chore: commit test-phase secrets so a new dev machine needs no manual copy

测试验证阶段，换开发机时不再需要手工拷贝两个机密文件。已与用户确认安全
要求不高，代价是密钥进入 git 历史，上线前必须清理。

入库（.gitignore 用 ! 例外放行）：
- backend-java/src/main/resources/application-local.yml
  淘宝 AppKey/AppSecret + verify-sign + mode=forward + forward-base
- reference/facepp-skinanalyze/credentials.env
  旷视 FACEPP_API_KEY / FACEPP_API_SECRET / FACEPP_SKINANALYZE_URL
  （从服务器同名文件裁剪而来，只保留旷视相关行，去掉了其它项目条目）

其它密钥防护保持不变：apikey.*、.env、*.env 等仍被忽略。

上线前必做（已写入条待办第 6 项与 .gitignore 注释）：
  1) 重置 AppSecret 与旷视 Key
  2) git filter-repo 从历史清除这两个文件
  3) 改回环境变量 / 保密字典注入

HANDOFF 1.5 节、待办第 6 项、交接检查清单已同步为「clone 即有」。

backend-java/src/main/resources/application-local.yml

@@ -0,0 +1,16 @@
+# Temporary validation only. This file is gitignored and must not be committed.
+# It is baked into the JAR so SAE does not need TAOBAO_* environment variables.
+# For the first end-to-end validation, signature verification is disabled because
+# the current AppSecret is still suspect. Enable it only after resetting the
+# AppSecret for AppKey 35486228 and updating the value below.
+taobao:
+  app-key: "35486228"
+  app-secret: "b8bd05ebce2f8a34d28026b443ba3ed6"
+  verify-sign: false
+
+  # 淘宝小程序的真实测肤仍在 1me.xajuzi.com 那套 Node 服务上（旷视调用、评分、报告都在那边）。
+  # SAE 这边只做云网关适配层：把 /api/taobao/* 字节级透传过去。
+  # forward-base 对应 nginx 里的 location /tb/（只允许聚石塔 NAT 出口 IP 访问）。
+  mode: forward
+  forward-base: "https://1me.xajuzi.com/tb"
+