feat(tender): 登录加图形验证码、注册加短信验证码；改按 body.code 判定 401/403

- 新增 captcha / sms / logout 三个 Nuxt server 代理
- 修复代理把 ApiResult 拍扁成 data 的问题（my-orders、enterprise、order、pay、
  mark-paid）：登录态失败被前端当成「没有订单 / 未提交资质」，无法区分
- 新增 handleAuthCode 统一处理：401 → 清凭据并跳 /login?redirect=…；
  403 → 只提示「没有访问权限」，不清 token、不跳登录页
- 登录页与注册页分别接入图形验证码与短信验证码（含 60s 倒计时）
- 修复回跳开放重定向：redirect 参数安全解码且只接受站内路径
  （拒绝 //evil.com、https://… 及反斜杠变体 /\evil.com）
- 下单成功但发起支付失败时停在支付步，避免用户重提交产生重复订单

app/templates/template-07/pages/BuyDocument.vue

@@ -78,7 +78,7 @@ import type { Tender } from '~/types/tender'
 
 const route = useRoute()
 const id = route.query.id as string
-const { isLoggedIn } = useHjcAuth()
+const { isLoggedIn, handleAuthCode } = useHjcAuth()
 
 const loggedIn = ref(false)
 const tender = shallowRef<Tender | null>(null)
@@ -102,6 +102,7 @@ async function submit() {
   error.value = ''
   submitting.value = true
   try {
+    // 代理原样透传 ApiResult：按 body.code 判定（HTTP 状态码恒为 200，不可用于判定）
     const order: any = await $fetch('/api/tender/order', {
       method: 'POST',
       body: {
@@ -112,15 +113,31 @@ async function submit() {
         contactEmail: form.contactEmail
       }
     })
-    if (order && order.orderNo) {
-      orderNo.value = order.orderNo
-      totalAmount.value = order.totalAmount || 0
-      // 发起支付
-      const pay: any = await $fetch('/api/tender/pay', { method: 'POST', body: { orderNo: order.orderNo } })
-      codeUrl.value = pay?.codeUrl || ''
-      step.value = 'pay'
-    } else {
+    const orderAuth = await handleAuthCode(order, redirect.value)
+    if (orderAuth.handled) {
+      // 401 已清凭据并跳登录页；403 只提示「没有访问权限」，不清 token
+      error.value = orderAuth.message || ''
+      return
+    }
+    if (order?.code !== 0) {
       error.value = order?.message || '下单失败'
+      return
+    }
+    orderNo.value = order.data?.orderNo || ''
+    totalAmount.value = order.data?.totalAmount || 0
+    // 发起支付
+    const pay: any = await $fetch('/api/tender/pay', { method: 'POST', body: { orderNo: orderNo.value } })
+    const payAuth = await handleAuthCode(pay, redirect.value)
+    if (payAuth.handled) {
+      error.value = payAuth.message || ''
+      return
+    }
+    // 订单已创建：即使发起支付失败也停在支付步骤，避免用户重提交产生重复订单
+    step.value = 'pay'
+    if (pay?.code === 0) {
+      codeUrl.value = pay.data?.codeUrl || ''
+    } else {
+      error.value = pay?.message || '发起支付失败，请稍后重试'
     }
   } catch (e: any) {
     error.value = e?.data?.message || e?.message || '下单失败'
@@ -133,7 +150,16 @@ async function markPaid() {
   error.value = ''
   marking.value = true
   try {
-    await $fetch('/api/tender/mark-paid', { method: 'PUT', body: { orderNo: orderNo.value } })
+    const res: any = await $fetch('/api/tender/mark-paid', { method: 'PUT', body: { orderNo: orderNo.value } })
+    const auth = await handleAuthCode(res, redirect.value)
+    if (auth.handled) {
+      error.value = auth.message || ''
+      return
+    }
+    if (res?.code !== 0) {
+      error.value = res?.message || '确认失败'
+      return
+    }
     step.value = 'done'
   } catch (e: any) {
     error.value = e?.data?.message || e?.message || '确认失败'