fix: 生产环境补充SECURE_PROXY_SSL_HEADER，完善白名单配置文档说明

documents/设计方案分析与完善版.md

@@ -300,6 +300,8 @@ SECURE_HSTS_SECONDS = 31536000
 SECURE_HSTS_INCLUDE_SUBDOMAINS = True
 SECURE_CONTENT_TYPE_NOSNIFF = True
 X_FRAME_OPTIONS = "DENY"
+# 阿里云 SLB / 腾讯云 CLB 等负载均衡在边缘终止 TLS 时，需要此项避免 SECURE_SSL_REDIRECT 死循环重定向
+SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https")
 CORS_ALLOWED_ORIGINS = env.list("CORS_ALLOWED_ORIGINS", default=[])
 CSRF_TRUSTED_ORIGINS = env.list("CSRF_TRUSTED_ORIGINS", default=[])
 
@@ -310,6 +312,12 @@ REST_FRAMEWORK = {
 ```
 富文本安全：`WAGTAILADMIN_RICH_TEXT_EDITORS` 限定可用 feature（禁用危险 HTML embed），后端渲染前统一走 `bleach` 白名单清洗。
 
+**白名单配置说明**（三者含义不同，勿混淆）：
+- `ALLOWED_HOSTS`：填**后端自身**域名（如 `cms.example.com`），校验 HTTP `Host` 头，防 Host 头注入。
+- `CORS_ALLOWED_ORIGINS`：填 **Next.js 前端**域名（如 `https://www.example.com`），允许浏览器跨域调用 Wagtail REST API；`/api/v1/custom/leads/` 为匿名公开接口，仅受此白名单 + 限流保护，不受 CSRF 校验。
+- `CSRF_TRUSTED_ORIGINS`：仅在"浏览器带 session Cookie 发起跨站不安全请求"时生效（如已登录编辑者调用需认证的预览/管理接口），填涉及认证态跨域请求的域名。
+- 三者均通过 `.env` 中的 `ALLOWED_HOSTS`/`CORS_ALLOWED_ORIGINS`/`CSRF_TRUSTED_ORIGINS` 环境变量注入，部署时按实际域名填写即可，无需改代码（参见 `.env.example`）。
+
 ### 2.12 可观测性与运维
 
 - 健康检查：`/healthz`（存活）、`/readyz`（含数据库/Redis 连通性检查），供 K8s liveness/readiness 探针使用。
@@ -371,7 +379,7 @@ CI 中要求单元测试覆盖率不低于 70%，核心 `apps/forms`（涉及线
 - [ ] 剩余 5 个 StreamField Block（Pricing/Timeline/Team/TechStack/Video/ProductCard）未开发
 - [ ] RBAC 落地（Wagtail `Group` + `GroupPagePermission` 实际配置）未开始
 - [ ] 测试覆盖率仍不完整（已有基础单元测试，但集成测试、前端组件测试、E2E 均未编写，当前无 CI 流水线）
-- [ ] 生产安全 settings（§2.11 中 `SECURE_*`/CORS/CSRF 白名单等）未在 `production.py` 中逐项落实确认
+- [x] 生产安全 settings（§2.11 中 `SECURE_*`/CORS/CSRF 白名单等）已在 `production.py` 中逐项落实，并补充 `SECURE_PROXY_SSL_HEADER`（适配国内云厂商 SLB/CLB 边缘终止 TLS 场景）；实际域名需在部署时通过 `.env` 填入
 - [ ] ICP 备案已完成，页脚已展示实际备案号（冀ICP备2025130506号-1）；隐私政策内容已上线，Cookie 同意条控件（`frontend/components/layout/CookieConsent.tsx`，localStorage 记忆用户选择）已实现并挂载到全局 layout
 - [ ] 中文分词、OpenSearch 集成（Phase 2 提前项）未开始
 

wagtailcms/settings/production.py

@@ -25,6 +25,10 @@ SECURE_HSTS_PRELOAD = True
 SECURE_CONTENT_TYPE_NOSNIFF = True
 X_FRAME_OPTIONS = "DENY"
 
+# 阿里云 SLB / 腾讯云 CLB 等负载均衡在边缘终止 TLS，转发到后端的是明文 HTTP，
+# 需要通过约定的代理头识别原始请求是否为 HTTPS，否则 SECURE_SSL_REDIRECT 会导致死循环重定向。
+SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https")
+
 CSRF_TRUSTED_ORIGINS = env.list("CSRF_TRUSTED_ORIGINS", default=[])
 
 # 国内对象存储（阿里云 OSS / 腾讯云 COS 均兼容 S3 协议）