feat(t229): load ERP credentials from dotenv

2026-07-29 10:25:56 +08:00
parent d75a7d8dc0
commit f0fbdbaddc
12 changed files with 396 additions and 26 deletions
@@ -107,8 +107,10 @@
  发起任意网络请求。候选图片使用鉴权、解码、大小/像素/哈希和脱敏受控上传。
 - Go 命令固定 `GOTOOLCHAIN=local`；`go.mod` 不得出现更高 Go 版本或未固定的
  `@latest` 依赖。
- 后端不得自动加载 `.env`、默认开启 CORS、使用包级数据库单例，或在库、handler、
-  健康检查中调用 `log.Fatal`/`os.Exit`。
+- 后端默认不得加载 `.env`。唯一例外是 `cmd/api` 在读取配置前，以有界、allowlist 解析器
+  将 `backend-api/.env` 中三个 ERP 值作为进程环境变量的回退；不得修改全局环境、加载
+  `authctl`/数据库/HTTP/TLS 配置或接受任意路径。后端不得默认开启 CORS、使用包级数据库
+  单例，或在库、handler、健康检查中调用 `log.Fatal`/`os.Exit`。
 - `http.Server` 必须配置 read-header/read/write/idle/header 上限和有界关闭；
  recovery 不得把 Authorization、Cookie、panic 或请求正文写普通日志。
 - SQLite 数据文件必须位于被忽略目录，启用 foreign keys、有限 busy timeout 和