services:
  app:
    build: .
    # Non-root: Prozess läuft als UID:GID 1000:1000, kein root beim Start.
    user: "1000:1000"
    ports:
      - "${APP_PORT:-3000}:3000"
    volumes:
      - ./data:/app/data
      - ./backups:/app/backups
    environment:
      - DATA_DIR=/app/data
      - BACKUPS_DIR=/app/backups
      # Optionale Anmeldung, siehe README (Abschnitt „Anmeldung (optional)").
      - AUTH_MODE=${AUTH_MODE:-off}
      - BETTER_AUTH_SECRET=${BETTER_AUTH_SECRET:-}
      - BETTER_AUTH_URL=${BETTER_AUTH_URL:-}
      - OIDC_DISCOVERY_URL=${OIDC_DISCOVERY_URL:-}
      - OIDC_CLIENT_ID=${OIDC_CLIENT_ID:-}
      - OIDC_CLIENT_SECRET=${OIDC_CLIENT_SECRET:-}
    restart: unless-stopped