chore(deploy): 部署注入 WECHAT_MSG_TOKEN（内容安全回调校验）

deploy/docker-compose.yml 把 .env 的 WECHAT_MSG_TOKEN 映射成
PETS_WECHAT_MSG_TOKEN 注入容器（可选，留空则回调不校验签名）；
.env.example 补上说明。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

deploy/.env.example

@@ -43,6 +43,11 @@ AUTH_DEV_LOGIN=false
 # ── 微信小程序 ──
 WECHAT_APP_ID=wx开头的AppID
 WECHAT_APP_SECRET=小程序密钥
+# 内容安全图片异步检测的结果回调校验 Token。
+# 要和「小程序后台 → 开发管理 → 消息推送」里填的 Token 完全一致（英文数字，3-32 位）。
+# 消息推送 URL 填 https://pet.sundynix.cn/api/wx/sec-callback，加密方式选「明文模式」。
+# 没配消息推送前可留空（社区内容会走后台手动审核）。
+WECHAT_MSG_TOKEN=petsSecCheck2026
 
 # ── 管理后台（/admin） ──
 ADMIN_USERNAME=sundynix

deploy/docker-compose.yml

@@ -45,6 +45,9 @@ services:
 
       PETS_WECHAT_APP_ID: ${WECHAT_APP_ID:?}
       PETS_WECHAT_APP_SECRET: ${WECHAT_APP_SECRET:?}
+      # 内容安全图片异步检测的结果回调校验 Token（消息推送服务器配置里的 Token）。
+      # 可选：留空则回调不校验签名；配了才和微信后台的 Token 对上
+      PETS_WECHAT_MSG_TOKEN: ${WECHAT_MSG_TOKEN:-}
       # 生产必须 false，否则任何人都能用昵称直接登录
       PETS_AUTH_DEV_LOGIN: ${AUTH_DEV_LOGIN:-false}