diff --git a/.gitignore b/.gitignore
index 3775fa0..beb42c0 100644
--- a/.gitignore
+++ b/.gitignore
@@ -1,4 +1,9 @@
 .env
+# `.env` 的自动备份：编辑 `.env` 时工具会留下 `.env.bak-<时间戳>`，
+# 它是**含真实密钥的完整副本**，而 `.env` 本身被忽略、它却不在忽略之列 ——
+# 一旦有人 `git add -A` 就会把密钥带进版本库（2026-09-14 实测本机就出现了这样一个文件）。
+.env.bak*
+.env.*.bak
 config/jwt/
 __pycache__/
 *.py[cod]