开源前加固认证与部署契约：加密随机 JWT、改密事务吊销、登录 CSRF，并禁止生产回落 localhost。

Co-authored-by: Cursor <cursoragent@cursor.com>

backend/app.ini.example

@@ -6,7 +6,7 @@ HTTP_PORT = 3001
 DSN = postgres://postgres:postgres@localhost:5432/jiang13?sslmode=disable
 
 [security]
-; 留空则自动生成并持久化到 data/.jwt_secret；生产环境务必显式指定强随机值
+; 留空则用 crypto/rand 生成并持久化到 data/.jwt_secret；生产务必显式指定 ≥32 字符强随机值
 JWT_SECRET =
 ; 32 字节随机值的标准 Base64（openssl rand -base64 32）。留空则不能保存邮件/S3 凭据。
 ; 环境变量 SETTINGS_MASTER_KEY 优先于此处。丢失后已加密凭据无法解密，不要提交真实值。