feat(mobile): login, password change and logout screens

P3 Task 3 移动端（对接 Task 2 api client + 本任务新增的后端契约）：

- 登录页实装：账号/密码表单（空值客户端校验）→ api.login（会话自动
  持久化）→ pushReplacement /home；错误码本地化（AUTH_INVALID_
  CREDENTIALS / AUTH_RATE_LIMITED（含稍后再试文案）/ 网络 / 校验）；
  提交加载态防重复提交。
- 修改密码页（设置页入口）：当前/新/确认三字段，客户端校验（≥8 位、
  两次一致）→ api.changePassword → toast + pop；成功后本地会话不变
  （服务端保留当前会话）；旧密码错误（401 AUTH_INVALID_CREDENTIALS）
  显示「当前密码错误」且不触发 401 驱逐。
- 退出登录：设置页按钮 → api.logout 尽力而为 → 清会话 → 清栈回
  /login；App 壳 initState 注册 onUnauthorized（业务 401 → 清栈 /login），
  根 navigatorKey 接线；password-change 的 401 豁免会话驱逐（拦截器
  豁免集合与令牌附加分离）。
- l10n：新增 16 组 zh/en 文案；错误码 → 文案解析扩展
  （core/error_l10n.dart，errorCode→AppLocalizations）。
- 测试：ApiClient.changePassword 单测 ×2（Bearer+请求体；旧密码 401
  不驱逐）；widget 测试 ×12（登录 5：空值/成功跳转/凭据错误/限速文案/
  加载禁用；改密 4：过短/不一致/旧密码错误文案+会话保留/成功 toast+pop
  且令牌不变；设置 2：改密入口跳转/登出清会话回登录；App 壳 1：401
  清栈回 /login）。flutter analyze 0 issue；flutter test 81/81。

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/mobile/lib/core/api_client.dart

@@ -4,7 +4,8 @@
 /// - Bearer 注入：请求拦截器从 [SessionStore] 读取令牌（登录端点豁免）。
 /// - 401 处理：清空会话并触发 [onUnauthorized]（App 壳注册的监听回调，
 ///   负责跳转 /login）；并发的后续 401 只通知一次，直至新会话写入。
-///   登录端点自身的 401（凭据错误）不触发会话驱逐。
+///   登录端点自身的 401（凭据错误）与修改密码端点的 401（旧密码错误）
+///   不是会话过期语义，不触发会话驱逐。
 /// - 错误归一：HTTP 错误体 `{code, message, requestId}` 与网络层失败一律
 ///   抛 [AppException]（码表见 [ErrorCodes]；l10n 文案解析留在 UI 层）。
 library;
@@ -64,10 +65,15 @@ class ApiClient {
 
   void close({bool force = false}) => _dio.close(force: force);
 
-  /// 登录端点：401 = 凭据错误而非会话过期，不驱逐会话、不附加令牌。
-  static bool _isAuthExemptPath(String path) =>
+  /// 登录端点：不附加令牌（未认证端点）。
+  static bool _isLoginPath(String path) =>
       path.endsWith('/v1/auth/password');
 
+  /// 401 驱逐豁免：登录（凭据错误）与修改密码（旧密码错误）的 401 都不是
+  /// 会话过期语义，不得清会话/触发跳登录；其余端点 401 一律驱逐。
+  static bool _evictsSessionOn401(String path) =>
+      !_isLoginPath(path) && !path.endsWith('/v1/auth/password-change');
+
   // ── 拦截器 ──
 
   Future<void> _attachSession(
@@ -75,7 +81,7 @@ class ApiClient {
     RequestInterceptorHandler handler,
   ) async {
     try {
-      if (!_isAuthExemptPath(options.path)) {
+      if (!_isLoginPath(options.path)) {
         final session = await _session.read();
         if (session != null &&
             session.token.isNotEmpty &&
@@ -95,7 +101,7 @@ class ApiClient {
     ErrorInterceptorHandler handler,
   ) async {
     if (e.response?.statusCode == 401 &&
-        !_isAuthExemptPath(e.requestOptions.path)) {
+        _evictsSessionOn401(e.requestOptions.path)) {
       try {
         // 先同步置位去重标记再做异步清除：并发 401 下仅首个触发通知。
         final shouldNotify = !_unauthorizedNotified;
@@ -256,6 +262,20 @@ class ApiClient {
     }
   }
 
+  /// operationId `changePassword`（POST /auth/password-change → 204，
+  /// P3 Task 3 契约增补）。
+  ///
+  /// 服务端成功后撤销其他会话、**保留当前会话**——本地令牌继续有效，
+  /// 无需重登录。旧密码错误 → 401 AUTH_INVALID_CREDENTIALS（不驱逐会话，
+  /// 见 [_evictsSessionOn401]）。
+  Future<void> changePassword(String oldPassword, String newPassword) =>
+      _send(
+        () => _dio.post<void>(
+          '/v1/auth/password-change',
+          data: {'oldPassword': oldPassword, 'newPassword': newPassword},
+        ),
+      );
+
   // ── albums / members / categories / admin ──
 
   /// operationId `listAlbums`（GET /albums，游标分页）。