audit full project flows and harden backend

docs/11-数据接口与安全.md

@@ -105,6 +105,13 @@
 - 对象存储启用版本/生命周期策略，合同和安全证据按合规期限留存；备份不得绕开数据加密和访问控制。
 - 关键服务多实例部署，MQTT、数据库、消息队列和对象存储须有明确高可用方案和故障演练计划。
 
+### 5.1 远程依赖与迁移安全
+
+- 当前 API 按项目部署约定仅从对应 YAML 读取 PostgreSQL、Redis、字段加密密钥及支付/IoT 内部令牌，不接受环境变量覆盖。配置文件必须采用严格访问权限并由部署流程受控分发；不得出现在日志、测试报告或公开构建产物中。
+- 远程 Redis 应使用 TLS；PostgreSQL 应启用服务端证书校验，并由部署环境限制来源网络。开发 Mock 验证码和 Mock 支付不得在生产配置启用。
+- 资金、退款、支付及审计表不得由通用迁移命令直接删除。发现旧表时迁移必须中止，先完成数据盘点、备份、映射、双写或兼容读取方案，经财务和审计确认后执行专用迁移。
+- 远程集成测试使用隔离数据库、独立 Redis DB/命名空间和测试前缀；不得清空共享实例，也不得物理删除资金、安全事件或审计事实作为清理手段。
+
 ## 6. 移动 Client API 安全实施约定
 
 - 用户端和工作人员端分别使用 `user_app`、`service_app` JWT client claim；服务端逐请求校验 client、账户启用状态、岗位、组织和对象归属。