fix(security): 分离 JWT 与数据加密密钥并新增启动安全体检

.env 中 JWT_SECRET 仍逐字节等于 .env.example 的示例值，且 DATA_ENCRYPTION_KEY
未设置、按 config.go 的回退逻辑实际等于 JWT_SECRET。任何见过仓库的人都能伪造
管理员 JWT，并解密库中全部 API Client / 回调密钥密文。

- JWT_SECRET 与 DATA_ENCRYPTION_KEY 改为各自独立的强随机值
- 新增 Config.SecurityWarnings()：示例密钥 / 未分离 / release 下开调试日志均告警
- 新增 cmd/reencrypt_secrets：默认只预演，-apply 才写库；幂等，坏数据不中断整轮
- 新增 docs/密钥轮换说明.md；.gitignore 忽略 .env.bak*
- release 模式下关闭 OPEN_API_DEBUG

README.md

@@ -102,6 +102,7 @@ make docker-down    # 停止并移除
 | `FRONTEND_PORT` | 前端开发端口 | `15173` |
 | `HTTP_PORT` / `HTTPS_PORT` | Caddy 对外 HTTP/HTTPS 端口 | `80` / `443` |
 | `JWT_SECRET` | JWT 签名密钥 | 开发默认值 |
+| `DATA_ENCRYPTION_KEY` | 加密落库的 API/回调密钥；留空会回退到 `JWT_SECRET` 并在启动日志告警 | 回退到 `JWT_SECRET` |
 | `DATABASE_URL` | PostgreSQL 连接串 | 本地开发默认值 |
 | `DOCKER_DATABASE_URL` | Docker 后端容器内 PostgreSQL 连接串，通常无需设置 | Compose 内置默认值 |
 | `POSTGRES_PORT` | PostgreSQL 映射到宿主机的端口 | `15432` |
@@ -118,6 +119,10 @@ make docker-down    # 停止并移除
 | `FULFILLMENT_PROCESSING_TIMEOUT_MINUTES` | 发货中订单自动标记失败的超时分钟数，<=0 关闭 | `30` |
 | `FULFILLMENT_TIMEOUT_SCAN_INTERVAL_SECONDS` | 发货超时巡检间隔秒数 | `60` |
 
+> **安全提示**：`JWT_SECRET` 与 `DATA_ENCRYPTION_KEY` 必须各自生成随机值（`openssl rand -hex 48` / `openssl rand -hex 32`），
+> 不能沿用 `.env.example` 中的示例值，也不能两者相同。服务启动时会自动体检并打印
+> `[CONFIG] 安全告警: ...`。轮换方法见 [`docs/密钥轮换说明.md`](docs/密钥轮换说明.md)。
+
 ## 开放接口（皮肤源头对接）
 
 项目有两套外部 API，请先区分调用方：