fix(deploy): 默认关闭沙箱公网访问

start.sh

@@ -495,6 +495,20 @@ main() {
         fi
     fi
 
+    # 域名和本机部署默认仅绑定回环；只有明确的 IP/LAN 直连模式才开放后端宿主机端口。
+    # shellcheck source=scripts/init-server-http-bind-ip.sh
+    . ./scripts/init-server-http-bind-ip.sh
+    local server_bind_override=""
+    if [ "$DEPLOY_MODE" = "domain" ]; then
+        server_bind_override="127.0.0.1"
+    elif [ "$DEPLOY_MODE" = "ip" ]; then
+        case "$DEPLOY_IP" in
+            127.0.0.1|localhost) server_bind_override="127.0.0.1" ;;
+            *) server_bind_override="0.0.0.0" ;;
+        esac
+    fi
+    init_server_http_bind_ip .env "$server_bind_override"
+
     # 空值或历史默认值只在首次发现时生成并写回 .env，后续启动保持稳定。
     # 数据库中的后台 JWT 轮转配置由后端优先使用，不受此处影响。
     # shellcheck source=scripts/init-security-env.sh