配置说明
安装前复制 server/.env.example 为 server/.env，按环境填写。不要把真实密码写进文档或提交进仓库。
| 键 | 用途 |
|---|---|
APP_DEBUG | 本地可改为 true；生产必须为 false（开启会在错误响应中暴露异常信息与文件路径） |
DB_HOST | MySQL 主机 |
DB_PORT | MySQL 端口 |
DB_NAME | 数据库名 |
DB_USER | 数据库用户 |
DB_PASSWORD | 数据库密码 |
REDIS_HOST | Redis 主机 |
REDIS_PORT | Redis 端口 |
REDIS_PASSWORD | Redis 密码（无密码可留空） |
REDIS_DB | Redis 库序号 |
JWT_ADMIN_SECRET | 管理端 JWT 签名密钥 |
JWT_USER_SECRET | 用户端 JWT 签名密钥 |
SERVER_LISTEN | HTTP 监听地址，默认 http://0.0.0.0:8000 |
WS_LISTEN | 管理员 WebSocket 监听地址，默认 websocket://0.0.0.0:8001 |
TRUSTED_PROXIES | 反向代理 IP，逗号分隔；只有来自这些地址的请求才读取 X-Forwarded-For。直连部署留空 |
CORS_ALLOWED_ORIGINS | 允许跨域访问 API 的前端来源，逗号分隔；留空表示只允许同域 |
JWT_ADMIN_SECRET 与 JWT_USER_SECRET 各至少 32 字节，且必须互不相同。可这样生成：
bash
php -r "echo bin2hex(random_bytes(32));"修改 .env 后必须执行 php start.php restart。reload 不会重读环境变量。