完善站点运营设置：分路由管理、登录可见评论、邮件模板内联与关闭注册 SSR。

Co-authored-by: Cursor <cursoragent@cursor.com>

backend/app.ini.example

@@ -8,9 +8,17 @@ DSN = postgres://postgres:postgres@localhost:5432/jiang13?sslmode=disable
 [security]
 ; 留空则自动生成并持久化到 data/.jwt_secret；生产环境务必显式指定强随机值
 JWT_SECRET =
+; 32 字节随机值的标准 Base64（openssl rand -base64 32）。留空则不能保存邮件/S3 凭据。
+; 环境变量 SETTINGS_MASTER_KEY 优先于此处。丢失后已加密凭据无法解密，不要提交真实值。
+SETTINGS_MASTER_KEY =
 
 [paths]
 DATA = data
 
 [app]
 DEV_MODE = true
+; 对外正式 origin，无尾斜杠。账号邮件链接与 Next 的 SITE_URL 必须一致。
+; 本地：http://localhost:3000；生产：https://bbs.example.com。环境变量 SITE_URL 优先。
+SITE_URL = http://localhost:3000
+; 额外 CORS origin，逗号分隔。环境变量 CORS_ORIGINS 优先。同源反代通常可留空。
+CORS_ORIGINS =