升级

1. 备份数据库与 uploads（或对象存储配置）。
2. 确认域名商业授权有效（后台「授权信息」）。
3. 低峰执行官方升级包 / 发布说明中的步骤。
4. 回归：登录、下单、支付回调、发货、核心插件。

安全

• 生产关闭 APP_DEBUG；保护 .env、runtime/
• JWT / APP KEY 使用强随机串
• 后台账号分权，禁用共用超管
• 支付证书、短信密钥仅存服务端
• 上传目录禁止执行 PHP