docs(config): 补 .env.example 并修正 .gitignore 误伤模板

.gitignore 的 `.env.*` 会把 `.env.example` 一起排除，等于把变量清单挡在仓库外，
接手的人只能翻 application.yml 逐个猜要配什么。加 `!.env.example`（含
`.sample`、`.template`）例外，规则顺序放在忽略之后。

同时补 .env.example：从 application.yml 与代码里实际提取 20 个变量，分组注明
默认值与是否必须替换。三个必改项（DB_PASS 无默认、GATEWAY_TOKEN 占位、
BIZ_TOKEN_SECRET 与 BIZ_PII_KEY 为 dev-only）单独标出。

本文件只放占位值；真实的 .env 仍不入库。另注明工程不自动读 .env
（未引入 dotenv），必须由启动脚本加载或 docker compose --env-file 注入——
这一条不说清，会有人建了 .env 直接启动然后发现 DB_PASS 还是缺。

SECURITY.md

@@ -15,6 +15,8 @@
 
 口令、token、AK/SK、私钥与证书、`.env` 与 `*.local.yml`、含口令的截图、真实的第三方服务密钥。
 
+**模板文件 `.env.example` 是例外**：它只含变量名与占位值，必须入库，否则接手的人不知道要配哪些变量。往模板里填真实值就不再是模板了。
+
 完整清单与目录约定见 [`CONTRIBUTING.md`](CONTRIBUTING.md) 第三节。
 
 ## 三、发现泄露后的处置顺序