完善站点运营设置：分路由管理、登录可见评论、邮件模板内联与关闭注册 SSR。

Co-authored-by: Cursor <cursoragent@cursor.com>

deploy/.env.example

@@ -24,3 +24,13 @@ POSTGRES_DB=jiang13
 
 # 生产必须显式设置。留空则首次启动写入 data/.jwt_secret（依赖 appdata volume）。
 JWT_SECRET=change-me-to-a-long-random-string
+
+# 正式站点 origin，生产使用 HTTPS；邮件 / Canonical / Sitemap 共用
+# 32 字节随机值的标准 Base64；不填写时禁止保存邮件/S3凭据。独立备份，禁止提交真实密钥。
+SETTINGS_MASTER_KEY=
+# 逗号分隔的精确内部服务主机名；默认拒绝回环、私网和保留网段
+SERVICE_PRIVATE_HOSTS=
+# 仅填写实际可信反向代理 IP/CIDR；默认不信任转发头
+TRUSTED_PROXIES=
+# 紧急恢复：1 强制正常运行，修复后台配置后撤销并重启 API
+MAINTENANCE_RECOVERY=0

deploy/CHANGELOG.md

@@ -0,0 +1,11 @@
+# 部署契约变更
+
+## 未发布：站点设置与运行时契约 v2
+
+最低可升级源版本：0.1.0。应用镜像的发布版本号由正式发布流程指定，本工作区未推送镜像。
+
+新增可选环境变量 SETTINGS_MASTER_KEY、SERVICE_PRIVATE_HOSTS、TRUSTED_PROXIES、MAINTENANCE_RECOVERY。Compose 保留既有服务名、端口、volume；按 CONTRACT.md 将运行时环境契约扩展记为 v2。SITE_URL 现同时用于账号邮件和 SEO，Go/Next必须一致；凭据功能要求部署独立加密主密钥。
+
+升级前备份数据库与 DATA_DIR，首次启动自动执行新增表及 object_id 字段迁移。启用 S3 后不能直接回滚到不支持远程对象的旧应用；旧版本也不执行新的维护/过滤规则。保留主密钥与历史存储配置，回滚需在运维维护窗口先处理远程文件读取兼容。
+
+详细配置、迁移、恢复和验证见 ../docs/site-operations.md。

deploy/docker-compose.yml

@@ -41,6 +41,10 @@ services:
       DATA_DIR: /var/lib/jiang13/data
       DB_DSN: postgres://${POSTGRES_USER:-jiang13}:${POSTGRES_PASSWORD}@postgres:5432/${POSTGRES_DB:-jiang13}?sslmode=disable
       JWT_SECRET: ${JWT_SECRET:?set JWT_SECRET in deploy/.env}
+      SETTINGS_MASTER_KEY: ${SETTINGS_MASTER_KEY:-}
+      SERVICE_PRIVATE_HOSTS: ${SERVICE_PRIVATE_HOSTS:-}
+      TRUSTED_PROXIES: ${TRUSTED_PROXIES:-}
+      MAINTENANCE_RECOVERY: ${MAINTENANCE_RECOVERY:-0}
       SITE_URL: ${SITE_URL:-https://localhost}
     volumes:
       - appdata:/var/lib/jiang13/data