use Arcane project environment for ASR secrets

servers/tools-pve/asr-pipeline/README.md

@@ -7,7 +7,7 @@
 - `/mnt/truenas/personal/ASR-Pipeline` → 容器 `/data`：原始录音、转写、ASR 原始响应、草稿、正式稿、日志和 SQLite 在线备份。
 - `/opt/asr-pipeline/state` → 容器 `/state`：活动 SQLite、worker heartbeat、revision queue。SQLite WAL 不放在 NFS。
 - `/srv/asr/inbox`：指向 TrueNAS inbox 的宿主机链接，供 `scp`/`sftp` 上传。
-- `.env`：仅存在 Arcane Project / tools-pve，权限 `0600`，不进入 Git。
+- Secret 只存在于 Arcane Project 环境和 tools-pve 的 `0600` 恢复副本，不进入 Git。
 
 SSH 大文件建议先上传为 `.part`，完成后在同一目录原子改名为受支持扩展名：
 

servers/tools-pve/asr-pipeline/compose.yaml

@@ -1,3 +1,16 @@
+x-asr-environment: &asr-environment
+  ZENMUX_API_KEY: ${ZENMUX_API_KEY:-}
+  ASR_AGENT_TOKEN: ${ASR_AGENT_TOKEN:-}
+  ASR_PUBLIC_URL: ${ASR_PUBLIC_URL:-http://192.168.50.49:8788}
+  ASR_DIARIZE_URL: ${ASR_DIARIZE_URL:-http://192.168.50.100:10099/asr}
+  HINDSIGHT_API: ${HINDSIGHT_API:-http://192.168.50.47:8888}
+  HINDSIGHT_BANK: ${HINDSIGHT_BANK:-personal-context}
+  ASR_NOTIFY_BACKEND: ${ASR_NOTIFY_BACKEND:-none}
+  HERMES_WEBHOOK_URL: ${HERMES_WEBHOOK_URL:-}
+  HERMES_WEBHOOK_SECRET: ${HERMES_WEBHOOK_SECRET:-}
+  TELEGRAM_BOT_TOKEN: ${TELEGRAM_BOT_TOKEN:-}
+  TELEGRAM_CHAT_ID: ${TELEGRAM_CHAT_ID:-}
+
 services:
   asr-web:
     image: tools-asr-pipeline:2026-09-18
@@ -8,9 +21,8 @@ services:
     container_name: tools-asr-web
     restart: unless-stopped
     init: true
-    env_file:
-      - /opt/asr-pipeline/.env
     environment:
+      <<: *asr-environment
       ASR_ROLE: web
     ports:
       - "192.168.50.49:8788:8788"
@@ -32,9 +44,8 @@ services:
     container_name: tools-asr-worker
     restart: unless-stopped
     init: true
-    env_file:
-      - /opt/asr-pipeline/.env
     environment:
+      <<: *asr-environment
       ASR_ROLE: worker
     command: ["python", "-m", "asrservice.worker"]
     volumes: