开源前加固认证与部署契约：加密随机 JWT、改密事务吊销、登录 CSRF，并禁止生产回落 localhost。

Co-authored-by: Cursor <cursoragent@cursor.com>

deploy/.env.example

@@ -22,8 +22,9 @@ POSTGRES_USER=jiang13
 POSTGRES_PASSWORD=change-me
 POSTGRES_DB=jiang13
 
-# 生产必须显式设置。留空则首次启动写入 data/.jwt_secret（依赖 appdata volume）。
-JWT_SECRET=change-me-to-a-long-random-string
+# 生产必须显式设置 ≥32 字符强随机（openssl rand -base64 32）。
+# 占位值 change-me / 过短密钥会被拒绝启动；也可留空由 data/.jwt_secret 自动生成。
+JWT_SECRET=
 
 # 正式站点 origin，生产使用 HTTPS；邮件 / Canonical / Sitemap 共用
 # 32 字节随机值的标准 Base64；不填写时禁止保存邮件/S3凭据。独立备份，禁止提交真实密钥。