feat(tender): 登录加图形验证码、注册加短信验证码；改按 body.code 判定 401/403

- 新增 captcha / sms / logout 三个 Nuxt server 代理
- 修复代理把 ApiResult 拍扁成 data 的问题（my-orders、enterprise、order、pay、
  mark-paid）：登录态失败被前端当成「没有订单 / 未提交资质」，无法区分
- 新增 handleAuthCode 统一处理：401 → 清凭据并跳 /login?redirect=…；
  403 → 只提示「没有访问权限」，不清 token、不跳登录页
- 登录页与注册页分别接入图形验证码与短信验证码（含 60s 倒计时）
- 修复回跳开放重定向：redirect 参数安全解码且只接受站内路径
  （拒绝 //evil.com、https://… 及反斜杠变体 /\evil.com）
- 下单成功但发起支付失败时停在支付步，避免用户重提交产生重复订单

app/components/HjcUserBar.vue

@@ -17,8 +17,9 @@
 const { isLoggedIn, user, logout } = useHjcAuth()
 const loggedIn = ref(isLoggedIn())
 
-function doLogout() {
-  logout()
+async function doLogout() {
+  // logout() 会先通知后端（无服务端会话），再清本地凭据
+  await logout()
   return navigateTo('/tender')
 }
 </script>