Port Exposure không phân biệt bind 0.0.0.0 (mở thật) với 127.0.0.1 (chỉ loopback).

Cái nhãn Anyone on the internet là thông tin thô của UI, không phải trạng thái thật: panel "Port exposure" của Server Compass chỉ nhìn thấy "host port 3001 is published" trong compose và dán nhãn "Anyone on the internet" — nó không phân biệt bind 0.0.0.0 (mở thật) với 127.0.0.1 (chỉ loopback). Bằng chứng thực nghiệm của mình mạnh hơn nhãn UI: tôi vừa curl từ ngoài — cả IP public lẫn Tailscale đều timeout, port đã đóng thật. Bấm refresh panel có thể nó cập nhật lại, không thì kệ nó.