1.0.28 (252bc65)

fix: 登录失败正确报错，避免被匿名 session cookie 误判为成功

之前的 bug：LMS 初始 GET 会发匿名 session cookie，login() 只检查
"session cookie 是否存在" 就认为登录成功。当 IDS POST 实际失败时
(401/needCaptcha 等)，会带着无效 cookie 进主页，poller 调 API 立刻
302 触发 handleSessionExpired，用户看到 "会话已过期" 而非真实原因。

现在：
- POST 401/403 → 抛 "IDS 登录被拒绝 (HTTP xxx)"
- POST 200 含 needCaptcha → 抛 "需要验证码"
- POST 200 含 badCredentials → 抛 "账号或密码错误"
- POST 302 → 跟随重定向后用真实 API 验证 session 有效才算成功