feat(mobile): login, password change and logout screens

P3 Task 3 移动端（对接 Task 2 api client + 本任务新增的后端契约）：

- 登录页实装：账号/密码表单（空值客户端校验）→ api.login（会话自动
  持久化）→ pushReplacement /home；错误码本地化（AUTH_INVALID_
  CREDENTIALS / AUTH_RATE_LIMITED（含稍后再试文案）/ 网络 / 校验）；
  提交加载态防重复提交。
- 修改密码页（设置页入口）：当前/新/确认三字段，客户端校验（≥8 位、
  两次一致）→ api.changePassword → toast + pop；成功后本地会话不变
  （服务端保留当前会话）；旧密码错误（401 AUTH_INVALID_CREDENTIALS）
  显示「当前密码错误」且不触发 401 驱逐。
- 退出登录：设置页按钮 → api.logout 尽力而为 → 清会话 → 清栈回
  /login；App 壳 initState 注册 onUnauthorized（业务 401 → 清栈 /login），
  根 navigatorKey 接线；password-change 的 401 豁免会话驱逐（拦截器
  豁免集合与令牌附加分离）。
- l10n：新增 16 组 zh/en 文案；错误码 → 文案解析扩展
  （core/error_l10n.dart，errorCode→AppLocalizations）。
- 测试：ApiClient.changePassword 单测 ×2（Bearer+请求体；旧密码 401
  不驱逐）；widget 测试 ×12（登录 5：空值/成功跳转/凭据错误/限速文案/
  加载禁用；改密 4：过短/不一致/旧密码错误文案+会话保留/成功 toast+pop
  且令牌不变；设置 2：改密入口跳转/登出清会话回登录；App 壳 1：401
  清栈回 /login）。flutter analyze 0 issue；flutter test 81/81。

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/mobile/test/app/app_shell_test.dart

@@ -0,0 +1,57 @@
+/// App 壳 401 接线测试（P3 计划 Task 3）。
+///
+/// 覆盖：业务端点 401 → ApiClient 清会话并触发 onUnauthorized →
+/// 根导航清栈回 /login（PhotoLiveApp.initState 注册的回调）。
+library;
+
+import 'package:dio/dio.dart';
+import 'package:flutter_riverpod/flutter_riverpod.dart';
+import 'package:flutter_test/flutter_test.dart';
+import 'package:photo_live/app/app.dart';
+import 'package:photo_live/core/api_client.dart';
+import 'package:photo_live/core/error_codes.dart';
+import 'package:photo_live/core/session_store.dart';
+import 'package:photo_live/pages/login_page.dart';
+
+import '../helpers/fakes.dart';
+
+void main() {
+  testWidgets('业务 401 → onUnauthorized 清栈回 /login', (tester) async {
+    final store = FakeSessionStore();
+    store.session = Session(
+      token: 'tok-live-1',
+      expiresAt: DateTime.utc(2099, 1, 1),
+      account: 'staff01',
+    );
+    final adapter = FakeAdapter(
+      (o) => (401, errorBody(ErrorCodes.authTokenExpired)),
+    );
+    final client = ApiClient(
+      sessionStore: store,
+      dio: Dio(BaseOptions(baseUrl: 'http://test.local'))
+        ..httpClientAdapter = adapter,
+    );
+
+    // PhotoLiveApp.initState 读取被 override 的客户端并注册 onUnauthorized。
+    await tester.pumpWidget(
+      ProviderScope(
+        overrides: [apiClientProvider.overrideWith((ref) => client)],
+        child: const PhotoLiveApp(),
+      ),
+    );
+    await tester.pumpAndSettle();
+
+    // 先抵 /home 再触发 401：验证清栈（回 /login 而非叠加路由）。
+    rootNavigatorKey.currentState!
+        .pushNamedAndRemoveUntil('/home', (route) => false);
+    await tester.pumpAndSettle();
+
+    // 触发 401 但不在测试体内 await（fake-async 下时钟由 pump 推进，
+    // 阻塞等待会死锁）；AppException 由 ignore 吞掉，断言在下方。
+    client.listAlbums().ignore();
+    await tester.pumpAndSettle();
+
+    expect(store.session, isNull, reason: '业务 401 清空本地会话');
+    expect(find.byType(LoginPage), findsOneWidget, reason: '清栈回登录页');
+  });
+}