安全与功能开关

DEBUG=False 时自动打开

settings.py：

• SECURE_PROXY_SSL_HEADER = ("HTTP_X_FORWARDED_PROTO", "https") — 信任 Nginx 传来的协议
• SESSION_COOKIE_SECURE / CSRF_COOKIE_SECURE
• HSTS（可用 SECURE_HSTS_* 覆盖）
• SECURE_CONTENT_TYPE_NOSNIFF、SECURE_REFERRER_POLICY=same-origin
• SECURE_SSL_REDIRECT 默认 true

Nginx 必须设置 X-Forwarded-Proto，否则 Django 会错误判断 HTTPS，出现重定向环或不安全 cookie。

代码内功能开关（非 env）

开关	位置	当前值
入账导航	core/context_processors.py show_treasury	硬编码 False
邮件总闸	MAILING_ENABLED	env
邮件同步	MAILING_INLINE	测试默认开
Zoom 同步建会	ZOOM_CREATE_INLINE	默认 false

恢复入账 UI 时：改回 can_edit_income_status or can_add_income，并打开模板里被注释的 nav。