feat(mobile): login, password change and logout screens

P3 Task 3 移动端（对接 Task 2 api client + 本任务新增的后端契约）：

- 登录页实装：账号/密码表单（空值客户端校验）→ api.login（会话自动
  持久化）→ pushReplacement /home；错误码本地化（AUTH_INVALID_
  CREDENTIALS / AUTH_RATE_LIMITED（含稍后再试文案）/ 网络 / 校验）；
  提交加载态防重复提交。
- 修改密码页（设置页入口）：当前/新/确认三字段，客户端校验（≥8 位、
  两次一致）→ api.changePassword → toast + pop；成功后本地会话不变
  （服务端保留当前会话）；旧密码错误（401 AUTH_INVALID_CREDENTIALS）
  显示「当前密码错误」且不触发 401 驱逐。
- 退出登录：设置页按钮 → api.logout 尽力而为 → 清会话 → 清栈回
  /login；App 壳 initState 注册 onUnauthorized（业务 401 → 清栈 /login），
  根 navigatorKey 接线；password-change 的 401 豁免会话驱逐（拦截器
  豁免集合与令牌附加分离）。
- l10n：新增 16 组 zh/en 文案；错误码 → 文案解析扩展
  （core/error_l10n.dart，errorCode→AppLocalizations）。
- 测试：ApiClient.changePassword 单测 ×2（Bearer+请求体；旧密码 401
  不驱逐）；widget 测试 ×12（登录 5：空值/成功跳转/凭据错误/限速文案/
  加载禁用；改密 4：过短/不一致/旧密码错误文案+会话保留/成功 toast+pop
  且令牌不变；设置 2：改密入口跳转/登出清会话回登录；App 壳 1：401
  清栈回 /login）。flutter analyze 0 issue；flutter test 81/81。

Co-Authored-By: Claude Code <noreply@anthropic.com>

apps/mobile/test/core/api_client_test.dart

@@ -509,4 +509,49 @@ void main() {
     expect(adapter.requests[1].method, 'DELETE');
     expect(adapter.requests[1].path, '/v1/photos/pho-1');
   });
+
+  test('changePassword：携带 Bearer 与双密码体；204 成功不动本地会话', () async {
+    seedSession();
+    final adapter = FakeAdapter((o) => (204, null));
+
+    await wired(adapter).changePassword('old-pass-1', 'brand-new-9');
+
+    final req = adapter.requests.single;
+    expect(req.method, 'POST');
+    expect(req.path, '/v1/auth/password-change');
+    expect(req.headers['Authorization'], 'Bearer tok-live-1');
+    expect(req.body, {'oldPassword': 'old-pass-1', 'newPassword': 'brand-new-9'});
+    expect(store.session?.token, 'tok-live-1', reason: '当前会话保留');
+    expect(unauthorizedCalls, 0);
+  });
+
+  test('changePassword：旧密码错误（401 AUTH_INVALID_CREDENTIALS）→ 不驱逐会话不通知',
+      () async {
+    seedSession();
+    final adapter = FakeAdapter(
+      (o) => (
+        401,
+        {
+          'code': 'AUTH_INVALID_CREDENTIALS',
+          'message': 'old password wrong',
+          'requestId': 'req-pc',
+        }
+      ),
+    );
+
+    final err = await captureError(
+      () => wired(adapter).changePassword('wrong-old', 'brand-new-9'),
+    );
+
+    expect(
+      err,
+      isA<AppException>().having(
+        (e) => e.code,
+        'code',
+        ErrorCodes.authInvalidCredentials,
+      ),
+    );
+    expect(store.session?.token, 'tok-live-1', reason: '旧密码错误不清会话');
+    expect(unauthorizedCalls, 0, reason: 'password-change 401 不驱逐');
+  });
 }