Keep X-Forwarded-For as an active default so the snippet is copy-paste safe; TRUSTED_PROXY_COUNT=1 relies on the proxy rewriting XFF, and a commented-out line is easy to miss.
服务端的安全逻辑（会话 Cookie Secure 标志、限流按真实客户端 IP 聚合、 CSRF origin 校验）都默认前置反向代理并终结 TLS，但缺少一份成体系的部署 文档说明这一点。不知情的部署者直接把 3000 端口暴露到公网 HTTP 会同时踩中 cookie 无 Secure、限流退化/可伪造、CSRF Host 回退可绕过三个坑。 新增 docs/DEPLOYMENT.md： - 醒目的前置警告，禁止裸暴露 3000 端口到公网 HTTP - nginx + Caddy 最小配置示例（含 XFF 覆写、body 上限对齐应用侧 10 MiB、 代理超时对齐应用侧 300s） - 生产环境必设变量三件套及 TRUSTED_PROXY_COUNT 设错的两种后果 - Docker 部署示例（绑定回环地址，反代作为唯一公网入口） - 部署后验证清单 README 加「生产部署」节链接到该文档。代码无需修改——三个环境变量的保守 默认值与 .env.example 的警告注释设计上是正确的，缺口纯粹是文档。
