fix: complete backend deployment hardening

README.md

@@ -27,7 +27,7 @@ pnpm run build
 pnpm run start:prod
 ```
 
-启动前至少需要在 `.env` 中设置随机的 `JWT_SECRET`、`ADMIN_TOKEN_SECRET` 和 `ZULIP_API_KEY_ENCRYPTION_KEY`。生产环境请从 `.env.production.example` 开始配置，不要直接使用示例值。
+启动前至少需要在 `.env` 中设置随机的 `JWT_SECRET` 和 `ADMIN_TOKEN_SECRET`。启用 Zulip 时还必须设置 `ZULIP_API_KEY_ENCRYPTION_KEY`；若 `ZULIP_DEGRADED_MODE_ENABLED=true`，可以不配置 Zulip 凭据和加密密钥，但 Zulip 集成及 API Key 加密存取功能将不可用。生产环境请从 `.env.production.example` 开始配置，不要直接使用示例值。
 
 API 默认监听 `3000` 端口，Swagger 地址为 `/api-docs`。
 
@@ -39,6 +39,10 @@ pnpm --filter whale-town-admin run build
 
 管理端的 API 地址通过 `client/.env.local` 中的 `VITE_API_BASE_URL` 配置。
 
+## 部署
+
+生产部署、Nginx、PM2、验收和回滚步骤见 [DEPLOYMENT.md](DEPLOYMENT.md)。
+
 ## 安全
 
 仓库不包含 `.env`、访问令牌、SSH 私钥、数据库文件、Redis 数据、日志或生成资产。敏感配置必须通过部署环境注入。