AES 字段加密迁配置并兼容旧密文

移除字段加密硬编码主密钥，改为 FIELD_ENCRYPTION_KEY 注入。

保留 FIELD_ENCRYPTION_LEGACY_KEY 透明回退旧密文，新写入统一使用主密钥；生产环境校验主密钥和 legacy 密钥长度、占位符及相等关系，并统一生产环境判断口径。

补充配置与旧密文兼容回归测试。

backend/.env.example

@@ -59,6 +59,16 @@ REALNAME_CLOUDMARKET_APPCODE=
 # 生成方式：openssl rand -hex 16
 PAYMENT_CONFIG_ENCRYPTION_KEY=
 
+# 业务字段加密密钥（必须为 16、24 或 32 字节；生产环境必填且与下方 legacy 不同）
+# 用于加密实名信息（姓名、身份证）和收款账号（银行卡/支付宝号）
+# 生成方式：openssl rand -hex 16
+FIELD_ENCRYPTION_KEY=
+# 业务字段旧密钥（可选；密钥轮换期间用于透明解出旧密文）
+# 留空时使用内置默认值，兼容历史硬编码密钥加密的开发/测试数据。
+# 生产环境轮换流程：设新 FIELD_ENCRYPTION_KEY，把旧密钥填到这里，
+# 待所有存量密文被读出后（或跑重加密脚本），删除此变量。
+FIELD_ENCRYPTION_LEGACY_KEY=
+
 # 开放导入接口可选签名密钥；留空或请求未带签名时按旧方式导入。
 # 若调用方携带 X-HFB-Timestamp 和 X-HFB-Signature，则会校验 HMAC 签名。
 EXTERNAL_UPLOAD_SECRET=