docs(handoff): clarify where the two secret files come from

application-local.yml 在老开发机；credentials.env 只存在服务器
（老开发机上没有这个文件），需要 scp 取。补充了目标路径、验证命令
和「只做小程序端开发可以先不拷 credentials.env」的说明。

docs/HANDOFF-2026-11-02.md

@@ -57,21 +57,40 @@ Set-ExecutionPolicy -Scope Process Bypass
 - 用系统安装的 JDK 17 + Maven 即可，**不需要**再下便携版
 - 想复原老机器的布局：把 JDK 放 `tools/jdk17/`、Maven 放 `tools/maven/apache-maven-3.9.9/`（这两个目录 gitignore）
 
-### 1.5 必须单独拷贝的机密文件（**不在 git 里**）
+### 1.5 必须单独获取的机密文件（**不在 git 里**）
 
-| 文件 | 内容 | 没有会怎样 |
-|---|---|---|
-| `backend-java/src/main/resources/application-local.yml` | 淘宝 AppKey/AppSecret + `mode: forward` + `forward-base` | JAR 里没有 AppKey/Secret，`/session` 一定 401 |
-| `reference/facepp-skinanalyze/credentials.env` | 旷视 `FACEPP_API_KEY/SECRET` | `h5/server.js` 启动即 `exit(1)` |
-| SSH 私钥 | 免密登录 `ubuntu@1me.xajuzi.com` | 无法部署 Node 侧 / 看日志 |
+这两个文件**来源不同**，别搞混：
+
+| 文件（放在仓库内的相对路径） | 内容 | 从哪来 | 没有会怎样 |
+|---|---|---|---|
+| `backend-java/src/main/resources/application-local.yml` | 淘宝 AppKey/AppSecret + `mode: forward` + `forward-base` | **老开发机**（本仓库同路径，855 字节） | 打出的 JAR 没有 AppKey/Secret，`/session` 一定 401。只跑 `/ping`、不部署则不影响 |
+| `reference/facepp-skinanalyze/credentials.env` | `FACEPP_API_KEY` / `FACEPP_API_SECRET` / `FACEPP_SKINANALYZE_URL` | **服务器**（老开发机上通常没有这个文件） | `h5/server.js` 启动即 `exit(1)`。**只做小程序端开发、不本机跑 H5 后端时，可以先不拷** |
+| SSH 私钥 | 免密登录 `ubuntu@1me.xajuzi.com` | `ssh-keygen` 后把公钥追加到服务器 `~/.ssh/authorized_keys` | 无法部署 Node 侧 / 看日志 / 取上面的 credentials.env |
 
 ```powershell
-# 从老机器拷（示例）
-scp <老机器>:D:/juzi/backend-java/src/main/resources/application-local.yml .\backend-java\src\main\resources\
-scp <老机器>:D:/juzi/reference/facepp-skinanalyze/credentials.env .\reference\facepp-skinanalyze\
+# ① application-local.yml：从老机器的同一个相对路径拷（U 盘/网盘/局域网都行）
+#    目标路径必须一模一样，否则 Spring 读不到
+Copy-Item <老机器>\juzi\backend-java\src\main\resources\application-local.yml `
+          <新机器>\juzi\backend-java\src\main\resources\
+
+# ② credentials.env：从服务器取（注意先建目录）
+ssh-keygen -t ed25519                      # 若新机器还没密钥
+# 把 ~/.ssh/id_ed25519.pub 内容追加到服务器 ~/.ssh/authorized_keys 后：
+New-Item -ItemType Directory -Force <新机器>\juzi\reference\facepp-skinanalyze
+scp ubuntu@1me.xajuzi.com:/home/ubuntu/juzi/reference/facepp-skinanalyze/credentials.env `
+    <新机器>\juzi\reference\facepp-skinanalyze\
 ```
 
-新机器要能 ssh 服务器的话：`ssh-keygen -t ed25519` 后把公钥追加到服务器 `~/.ssh/authorized_keys`。
+拷完验证（两个都应该是"被忽略"，即 `git status` 里看不到它们）：
+
+```powershell
+git status --short          # 不应出现这两个文件
+git check-ignore -v backend-java/src/main/resources/application-local.yml
+git check-ignore -v reference/facepp-skinanalyze/credentials.env
+```
+
+> 两个文件都**绝不能提交**。`.gitignore` 已分别用绝对路径和 `credentials.env` 通配挡住；
+> 提交前 `git diff --cached --name-only` 自查一遍。
 
 > 老机器若已不可用：AppSecret / 旷视 key 找项目负责人索取，或在开放平台重置（重置后记得同步更新服务器 `/etc/juzi/taobao.env` 与 JAR）。