diff --git a/deploy-ai.sh b/deploy-ai.sh
index a93fcdb..ebe91a4 100755
--- a/deploy-ai.sh
+++ b/deploy-ai.sh
@@ -199,8 +199,10 @@ AUTHELIA_STORAGE_ENCRYPTION_KEY=\$AUTHELIA_STORAGE_ENCRYPTION_KEY
 LLDAP_PASSWORD=\$LLDAP_PASSWORD
 ENVEOF
         echo '密钥已生成'
+        chmod 600 /root/docker/sso-ai/.env
     else
         echo '已存在 .env，跳过密钥生成'
+        chmod 600 /root/docker/sso-ai/.env 2>/dev/null || true
     fi"
 
     # 3. 注入占位符真实值（LDAP 密码、JWKS 密钥）
@@ -488,6 +490,9 @@ build_on_server() {
 	    # 清理可能被上传的本地环境变量文件（.env.local 等会覆盖 .env 中的生产配置）
     ssh txjp "rm -f $REMOTE_DIR/.env.local $REMOTE_DIR/.env.development $REMOTE_DIR/.env.production 2>/dev/null; echo '已清理本地环境文件'"
 
+    # 设置 .env 文件权限为 600（仅 root 可读写，防止密码泄露）
+    ssh txjp "chmod 600 $REMOTE_DIR/.env 2>/dev/null || true"
+
     # 5. 服务器上直接 npm run build（不重建 Docker）
     log "服务器上执行 npm run build..."
     build_start=$(date +%s)