    container_name: openobserve
+    ports:
+      - "127.0.0.1:5080:5080"          # ★只绑本机;写成 5080:5080 = 裸暴露公网,别这么干
+    environment:
+      ZO_ROOT_USER_EMAIL: "admin@shaguabijia.com"
+      ZO_ROOT_USER_PASSWORD: "${OO_ROOT_PASSWORD:?请先在 deploy/openobserve/.env 里设 OO_ROOT_PASSWORD}"
+      ZO_DATA_DIR: "/data"
+    volumes:
+      - openobserve_data:/data         # docker 命名卷;想固定到某块盘改成 bind: /your/disk:/data
+    restart: unless-stopped
+    mem_limit: 1g                       # 按机器内存调;查询重可给 2g
+
+volumes:
+  openobserve_data: