加固后台管理安全

backend/.env.example

@@ -14,6 +14,12 @@ REDIS_DB=0
 
 JWT_SECRET=change-me
 
+# 首次启动且管理员表为空时，按以下变量创建首个超级管理员。
+# 本地开发可自行填写，生产环境请使用随机强密码，创建后建议从 .env 移除。
+ADMIN_BOOTSTRAP_USERNAME=
+ADMIN_BOOTSTRAP_PASSWORD=
+ADMIN_BOOTSTRAP_NICKNAME=超级管理员
+
 # API 限流：默认开启，每个 IP 每分钟 300 次。
 RATE_LIMIT_ENABLED=true
 RATE_LIMIT_REQUESTS_PER_MINUTE=300
@@ -49,3 +55,9 @@ REALNAME_CLOUDMARKET_APPCODE=
 # 用于加密存储支付商户配置中的敏感信息（sign_key、notify_key）
 # 生成方式：openssl rand -hex 16
 PAYMENT_CONFIG_ENCRYPTION_KEY=
+
+# 开放导入接口签名密钥；留空时 /api/open/listing-uploads 不可用。
+# 请求需携带 X-HFB-Timestamp 和 X-HFB-Signature。
+EXTERNAL_UPLOAD_SECRET=
+# 可选：逗号分隔的 IP 或 CIDR 白名单，例如 127.0.0.1,10.0.0.0/8。
+EXTERNAL_UPLOAD_ALLOWED_IPS=