diff --git a/00_项目总文档.md b/00_项目总文档.md
index eb37b56..c0f9fc0 100644
--- a/00_项目总文档.md
+++ b/00_项目总文档.md
@@ -213,7 +213,7 @@ code/
 | 配置项 | 当前值 | 所在位置 |
 | --- | --- | --- |
 | 服务端端口 | `8082` | `server/server_encrypted.cpp` |
-| 服务端默认 API Token | `atk_nKfVWLhMjL0RGSfRll3R_sdJS6IrIjuV` | 服务端、Qt、STM32、K210 |
+| 服务端、STM32、K210 默认 API Token | `atk_nKfVWLhMjL0RGSfRll3R_sdJS6IrIjuV` | `server/server_encrypted.cpp`、`stm32/User/main.c`、`k210/main.py` |
 | 服务端默认 CORS 来源 | `http://localhost` | `server/server_encrypted.cpp` |
 | STM32 WiFi SSID | `yzfh` | `stm32/User/main.c` |
 | STM32 WiFi 密码 | `yzfhroot` | `stm32/User/main.c` |
@@ -223,10 +223,11 @@ code/
 | K210 WiFi 密码 | `yzfhroot` | `k210/main.py` |
 | K210 服务端 IP | `27.106.113.205` | `k210/main.py` |
 | Qt 默认服务端地址 | `http://127.0.0.1:8082` | `QT/src/ApiClient.cpp`、`QT/src/AppController.cpp` |
+| Qt API Token 来源 | 本地 `QSettings` 或环境变量 `ATTENDANCE_API_TOKEN` | `QT/src/AppController.cpp`、`QT/src/ApiClient.cpp` |
 | 默认签到时间段 | 空数组 | Qt、服务端、STM32 |
 | AES 算法 | AES-128-CBC + PKCS#7 + Base64 | `stm32/Hardware/Crypto.c`、`server/server_encrypted.cpp`、`QT/src/CryptoUtils.cpp` |
 
-注意：这些配置里包含真实网络信息和默认 Token。如果要部署到公网，建议改成自己的值，并用环境变量覆盖服务端和 Qt 的 Token。
+注意：这些配置里包含真实网络信息和默认 Token。如果要部署到公网，建议改成自己的值；服务端可用环境变量覆盖 Token，Qt 可在配置中心保存 Token 或读取环境变量，STM32 与 K210 需要改代码后重新烧录或上传脚本。
 
 ## 7. 硬件连接概览
 
diff --git a/02_K210识别端文档.md b/02_K210识别端文档.md
index 6237d1e..d3f1b8a 100644
--- a/02_K210识别端文档.md
+++ b/02_K210识别端文档.md
@@ -191,7 +191,7 @@ K210 同步后会：
 2. 修改本地 `face_mapping.txt`。
 3. 保持 `recordftr.txt` 中的原始 `ID:<face_id>` 不变。
 4. 识别成功后先取原始 `face_id`，再通过 `face_mapping.txt` 转成真实学号发送给 STM32。
-5. 未绑定学号的人脸按 `UNKNOWN` 处理，不参与签到。
+5. 已录入但未绑定学号的人脸会回退使用原始 `face_id` 和默认名称 `FACE_<face_id>` 发送给 STM32，例如 `ID:1,NAME:FACE_1,CONF:0.88`；只有未录入或匹配失败的人脸才发送 `UNKNOWN`。
 
 ## 11. 照片上传队列
 
diff --git a/04_Qt管理端文档.md b/04_Qt管理端文档.md
index 0bbeaab..de77e5f 100644
--- a/04_Qt管理端文档.md
+++ b/04_Qt管理端文档.md
@@ -110,7 +110,7 @@ Accept: application/json
 
 除照片 JPEG 下载外，Qt 的业务 JSON 请求和响应统一使用 AES-128-CBC + PKCS#7 + Base64。GET/DELETE 请求要求服务端返回加密响应，POST JSON 会先加密请求体并携带 `X-Encrypted: AES128-CBC`；照片内容仍按 `image/jpeg` 原始二进制显示。
 
-Token 默认值写在 `QT/src/ApiClient.cpp`，也可以通过环境变量覆盖：
+Qt 端没有在代码中写死默认 Token。启动后会优先读取本地 `QSettings` 的 `server/apiToken`，没有本地值时读取环境变量：
 
 ```powershell
 $env:ATTENDANCE_API_TOKEN="你的Token"