fix(miniapp): 修复全站 401 —— 认证链字段名不一致 + 首页 onRetry 缺失

根因（读码 + 本机后端实测坐实）：
- 后端登录/刷新返回 accessToken，前端 authStore 却读 result.token →
  accessToken 从未落库 → 每个请求都不带 Authorization → 全站 401（首页无法加载）。
- /auth/refresh 少传 userId：后端以 userId 定位 Redis refresh token，
  缺失即 BAD_REQUEST → HTTP 400（实测 {refreshToken} 体 → 400）。
- 首页 index.wxml 绑定 bind:retry="onRetry"（ui-error-state 触发 retry 事件），
  但 index.ts 无该方法 → 控制台报错、错误页「重新加载」失效。
- app.globalData.token 从未赋值，多页直读它拼 Authorization → Bearer undefined。

修复：
- authStore：登录/刷新改用 result.accessToken；刷新传 this.state.userId。
- authService.refresh(userId)：发送 { userId, refreshToken }。
- pages/index：新增 onRetry；onLoad 订阅 authStore（expired → 回登录引导；
  刷新成功且停在错误态 → 自动重载）；onUnload 退订。
- utils/api：saveToken/clearToken/getToken 同步 app.globalData.token，兼容旧页面。

守卫补强：
- ui-tests/miniapp-auth-contracts.mjs 原仅覆盖 hydrate，对字段名缺陷零覆盖。
  新增行为断言：登录后 storage.accessToken 必须等于后端 accessToken；
  刷新请求体必须含 userId + refreshToken 并持久化新 accessToken。
  已双向负向注入验证判别力（改回 result.token / 去掉 userId 均 exit 1）。

验证：
- tsc --noEmit -p miniapp/tsconfig.json → exit 0，零错误。
- scripts/run-ui-contracts.mjs → 18/18 PASS。
- 本机 8085 /auth/refresh 三态实测：{} → 400；{refreshToken} → 400；
  {userId,refreshToken} → 500（进入服务校验，非 400）。
- 未验证：开发者工具内实际登录→首页链路（本机无法驱动 devtools，待用户复测）。

miniapp/utils/api.js

@@ -78,6 +78,9 @@ class ApiClient {
     try {
       this.token = wx.getStorageSync('accessToken') || null;
       this._refreshToken = wx.getStorageSync('refreshToken') || null;
+      // 冷启动时同步给直接读 app.globalData.token 的旧页面
+      const app = typeof getApp === 'function' ? getApp() : null;
+      if (app && app.globalData) app.globalData.token = this.token;
     } catch (e) {
       // ignore
     }
@@ -101,6 +104,9 @@ class ApiClient {
     this._refreshToken = refreshToken;
     wx.setStorageSync('accessToken', token);
     wx.setStorageSync('refreshToken', refreshToken);
+    // 同步给直接读 app.globalData.token 的旧页面（否则它们发 Bearer undefined → 401）
+    const app = typeof getApp === 'function' ? getApp() : null;
+    if (app && app.globalData) app.globalData.token = token;
   }
 
   /** 清除 token（登出/Session 失效后调用） */
@@ -109,6 +115,8 @@ class ApiClient {
     this._refreshToken = null;
     wx.removeStorageSync('accessToken');
     wx.removeStorageSync('refreshToken');
+    const app = typeof getApp === 'function' ? getApp() : null;
+    if (app && app.globalData) app.globalData.token = null;
   }
 
   /** 生成请求 ID（用于链路追踪） */