提交端口修改

docs/project/security-access-control-boundary.md

@@ -71,7 +71,7 @@ MCP 第一阶段已按以下只读边界实现：
 - 应用数据库角色使用最小权限；MCP 查询角色默认只授予必要表或视图的 `SELECT`。
 - 数据迁移凭证与运行时只读凭证分离；2026-09-05 的一次性 SRID 迁移使用表所有者执行，完成后不应保留在应用部署环境。
 - Compose 从未提交的 `.env` 注入运行时配置，但会把 `FIRE_SAFETY_POSTGIS_MIGRATION_DSN` 强制覆盖为空；镜像构建不得复制 `.env`、证书、SQL 导出或 Excel 数据。
-- 应用容器只发布宿主机 `127.0.0.1:8080`，公网只经 Nginx 的 HTTPS 精确路径进入；8080 和数据库端口不得加入公网安全组。
+- 应用容器内监听 8080，只发布宿主机 `127.0.0.1:16587`，公网只经 Nginx 的 HTTPS 精确路径进入；16587、容器 8080 和数据库端口不得加入公网安全组。
 - 使用参数化查询，不把用户或模型内容拼入 SQL、表名、排序或空间表达式。
 - 设置连接、查询和 statement timeout；限制半径、结果数和空间复杂度，防止昂贵查询。
 - 优先通过项目领域视图或明确映射屏蔽历史物理表名和不一致字段。