提交

backend/.env.example

@@ -7,8 +7,10 @@ DATABASE_URL=mysql+pymysql://root:password@localhost:3306/zkxw
 # 已废弃：无角色用户不可登录，JWT role 固定为 guest（勿设为 super_admin）
 # WEB_AUTH_DEFAULT_ROLE=guest
 
-# JWT配置示例
-# SECRET_KEY=your-secret-key-change-in-production
+# JWT配置（必填；启动时会拒绝空值与弱占位密钥，长度至少 32）
+# 生成：python -c "import secrets; print(secrets.token_urlsafe(48))"
+# 注意：更换 SECRET_KEY 会使已签发的 JWT 全部失效，用户需重新登录；生产勿随意轮换。
+SECRET_KEY=
 # ALGORITHM=HS256
 # ACCESS_TOKEN_EXPIRE_MINUTES=30