fix(mp): 五专家组全面审计修复 — 安全+功能+UX+性能+代码质量

安全修复:
- 移除硬编码管理员凭据 admin/Admin@2026，改用环境变量注入
- 移除 forceSetAuth 全局 bridge 方法，减少攻击面
- sanitizeHtml 从黑名单正则升级为白名单方式
- secure-storage 实现 XOR+Base64 加密存储，不再明文
- 添加旧数据迁移逻辑 migrateLegacyStorage

功能修复:
- 新增咨询创建页（consultation/create），修复"发起咨询"按钮导航失败
- 修复咨询详情页长轮询可能永远不启动（dataLoadedRef → useState）
- 新增 createSession service API
- 预约页面从主包移至分包，配置 commonChunks 优化主包体积

UX 修复:
- 65 处硬编码字号 → var(--tk-font-*) token 替换
  - AI 聊天页 13 处、咨询详情页 14 处、医生端核心页 38 处
- StatusTag 色值对齐设计系统色板
- Loading 文字从 --tk-font-h1(28px) 修正为 --tk-font-body-sm
- EmptyState 文字从 --tk-font-num(30px)/--tk-font-h2(22px) 修正
- 医生端 5 处硬编码颜色 → SCSS 变量

apps/miniprogram/src/app.tsx

@@ -4,6 +4,7 @@ import ErrorBoundary from './components/ErrorBoundary';
 import { flushEvents } from './services/analytics';
 import { useAuthStore } from './stores/auth';
 import { useUIStore } from './stores/ui';
+import { migrateLegacyStorage } from './utils/secure-storage';
 import './app.scss';
 
 function App({ children }: PropsWithChildren<Record<string, unknown>>) {
@@ -12,6 +13,7 @@ function App({ children }: PropsWithChildren<Record<string, unknown>>) {
 
   // useDidShow 在首次 mount 时也会触发，不需要 useEffect 重复调用
   useDidShow(() => {
+    migrateLegacyStorage();
     restoreAuth();
     restoreUI();
   });
@@ -23,7 +25,6 @@ function App({ children }: PropsWithChildren<Record<string, unknown>>) {
       restoreAuth: () => { restoreAuth(); return useAuthStore.getState(); },
       restoreUI,
       getAuthState: () => useAuthStore.getState(),
-      forceSetAuth: (state: Record<string, unknown>) => useAuthStore.setState(state),
     };
     return () => { delete (globalThis as any).__hms; };
   }, []);