feat(parent-portal): 完整实现 P4+P5+P6 家长端微前端

实现内容（仲裁裁决驱动，首次即最终方案）：

P4 核心功能
- 认证：localStorage token 存储（F12）+ REST 登录（ISSUE-004）+ refreshAccessToken 竞态防护
- 子女切换：ChildSwitcher（Tab ≤3 / 下拉 ≥4）+ Zustand store（ISSUE-009 纯前端切换）
- 数据查询：urql GraphQL 消费 parent-bff（F9）+ TanStack Query 缓存
- 通知中心：NotificationFeed + 已读/全部已读 mutations
- 通知偏好：三维矩阵 + ISSUE-033 localStorage 降级
- 5 层状态管理：URL/Server/Client/Global UI/Form
- 跨标签同步：BroadcastChannel + storage 事件

P5 实时推送
- WebSocket 连接 push-gateway + 指数退避重连
- HTTP 轮询降级（60s）+ 实时通知 Hook

P6 硬化
- Web Vitals 上报 + OTel trace
- i18n 5 语言（zh-CN/en-US/zh-TW/ja-JP/ar-SA 含 RTL）
- PWA manifest + Service Worker
- CSP 安全头 + 权限点 F7 命名 + 设计令牌三层

测试与构建
- Vitest 92 测试全通过（utils/auth/child-store/ChildSwitcher/NotificationFeed/login）
- MSW mock 未就绪上游（parent-bff GraphQL + iam REST + iam GetChildrenByParent P0 阻塞用 fixtures）
- Dockerfile 多阶段构建（G1，端口 4002，HEALTHCHECK /api/health）
- typecheck + lint 零错误

经验沉淀
- known-issues.md §2.13 追加 12 条实现期经验（无 AI 身份标注）
- arch.db 已更新（15 TS 模块 / 482 符号 / 138 proto）

依据：02-architecture-design.md（回写总裁裁决）、coord-final-decisions.md、
president-final-rulings.md、parent-portal_workline.md、parent-portal_contract.md

apps/parent-portal/src/middleware.ts

@@ -0,0 +1,58 @@
+// Next.js middleware：CSP 安全头 + 认证守卫
+// 依据：02-architecture-design.md §13 安全硬化（P6-6）、project_rules §4 安全规范
+// - CSP：限制脚本/样式/图片/连接来源
+// - 认证守卫：/parent/* 路由检查 token（SSR 阶段重定向）
+
+import { NextResponse, type NextRequest } from "next/server";
+
+const PROTECTED_ROUTES = ["/parent"];
+
+export function middleware(request: NextRequest) {
+  const { pathname } = request.nextUrl;
+  const response = NextResponse.next();
+
+  // CSP 安全头
+  const csp = [
+    "default-src 'self'",
+    "script-src 'self' 'unsafe-inline' 'unsafe-eval'",
+    "style-src 'self' 'unsafe-inline'",
+    "img-src 'self' data: https:",
+    "font-src 'self' data:",
+    "connect-src 'self' ws: wss:",
+    "frame-ancestors 'self'",
+    "base-uri 'self'",
+    "form-action 'self'",
+  ].join("; ");
+
+  response.headers.set("Content-Security-Policy", csp);
+  response.headers.set("X-Frame-Options", "SAMEORIGIN");
+  response.headers.set("X-Content-Type-Options", "nosniff");
+  response.headers.set("Referrer-Policy", "strict-origin-when-cross-origin");
+  response.headers.set(
+    "Permissions-Policy",
+    "camera=(), microphone=(), geolocation=()",
+  );
+
+  // 认证守卫（SSR 阶段）
+  if (PROTECTED_ROUTES.some((route) => pathname.startsWith(route))) {
+    const token = request.cookies.get("parent_access_token")?.value;
+    // 注意：F12 裁决使用 localStorage token，SSR 阶段无法读取
+    // 此处仅做 cookie 兜底检查，客户端 parent/layout.tsx 做完整守卫
+    if (!token) {
+      // 检查是否有 Authorization header（MF 模式由 Shell 注入）
+      const authHeader = request.headers.get("authorization");
+      if (!authHeader) {
+        const loginUrl = new URL("/login", request.url);
+        return NextResponse.redirect(loginUrl);
+      }
+    }
+  }
+
+  return response;
+}
+
+export const config = {
+  matcher: [
+    "/((?!api|_next/static|_next/image|favicon.ico|mockServiceWorker.js|manifest.json|icon-).*)",
+  ],
+};