feat: v1.5 安全加固与体验优化

- 后端添加 express-rate-limit 限流（登录 10次/分钟，API 200次/分钟）
- H5 演示登录：自动获取 demo token，401 时自动重试
- 分类删除前查询关联记录数，提示用户影响范围
- 分类添加支持 8 色选择器，替代随机颜色
- 首页 overview card 改为日均+收入+笔数，避免重复显示支出
- 请求模块 401 处理优化：H5 自动刷新 token 并重试原请求

client/src/App.vue

@@ -24,6 +24,25 @@ onLaunch(() => {
     }
   })
   // #endif
+
+  // #ifdef H5
+  const token = uni.getStorageSync('xc:token')
+  if (!token) {
+    // 同步等待 token，避免页面首次请求因无 token 而 401
+    request<{ token: string; userId: number }>({
+      url: '/auth/demo-login',
+      method: 'POST'
+    }).then((data) => {
+      uni.setStorageSync('xc:token', data.token)
+      uni.setStorageSync('xc:userId', data.userId)
+      console.log('[Auth] H5 demo login success')
+    }).catch((e) => {
+      console.error('[Auth] H5 demo login failed:', e)
+    })
+  } else {
+    console.log('[Auth] H5 token exists')
+  }
+  // #endif
 })
 </script>