fix(web): 修复登录时序bug - token先存localStorage再取用户信息

登录流程中，getCurrentUser() 在 setAuth() 之前执行，
导致 apiClient 请求拦截器从 localStorage 取不到 token，
请求不带 Authorization header，后端返回 401，
触发自动刷新逻辑后 clearAuth 跳回登录页。

修复：先把 token 存到 localStorage，再调 getCurrentUser，
最后 setAuth 同步 store 状态。

影响：useLogin / useWechatCallback 两个 hook

apps/web/src/hooks/useAuth.ts

@@ -20,7 +20,14 @@ export const useLogin = () => {
     const data = await mutation.mutateAsync(credentials)
     const refreshToken = data.refresh_token ?? null
 
-    // 获取用户信息
+    // 先存 token 到 localStorage，确保后续请求拦截器能取到
+    // （apiClient 拦截器从 localStorage 读 access_token）
+    localStorage.setItem("access_token", data.access_token)
+    if (refreshToken) {
+      localStorage.setItem("refresh_token", refreshToken)
+    }
+
+    // 再获取用户信息（这时候请求带 Authorization header）
     const user = await authApi.getCurrentUser()
     setAuth(user, data.access_token, refreshToken)
 
@@ -54,6 +61,15 @@ export const useWechatCallback = () => {
     localStorage.removeItem("wechat_state")
 
     const result = await mutation.mutateAsync({ code, state })
+
+    // 先存 token 到 localStorage，确保后续请求拦截器能取到
+    // （apiClient 拦截器从 localStorage 读 access_token）
+    localStorage.setItem("access_token", result.access_token)
+    if (result.refresh_token) {
+      localStorage.setItem("refresh_token", result.refresh_token)
+    }
+
+    // 再获取用户信息（这时候请求带 Authorization header）
     const user = await authApi.getCurrentUser()
     setAuth(user, result.access_token, result.refresh_token)