diff --git a/docs/DEPLOYMENT.md b/docs/DEPLOYMENT.md
index a799c74..de8cf35 100644
--- a/docs/DEPLOYMENT.md
+++ b/docs/DEPLOYMENT.md
@@ -28,7 +28,28 @@
 
 > **模式切换唯一入口是 `-f` 文件名**。各 service 均未声明 `profiles`（compose 规则：声明了 profiles 的服务在不带 `--profile` 时不会被选中，裸 `up` 会报 `no service selected`）；历史 `--profile full/moldinsight/inventory` 写法随本次拆分失效，请统一改用上表命令。
 
-### 1.2 镜像构建
+### 1.2 宿主机端口约定（默认 = 选择 A）
+
+部署约定：**unified 模式下前端独占宿主端口，backend 不暴露宿主端口**——浏览器始终只面对一个源，由前端 Nginx 同域反代到 backend，彻底消除 CORS。
+
+```env
+# .env（unified 模式最小集）
+FRONTEND_PORT=10003      # 浏览器入口；前端 Nginx 容器监听 8000，反代 /api 到 backend:8000
+# BACKEND_PORT 留空或不设 → backend 仅在 docker 网络 gemold_network 内被前端反代访问
+```
+
+端口链路：
+
+```
+浏览器 → http://宿主机:10003 → frontend容器:8000 → /api/* → backend容器:8000
+                                       （宿主机 10003）              （docker 网络内）
+```
+
+何时选 B（前后端都暴露宿主端口）：临时直连后端调试、压测、k8s 健康检查等特殊场景。设 `BACKEND_PORT=10005`（避开 10003）后重启 compose 即可——**不建议在常规生产部署中使用**，会引入 CORS 与攻击面问题。
+
+宿主机端口映射由 `.env` 强制配置，compose 无默认值兜底（缺配置时启动期 fail-fast）。详见 [.env.example §端口配置](../.env.example)、[docs/deployment/PORT_CONFIG.md](deployment/PORT_CONFIG.md)。
+
+### 1.3 镜像构建
 
 首次部署或更新代码后先构建，再 `up`：