feat: 대시보드 로그인을 아이디/비밀번호 방식으로 전환 (SECRET_KEY 직접 입력 제거)

- auth.py 신규: POST /api/v1/auth/login → JWT 세션 토큰(HS256, SECRET_KEY 서명, 24h)
  GET /api/v1/auth/me 자격 확인. IP당 5회 실패 시 300초 잠금(인메모리)
- config: ADMIN_USERNAME / ADMIN_PASSWORD / ADMIN_PASSWORD_HASH(bcrypt) /
  SESSION_TOKEN_EXPIRE_HOURS / LOGIN_MAX_FAILURES / LOGIN_LOCKOUT_SECONDS
- security: create_session_token / verify_session_token / is_valid_credential 추가.
  require_api_key·optional_api_key 는 시그니처 유지, X-API-Key 값으로 API 키 또는
  세션 토큰 모두 수용 → 프론트 api.ts·useWebSocket·MCP 서버 호출 경로 무변경
- main.py WebSocket 인증도 is_valid_credential 로 통일
- bcrypt 검증은 passlib 대신 bcrypt 직접 사용 (passlib 1.7.4 ↔ bcrypt 5.0 비호환)
- Login.tsx: 아이디/비밀번호 폼, 401/429/503 별 안내 메시지
- .env.example 에 관리자 계정 항목 추가

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

backend/app/core/config.py

@@ -23,6 +23,15 @@ class Settings(BaseSettings):
     DEBUG: bool = False  # 운영 기본값 False (.env에서 DEBUG=true로 개발 모드 활성화)
     SECRET_KEY: str = "change-this-secret-key"  # JWT/WS 서명용
     API_KEY: str = ""  # API 인증용 (비어있으면 SECRET_KEY 폴백)
+    # ── 대시보드 로그인 (아이디/비밀번호) ────────────────────────────────
+    # ADMIN_PASSWORD_HASH(bcrypt) 우선, 없으면 ADMIN_PASSWORD(평문) 사용. 둘 다 비면 로그인 비활성(503)
+    # 해시 생성: python -c "import bcrypt; print(bcrypt.hashpw(b'비밀번호', bcrypt.gensalt()).decode())"
+    ADMIN_USERNAME: str = "admin"
+    ADMIN_PASSWORD: str = ""
+    ADMIN_PASSWORD_HASH: str = ""
+    SESSION_TOKEN_EXPIRE_HOURS: int = 24  # 로그인 세션 토큰 유효시간
+    LOGIN_MAX_FAILURES: int = 5  # IP당 연속 실패 허용 횟수
+    LOGIN_LOCKOUT_SECONDS: int = 300  # 초과 시 잠금 시간(초)
     BACKEND_HOST: str = "0.0.0.0"
     BACKEND_PORT: int = 8000