定位选点登录

输入用户名和对应 token 后，会改用安全 cookie 访问网页，URL 不再暴露 token。

每个用户可用自己的 /loc.json?token=...，数据互相独立。