docs(config): 补 .env.example 并修正 .gitignore 误伤模板

.gitignore 的 `.env.*` 会把 `.env.example` 一起排除，等于把变量清单挡在仓库外，
接手的人只能翻 application.yml 逐个猜要配什么。加 `!.env.example`（含
`.sample`、`.template`）例外，规则顺序放在忽略之后。

同时补 .env.example：从 application.yml 与代码里实际提取 20 个变量，分组注明
默认值与是否必须替换。三个必改项（DB_PASS 无默认、GATEWAY_TOKEN 占位、
BIZ_TOKEN_SECRET 与 BIZ_PII_KEY 为 dev-only）单独标出。

本文件只放占位值；真实的 .env 仍不入库。另注明工程不自动读 .env
（未引入 dotenv），必须由启动脚本加载或 docker compose --env-file 注入——
这一条不说清，会有人建了 .env 直接启动然后发现 DB_PASS 还是缺。

CHANGELOG.md

@@ -7,6 +7,18 @@
 
 ---
 
+## [Unreleased]
+
+### Added
+
+- `.env.example`：20 个环境变量的清单模板（数据库、Redis、日志、内部接口鉴权、业务密钥、短信、演示数据、告警、分区维护、设备模拟器），每项注明默认值与是否必须替换。真实 `.env` 不入库。
+
+### Fixed
+
+- `.gitignore` 的 `.env.*` 会把 `.env.example` 一并排除，导致变量清单无法入库。已加 `!.env.example`（以及 `.sample`、`.template`）例外。
+
+---
+
 ## [V1.9-baseline] - 2026-11-13
 
 首次入库，对应周工交付的 `SEC-Z-01 清理后` 源码包。