feat(deploy): D1 后端部署就绪（配置外置 + prod fail-fast + 自包含 Compose + 冒烟/回滚）

为什么：用户下午要部署，但全仓没有任何部署产物；且生产漏配密钥会静默使用代码里的 dev 默认值，
属上线阻塞项（04-部署架构 / 12-上线检查清单）。

- 配置外置（三件）：DB_URL、JWT 双密钥（**发现 app-secret 此前没外置，一直用 dev 默认值**）、
  MEDIA_SIGNATURE_SECRET、MEDIA_SIGNATURE_REQUIRED、CORS_ALLOWED_ORIGINS、MEDIA_ROOT_DIR
- 新增三份 application-prod.yml：签名强制开启、CORS 收紧、媒资指向挂载点、日志级别
- 新增 ProdSecretGuard（@Profile("prod")）：密钥缺失/仍是 dev 默认值/不足 32 位、签名未开、
  DB_URL 或 CORS 为空 → 一次列全并终止启动（exit 1）
- 新增 /healthz 轻量健康端点：查明 /actuator/health 的"超时"是旧 jar 未重启所致，项目本就
  没有 actuator 依赖，故不引新依赖；同时把 /healthz 加进安全白名单
- Docker 化：多阶段 Dockerfile（非 root、tini、依赖层缓存、ffmpeg 只给 worker）、.dockerignore、
  自包含 docker-compose.yml（含 PostgreSQL 18 + Redis + 命名卷 + 按序初始化 sql + healthcheck）
- tools/smoke.sh（失败非 0 退出）+ DEPLOY.md（Compose 主线 / 裸 jar 兜底 / 回滚 / 故障速查）
- 实测：mvn test 83 条全过；两入口 package 通过；prod 缺密钥退出码 1 且报错明确、配齐后正常启动；
  冒烟脚本全 PASS；本机无 Docker，镜像与 compose 未经构建验证（已在回执如实标注）

fruitshorts-app-api/src/main/resources/application-prod.yml

@@ -0,0 +1,37 @@
+# Author: fruit.com.cn
+#
+# 生产 profile（--spring.profiles.active=prod）：
+#   1) 集中生产开关，不在这里写任何密钥 —— 密钥一律环境变量注入；
+#   2) 密钥缺失/还是 dev 默认值/签名没开 → ProdSecretGuard 直接让启动失败（fail-fast）。
+server:
+  # 容器里由编排再映射；保持 8081 便于与 runbook 一致
+  port: ${SERVER_PORT:8081}
+  tomcat:
+    # 生产前置反代，真实 IP 从 X-Forwarded-* 取
+    remoteip:
+      remote-ip-header: X-Forwarded-For
+      protocol-header: X-Forwarded-Proto
+
+spring:
+  lifecycle:
+    timeout-per-shutdown-phase: 30s
+
+fruitshorts:
+  media:
+    # 生产必须开启播放地址签名（docs/12-上线检查清单）
+    signature-required: true
+  cors:
+    # 生产只允许显式配置的来源；没配就等于空，浏览器侧会被拦住（比"*"安全）
+    allowed-origins: ${CORS_ALLOWED_ORIGINS:}
+
+springdoc:
+  # 生产只留机器可读契约，关掉 UI（doc.html 不对外开放）
+  swagger-ui:
+    enabled: ${SWAGGER_ENABLED:false}
+  api-docs:
+    enabled: ${SWAGGER_ENABLED:false}
+
+logging:
+  level:
+    root: info
+    com.fruitshorts: info

fruitshorts-app-api/src/main/resources/application.yml

@@ -10,7 +10,9 @@ spring:
     exclude: org.springframework.boot.autoconfigure.security.servlet.UserDetailsServiceAutoConfiguration
   datasource:
     driver-class-name: org.postgresql.Driver
-    url: jdbc:postgresql://127.0.0.1:5432/fruitshorts
+    # 地址必须外置：不同环境（本机 / 测试 / 生产）连的库不一样，
+    # 生产请用 DB_URL 注入（prod profile 会校验它非空）
+    url: ${DB_URL:jdbc:postgresql://127.0.0.1:5432/fruitshorts}
     username: ${DB_USER:fruitshorts}
     password: ${DB_PASSWORD:fruitshorts}
   jackson:
@@ -64,15 +66,25 @@ fruitshorts:
       google-play-service-account-json: ${GOOGLE_PLAY_SERVICE_ACCOUNT_JSON:}
       google-play-timeout-seconds: 10
   media:
-    root-dir: ./data/uploads
+    # 媒体根目录：容器里指向挂载卷；本地默认 ./data/uploads
+    root-dir: ${MEDIA_ROOT_DIR:./data/uploads}
     public-prefix: /files
     chunk-size: 5242880
     max-file-size: 2147483648
+    # 播放地址签名：生产必开（docs/12-上线检查清单），prod profile 里强制为 true
+    signature-secret: ${MEDIA_SIGNATURE_SECRET:fruitshorts-media-dev-secret-change-me-in-production-32b}
+    signature-required: ${MEDIA_SIGNATURE_REQUIRED:false}
+    signature-ttl-minutes: 15
   jwt:
+    # 双密钥：管理端与客户端物理隔离，token 不能互换（AGENTS.md 强制约束 2）
+    # 注意 app-secret 以前没写在这里，一直用代码里的 dev 默认值 —— 生产必须注入 JWT_APP_SECRET
     admin-secret: ${JWT_ADMIN_SECRET:fruitshorts-admin-dev-secret-change-me-in-production-32b}
     admin-ttl-hours: 12
+    app-secret: ${JWT_APP_SECRET:fruitshorts-app-dev-secret-change-me-in-production-32bytes}
+    app-access-ttl-minutes: 120
+    app-refresh-ttl-days: 30
   cors:
-    allowed-origins: "*"
+    allowed-origins: ${CORS_ALLOWED_ORIGINS:*}
 
 logging:
   level: