feat(h5): H5 交给后端托管 + 修掉"相对地址在 uni.request 下失败"

背景：配好了花生壳穿透 http://394nb68658le.vicp.fun → 本机 8080。
但 H5 原来跑在 127.0.0.1:5174，手机访问不到 —— 所以把 H5 静态文件
交给后端一起服务（同一个域名）。这样顺带也不再需要 CORS，
而且正是正式部署的形态。

改动：
· application-dev.yml 加 spring.web.resources.static-locations，
  默认指向 frontend-mp/dist/build/h5/，可用 H5_STATIC_DIR 覆盖。
  ⚠️ 前缀必须是 spring.（我一开始写成了 fill.，表现是"页面 404 而应用
  照常启动、没有任何报错"）。
· fill.mp-h5.callback-url / h5-base-url 改成穿透域名。
· config/index.ts：API 地址按端区分（api 地址两端策略不同，写死一个值
  一定会在某一边出错）：
    H5     → location.origin（绝对同源）
    小程序 → http://localhost:8080（没有"同域"概念，必须绝对地址）
  用 uni-app 条件编译区分，而不是运行期判断（后者会把两套地址都打进包里）。

⚠️ 修掉一个只在真实穿透下才会暴露的 bug：
· 原来 H5 硬编码 http://localhost:8080。从公网域名打开时变成跨域请求 → 被 CORS 拦
  → 页面显示"网络请求失败"，而**从本机打开却是好的**。这个 bug 只有走真实
  穿透/真机才会暴露 —— 这正是"要在真环境验证"的价值。
· 改成相对路径后**仍然失败**（request:fail），但同样地址用原生 XHR / fetch
  都是 200。也就是说这是 uni.request 自身对相对路径的处理差异，不是服务端
  或跨域问题 —— 而它长得像"网络不通"，很容易往 CORS / 域名 / 后端去查，白绕一大圈。
  最终用 location.origin（绝对同源）绕开。

验证：经公网 http://394nb68658le.vicp.fun/?scene=t1-k17
→ 显示「示范职业学校 / 2026年9月机电专业认定材料收集 / 尚未发布」，
无头浏览器截图确认（不依赖人工）。
※ 首次加载约 27 秒 —— 穿透的带宽限制（花生壳免费档），不是代码问题。

backend/xt-server/src/main/resources/application-dev.yml

@@ -19,6 +19,16 @@ spring:
   flyway:
     # dev 允许 clean 后重建，方便反复试 DDL
     clean-disabled: false
+  web:
+    resources:
+      # H5 静态文件位置。默认指向 uni-app 的 H5 构建产物；
+      # 部署时用环境变量 H5_STATIC_DIR 指到实际目录即可，
+      # **不需要把构建产物提交进仓库**（那是产物，不是源码）。
+      # 开发前先在 frontend-mp 里跑一次 `pnpm build:h5`。
+      #
+      # ⚠️ 它的前缀是 spring.（不是 fill.）——写错前缀的表现是"页面 404
+      #    而应用照常启动、没有任何报错"，很难一眼看出来。
+      static-locations: ${H5_STATIC_DIR:file:../frontend-mp/dist/build/h5/},classpath:/static/
 
 mybatis-plus:
   configuration:
@@ -71,12 +81,13 @@ fill:
   mp-h5:
     app-id: ${WX_H5_APP_ID:wx5d3ae5c1c21fef24}
     app-secret: ${WX_H5_APP_SECRET:0e0367fd39a968866a3c59f6c641dda2}
-    # 授权回调地址。必须是「授权回调页面域名」下的完整 URL，
+    # 授权回调地址。域名必须是「授权回调页面域名」里填的那个，
-    # 而那个域名要填在公众号后台（只能填域名，不能带端口/路径/IP）。
+    # 而那个域名要能解析到这台机器（本地开发用内网穿透）。
-    # 本地开发：把域名用 hosts 指到 127.0.0.1，或用内网穿透给一个公网域名。
+    callback-url: ${WX_H5_CALLBACK:http://394nb68658le.vicp.fun/api/v1/mp/h5/callback}
-    callback-url: ${WX_H5_CALLBACK:http://127.0.0.1:8080/api/v1/mp/h5/callback}
+    # H5 应用地址：授权成功后 302 回这里。
-    # H5 应用地址：授权成功后 302 回这里
+    # 与接口**同域**（由本服务直接托管 H5 静态文件，见下面的 static-locations）——
-    h5-base-url: ${WX_H5_BASE_URL:http://127.0.0.1:5174}
+    # 这样既省掉 CORS，也和正式部署的形态一致。
+    h5-base-url: ${WX_H5_BASE_URL:http://394nb68658le.vicp.fun}
     # ⚠️⚠️ 跳过微信授权直接登录的开关。**生产必须为 false**。
     #      开了它就是"任何人可登录任何学生"的后门。
     #      代码里还会再判一次 profile 不含 prod（双保险）。

frontend-mp/src/config/index.ts

@@ -1,23 +1,40 @@
 /**
- * 小程序端配置。
+ * API 地址。
  *
- * ⚠️ API 地址在三种场景下不一样，写死会导致"开发者工具里好好的，真机打不开"：
+ * ⚠️ **H5 与小程序必须用不同的策略**，写死一个值一定会在某一边出错：
  *
- *   1. 微信开发者工具：可以用 http://localhost:8080，
+ *   · **H5**：与接口**同域**（后端直接托管 H5 静态文件，见 application-dev.yml 的
- *      但必须在「详情 → 本地设置」里勾上 **「不校验合法域名、web-view、TLS 版本以及 HTTPS 证书」**。
+ *     static-locations），所以用**相对路径（空串）**。这样：
- *      不勾的话请求会被拦，报错是「不在以下 request 合法域名列表中」——
+ *       ① 完全不经过 CORS —— 换域名也不用改配置；
- *      而那句话看起来像"域名没配"，会让人跑去小程序后台白改一通。
+ *       ② 不会出现"手机能从 A 域名加载页面、却向后端 B 域名发请求"这种毛病。
+ *     ⚠️ 曾经的写法是硬编码 `http://localhost:8080`，于是从公网域名打开时
+ *     变成了跨域请求 → 被 CORS 拦 → 页面显示"网络请求失败"，
+ *     而**从本机打开却是好的**。这个 bug 只有走真实穿透/真机才会暴露。
  *
- *   2. 真机预览/体验版：localhost 是**手机自己**，不是你的电脑。
+ *   · **小程序**：没有"同域"这个概念，必须写绝对地址。
- *      要把地址换成电脑的局域网 IP（如 http://192.168.1.5:8080），
+ *     开发者工具里可以用 `http://localhost:8080`（需勾"不校验合法域名"）；
- *      并确保手机与电脑在同一网络、电脑防火墙放行 8080。
+ *     真机要用局域网 IP；正式版必须是 HTTPS + 已在小程序后台配好的域名。
  *
- *   3. 正式发布：必须是 **HTTPS + 已在微信后台配好 request 合法域名**（见待办：域名白名单），
+ * 用 uni-app 的条件编译区分两端，而不是运行期判断 —— 后者会把两套地址都打进包里。
- *      且域名不能带端口、不能是 IP。
- *
- * 所以这里留成一处配置，而不是散在请求代码里。
  */
+// #ifdef H5
+/**
+ * H5：用**绝对的同源地址**（`location.origin`），不要用相对路径。
+ *
+ * ⚠️ 实测：`uni.request` 传相对路径（`/api/v1/...`）会以 `request:fail` 失败，
+ * 而**同样地址用原生 XHR / fetch 是成功的**（都是 200）。也就是说这是 uni-app
+ * 自身的处理差异，不是服务端或跨域问题 —— 但排查时它长得像"网络不通"，
+ * 很容易往 CORS / 域名 / 后端去查，白绕一大圈。
+ *
+ * 用 `location.origin` 而不是 `''`：既绕开这个差异，又保持**同源**
+ * （不经过 CORS），换域名也不用改配置。
+ */
+export const API_BASE_URL = typeof location !== 'undefined' ? location.origin : ''
+// #endif
+
+// #ifndef H5
 export const API_BASE_URL = 'http://localhost:8080'
+// #endif
 
 /** 主题色（与 PC 管理端同一套腾讯云 TDesign 色板，两端视觉要一致）。 */
 export const THEME = {