diff --git a/packaging/k8s/deployment.yaml b/packaging/k8s/deployment.yaml
index fc62b0a..39356a1 100644
--- a/packaging/k8s/deployment.yaml
+++ b/packaging/k8s/deployment.yaml
@@ -5,7 +5,10 @@
 #   2. securityContext.fsGroup=10001 与镜像内 aps 用户同组 —— 否则挂载卷属 root，
 #      容器内 aps(10001) 无法写入，表现为「创建项目失败/接口 500」
 #   3. APS_WEB_DEMO_SEED=1：每个租户首次打开工作区时自动播种一套演示项目
-#      （不需要演示数据时改为 "0"）
+#      （不需要演示数据时改为 "0"）\r
+#   4. 授权码模式（20261022-0001 起内置）：APS_LICENSE_PROVIDER=codes，\r
+#      每个授权码 = 一个用户身份，项目/会话/数据按码隔离；内置超管码\r
+#      aps@Z@Agent@Admin，可在「应用设置 → 用户与授权」面板发放/管理普通授权码
 # ============================================================
 apiVersion: v1
 kind: PersistentVolumeClaim
@@ -42,7 +45,7 @@ spec:
         fsGroupChangePolicy: OnRootMismatch # 仅根属主不匹配时递归改组，避免每次全量 chown
       containers:
         - name: aps-agent
-          image: aps-agent:REPLACE_WITH_TAG
+          image: swr.cn-north-4.myhuaweicloud.com/juyuan/dev/jms-mes/aps-agent:20261022-0001
           imagePullPolicy: IfNotPresent
           ports:
             - name: http
@@ -56,9 +59,23 @@ spec:
               value: "1"
             - name: APS_PORT
               value: "8000"
+            # ---- 授权码认证（codes）：每个授权码 = 一个用户，数据按码隔离 ----
+            - name: APS_LICENSE_PROVIDER
+              value: "codes"
+            - name: APS_LICENSE_CLIENTS
+              value: "web,desktop"
+            # 签码密钥由 Secret 注入；optional 缺省时仅影响新码签发校验
+            - name: APS_LICENSE_SECRET
+              valueFrom:
+                secretKeyRef:
+                  name: aps-agent-secrets
+                  key: license-secret
+                  optional: true
+            # APS_LICENSE_TENANT_UUID 不设置时默认为 platform 租户
             # ---- JMS 认证（地址由现场 ConfigMap 注入，密钥由 Secret 注入）----
+            # 注意：JMS 与授权码并存时 JMS 优先；现场如需 JMS 登录把 APS_AUTH_PROVIDER 改回 "jms"
             - name: APS_AUTH_PROVIDER
-              value: "jms"
+              value: "unconfigured"
             - name: JMS_AUTH_BASE_URL
               valueFrom:
                 configMapKeyRef: