docs: 注释明确门户 API 直连 9202、勿改回 9002 网关的原因

deploy/nginx-center.zuihuibi.cn.conf

@@ -13,9 +13,15 @@ server {
     proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
     proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
     proxy_set_header X-Forwarded-Proto $scheme;
     proxy_set_header X-Forwarded-Proto $scheme;
 
 
-    # 接口 → CSF 核心服务。proxy_pass 只写到端口，/csf/api 前缀原样透传，不 rewrite
+    # ============ 转介人门户 API（勿改回 9002 网关）============
+    # 本门户使用 Casdoor OIDC 登录，由 yd-csf-api 内的转介人专用认证链
+    # （ReferrerPortalSecurityConfig，仅匹配 /c/**）自行验签并解析身份，认证不依赖网关。
+    # 9002 是内勤体系网关，其统一 JWT 校验不认 Casdoor 签发方，指过去会返回
+    # “令牌无效：不支持的JWT令牌”，表现为登录后接口全 401、前端循环跳转。
+    # 若将来必须走网关，须先让网关信任 Casdoor 的 jwks/issuer/aud，而不是改这一行。
+    # proxy_pass 只写到端口，/csf/api 前缀原样透传，不 rewrite；后端自带 /csf/api context-path。
     location /csf/api/ {
     location /csf/api/ {
-        proxy_pass http://127.0.0.1:9002;
+        proxy_pass http://127.0.0.1:9202;
     }
     }
 
 
     # 其余全部 → H5 容器（Jenkins 构建时映射的端口，见 deploy/jenkins-execute-shell.sh）
     # 其余全部 → H5 容器（Jenkins 构建时映射的端口，见 deploy/jenkins-execute-shell.sh）