security: 清除全部公开测试页硬编码的 worker 内部密码

- 16 个测试页移除 X-Internal-Token 硬编码（网关不校验该头，删除零影响，已线上验证）
- 11/12 系列保留 token 输入框仅清空默认值，直连 worker 调试改为手输
- 接入文档 integration.html：补请求体 2MB 上限与 413 说明、HTTP 层错误提示、接口4 7 字段、补全 9/10/99 测试页入口

static/test_interface12_final.html

@@ -92,7 +92,6 @@
 <script>
 const API_BASE = window.location.origin;
 const ENDPOINT = '/api/v1/hairline/grow_v2_final';
-const TOKEN = 'dev-shared-secret-2026';
 
 // 缓存最近一次后端返回的 final（data URI）和纯红遮罩（data URI），供重绘使用
 let _finalDataUri = '';
@@ -145,7 +144,6 @@ async function submitTest() {
   try {
     const resp = await fetch(API_BASE + ENDPOINT, {
       method: 'POST',
-      headers: { 'X-Internal-Token': TOKEN },
       body: form,
     });
     const json = await resp.json();