diff --git a/manifest/config/config.yaml b/manifest/config/config.yaml
index 6d31dd6..c2e1478 100644
--- a/manifest/config/config.yaml
+++ b/manifest/config/config.yaml
@@ -119,7 +119,10 @@ api:
   camelSnakeConvert: true     # 是否启用驼峰与下划线自动转换，本项目全链路驼峰，恒开
   # 受信代理列表，逗号分隔并支持 CIDR；
   # 直连来源在此列表内才信任 X-Forwarded-For 与 X-Real-IP
-  proxyIps: "127.0.0.1,::1,101.226.0.0/15,112.65.0.0/16,140.207.0.0/16,180.101.0.0/16,182.254.0.0/16,223.166.0.0/16"
+  # 172.16.0.0/12 为 Docker 网桥默认网段：容器端口映射模式下 TCP 对端恒为
+  # 网桥网关（如 172.19.0.1），CDN/反代回源经 NAT 后须凭此段进入 XFF 取真实 IP；
+  # 宿主机 Nginx 反代场景再补宿主机 IP 或其网段；勿配置 0.0.0.0/0（等于允许任意伪造）
+  proxyIps: "127.0.0.1,::1,172.16.0.0/12,101.226.0.0/15,112.65.0.0/16,140.207.0.0/16,180.101.0.0/16,182.254.0.0/16,223.166.0.0/16"
 
 # ----------------------------------------------------------------------------
 # 跨域：允许来源