docs(skill): set_application_env for container secrets

dokploy-gitea-deploy/references/mcp-deploy.md

@@ -8,7 +8,8 @@
 | 禁止 | 正确 |
 |------|------|
 | 让用户打开 Dokploy 面板 / 要面板地址 | 业务路径 **永不** 需要 Dokploy UI |
-| 要 Dokploy 账号、某应用「环境变量编辑权限」 | 库用 `databases[]`；自定义密钥见 SKILL §3.4，不导向 Dokploy |
+| 要 Dokploy 账号、「环境变量编辑权限」 | 库用 `databases[]`；业务密钥用 **`set_application_env`** |
+| 把 `.env` 推进企业 Git | 密钥用 `set_application_env` 写容器 env；`.gitignore` 排除 `.env` |
 | 「权限配置无法通过」却未调用 `whoami` | 先 `whoami`；401 才引导 **连接中心** 重拿 `buxi_` |
 | 索要 `DOKPLOY_API_KEY` / Gitea Token / 用户 SSH | 只用 MCP + `ensure_repository.pushUrl` |
 | 编造 Dokploy URL | 不要猜 |
@@ -66,6 +67,8 @@ Agent 配置示例（用户从连接中心复制，**不要**写进业务仓库
 | `apply_deployment_plan` | 写 | 挂卷 → PG/MySQL → 域名/HTTPS → deploy |
 | `get_deployment_status` | 读 | 应用与部署摘要（脱敏） |
 | `get_sanitized_logs` | 读 | 脱敏诊断摘要 |
+| `list_application_env_keys` | 读 | 容器/应用 env **键名**列表（永不返回值） |
+| `set_application_env` | 写 | 合并/删除业务 env → 容器环境变量；可选 `redeploy` |
 
 `repo` 格式：
 
@@ -283,6 +286,40 @@ Agent **不要**再直连 Dokploy 做 `domain.create` / `mounts.create` / 手建
 
 ---
 
+## 业务环境变量（容器 env）
+
+项目 **至少 apply 成功一次** 后：
+
+```json
+// 仅键名
+{ "repo": "my-app", "environment": "default" }
+// → list_application_env_keys
+
+// 写入 / 覆盖 / 删除
+{
+  "repo": "my-app",
+  "environment": "default",
+  "vars": {
+    "FEISHU_APP_ID": "cli_xxx",
+    "FEISHU_APP_SECRET": "secret"
+  },
+  "removeKeys": [],
+  "redeploy": true
+}
+// → set_application_env
+```
+
+| 规则 | |
+|------|--|
+| 落点 | Dokploy 应用 env → **容器进程环境变量** |
+| 不进 Git | 禁止 commit `.env` |
+| 响应 | 只含 `updatedKeys` / `keys` 等名称；**永不回显 value** |
+| 受保护键（非 admin） | `DATABASE_URL`、`SUDA_DATABASE_URL`、`SERVER_*`、`PORT`、`FORCE_*`、`COMPANY_DEPLOY_SELF_HOST` |
+| `redeploy: true` | 建议；否则旧容器可能仍用旧 env |
+| 权限 | 项目 owner 或 admin |
+
+---
+
 ## 配额与归属
 
 | 概念 | 行为 |