AES 字段加密迁配置并兼容旧密文

移除字段加密硬编码主密钥，改为 FIELD_ENCRYPTION_KEY 注入。

保留 FIELD_ENCRYPTION_LEGACY_KEY 透明回退旧密文，新写入统一使用主密钥；生产环境校验主密钥和 legacy 密钥长度、占位符及相等关系，并统一生产环境判断口径。

补充配置与旧密文兼容回归测试。

backend/.env.prod.example

@@ -65,6 +65,14 @@ REALNAME_CLOUDMARKET_APPCODE=
 # 警告：此密钥一旦设置不要更改，否则已有配置无法解密
 PAYMENT_CONFIG_ENCRYPTION_KEY=change-to-32-byte-encryption-key
 
+# 业务字段加密密钥（必须为 16、24 或 32 字节，生产环境必填且与 legacy 不同）
+# 用于加密实名信息（姓名、身份证）和收款账号（银行卡/支付宝号）
+# 生成方式：openssl rand -hex 16
+FIELD_ENCRYPTION_KEY=change-to-32-byte-field-encryption-key
+# 业务字段旧密钥（密钥轮换期间用于透明解出旧密文，验证全部密文轮换完后删除）
+# 首次部署若数据库已有用旧硬编码密钥加密的存量数据，填 hfb-sys-2024-secret-key-32bytes!
+FIELD_ENCRYPTION_LEGACY_KEY=
+
 # 开放导入接口可选签名密钥；内部调用方暂不签名时可留空。
 # 若启用签名，生成方式：openssl rand -hex 32
 EXTERNAL_UPLOAD_SECRET=