feat: 대시보드 로그인을 아이디/비밀번호 방식으로 전환 (SECRET_KEY 직접 입력 제거)

- auth.py 신규: POST /api/v1/auth/login → JWT 세션 토큰(HS256, SECRET_KEY 서명, 24h)
  GET /api/v1/auth/me 자격 확인. IP당 5회 실패 시 300초 잠금(인메모리)
- config: ADMIN_USERNAME / ADMIN_PASSWORD / ADMIN_PASSWORD_HASH(bcrypt) /
  SESSION_TOKEN_EXPIRE_HOURS / LOGIN_MAX_FAILURES / LOGIN_LOCKOUT_SECONDS
- security: create_session_token / verify_session_token / is_valid_credential 추가.
  require_api_key·optional_api_key 는 시그니처 유지, X-API-Key 값으로 API 키 또는
  세션 토큰 모두 수용 → 프론트 api.ts·useWebSocket·MCP 서버 호출 경로 무변경
- main.py WebSocket 인증도 is_valid_credential 로 통일
- bcrypt 검증은 passlib 대신 bcrypt 직접 사용 (passlib 1.7.4 ↔ bcrypt 5.0 비호환)
- Login.tsx: 아이디/비밀번호 폼, 401/429/503 별 안내 메시지
- .env.example 에 관리자 계정 항목 추가

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

backend/app/api/__init__.py

@@ -14,11 +14,14 @@ from app.api.endpoints import (
     journals, day_trading, strategy_config, backtest, analysis,
     swing_portfolio, daytrading_v2, us_trading, kr_backtest,
     market_intelligence, market_playbook, news,
-    adaptive_strategy, manual_buy,
+    adaptive_strategy, manual_buy, auth,
 )
 
 api_router = APIRouter()
 
+# ── 로그인 (인증 불필요 — 자체 자격 증명 검증) ───────────────────────────
+api_router.include_router(auth.router, prefix="/auth", tags=["auth"])
+
 # ── 매매 실행 / 설정 변경 API (require_api_key) ───────────────────────────
 api_router.include_router(
     trading_rules.router, prefix="/rules", tags=["trading_rules"],