fix(admin,partner): harden Tencent locpicker coords and confirm flow

Accept latlng-only postMessage, confirm before apply, and read LBS key per request.

Co-authored-by: Cursor <cursoragent@cursor.com>

server/dukang-api/.env.example

@@ -60,7 +60,9 @@ WX_PAY_NOTIFY_URL=https://api.dukanghaoke.com/api/v1/callbacks/wechat/pay
 WECOM_AIBOT_ENABLED=false
 
 # 腾讯位置服务（地理编码 / 逆地理 / 地图选点组件）
-# 地图选点需在控制台为 Key 配置域名白名单，并允许组件域名 apis.map.qq.com
+# 控制台须：1) 开启 WebServiceAPI（否则选点搜不到附近列表）
+# 2) WebService 域名白名单加入 apis.map.qq.com
+# 3) 浏览器 Key 按管理端 / 合伙人 H5 域名限制（可选）
 TENCENT_LBS_KEY=
 
 # 阿里云 OSS（ali-oss@6.x；凭证齐全时直传，缺失则服务端报错）