整理代码

next/README.md

@@ -102,15 +102,14 @@ next/
 
 ### 安全与部署边界
 
-- 浏览器只访问同源 `/qhse_webapi/`，前端构建产物不包含接口 token。
-- 本地 token 仅写入 `.env.local`，由 Vite 开发代理注入。
-- 生产环境由网关反向代理 `https://qhse.cncecoa.com/qhse_webapi` 并注入 token。
+- 浏览器只访问同源 `/qhse_webapi/`，由开发服务器或生产网关转发到正式接口。
+- 接口 token 固定在 `config/dashboard.ts`，由 `services/http.ts` 写入每个请求的 `token` 请求头。
+- token 会进入浏览器构建产物，只适用于当前受控内网部署环境。
+- 生产环境仍需将 `/qhse_webapi/` 反向代理到 `https://qhse.cncecoa.com/qhse_webapi`，但无需在网关重复注入 token。
 - 网关应配置上游超时、请求 ID 透传、访问日志和 5xx 告警。
 
 ## 本地开发
 
-复制 `.env.example` 为 `.env.local`，填写仅供本地代理使用的 `QHSE_API_TOKEN`，然后执行：
-
 ```powershell
 npm install
 npm run dev
@@ -133,7 +132,7 @@ npm run typecheck
 npm run build
 ```
 
-产物位于 `dist/`，可部署到任意静态 Web 服务。生产环境需要由同源网关代理 `/qhse_webapi/`，并在服务端注入接口 token；token 不进入浏览器构建产物。
+产物位于 `dist/`，可部署到静态 Web 服务。生产环境需要由同源网关代理 `/qhse_webapi/`；token 已由前端请求头携带。
 
 建议网关同时配置 12 秒上游超时、请求 ID 透传、访问日志和 5xx 告警。应用采用哈希路由，无需 Web 服务器配置 SPA history fallback。