diff --git a/config/config.default.js b/config/config.default.js
index 2533867..5b9730e 100644
--- a/config/config.default.js
+++ b/config/config.default.js
@@ -297,11 +297,19 @@ module.exports = (appInfo) => {
   // -----------------------------------------------------------------
   // JWT 鉴权配置
   // -----------------------------------------------------------------
-  const DEFAULT_JWT_SECRET = 'competition_jwt_secret_key_2026_br!cs';
+  // 🔴 2026-10-12（R105-D1，用户授权）：移除内置明文兜底密钥。
+  //    原实现：`const DEFAULT_JWT_SECRET = '<明文串>'` + `process.env.JWT_SECRET || DEFAULT_JWT_SECRET`
+  //    —— 密钥缺失时静默回退到一个**已入库、任何人可读**的常量，且该常量与
+  //    scripts/.creds.local.json 的 jwt_fallback_secret 同值
+  //    ⇒ 等价于「JWT 签名密钥公开 ⇒ 任意人可伪造 token 冒充任意身份」。
+  //    现收敛到唯一解析入口 `backend/scripts/_secret.cjs`（与 _db.cjs / _creds.py 同一纪律）：
+  //      ① env JWT_SECRET → ② scripts/.creds.local.json:jwt_fallback_secret → ③ 明确失败
+  //    行为等价性：生产与本地均由注入链路提供密钥（deploy/.env.production 的 JWT_SECRET
+  //    经 loadDeployEnv 注入 process.env）⇒ 正常运行路径逐字不变，仅消除了兜底分支。
+  const { loadJwtSecret } = require('../scripts/_secret.cjs');
   config.jwt = {
-    // JWT 签名密钥：优先读取环境变量 JWT_SECRET，缺省时回退到内置值（仅供本地开发）
-    // 【测试模拟值，生产请通过环境变量 JWT_SECRET 替换为 64 位以上随机串，否则启动被守卫阻断】
-    secret: process.env.JWT_SECRET || DEFAULT_JWT_SECRET,
+    // JWT 签名密钥：唯一来源见 _secret.cjs 头部说明；⛔ 无明文兜底，缺失即明确失败
+    secret: loadJwtSecret(),
     enable: true,
     // Token 有效期（秒），默认 7 天
     expiresIn: 7 * 24 * 60 * 60,
@@ -446,11 +454,14 @@ module.exports = (appInfo) => {
 
   // -----------------------------------------------------------------
   // 生产环境安全守卫：禁止使用内置默认密钥上线
-  // （由 APP_ENV=production 触发；测试环境允许使用模拟密钥）
+  // （由 APP_ENV=production 触发）
   // -----------------------------------------------------------------
   if (config.isProduction) {
     const insecure = [];
-    if (config.jwt.secret === DEFAULT_JWT_SECRET) insecure.push('JWT_SECRET');
+    // 🔴 2026-10-12（R105-D1）：JWT_SECRET 不再在此比对 —— 内置兜底常量已移除，
+    //    解析统一走 backend/scripts/_secret.cjs；密钥缺失时 loadJwtSecret() 在配置
+    //    加载期即抛错 ⇒ 任何环境都不可能"静默使用公开密钥"，本守卫无需（也无法）
+    //    再做「是否等于内置值」的判断。
     if (config.keys === DEFAULT_APP_KEYS) insecure.push('APP_KEYS');
     // 🔴 2026-09-23（入库口令处置 P3）：口令缺失同样阻断。
     //    原实现在此处会静默回退到公开的开发口令，等价于「生产用公开口令连库」。
diff --git a/scripts/_secret.cjs b/scripts/_secret.cjs
new file mode 100644
index 0000000..51a1efd
--- /dev/null
+++ b/scripts/_secret.cjs
@@ -0,0 +1,66 @@
+'use strict';
+
+/**
+ * 后端配置共用：JWT 签名密钥解析（**唯一入口**）
+ * ============================================================
+ *
+ * 为什么单独成文件（R105 / 2026-10-12，D1）
+ * ------------------------------------------------------------
+ * 原实现（config.default.js 旧 L300/L304）为：
+ *     const DEFAULT_JWT_SECRET = '<32 位明文串>';
+ *     secret: process.env.JWT_SECRET || DEFAULT_JWT_SECRET
+ * 这是**可预测的明文兜底**：密钥缺失时静默使用一个**已入库、任何人可读**的常量，
+ * 且该常量与 `scripts/.creds.local.json` 的 `jwt_fallback_secret` 同值 ⇒ 等价于
+ * 「JWT 签名密钥公开」。它与仓库既有纪律直接冲突：
+ *   · `scripts/_creds.py` / `backend/scripts/_db.cjs` 早已统一为「缺凭据明确失败」；
+ *   · config.default.js:459 对 DB_PASSWORD 也已改为「缺失即阻断」。
+ * 同族问题若各自实现，必然漂移（R104 的结论）⇒ 收敛到**唯一解析源**，不留兜底。
+ *
+ * 读取优先级（与 `_db.cjs` / `_creds.py` 同一纪律）
+ * ------------------------------------------------------------
+ *   1. 环境变量 JWT_SECRET（生产 systemd / 启动器注入优先；本地由 config.default.js
+ *      顶部的 loadDeployEnv() 从 deploy/.env.production 注入，非跳过键）
+ *   2. 仓库根 `scripts/.creds.local.json` 的 `jwt_fallback_secret`（本机开发，
+ *      .gitignore 已排除；也是 scripts/_fixtures.py 的末级兜底来源，两侧同源 ⇒
+ *      自签 token 与后端验签必然一致）
+ *   3. 明确失败 —— ⛔ **刻意不提供明文兜底**：抛错并给出修复指引。
+ *      理由：密钥缺失属"注入链路断了"的真实故障，明确阻断远优于静默用公开值签名。
+ *
+ * ⚠️ 与 Python 侧 `scripts/_creds.py`（JWT_FALLBACK_SECRET）口径必须一致；
+ *    如需增删键，两边同时改。
+ *
+ * @returns {string} 生效中的 JWT 签名密钥
+ */
+const fs = require('fs');
+const path = require('path');
+
+const LOCAL_FILE = path.join(__dirname, '..', '..', 'scripts', '.creds.local.json');
+
+function _loadLocal() {
+  try {
+    return JSON.parse(fs.readFileSync(LOCAL_FILE, 'utf8'));
+  } catch (e) {
+    if (e.code === 'ENOENT') return {}; // 文件不存在合法（走环境变量）
+    // 损坏必须报错，不静默降级
+    throw new Error(`凭据文件解析失败 ${LOCAL_FILE}: ${e.message}`);
+  }
+}
+
+function loadJwtSecret() {
+  const fromEnv = process.env.JWT_SECRET;
+  if (fromEnv) return fromEnv;
+
+  const local = _loadLocal();
+  const fromFile = local.jwt_fallback_secret;
+  if (fromFile) return fromFile;
+
+  throw new Error(
+    '[配置缺失] 未取到 JWT_SECRET —— 无法安全地签名/校验登录态。请任选其一：\n' +
+    '  ① 设置环境变量 JWT_SECRET（生产/CI 推荐，deploy/.env.production 已含该键）；\n' +
+    `  ② 在 ${LOCAL_FILE} 写入键 "jwt_fallback_secret"（本机开发用，该文件已被 .gitignore 排除）；\n` +
+    '⛔ 本模块刻意不提供明文兜底：原 config.default.js 的内置密钥已移除，\n' +
+    '   因为「可预测的公开密钥」等价于「JWT 可被任意伪造」。'
+  );
+}
+
+module.exports = { loadJwtSecret };