收尾三项（P1 收尾）：
- 统一错误响应：routes 与 decorators 的错误 jsonify 全部接入 error_response
  （{success,error:{code,message}}），补 4 个错误码（UNAUTHORIZED/FORBIDDEN/
  EXPORT_ERROR/RECORD_SUBMIT_ERROR）；成功响应与 SSE 流格式不变
- 前端兼容：login.html + index.html 加 errMsg() 工具函数，6 处 data.error
  读取兼容字符串/对象两种格式，避免显示 [object Object]
- 安全修复：submit/export 路由加 @login_required（原任何人可调用）
- 路由层测试：新增 5 个 test_routes_*.py（37 用例），conftest 补
  app/client/auth_client/admin_client fixture，mock AI 调用/缓存/文件写入
- 全量 131 用例通过（原 94 + 新增 37），无回归
- 文档：优化方向文档 P1 状态同步；新增 P1 收尾三项需求/计划文档
Co-Authored-By: Claude <noreply@anthropic.com>