chore(security): 生产环境文件去跟踪并清除模板默认口令

Author: Aparencia

.env.example

@@ -4,6 +4,8 @@
 # 复制此文件为 .env 并填入实际值
 
 # --- 前端 (client/) ---
+# 遗留待更新：重构后前端已迁移至 app/（Tauri 2 + React），
+# client/ 目录已不存在；以下 VITE_* 变量名仍供前端构建使用，待后续整理
 
 # Supabase 认证（在 https://supabase.com 创建项目后获取）
 VITE_SUPABASE_URL=https://your-project-id.supabase.co
@@ -33,8 +35,8 @@ GLM_API_KEY=sk-your-glm-api-key
 # Gemini（可选，用于视频分析）：https://aistudio.google.com/app/apikey
 GEMINI_API_KEY=your-gemini-api-key
 
-# 数据库（Docker Compose 默认值，本地开发无需修改）
-DATABASE_URL=postgresql://keban:keban_dev@localhost:5432/keban
+# 数据库（本地开发自托管 Docker Compose；账号/密码自行设置，模板不提供默认口令）
+DATABASE_URL=postgresql://USER:PASSWORD@localhost:5432/db
 REDIS_URL=redis://localhost:6379
 
 # JWT 安全密钥（生产环境必须修改为随机字符串）

.gitignore

@@ -30,6 +30,10 @@ dist-electron/
 .env.local
 *.local
 server/.env
+# 生产环境配置含真实密钥/PII，永不入库（模板为 .env.production.example，须保留可跟踪）
+.env.production
+*.env.production
+!.env.production.example
 
 # OS
 Thumbs.db