## 1. 本地启动配置

- [x] 1.1 修改 `.idea/workspace.xml`（文件用途：保存本地 IntelliJ 后端启动配置），移除错误的项目目录 profile，并设置项目根目录为工作目录；配置项关联 `backend/src/main/resources/application.yml`，数据流为 IntelliJ 启动 -> Spring 配置导入 -> `.env`。
- [x] 1.2 保持 EnvFile 插件禁用（文件用途：避免重复注入环境变量），由 Spring 原生 `spring.config.import` 加载根目录 `.env`；不新增业务方法，因此无方法注释要求。

## 2. 重启与验证

- [x] 2.1 重启后端并确认启动命令不再携带项目目录形式的 `spring.profiles.active`。
- [x] 2.2 修改 `AuthTokenFilter.java`（文件用途：从请求 Cookie 恢复 Spring Security 身份），记录 `AUTH_SESSION_MISSING`、`AUTH_SESSION_REJECTED` 或 `AUTH_SESSION_ERROR` 等不含敏感数据的诊断类别；为构造方法、`shouldNotFilter`、`doFilterInternal` 编写完整新手注释：代码作用、关联文件、关联逻辑。
- [ ] 2.3 统一使用 `http://localhost:5173/asset/`，重新登录后根据诊断日志验证 `/api/auth/me`、受保护 GET 与受保护 POST 的认证失败原因。
- [ ] 2.4 确认本地 `XYW_AUTH_COOKIE_SECURE=false`、生产 HTTPS 为 `true`；基于诊断结果再实施单一根因修复。
