diff --git a/.gitea/workflows/ci.yml b/.gitea/workflows/ci.yml
index c2ec704..7db2c64 100644
--- a/.gitea/workflows/ci.yml
+++ b/.gitea/workflows/ci.yml
@@ -3,7 +3,7 @@ name: ci-bschclass-service
 # 后端标准化 CI：maven 构建 jar -> docker build -> 推 Nexus docker-hosted
 # 触发：push 到 master（本仓库默认分支，代码在根目录）/ 手动 Run workflow
 # 依赖仓库 Actions Secrets：NEXUS_USER / NEXUS_PASSWORD（ci-docker 账号，仅 docker-hosted 推送权）
-#   REDIS_PASSWORD / DB_PASSWORD / RABBITMQ_PASSWORD（中间件密码，运行时注入容器，不写死）
+#   中间件密码（redis/mysql/rabbitmq）由 Nacos application-infra.yaml 注入，无需 Secret，也不注入容器 env
 on:
   push:
     branches: [master]
@@ -112,9 +112,6 @@ jobs:
             -e SPRING_CLOUD_NACOS_CONFIG_NAMESPACE=6196f0de-a28d-4894-8f10-e2982b57c6bc \
             -e SPRING_CLOUD_NACOS_USERNAME=yh-reader \
             -e SPRING_CLOUD_NACOS_PASSWORD=123456 \
-            -e REDIS_PASSWORD=${{ secrets.REDIS_PASSWORD }} \
-            -e DB_PASSWORD=${{ secrets.DB_PASSWORD }} \
-            -e RABBITMQ_PASSWORD=${{ secrets.RABBITMQ_PASSWORD }} \
             "$IMG"
           # 健康检查：Spring 起来后根路径返回 404（无映射控制器），000 表示未起来（无 context-path，故用 8087 根）
           OK=0
@@ -134,9 +131,6 @@ jobs:
               -e SPRING_CLOUD_NACOS_CONFIG_NAMESPACE=6196f0de-a28d-4894-8f10-e2982b57c6bc \
               -e SPRING_CLOUD_NACOS_USERNAME=yh-reader \
               -e SPRING_CLOUD_NACOS_PASSWORD=123456 \
-              -e REDIS_PASSWORD=${{ secrets.REDIS_PASSWORD }} \
-              -e DB_PASSWORD=${{ secrets.DB_PASSWORD }} \
-              -e RABBITMQ_PASSWORD=${{ secrets.RABBITMQ_PASSWORD }} \
               bschclass-service:latest
             echo "rolled back"; exit 7
           fi