feat(install): 零输入一条命令部署 + 双架构发布包

- docker compose up -d 直接启动:entrypoint 在未显式提供密钥时自动生成随机
  JWT_SECRET/ENCRYPTION_KEY 并持久化到数据卷 .secrets.env(0600,重启不变),
  显式环境变量优先(单显式不被持久化文件覆盖,四场景实测);compose 去掉 :? 强制
- build.sh --dist / make dist:linux amd64 + arm64 两个 tar.gz(二进制+docs+homepage+README),
  实测 15M/13M;安装文档重写为三方式(kubernetes/install.sh 一键、compose 一条命令、release 包)
- README 快速开始同步

README.md

@@ -28,15 +28,15 @@
 
 > 镜像内置全部依赖(Kubernetes 操作走 client-go 直连 API Server),宿主机**无需**安装 `kubectl` / `helm`。
 
-### 1. 生成密钥并启动
+### 1. 一条命令启动
 
 ```bash
-export JWT_SECRET=$(openssl rand -hex 32)        # >= 32 字符
-export ENCRYPTION_KEY=$(openssl rand -hex 32)    # >= 32 字节
 docker compose up -d
 docker compose ps        # 等待 healthy
 ```
 
+未显式提供密钥时容器自动生成随机 `JWT_SECRET` / `ENCRYPTION_KEY` 并持久化到数据卷(`$DATA_DIR/.secrets.env`),重启不变;生产环境可显式指定或使用 `docker-compose.prod.yml` 密钥文件。
+
 未设置这两个变量时容器会**拒绝启动**,避免不安全的默认部署。
 
 打开 `http://localhost:8080`,管理员初始密码见下一步。