refactor: migrate pages and API routes to App Router

VALIDATION.md

@@ -16,3 +16,15 @@
 ## 真实账号创建验收
 
 已在用户已登录的 Chrome 中打开 http://localhost:17321/dashboard。初始空间列表为空；使用新建画布流程提交用户原先填写的「周末的灵感」后，创建了「个人空间」和该画布。完整刷新页面后，侧栏和主列表仍显示该画布，确认读取到后端持久化记录。此项为真实账号验收，补充此前只完成隔离模拟测试的限制。
+
+## App Router 迁移验收（2026-11-05）
+
+- 全部页面迁入 `src/app`；根布局提供全局样式、`zh-CN`、标题及描述。工作台通过 `next/navigation` 读取演示参数，入口提供 Suspense 边界。
+- 两个 API 改为 Route Handlers，保留会话 Cookie、Origin 校验、路径和查询参数白名单、15 秒超时、请求取消及 Server-Timing；显式保留 1 MiB 请求体限制。
+- `npm run build -- --webpack`：通过，构建结果全部为 App Router 路由。
+- 默认 `npm run build`：当前环境禁止 Turbopack CSS 工作进程绑定本地端口而失败；没有更改项目默认构建器。清理迁移前 `.next` 缓存后，Webpack 编译、类型检查和静态生成均通过。
+- `npm run typecheck`：通过。
+- `node --experimental-strip-types --test tests/workspace.test.mjs`：4 项通过。
+- `node tests/api-smoke.mjs`：通过。覆盖首页、登录、登录回调、真实及演示工作台的 HTTP 响应、语言/标题/描述/viewport、404、Cookie 与令牌隔离、HTTPS Secure Cookie、登录态代理、跨站及非法 Origin、路径及查询白名单、请求方法、非法 JSON、超限请求体、Google/Slack 302、无效 challenge 和 204 退出清除 Cookie。
+- 本次未重跑浏览器交互与响应式验收：浏览器连接不可用；未进行真人账户登录或部署验证。
+- 迁移前 Pages Router 快照已先推送到现有仓库 main；本次迁移按用户明确授权直接更新 main，不创建 PR。