chore: 入库生产基线（2026-10-26 与 shop.douba.top 一致）

- 11 个已跟踪文件的在途改动此前只存在于工作区，生产已在运行
- 补入两个从未入库的文件：InternalController.php（app_03/box_app 内部接口）、
  config/internal.php（内部通信 key，值从 .env 读取，不含硬编码密钥）
- 逐文件 md5 比对过生产，内容一致

Co-authored-by: Cursor <cursoragent@cursor.com>

app/services/BaseServices.php

@@ -60,13 +60,15 @@ abstract class BaseServices
      * 创建token
      * @param int $id
      * @param $type
+     * @param string $pwd
+     * @param array $extras 额外字段，例如 ['phone' => '138...', 'openid' => 'o...']
      * @return array
      */
-    public function createToken(int $id, $type, string $pwd = '')
+    public function createToken(int $id, $type, string $pwd = '', array $extras = [])
     {
         /** @var JwtAuth $jwtAuth */
         $jwtAuth = app()->make(JwtAuth::class);
-        return $jwtAuth->createToken($id, $type, ['auth' => md5($pwd)]);
+        return $jwtAuth->createToken($id, $type, array_merge(['auth' => md5($pwd)], $extras));
     }
 
     /**