fix: 前端深度审计全量修复 — 安全/功能/代码质量

严重 BUG 修复:
- 修复 Token 过期后 hash 重定向导致无法跳转登录页
- 修复文章编辑器新建后提交审核使用错误 ID

安全加固:
- HTML 清理函数替换为 ammonia 专业库（替代自定义解析器）
- 文件上传添加 magic bytes 校验（防 Content-Type 伪造）
- 登录添加账户级失败锁定（5次失败→15分钟锁定）
- 审计日志 9 个关键更新操作补充变更前后值（with_changes）

功能缺陷修复:
- 登录/登出时清理 API 缓存（防多账户数据污染）
- 文章编辑器上传改用统一 HTTP 客户端（自动 token 刷新）
- 添加全局 HTTP 错误处理和后端错误消息展示
- PrivateRoute 增加路由级权限检查（系统管理页面）
- 健康数据三个 Tab 添加编辑/删除功能
- 预约创建增加排班可用性校验提示
- 医生详情 API 返回解密后的原始执照号

代码清理:
- 删除未使用的 auth.ts refresh() 函数
- 删除重复的 AuthGuard.tsx 组件
- 删除未使用的 getHealthSummary API

crates/erp-server/src/main.rs

@@ -487,6 +487,8 @@ async fn main() -> anyhow::Result<()> {
     // with the jwt_auth_middleware_fn.
 
     // Public routes (no authentication, but IP-based rate limiting)
+    // Layer execution order (outer → inner): account_lockout → rate_limit_by_ip
+    // So account lockout check runs FIRST, then IP rate limiting
     let public_routes = Router::new()
         .merge(handlers::health::health_check_router())
         .merge(erp_auth::AuthModule::public_routes())
@@ -494,6 +496,10 @@ async fn main() -> anyhow::Result<()> {
             "/docs/openapi.json",
             axum::routing::get(handlers::openapi::openapi_spec),
         )
+        .layer(axum::middleware::from_fn_with_state(
+            state.clone(),
+            middleware::rate_limit::account_lockout_middleware,
+        ))
         .layer(axum::middleware::from_fn_with_state(
             state.clone(),
             middleware::rate_limit::rate_limit_by_ip,