feat(tender): 我的订单加「去支付」「取消订单」入口，并新建收银台

hjc-web 此前**没有收银台**——支付步骤内嵌在购标流程（BuyDocument 的 step='pay'）里，
买家一旦离开就再也回不到未完成的支付。本提交补上按订单号付款的独立页面。

- 新建 /tender/pay 收银台：只认订单号，金额取自**订单本身**（by-no）而非支付响应
  （支付一失败页面就会停在 0.00）；进入先判状态，已支付/已取消/已退款**不发**统一下单，
  就地显示结论——既无意义，也会多撞一次跨端 OUT_TRADE_NO_USED
- 订单列表：待支付卡片加两个按钮 + 手搓 Tailwind 二次确认弹窗（照 ConsultDialog 的风格，
  不用 antd 的 Modal：买家页无先例，视觉与站点自建风格不一致）
- 状态口径改读 orderStatus（原先只看 payStatus，取消后会把已取消显示成「待支付」
  并带上「去支付」），抽 app/utils/orderStatus.ts，与 hjc-h5 刻意保持同一套优先级
- 新增两个 Nitro 代理 order-by-no.get.ts / cancel.post.ts，照既有 my-orders / pay-status
  的范式原样透传 ApiResult
- 标书详情「购买人数」改读 buyerCount（后端实时统计的已付款订单数）
- 跨端 OUT_TRADE_NO_USED：识别后端回带的 data.wechatCode 并给可行动提示，
  不匹配 message 字符串（包装方式一改就会静默失效）

server/api/tender/cancel.post.ts

@@ -0,0 +1,44 @@
+import { $fetch } from 'ofetch'
+import { createError, defineEventHandler, readBody, getHeader, getCookie } from 'h3'
+import { useRuntimeConfig } from '#imports'
+import { getTenantFromContext } from '../../utils/tenant'
+
+/**
+ * 取消订单（买家取消自己的待支付订单，幂等）
+ * POST /api/tender/cancel { orderNo }
+ * 代理到 mp-api /api/hjc/order/cancel；需登录态。
+ *
+ * 约定：原样透传 ApiResult{code,message,data}，由前端按 body.code 判定登录态与业务失败。
+ *
+ * 注意后端的返回语义：**「其实已经付了」不是错误**，它同样返回 code=0，
+ * 结论放在 data 的结构化字段里 —— `{ orderNo, cancelled, paid, verified, payStatus, orderStatus }`。
+ * 前端必须按字段判定，**不要**去匹配 message 字符串。
+ *   - cancelled=true                      → 取消成功
+ *   - cancelled=false, paid=true          → 该订单已支付（后端已顺手把本地状态补齐），刷新列表即可看到「已完成」
+ *   - verified=false                      → 本次未能在微信侧核对（微信不可达），取消仍然生效
+ */
+export default defineEventHandler(async (event) => {
+  const config = useRuntimeConfig()
+  const ctx = getTenantFromContext(event, config)
+  const body = await readBody(event)
+  const cookieToken = getCookie(event, 'hjc_token')
+  const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
+
+  try {
+    return await $fetch('/hjc/order/cancel', {
+      baseURL: config.public.modulesApiBase,
+      method: 'POST',
+      headers: {
+        TenantId: ctx.tenantId,
+        ...(auth ? { Authorization: auth } : {})
+      },
+      query: { TenantId: ctx.tenantId },
+      body
+    })
+  } catch (error: any) {
+    throw createError({
+      statusCode: error?.statusCode || error?.response?.status || 502,
+      statusMessage: error?.statusMessage || 'Failed to cancel order'
+    })
+  }
+})

server/api/tender/order-by-no.get.ts

@@ -0,0 +1,41 @@
+import { $fetch } from 'ofetch'
+import { createError, defineEventHandler, getHeader, getCookie, getQuery } from 'h3'
+import { useRuntimeConfig } from '#imports'
+import { getTenantFromContext } from '../../utils/tenant'
+
+/**
+ * 按订单号取订单（收银台用：它手上只有订单号，靠这个拿应付金额与当前状态）
+ * GET /api/tender/order-by-no?orderNo=xxx
+ * 代理到 mp-api /api/hjc/order/by-no/{orderNo}；需登录态。
+ *
+ * 为什么金额不跟 URL 传：收银台可能被刷新、也可能在网页授权回跳后重新进入；
+ * 钱数从 URL 来意味着展示值可被改（扣款仍以服务端为准，但纯展示也不该给假数）。
+ * 后端 `GET /api/hjc/order/by-no/{orderNo}` 的注释就写着「收银台只有订单号，用它取应付金额」。
+ *
+ * 约定：原样透传 ApiResult{code,message,data}。HTTP 状态码恒为 200，
+ * 「未登录/token 失效」是 code=401、「无权限」是 code=403，前端必须按 code 判定。
+ */
+export default defineEventHandler(async (event) => {
+  const config = useRuntimeConfig()
+  const ctx = getTenantFromContext(event, config)
+  const { orderNo } = getQuery(event)
+  const cookieToken = getCookie(event, 'hjc_token')
+  const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
+
+  try {
+    return await $fetch(`/hjc/order/by-no/${encodeURIComponent(String(orderNo ?? ''))}`, {
+      baseURL: config.public.modulesApiBase,
+      method: 'GET',
+      headers: {
+        TenantId: ctx.tenantId,
+        ...(auth ? { Authorization: auth } : {})
+      },
+      query: { TenantId: ctx.tenantId }
+    })
+  } catch (error: any) {
+    throw createError({
+      statusCode: error?.statusCode || error?.response?.status || 502,
+      statusMessage: error?.statusMessage || 'Failed to fetch order by orderNo'
+    })
+  }
+})