feat: grant signup bonus points

docs/deployment.md

@@ -96,6 +96,7 @@ DJANGO_CSRF_COOKIE_SECURE=true
 DJANGO_SECURE_PROXY_SSL_HEADER=true
 DJANGO_SECURE_SSL_REDIRECT=false
 DJANGO_SECURE_HSTS_SECONDS=0
+ACCOUNT_SIGNUP_RATE_LIMIT=20/m/ip
 
 MYSQL_HOST=127.0.0.1
 MYSQL_PORT=3306
@@ -131,7 +132,7 @@ python3.12 -c "from cryptography.fernet import Fernet; print(Fernet.generate_key
 注意：
 
 - `AI_KEY_ENCRYPTION_KEY` 生产不可随意更换；更换会导致已加密的 `AiModel.api_key_encrypted` 无法解密。
-- 当前注册策略为免邮箱验证，注册登录不依赖邮件服务；若后续启用密码找回、通知或恢复邮箱验证，再把 `DJANGO_EMAIL_BACKEND` 改为真实 SMTP / 邮件服务并配置 `DJANGO_DEFAULT_FROM_EMAIL`。
+- 当前注册策略为免邮箱验证，注册登录不依赖邮件服务；T-608 后注册成功会赠送 100 点，生产必须保留或收紧 `ACCOUNT_SIGNUP_RATE_LIMIT`，并使用共享 Django cache 承载限流计数；若后续启用密码找回、通知或恢复邮箱验证，再把 `DJANGO_EMAIL_BACKEND` 改为真实 SMTP / 邮件服务并配置 `DJANGO_DEFAULT_FROM_EMAIL`。
 - `PAYMENT_CALLBACK_MODE=sdk` 必须配齐微信 / 支付宝商户配置；未配齐时先保持 `mock`。
 - 宝塔 / Nginx 已强制 HTTPS 时，`DJANGO_SECURE_SSL_REDIRECT=false` 即可；全站 HTTPS 稳定后再把 `DJANGO_SECURE_HSTS_SECONDS` 调大，避免 HSTS 误锁域名。