chore: 入库生产基线（2026-10-26 与 shop.douba.top 一致）

- 11 个已跟踪文件的在途改动此前只存在于工作区，生产已在运行
- 补入两个从未入库的文件：InternalController.php（app_03/box_app 内部接口）、
  config/internal.php（内部通信 key，值从 .env 读取，不含硬编码密钥）
- 逐文件 md5 比对过生产，内容一致

Co-authored-by: Cursor <cursoragent@cursor.com>

config/internal.php

@@ -0,0 +1,18 @@
+<?php
+// +----------------------------------------------------------------------
+// | CRMEB [ CRMEB赋能开发者，助力企业发展 ]
+// +----------------------------------------------------------------------
+// | Copyright (c) 2016~2026 https://www.crmeb.com All rights reserved.
+// +----------------------------------------------------------------------
+// | Licensed CRMEB并不是自由软件，未经许可不能去掉CRMEB相关版权
+// +----------------------------------------------------------------------
+// | Author: CRMEB Team <admin@crmeb.com>
+// +----------------------------------------------------------------------
+
+// 内部服务通信密钥（app_03 等调用 /api/internal/* 时使用）
+// 优先读 .env 的 INTERNAL_API_KEY，没有则用占位符（生产必须改）
+// 注意：.env 用 CRLF 换行时，env() 读到的值末尾会带 \r
+// 用 trim() 避免请求头和 config 值的字节级比较失败
+return [
+    'api_key' => trim((string)env('INTERNAL_API_KEY', '')),
+];