diff --git a/docker/.env.example b/docker/.env.example
index 46a6aaa8..df7e5623 100644
--- a/docker/.env.example
+++ b/docker/.env.example
@@ -30,6 +30,22 @@ DEPLOY_ENV=prod
 # 数据库类型（仅当使用外部数据库、不靠 compose 注入时才有意义）
 # DATABASE_TYPE=mysql
 
+# ---------- 安全相关（生产必填，禁止留空或用示例值）----------
+# 令牌签名密钥：openssl rand -hex 32
+# 注意：更换该值会使所有已签发令牌失效（用户需重新登录）
+SECRET_KEY=change_me_generate_with_openssl_rand_hex_32
+# 落库敏感数据（存储源口令、接口密钥）的加密主密钥：openssl rand -hex 32
+# 留空时由 SECRET_KEY 派生；轮换步骤见 DEPLOYMENT.md 第 3 节
+DATA_ENCRYPTION_KEY=
+# 轮换前的旧主密钥（逗号分隔），仅用于解密历史密文，验证后可清空
+DATA_ENCRYPTION_OLD_KEYS=
+# 生产跨域白名单（逗号分隔）；不配置时不再回落通配
+PROD_CORS_ORIGINS=https://service.fastapiadmin.com
+# 只信任该网段内的反向代理传来的 X-Forwarded-*（切勿使用 *）
+FORWARDED_ALLOW_IPS=10.255.178.0/24
+# 演示模式：true 时禁止写操作；生产需要可写请改为 false
+DEMO_ENABLE=true
+
 # ---------- Nginx ----------
 HTTP_PORT=80
 HTTPS_PORT=443
@@ -38,7 +54,3 @@ NGINX_TAG=1.27-alpine
 
 # ---------- 项目 ----------
 PROJECT_NAME=FastapiAdmin
-
-# ---------- 部署方式 ----------
-# 健康检查宽限期（秒）：容器首次启动需要跑迁移，慢机器上可调大
-HEALTHCHECK_START_PERIOD=40s