chore+perf: 密钥出库 + 后台详情接口裁剪 face_maps

安全:
- reference/facepp-skinanalyze/credentials.env 内含 Face++ 正式 key/secret
  且被 git 跟踪,移出 index(文件保留本地,.gitignore 已覆盖 *.env)。
  ⚠️ 密钥已存在于 git 历史,若 origin 曾被 push 即视为泄漏,
  请在旷视控制台重置 API secret,改用环境变量/apikey.bash 注入。

性能(后台详情页卡顿):
- 详情接口将 raw_json.result.face_maps 的 base64 图层(单条约 3MB)
  替换为占位说明,响应 3.2MB→163KB;新增
  GET /api/admin/records/:id/raw 供下载完整原始 JSON(走 Basic Auth)
- admin 列表/详情图片加 loading=lazy + decoding=async

h5/js/admin.js

@@ -115,7 +115,7 @@ function loadRecords() {
         var tr = el('tr');
         var photos = it.photos || {};
         var thumb = photos.front
-          ? '<img class="thumb" src="' + photos.front + '" alt="正脸">'
+          ? '<img class="thumb" loading="lazy" decoding="async" src="' + photos.front + '" alt="正脸">'
           : '<span class="sub">无</span>';
         tr.innerHTML =
           '<td>' + thumb + '</td>' +
@@ -321,7 +321,7 @@ function renderDetail(data) {
     var u = data.photos[w];
     if (!u) continue;
     anyPhoto = true;
-    photosHtml += '<div class="d-photo"><img src="' + u + '" alt="' + whichNames[w] + '" data-zoom="' + u + '">' +
+    photosHtml += '<div class="d-photo"><img loading="lazy" decoding="async" src="' + u + '" alt="' + whichNames[w] + '" data-zoom="' + u + '">' +
       '<a href="' + u + '" download="' + r.record_id + '-' + w + '.jpg">下载' + whichNames[w] + '</a></div>';
   }
   photosHtml += anyPhoto ? '' : '<span class="sub">无照片</span>';
@@ -429,9 +429,12 @@ function renderDetail(data) {
     }
   }
 
-  /* 接口原始 JSON:details 折叠,pre 展示 */
+  /* 接口原始 JSON:details 折叠,pre 展示(face_maps 已在服务端裁剪,完整版走下载链接) */
   if (data.raw_json) {
-    h += dSec('接口原始 JSON', '<details><summary>展开/收起(raw_json,' + (data.raw_file || '') + ')</summary><pre>' +
+    var rawDl = data.raw_file
+      ? ' <a href="/api/admin/records/' + encodeURIComponent(r.record_id) + '/raw" download>下载完整原始 JSON</a>'
+      : '';
+    h += dSec('接口原始 JSON', '<details><summary>展开/收起(' + (data.raw_file || '') + ')' + rawDl + '</summary><pre>' +
       esc(JSON.stringify(data.raw_json, null, 1)) + '</pre></details>');
   } else {
     h += dSec('接口原始 JSON', '<div class="sub">无(失败记录或未落盘)</div>');