security: 清除全部公开测试页硬编码的 worker 内部密码

- 16 个测试页移除 X-Internal-Token 硬编码（网关不校验该头，删除零影响，已线上验证）
- 11/12 系列保留 token 输入框仅清空默认值，直连 worker 调试改为手输
- 接入文档 integration.html：补请求体 2MB 上限与 413 说明、HTTP 层错误提示、接口4 7 字段、补全 9/10/99 测试页入口

static/test_face_shape.html

@@ -130,7 +130,6 @@
 
 <script>
 const API_BASE = window.location.origin;
-const TOKEN = 'dev-shared-secret-2026';
 
 const FEAT_LABELS = {
   face_height: '脸高 (px)',
@@ -182,7 +181,6 @@ async function submitTest() {
   try {
     const r = await fetch(API_BASE + '/api/v1/debug/face-shape', {
       method: 'POST',
-      headers: { 'X-Internal-Token': TOKEN },
       body: fd,
     });
     const json = await r.json();