fix(core): harden settlement and wallet integration

.env.example

@@ -33,13 +33,16 @@ REVERB_SERVER_HOST=0.0.0.0
 REVERB_HOST=localhost
 REVERB_PORT=8080
 REVERB_SCHEME=http
+# WebSocket Origin 白名单，逗号分隔；支持域名、URL、*.example.com，禁止 *
+REVERB_ALLOWED_ORIGINS=localhost,127.0.0.1
 
 QUEUE_CONNECTION=redis
 CACHE_STORE=redis
 LOTTERY_RISK_POOL_USE_REDIS_LUA=true
 
-# 生产建议独立配置；留空则回落 MAIN_SITE_SSO_JWT_SECRET（勿在生产与 SSO 混用）
-# LOTTERY_NATIVE_JWT_SECRET=
+# 原生玩家登录必须显式配置；须与 MAIN_SITE_SSO_JWT_SECRET 及所有站点保存的 SSO 密钥不同（包括停用站点）
+# 可用 openssl rand -base64 48 生成；留空时原生登录与已签发原生 Token 验证均返回 503
+LOTTERY_NATIVE_JWT_SECRET=
 
 # 预发可设为 false，禁止代理账期关账
 AGENT_SETTLEMENT_ALLOW_PRODUCTION_CLOSE=true