vLLM 容器在所有接口上发布 (-p {port}: 8000 忽略 SURYA INFERENCE HOST)

**摘要：** `surya` 使用 `-p {port}:8000` 发布自动启动的 vLLM 容器 - 没有主机地址，因此 Docker 将其绑定到 **所有** 主机接口。在任何机器上，如果没有主机防火墙，普通的本地 OCR 调用就会向 LAN 打开未经过身份验证的 GPU 推理端点（如果存在的话，还会打开 tailnet/VPN）。