diff --git a/docker-compose.yml b/docker-compose.yml
index 0e8fe30..b73ca55 100644
--- a/docker-compose.yml
+++ b/docker-compose.yml
@@ -24,7 +24,8 @@ services:
       # 中文与印尼语内容需要 UTF-8（镜像默认已是 UTF8，这里显式一次）
       POSTGRES_INITDB_ARGS: "--encoding=UTF8 --locale=C"
     volumes:
-      - db-data:/var/lib/postgresql/data
+      # PostgreSQL 18 起镜像把数据放在 /var/lib/postgresql/<major>/，卷必须挂到父目录
+      - db-data:/var/lib/postgresql
       # 首次启动自动建表 + 造种子数据；顺序即文件名顺序（脚本本身幂等，可重复执行）
       - ./sql/schema.sql:/docker-entrypoint-initdb.d/01-schema.sql:ro
       - ./sql/schema-phase1.sql:/docker-entrypoint-initdb.d/02-schema-phase1.sql:ro
diff --git a/fruitshorts-transcode-worker/src/main/resources/application-prod.yml b/fruitshorts-transcode-worker/src/main/resources/application-prod.yml
index 2acb6a8..ca001a1 100644
--- a/fruitshorts-transcode-worker/src/main/resources/application-prod.yml
+++ b/fruitshorts-transcode-worker/src/main/resources/application-prod.yml
@@ -11,12 +11,23 @@ spring:
     timeout-per-shutdown-phase: 30s
 
 fruitshorts:
+  jwt:
+    # worker 本身不签发/校验令牌，但 ProdSecretGuard 要求 prod 下密钥齐全；
+    # 不给 dev 默认值，漏配即启动失败（与两个入口同一口径）
+    admin-secret: ${JWT_ADMIN_SECRET:}
+    app-secret: ${JWT_APP_SECRET:}
   media:
+    # 生产必开播放签名（与两个入口一致，fail-fast 也要求为 true）
+    signature-secret: ${MEDIA_SIGNATURE_SECRET:}
+    signature-required: true
     transcode:
       # 生产此进程必须真的跑转码
       worker-enabled: true
       # 生产按小时级重试间隔，避免坏片源把队列打满
       poll-delay-ms: ${TRANSCODE_POLL_DELAY_MS:5000}
+  cors:
+    # worker 不对外提供接口，仅为通过 prod fail-fast 校验
+    allowed-origins: ${CORS_ALLOWED_ORIGINS:}
 
 logging:
   level: