fix: disable PostgreSQL TLS for refusing RDS endpoint

docs/DEPLOYMENT.md

@@ -47,8 +47,11 @@ docker build -f backend/Dockerfile.alpine \
 生产固定使用 PostgreSQL。数据库连接只通过 Go Deployment 的 Secret 注入，不得进入
 Web 镜像或 ConfigMap。优先使用 RDS 内网地址，并仅对白名单中的 ACK 工作负载网段放行。
 
-`DATABASE_URL` 应包含完整 TLS 参数。默认建议 `sslmode=verify-full`；需要自定义 CA 时，
-把 `sslrootcert=/etc/zhinian/rds/ca.pem` 写入同一个连接串并挂载对应 Secret。
+`DATABASE_URL` 必须使用 `sslmode=disable`。Go 和手工迁移使用的 Node 客户端都会强制
+归一化为该值；即使旧 Secret 仍包含 TLS 参数，客户端也不会读取 CA 或协商 TLS。
+这表示 ACK 到 RDS 的数据库流量不使用 TLS、链路内容为明文。只应使用 RDS 内网地址，
+并通过 VPC、安全组和白名单严格限制访问；若未来需要链路加密，必须同时修改客户端策略
+和 RDS 配置后再部署。
 
 首次发布前，部署负责人按顺序手工执行：