feat: multi-usuário com autenticação JWT

- Tabela `profiles` + coluna `profile_id` em todas as entidades
  (categories, transactions, recurring_expenses, accounts, player_profile,
   xp_events, player_quests, player_achievements, player_cosmetics)
- Dados existentes migrados para profile_id = 1 (Manoel)
- CLI `./api create-user --name <n> --password <p>` cria perfil com
  seed de categorias e player_profile; faz upsert de senha se já existir
- Auth substituída: cookie+APP_PASSWORD → JWT Bearer 24h (HS256)
- Middleware RequireAuth injeta profile_id no context de todas as rotas
- Todos os repositórios filtram por profile_id do context
- Endpoints: POST /api/auth/login, GET /api/auth/me,
  POST /api/auth/change-password, POST /api/logout
- Frontend: auth store usa localStorage (fc_token/fc_profile),
  api.ts envia Authorization header, LoginView usa campo name
- SettingsView reescrita com troca de senha e logout
- docker-compose.yml: remove APP_USERNAME/APP_PASSWORD, adiciona JWT_SECRET

Co-Authored-By: Claude Sonnet 4.6 <[email protected]>

.env.example

@@ -12,6 +12,9 @@ DATABASE_URL=postgres://financeiro:financeiro@localhost:5432/financeiro?sslmode=
 # Porta em que o servidor Go escuta
 PORT=8080
 
+# Segredo para assinar tokens JWT — gere com: openssl rand -hex 32
+JWT_SECRET=troque-antes-de-subir-em-producao
+
 # ── docker-compose ──────────────────────────────────────────────────────────────
 # Porta exposta na máquina host para o container da app
 APP_PORT=8080