docs: remove hardcoded compose secrets

11_compose/11.6_django.md

@@ -116,7 +116,7 @@ services:
     environment:
       POSTGRES_DB: django_db
       POSTGRES_USER: django_user
-      POSTGRES_PASSWORD: django_password
+      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD:?set POSTGRES_PASSWORD}
     volumes:
       - postgres_data:/var/lib/postgresql/data
     healthcheck:
@@ -136,7 +136,7 @@ services:
       db:
         condition: service_healthy
     environment:
-      DATABASE_URL: postgres://django_user:django_password@db:5432/django_db
+      DATABASE_URL: postgres://django_user:${POSTGRES_PASSWORD:?set POSTGRES_PASSWORD}@db:5432/django_db
 
 volumes:
   postgres_data:
@@ -229,7 +229,7 @@ DATABASES = {
         'ENGINE': 'django.db.backends.postgresql',
         'NAME': os.environ.get('POSTGRES_DB', 'django_db'),
         'USER': os.environ.get('POSTGRES_USER', 'django_user'),
-        'PASSWORD': os.environ.get('POSTGRES_PASSWORD', 'django_password'),
+        'PASSWORD': os.environ['POSTGRES_PASSWORD'],
         'HOST': 'db',  # Docker Compose 服务名
         'PORT': 5432,
     }
@@ -239,6 +239,8 @@ DATABASES = {
 
 ALLOWED_HOSTS = ['*']
 ```
+
+生产环境优先使用 Docker Compose secrets 或外部密钥管理；即使是本地示例，也不要把固定密码写进 Compose 文件或 Django 默认值中。
 **为什么 HOST 是 `db` 而不是 `localhost`？**
 
 在 Docker Compose 中，各服务通过服务名相互访问。Docker 内置的 DNS 会将 `db` 解析为 db 服务容器的 IP 地址。这是 Docker Compose 的核心功能之一。