fix: harden wechat mp oauth

DEPLOY.md

@@ -34,6 +34,16 @@ WECHAT_REDIRECT_URI=https://your-domain.com/api/wechat/callback
 
 > 注意：需要在微信开放平台配置授权回调域名（只填域名，不含路径）
 
+如需启用公众号网页授权登录，请追加：
+
+```env
+# 微信公众号网页授权配置（可选）
+WECHAT_MP_APP_ID=your-mp-app-id
+WECHAT_MP_APP_SECRET=your-mp-app-secret
+# 回调域名白名单（host 级别，逗号分隔，不含协议与路径）
+WECHAT_MP_REDIRECT_ALLOWLIST=your-domain.com,www.your-domain.com
+```
+
 ### 3. 配置域名
 
 编辑 `deploy/Caddyfile`，将 `your-domain.com` 替换为你的实际域名：