diff --git a/infra/docker/nginx-entrypoint.sh b/infra/docker/nginx-entrypoint.sh
index a0ca7653b..e25ddedeb 100755
--- a/infra/docker/nginx-entrypoint.sh
+++ b/infra/docker/nginx-entrypoint.sh
@@ -2,22 +2,37 @@
 # Select nginx config based on APP_ENV (staging/production).
 # Both configs are baked into the image at well-known paths.
 # nginx reads config only at startup, so symlink before exec.
-# 注意：基础镜像 /etc/nginx/conf.d/default.conf 是普通文件（非 symlink/目录），
-# alpine busybox ln -sf 在 target 已存在且为普通文件时行为不稳定（会尝试在
-# target 目录下建子链接），必须先 rm 再 ln 才能正确替换。
+#
+# 兼容两种部署方式：
+# 1) 镜像自包含模式（local dev / 无外部挂载）：基础镜像自带 default.conf 普通文件，
+#    entrypoint 按 APP_ENV 先 rm 再 ln -s 指向烤入的环境配置。
+#    注意：alpine busybox ln -sf 在 target 为已存在普通文件时行为不稳定，
+#    必须先 rm 再 ln 才能正确替换。
+# 2) 外部 bind-mount 模式（staging / production CI 部署）：CI 脚本通过
+#    -v /path/nginx-<env>.conf:/etc/nginx/conf.d/default.conf:ro 把环境
+#    配置以只读方式挂载进来。此时 default.conf 已经是正确的环境配置，
+#    且为只读挂载点：rm 会报 "Read-only file system" 失败。
+#    entrypoint 应识别此情况并跳过 rm/ln，直接 exec nginx。
 set -e
 
 NGINX_CONF_DIR="/etc/nginx/conf.d"
+DEFAULT_CONF="$NGINX_CONF_DIR/default.conf"
 
-case "${APP_ENV:-production}" in
-  staging)
-    rm -f "$NGINX_CONF_DIR/default.conf"
-    ln -s /etc/nginx/nginx-staging.conf "$NGINX_CONF_DIR/default.conf"
-    ;;
-  *)
-    rm -f "$NGINX_CONF_DIR/default.conf"
-    ln -s /etc/nginx/nginx-production.conf "$NGINX_CONF_DIR/default.conf"
-    ;;
-esac
+# 判断 default.conf 是否可被 rm 替换（镜像自包含普通文件 → 可删；
+# 外部只读 bind mount → rm 失败）。rm 失败时视为外部已提供正确配置，跳过。
+if rm -f "$DEFAULT_CONF" 2>/dev/null; then
+    # 镜像自包含：按 APP_ENV 建立正确 symlink
+    case "${APP_ENV:-production}" in
+      staging)
+        ln -s /etc/nginx/nginx-staging.conf "$DEFAULT_CONF"
+        ;;
+      *)
+        ln -s /etc/nginx/nginx-production.conf "$DEFAULT_CONF"
+        ;;
+    esac
+else
+    # 外部 bind-mount（如 CI staging/prod 部署）：配置已挂好，什么都不做。
+    echo "[nginx-entrypoint] default.conf is externally mounted (read-only), skipping config symlink."
+fi
 
 exec nginx -g "daemon off;"