Keep API private on shared Docker network

docs/architecture.md

@@ -3,9 +3,9 @@
 ## 三仓关系
 
 ```text
-pk-lab-xhs (综合小程序 + :3000 公网预览) ─┐
-                                               ├─ HTTPS ─ pk-lab-server (:18082) ─ PostgreSQL 16
-rice-pk-xhs (饭类小程序 + :3002 公网预览) ───┘
+pk-lab-xhs (:3000 公网预览 + Nginx /api 代理) ─┐
+                                                  ├─ pk-lab-public Docker 网络 ─ pk-lab-api:8000 ─ PostgreSQL 16
+rice-pk-xhs (:3002 公网预览 + Nginx /api 代理) ──┘
 ```
 
 小程序源码不是由 Nginx 托管的 H5。两个前端容器是功能一致的浏览器验收入口；正式小程序仍由小红书开发者工具或后续接入 `xhs-mp-cli` 上传。
@@ -40,20 +40,21 @@ Secrets：
 
 Variables：
 
-- `DEPLOY_PORT=18082`
-- `PUBLIC_BASE_URL=https://你的-api-域名`
-- `CORS_ORIGINS=https://综合预览域名,https://饭类预览域名`
+- `PUBLIC_BASE_URL`：可选，配置未来的正式 API 域名。
+- `CORS_ORIGINS`：可选，仅跨域访问 API 时配置。
 - `TEST_AUTH_ENABLED=true`（公网预览阶段）；小程序真实登录验收后改为 `false`。
 
 ### 两个前端
 
-每个仓库可配置 `API_BASE_URL` Variable；综合版默认 `DEPLOY_PORT=3000`，独立版默认 `DEPLOY_PORT=3002`。
+综合版默认 `DEPLOY_PORT=3000`，独立版默认 `DEPLOY_PORT=3002`。预览默认使用同源 `/api`，无需配置 `API_BASE_URL`；仅跨域部署时覆盖该变量。
 
 ## 永久运行保证
 
 - API 与 PostgreSQL 均为 `restart: unless-stopped`。
 - PostgreSQL 使用固定具名卷 `pk-lab-postgres-data`。
 - 后端部署固定 Compose project 为 `pk-lab-production`，只执行 `docker compose up -d --wait`。
+- 三个服务共享外部 Docker 网络 `pk-lab-public`；后端使用固定网络别名 `pk-lab-api`，前端 Nginx 通过容器 DNS 发现后端。
+- 后端 API 不映射宿主机端口，公网只开放两个前端入口。
 - 前端以固定容器名更新并设置重启策略；CI 结束不会删除新容器。
 - PostgreSQL 不映射公网端口，只有 API 容器能访问。