- /auth/session 返回当前 host 的 actionUrls(AuthService.getActionUrls),所有角色可拿,
  不再依赖 admin 端点;SessionResponse 加 actionUrls 字段
- 前端 loadSession 把 actionUrls 存进会话 user;「新建预约」读 actionUrls.CREATE_APPOINTMENT
  → 替换 {patientId}(=external_id)/{doctorId} → window.open(_top);未配置则提示去配
- 宿主动作 URL 仍是宿主在 admin 配的数据,代码零硬编码

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>