feat: 交付官方 Docker 运行时，外观改背景图并下线自定义 CSS/JS

站点/后台分轨背景与用户列表排序一并落地；生产 CORS 改走 SITE_URL，健康检查带版本号。

Co-authored-by: Cursor <cursoragent@cursor.com>

README.md

@@ -13,7 +13,7 @@
 | 后端 | Go 1.27 · Gin · GORM · PostgreSQL 17 |
 | 前端 | Next.js 16 (App Router) · TypeScript · Tailwind CSS v4 |
 | 认证 | JWT (HttpOnly Cookie) + Refresh Token 轮转 + CSRF 双提交 + Token Version 撤销 |
-| 部署 | Docker Compose（数据库）· 可部署至 Cloudflare Workers（前端） |
+| 部署 | 官方：`deploy/` Docker Compose（Next SSR + Go + Postgres，反代自备）；本地开发仅 Compose 起数据库 |
 
 ---
 
@@ -91,7 +91,8 @@ jiang13-bbs/
 │   ├── middleware.ts         # SSR 登录态静默轮转
 │   ├── next.config.ts        # Rewrite 代理 / 图片缓存
 │   └── .env.example
-├── docker-compose.yml        # PostgreSQL 容器
+├── deploy/                   # 官方运行时（web + api + Postgres，反代自备）
+├── docker-compose.yml        # 仅本地开发 Postgres
 ├── LICENSE                   # 专有软件许可协议
 └── .gitignore
 ```
@@ -199,13 +200,25 @@ NEXT_PUBLIC_API_URL=http://localhost:3001
 
 ## 部署
 
+**官方运行时是 `deploy/docker-compose.yml`（Next SSR + Go + Postgres，不含反代）。** 说明与升级命令见 [deploy/README.md](./deploy/README.md)，Nginx 示例见 [deploy/nginx.example.conf](./deploy/nginx.example.conf)，契约见 [deploy/CONTRACT.md](./deploy/CONTRACT.md)。
+
+本地开发仍用仓库根 `start.bat` / `start.sh` 与根目录 `docker-compose.yml`（只起 Postgres）。不要把开发流程改成必须打应用镜像。
+
+更新应用（镜像已发布时）：
+
+```bash
+cd deploy
+docker compose pull
+docker compose up -d
+```
+
+后台一键更新、预编译包不在本期。Cloudflare Workers 不是官方运行时。
+
 ### 生产环境要点
 
-1. **后端：** 设置 `DEV_MODE=false`，指定强随机 `JWT_SECRET`，通过反向代理（Nginx/Caddy）提供 HTTPS。
-2. **前端：** 设置 `BACKEND_URL` 为后端 HTTPS 地址，`npm run build` 后部署。Cloudflare Workers 部署需保持 `middleware.ts` 文件名不变（OpenNext 不识别 `proxy.ts`）。
-3. **数据库：** 修改默认密码，启用 SSL 连接。
-4. **CORS：** 生产环境修改 `router.go` 中的 `AllowOrigins` 为实际域名。
-5. **WebSocket：** 必须与页面同一 Host（见下节），不要把 API 单独放到另一个子域。
+1. **官方 Compose：** `DEV_MODE=false`，强随机 `JWT_SECRET` 与 `POSTGRES_PASSWORD`；由你现有的 Nginx/Caddy 提供 HTTPS，并把页面与 `/api`、`/api/ws`、`/uploads` 挂到同一 Host。
+2. **CORS：** 设 `SITE_URL` 为对外 origin（不要改 `router.go` 写死域名）。
+3. **自管部署：** 仍须同源反代。Workers 前端须保持 `middleware.ts` 文件名（OpenNext 不识别 `proxy.ts`），实时通道由反代承接 `/api/ws`。
 
 ### WebSocket（开发 vs 生产）