diff --git a/README.md b/README.md
index 593da9a..8ef72e8 100644
--- a/README.md
+++ b/README.md
@@ -202,6 +202,10 @@ App Signing 证书的 SHA-256 指纹写入 `web/public/.well-known/assetlinks.js
 配置的包名为 `edu.mingxu.jiaowu`；站点域名或正式签名证书变更时必须同时更新此文件和 Android
 Manifest 后重新签名发布 APK/AAB，此类变更不能通过 OTA 下发。
 
+本机通过 Android Studio 或 `cap run` 安装的 debug APK 使用不同的调试证书；其 SHA-256 也已
+列在 `assetlinks.json` 中，仅用于本机调试。若改用其他机器、其他 JKS 或直接签名的 release APK，
+必须把该 APK 实际签名证书的 SHA-256 一并加入后重新部署站点。
+
 用户登录后可从页面右上角进入“个人账户”，主动绑定或解除 Keycloak 账号。主动绑定先
 使用当前 JWT 创建五分钟有效的一次性绑定意图，再跳转 Keycloak；回调只能绑定到发起该
 意图的本地账号。解绑需要再次验证本地密码，避免仅凭未锁屏的登录会话解除身份关联。
diff --git a/web/public/.well-known/assetlinks.json b/web/public/.well-known/assetlinks.json
index 63026bf..54003ad 100644
--- a/web/public/.well-known/assetlinks.json
+++ b/web/public/.well-known/assetlinks.json
@@ -5,7 +5,8 @@
       "namespace": "android_app",
       "package_name": "edu.mingxu.jiaowu",
       "sha256_cert_fingerprints": [
-        "F3:75:B5:0B:A6:DB:41:C3:24:A8:B4:99:22:39:A2:FF:AF:FA:A7:CE:05:42:A8:AC:38:19:03:18:5F:35:AD:39"
+        "F3:75:B5:0B:A6:DB:41:C3:24:A8:B4:99:22:39:A2:FF:AF:FA:A7:CE:05:42:A8:AC:38:19:03:18:5F:35:AD:39",
+        "F6:BC:84:9B:A6:12:5E:9E:0C:57:D4:B4:62:73:2B:A0:77:BE:28:C2:0E:0F:33:DB:D7:B9:8E:A9:1D:1F:68:EE"
       ]
     }
   }