fix(mp): T40 UI 审计修复 — 28 项设计系统合规 + 安全加固 + 讨论记录

T40 UI 审计修复（60 页面全覆盖）:
- 新增 $acc-d/$wrn-d 渐变中间色变量，修复首页轮播渐变硬编码
- 替换 8 处裸 white 为 $white 设计变量（5 个 SCSS 文件）
- 修复 7 处触摸目标 40/44px → 48px（健康/消息/咨询/预约/首页）
- 3 页面新增 Loading 状态（体征录入/个人中心/就诊人添加）
- statusTag 移除硬编码布局值，改用 SCSS mixin 控制
- 医生端 14 页面架构 Hook 层补充（useThrottledDidShow 替换 useEffect）
- 移除 action-inbox 未使用 import

安全 P0 修复:
- JWT 中间件加固：token 类型校验 + 过期预检 + 类型别名简化
- 速率限制增强：滑动窗口 + 暴力破解防护
- analytics handler 错误处理完善

文档:
- T40 审计报告（24 PASS / 36 PASS_WITH_ISSUES / 0 NEEDS_WORK）
- 5 份 DevTools/性能审计讨论记录
- wiki 症状导航 + 小程序章节更新

apps/miniprogram/src/app.tsx

@@ -10,19 +10,15 @@ function App({ children }: PropsWithChildren<Record<string, unknown>>) {
   const restoreAuth = useAuthStore((s) => s.restore);
   const restoreUI = useUIStore((s) => s.restore);
 
-  // 首次 mount 时立即恢复认证状态（优先于 useDidShow）
-  useEffect(() => {
-    restoreAuth();
-    restoreUI();
-  }, []);
-
+  // useDidShow 在首次 mount 时也会触发，不需要 useEffect 重复调用
   useDidShow(() => {
     restoreAuth();
     restoreUI();
   });
 
-  // 暴露全局 bridge 供 MCP/自动化测试调用
+  // 暴露全局 bridge 供 MCP/自动化测试调用（仅 dev 模式）
   useEffect(() => {
+    if (process.env.NODE_ENV === 'production') return;
     (globalThis as any).__hms = {
       restoreAuth: () => { restoreAuth(); return useAuthStore.getState(); },
       restoreUI,
@@ -30,7 +26,7 @@ function App({ children }: PropsWithChildren<Record<string, unknown>>) {
       forceSetAuth: (state: Record<string, unknown>) => useAuthStore.setState(state),
     };
     return () => { delete (globalThis as any).__hms; };
-  }, [restoreAuth, restoreUI]);
+  }, []);
 
   useEffect(() => {
     const timer = setInterval(() => {