feat(mobile): login, password change and logout screens

P3 Task 3 移动端（对接 Task 2 api client + 本任务新增的后端契约）：

- 登录页实装：账号/密码表单（空值客户端校验）→ api.login（会话自动
  持久化）→ pushReplacement /home；错误码本地化（AUTH_INVALID_
  CREDENTIALS / AUTH_RATE_LIMITED（含稍后再试文案）/ 网络 / 校验）；
  提交加载态防重复提交。
- 修改密码页（设置页入口）：当前/新/确认三字段，客户端校验（≥8 位、
  两次一致）→ api.changePassword → toast + pop；成功后本地会话不变
  （服务端保留当前会话）；旧密码错误（401 AUTH_INVALID_CREDENTIALS）
  显示「当前密码错误」且不触发 401 驱逐。
- 退出登录：设置页按钮 → api.logout 尽力而为 → 清会话 → 清栈回
  /login；App 壳 initState 注册 onUnauthorized（业务 401 → 清栈 /login），
  根 navigatorKey 接线；password-change 的 401 豁免会话驱逐（拦截器
  豁免集合与令牌附加分离）。
- l10n：新增 16 组 zh/en 文案；错误码 → 文案解析扩展
  （core/error_l10n.dart，errorCode→AppLocalizations）。
- 测试：ApiClient.changePassword 单测 ×2（Bearer+请求体；旧密码 401
  不驱逐）；widget 测试 ×12（登录 5：空值/成功跳转/凭据错误/限速文案/
  加载禁用；改密 4：过短/不一致/旧密码错误文案+会话保留/成功 toast+pop
  且令牌不变；设置 2：改密入口跳转/登出清会话回登录；App 壳 1：401
  清栈回 /login）。flutter analyze 0 issue；flutter test 81/81。

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/mobile/lib/app/app.dart

@@ -1,23 +1,46 @@
 import 'package:flutter/material.dart';
 import 'package:flutter_riverpod/flutter_riverpod.dart';
 
+import '../core/api_client.dart';
 import '../l10n/app_localizations.dart';
 import '../pages/home_page.dart';
 import '../pages/login_page.dart';
+import '../pages/password_change_page.dart';
 import 'locale_controller.dart';
 import 'theme.dart';
 
-/// App 根组件：主题 + l10n 委托 + 基线路由。
+/// 根导航键：[ApiClient.onUnauthorized]（非 UI 上下文触发）跳转 /login 用。
+final GlobalKey<NavigatorState> rootNavigatorKey =
+    GlobalKey<NavigatorState>();
+
+/// App 根组件：主题 + l10n 委托 + 命名路由 + 401 驱逐接线。
 ///
-/// 基线路由为命名路由（/login → /home）；Task 3+ 随页面增长再评估
-/// 是否迁移 go_router，当前保持零额外依赖。
-class PhotoLiveApp extends ConsumerWidget {
+/// 基线路由为命名路由（/login → /home → /password-change）；随页面增长再
+/// 评估是否迁移 go_router，当前保持零额外依赖。
+/// initState 注册 [ApiClient.onUnauthorized]：任意业务端点 401（会话过期）
+/// 即清空栈回到 /login（登录/修改密码端点自身的 401 不触发，见 ApiClient）。
+class PhotoLiveApp extends ConsumerStatefulWidget {
   const PhotoLiveApp({super.key});
 
   @override
-  Widget build(BuildContext context, WidgetRef ref) {
+  ConsumerState<PhotoLiveApp> createState() => _PhotoLiveAppState();
+}
+
+class _PhotoLiveAppState extends ConsumerState<PhotoLiveApp> {
+  @override
+  void initState() {
+    super.initState();
+    ref.read(apiClientProvider).onUnauthorized = () {
+      rootNavigatorKey.currentState
+          ?.pushNamedAndRemoveUntil('/login', (route) => false);
+    };
+  }
+
+  @override
+  Widget build(BuildContext context) {
     final locale = ref.watch(localeSettingsProvider);
     return MaterialApp(
+      navigatorKey: rootNavigatorKey,
       onGenerateTitle: (context) => AppLocalizations.of(context).appName,
       theme: AppTheme.light,
       darkTheme: AppTheme.dark,
@@ -27,6 +50,7 @@ class PhotoLiveApp extends ConsumerWidget {
       routes: {
         '/login': (context) => const LoginPage(),
         '/home': (context) => const HomePage(),
+        '/password-change': (context) => const PasswordChangePage(),
       },
       home: const LoginPage(),
     );