feat(tender): 登录加图形验证码、注册加短信验证码；改按 body.code 判定 401/403

- 新增 captcha / sms / logout 三个 Nuxt server 代理
- 修复代理把 ApiResult 拍扁成 data 的问题（my-orders、enterprise、order、pay、
  mark-paid）：登录态失败被前端当成「没有订单 / 未提交资质」，无法区分
- 新增 handleAuthCode 统一处理：401 → 清凭据并跳 /login?redirect=…；
  403 → 只提示「没有访问权限」，不清 token、不跳登录页
- 登录页与注册页分别接入图形验证码与短信验证码（含 60s 倒计时）
- 修复回跳开放重定向：redirect 参数安全解码且只接受站内路径
  （拒绝 //evil.com、https://… 及反斜杠变体 /\evil.com）
- 下单成功但发起支付失败时停在支付步，避免用户重提交产生重复订单

server/api/tender/sms.post.ts

@@ -0,0 +1,34 @@
+import { $fetch } from 'ofetch'
+import { createError, defineEventHandler, readBody } from 'h3'
+import { useRuntimeConfig } from '#imports'
+import { getTenantFromContext } from '../../utils/tenant'
+
+/**
+ * 发送注册短信验证码
+ * POST /api/tender/sms { phone }
+ * 代理到 mp-api /api/hjc/auth/sms；匿名可访问（注册在登录前调用）。
+ *
+ * 说明：`phone` 必须传<b>经办人手机号</b>——后端以「经办人手机号」作为账号手机号建号，
+ * 注册接口的 `code` 校验的正是发给该号码的短信验证码。
+ * 原样透传 ApiResult{code,message,data}，成功 message 为「验证码已发送」。
+ */
+export default defineEventHandler(async (event) => {
+  const config = useRuntimeConfig()
+  const ctx = getTenantFromContext(event, config)
+  const body = await readBody(event)
+
+  try {
+    return await $fetch('/hjc/auth/sms', {
+      baseURL: config.public.modulesApiBase,
+      method: 'POST',
+      headers: { TenantId: ctx.tenantId },
+      query: { TenantId: ctx.tenantId },
+      body
+    })
+  } catch (error: any) {
+    throw createError({
+      statusCode: error?.statusCode || error?.response?.status || 502,
+      statusMessage: error?.data?.message || error?.statusMessage || 'Failed to send sms'
+    })
+  }
+})