chore: 把不含密钥的 application.yml 纳入版本管理

这个文件此前被 .gitignore 挡在仓库外，导致新克隆的人缺后端配置、服务起不来：
端口、MyBatis 设置、会话时长、登录失败最小耗时等都只存在于各自本地。

挡住它并没有安全上的必要——数据库账号密码和 JWT 密钥在文件里全是 ${} 环境
变量占位符，真值放在 .env，而 .env 依然被忽略。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

.gitignore

@@ -12,7 +12,8 @@ backend/target/
 F_TMP_WRITE_TEST.txt
 localhost
 wechat-page.png
-backend/src/main/resources/application.yml
+# application.yml 不再忽略：里面的数据库账号密码和 JWT 密钥全是 ${} 环境变量占位符，
+# 真值在 .env（仍然忽略）。挡住它只会让新克隆的人缺配置、后端起不来。
 start-backend.bat
 # Local JDK setup, IDE-generated repository notes, and test artifacts.
 .qoder/

backend/src/main/resources/application.yml

+spring:
+  application:
+    name: xyw-console-backend
+  config:
+    import: optional:file:.env[.properties]
+  datasource:
+    driver-class-name: com.mysql.cj.jdbc.Driver
+    url: ${XYW_DB_URL}
+    username: ${XYW_DB_USERNAME}
+    password: ${XYW_DB_PASSWORD}
+
+server:
+  port: 7689
+
+xyw:
+  auth:
+    # 部署环境必须提供至少 32 字符的随机签名密钥；仓库不保存真实密钥。
+    jwt-secret: ${XYW_AUTH_JWT_SECRET:}
+    session-hours: 8
+    # 登录失败统一补齐到该毫秒数，消除"账号不存在/账号停用/密码错误"之间的响应耗时差异，防止据此枚举有效账号。
+    # 取值必须高于最慢失败路径（查库 + BCrypt 比对），本机实测 cost 12 比对约 244ms，故默认 400ms。
+    login-failure-min-millis: ${XYW_AUTH_LOGIN_FAILURE_MIN_MILLIS:400}
+    # HTTPS 部署设为 true，避免浏览器通过非加密连接发送会话 Cookie。
+    cookie-secure: ${XYW_AUTH_COOKIE_SECURE:false}
+
+mybatis-plus:
+  configuration:
+    map-underscore-to-camel-case: true
+    log-impl: org.apache.ibatis.logging.stdout.StdOutImpl