feat: configure Gitea deployment and environment-managed WorldQuant credentials

README.md

@@ -10,6 +10,7 @@
 
 ```bash
 python3 scripts/init_env.py
+# 编辑 .env，填写 WQ_EMAIL 与 WQ_PASSWORD，再启动
 docker compose up -d --build --wait
 docker compose ps
 ```
@@ -20,7 +21,7 @@ docker compose ps
 
 首次使用：
 
-1. 登录系统，在“个人信息”保存 WorldQuant 邮箱和密码，点击“连接 WorldQuant”。
+1. 登录系统，在“个人信息 → 连接设置”点击“连接 WorldQuant”。
 2. 如平台要求人工验证，在显示的入口完成操作，再点击“继续验证”；后台保留同一挑战会话。
 3. 在“Alpha 管理”切换“待提交 / 已提交”。待提交先选创建日期范围，按天同步；已提交可选提交日期范围按天同步，或全量同步。相同起止日期表示单日，日期边界为 UTC，均包含隐藏记录。也可导入指定 Alpha ID。任务面板显示当前日期、进度、错误、取消和重试。
 4. 点击 Alpha 打开详情。研究记录保存在本地；PnL 点击获取后缓存。详情的“本地自相关”可发起检测，列表也可选中最多 100 条批量检测。建议先全量同步已提交 Alpha，建立比较基准。下次同步会更新平台数据并保留本地研究记录。
@@ -83,6 +84,10 @@ Chatbox 来源使用 `kind=chatbox`，会话 ID 为 `reference`，生成轮次 I
 
 公共接口位于 `/api/v1/backtests`，对接与验证记录见 [实施规格](.scratch/backtest/spec.md) 和 [回测验收记录](.scratch/backtest/verification.md)。真实平台权限、当前协议与限额尚未联调。
 
+## Gitea 自动部署（复用已有 PostgreSQL）
+
+使用独立的 `compose.production.yaml` 和 `.gitea/workflows/deploy-production.yaml`。配置步骤、数据库账号密码位置及升级处理见 [Gitea 部署说明](docs/deployment-gitea.md)。
+
 ## 公网 HTTPS 部署
 
 `compose.public.yaml` 是独立配置，不与本机配置叠加。先在服务器完成上面的密钥初始化，将 `.env` 中 `DOMAIN` 改为自己的域名（无协议、路径、端口）。DNS 指向服务器，允许入站 TCP 80/443，UDP 443 可选。
@@ -103,6 +108,7 @@ docker compose -f compose.public.yaml logs --tail=100 web
 | `ADMIN_USERNAME` / `ADMIN_PASSWORD` | 仅首次空库初始化管理员，重启不会重置现有密码 |
 | `POSTGRES_PASSWORD` | 数据库密码；初始化脚本使用随机十六进制，避免连接 URL 转义问题 |
 | `ENCRYPTION_KEY` | 独立 Fernet 密钥，加密数据库中的 WorldQuant 密码和模型 API Key |
+| `WQ_EMAIL` / `WQ_PASSWORD` | WorldQuant 邮箱和密码，成对设置；本地 `.env`，生产 Gitea Secrets |
 | `LOCAL_PORT` | 本机入口端口，默认 8080 |
 | `DOMAIN` | 公网域名 |
 | `AI_REQUEST_LIMIT` | 每轮模型请求上限，默认 12 |
@@ -110,6 +116,8 @@ docker compose -f compose.public.yaml logs --tail=100 web
 | `AI_OUTPUT_TOKENS` | 每次模型输出上限，默认 4096 |
 | `AI_TIMEOUT` | 每轮累计活动执行时限（秒），默认 180，等待确认不计入 |
 
+WorldQuant 凭据不再从 `account.json` 读取。进程环境变量优先于项目根目录 `.env`；启动时更新数据库中的加密凭据，配置后页面禁止覆盖。修改凭据后重建后端容器（Gitea 重新部署）；已绑定账户不能更换邮箱。两个变量都未设置时兼容已有页面配置，只有一个时启动失败。
+
 WorldQuant 密码仅在后端解密。平台 Cookie 仅保存在后端内存，进程重启后重新认证。前端不保存密码或 Cookie 副本；日志与响应不输出平台认证正文。`.env` 不进入 Docker 构建上下文，应与数据库备份分别安全保管。丢失 `ENCRYPTION_KEY` 后须重新输入平台密码和模型 API Key；切勿在正常升级时重新生成它。
 
 修改系统密码（同时撤销所有系统会话）：