feat: load explicit configuration references and remove implicit env overlays

database/mysql/README.md

@@ -10,13 +10,14 @@
 go-omni new --database mysql --module example.com/billing ./billing
 ```
 
-`etc/config.yaml` 使用结构化配置，环境覆盖优先：
+`etc/config.yaml` 使用结构化配置；需要环境变量时在字段值明确写引用，固定值不被覆盖：
 
 ```yaml
 database:
   host: db.example.com
   port: 3306
   user: app
+  password: "${DB_PASSWORD}"
   database: billing
   parseTime: true
   location: UTC
@@ -37,7 +38,7 @@ database:
     pingTimeout: 5s
 ```
 
-通过 `GO_OMNI_DB_PASSWORD` 传密码；还有 HOST、PORT、USER、DATABASE、TLS_CA_FILE、TLS_CERT_FILE、TLS_KEY_FILE、POOL_MAX_OPEN_CONNS 等。业务也可自定义 env 标签。新生成服务不再读取 DSN；独立数据库迁移 CLI 和手写 `database.Open/OpenConnector` 的原接口保留。
+示例通过文件里的 `${DB_PASSWORD}` 读取密码；HOST、PORT、TLS 和池参数同样按需在文件写引用，不自动扫描变量、不使用 env 标签。新生成服务使用结构化连接参数；独立迁移 CLI 的显式 DSN 参数及 Open/OpenConnector 接口保留。
 
 默认启用 TLS 并校验系统信任链与主机名；私有 CA 用 caFile，双向 TLS 额外设置 certFile/keyFile。只有明确设置 `tls.mode: disabled` 才使用明文。Unix socket 用 socket，若在 socket 上使用 TLS，必须提供 serverName。不会注册全局 TLS 配置或全局驱动 Logger。
 

database/mysql/mysql.go

@@ -28,7 +28,7 @@ type Config struct {
 	Port      int    `json:"port"`
 	Socket    string `json:"socket"`
 	User      string `json:"user"`
-	Password  string `json:"password" env:",secret"`
+	Password  string `json:"password"`
 	Database  string `json:"database"`
 	ParseTime bool   `json:"parseTime"`
 	Location  string `json:"location"`