diff --git a/.env b/.env
index 38e8a1c..dcc7801 100644
--- a/.env
+++ b/.env
@@ -1,30 +1,84 @@
-# Clash 订阅地址
-export CLASH_URL='更改为你的clash订阅地址'
-export CLASH_SECRET=''
-export CLASH_HEADERS='User-Agent: ClashforWindows/0.20.39'
-# 可选：订阅名称（clashctl sub use 会自动写入）
-export CLASH_SUBSCRIPTION=''
-# 可选：指定 Clash 二进制路径（适用于额外架构或自定义位置）
-# export CLASH_BIN='/path/to/clash'
+# =========================
+# Clash for Linux - Env Config
+# =========================
+# 用法：
+# 1) 必填：CLASH_URL
+# 2) 可选：CLASH_SECRET（留空将自动生成/由脚本处理）
+# 3) 修改后：sudo clashctl restart 或 sudo systemctl restart clash-for-linux
+# =========================
 
-# Clash 监听配置
+# -------------------------
+# 1) 订阅配置（必填）
+# -------------------------
+
+# Clash 订阅地址（必填）
+# 示例：export CLASH_URL='https://example.com/sub?token=xxx'
+export CLASH_URL=''
+
+# 订阅请求头（可选）
+# 常见机场需要 User-Agent；如不需要可留空
+export CLASH_HEADERS='User-Agent: ClashforWindows/0.20.39'
+
+# 订阅名称（可选）
+# 用于 clashctl 多订阅管理：clashctl sub use <name> 会自动写入
+export CLASH_SUBSCRIPTION=''
+
+# -------------------------
+# 2) API / 面板安全（强烈建议认真看）
+# -------------------------
+
+# Clash API Secret（强烈建议设置）
+# 留空时：脚本可自动生成随机值（若你的启动脚本支持）
+export CLASH_SECRET=''
+
+# External Controller（Clash RESTful API）
+# ⚠️ 安全建议：
+# - 默认仅监听本机：127.0.0.1:9090 （推荐）
+# - 如需局域网访问再改成：0.0.0.0:9090，并确保 CLASH_SECRET 足够复杂
+export EXTERNAL_CONTROLLER_ENABLED=true
+export EXTERNAL_CONTROLLER='127.0.0.1:9090'
+
+# -------------------------
+# 3) 代理端口与监听（常用）
+# -------------------------
+
+# 端口可设置为 auto：脚本运行时自动分配可用端口（需脚本支持）
 export CLASH_HTTP_PORT=7890
 export CLASH_SOCKS_PORT=7891
 export CLASH_REDIR_PORT=7892
-export CLASH_LISTEN_IP=0.0.0.0
-export CLASH_ALLOW_LAN=true
 
-# External Controller (RESTful API) 配置
-export EXTERNAL_CONTROLLER_ENABLED=true
-export EXTERNAL_CONTROLLER=0.0.0.0:9090
+# 代理监听 IP
+# ⚠️ 安全建议：
+# - 服务器自用推荐：127.0.0.1
+# - 需要局域网设备使用再改：0.0.0.0
+export CLASH_LISTEN_IP='127.0.0.1'
 
-# 端口可设置为 auto（自动分配随机端口）
+# 是否允许局域网访问（配合 CLASH_LISTEN_IP 使用）
+export CLASH_ALLOW_LAN=false
 
-# Mixin 配置（可叠加多个 YAML 文件，后者可覆盖前者）
+# -------------------------
+# 4) Clash 内核（高级可选）
+# -------------------------
+
+# 指定 Clash 二进制路径（用于额外架构或自定义位置）
+# 不设置则由脚本自动识别/下载/选择
+# export CLASH_BIN='/path/to/clash'
+
+# -------------------------
+# 5) Mixin 配置（高级可选）
+# -------------------------
+
+# 可叠加多个 YAML 文件，后者覆盖前者（逗号分隔）
 # export CLASH_MIXIN_PATHS='conf/mixin.d/base.yaml,conf/mixin.d/rules.yaml'
+
+# 指定 Mixin 目录（默认：conf/mixin.d）
 # export CLASH_MIXIN_DIR='conf/mixin.d'
 
-# Tun 模式配置（需要 Clash Premium/Meta 支持）
+# -------------------------
+# 6) Tun 模式（高级可选，需要 Clash Meta / Premium）
+# -------------------------
+# ⚠️ Tun 模式涉及系统路由/权限，建议确认理解后再开启
+
 # export CLASH_TUN_ENABLE=false
 # export CLASH_TUN_STACK=system
 # export CLASH_TUN_AUTO_ROUTE=true