feat(tender): 登录加图形验证码、注册加短信验证码；改按 body.code 判定 401/403

- 新增 captcha / sms / logout 三个 Nuxt server 代理
- 修复代理把 ApiResult 拍扁成 data 的问题（my-orders、enterprise、order、pay、
  mark-paid）：登录态失败被前端当成「没有订单 / 未提交资质」，无法区分
- 新增 handleAuthCode 统一处理：401 → 清凭据并跳 /login?redirect=…；
  403 → 只提示「没有访问权限」，不清 token、不跳登录页
- 登录页与注册页分别接入图形验证码与短信验证码（含 60s 倒计时）
- 修复回跳开放重定向：redirect 参数安全解码且只接受站内路径
  （拒绝 //evil.com、https://… 及反斜杠变体 /\evil.com）
- 下单成功但发起支付失败时停在支付步，避免用户重提交产生重复订单

server/api/tender/order.post.ts

@@ -7,6 +7,9 @@ import { getTenantFromContext } from '../../utils/tenant'
  * 创建标书订单
  * POST /api/tender/order { projectId, quantity, contactName, contactPhone, contactEmail }
  * 代理到 mp-api（mp-java） /api/hjc/order/create；需登录态（从 cookie hjc_token 或 Authorization 透传）。
+ *
+ * 约定：原样透传 ApiResult{code,message,data}，由前端按 code 判定
+ * （401 未登录/token 失效、403 无权限、其余为业务失败）。
  */
 export default defineEventHandler(async (event) => {
   const config = useRuntimeConfig()
@@ -16,7 +19,7 @@ export default defineEventHandler(async (event) => {
   const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
 
   try {
-    const res = await $fetch('/hjc/order/create', {
+    return await $fetch('/hjc/order/create', {
       baseURL: config.public.modulesApiBase,
       method: 'POST',
       headers: {
@@ -25,8 +28,7 @@ export default defineEventHandler(async (event) => {
       },
       query: { TenantId: ctx.tenantId },
       body
-    }) as any
-    return res?.data ?? res
+    })
   } catch (error: any) {
     throw createError({
       statusCode: error?.statusCode || error?.response?.status || 502,