feat: DB 계정 기반 회원가입/로그인 (users 테이블) — .env 관리자 계정 방식 대체

- models.User + alembic 0008 (users: username unique, bcrypt password_hash, is_active, is_admin)
- auth.py: POST /auth/register, /auth/login, GET /auth/me, 관리자용 GET /auth/users,
  POST /auth/users/{id}/approve|revoke. bcrypt 는 asyncio.to_thread 로 오프로드,
  미존재 계정도 더미 해시 검증(타이밍 균등화), IP당 실패 잠금 유지
- 정책: 첫 가입자 = 관리자·즉시 활성, 이후 가입자는 관리자 승인 필요
  (SIGNUP_AUTO_APPROVE=true 로 해제, SIGNUP_ENABLED=false 로 가입 차단). API 키는 관리자 취급
- config: ADMIN_USERNAME/ADMIN_PASSWORD(_HASH) 제거 → SIGNUP_ENABLED / SIGNUP_AUTO_APPROVE
- Login.tsx: 로그인/회원가입 탭, 비밀번호 확인, 승인 안내 배너, 상태코드별 메시지,
  첫 가입자는 가입 직후 자동 로그인
- DB 접근: 회원가입/로그인은 sync_portfolio 와 같은 단일 트랜잭션 예외로 엔드포인트 직접 접근
  (컨테이너 Postgres 대상 통합 테스트 19건 통과)

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

backend/app/core/config.py

@@ -23,12 +23,9 @@ class Settings(BaseSettings):
     DEBUG: bool = False  # 운영 기본값 False (.env에서 DEBUG=true로 개발 모드 활성화)
     SECRET_KEY: str = "change-this-secret-key"  # JWT/WS 서명용
     API_KEY: str = ""  # API 인증용 (비어있으면 SECRET_KEY 폴백)
-    # ── 대시보드 로그인 (아이디/비밀번호) ────────────────────────────────
-    # ADMIN_PASSWORD_HASH(bcrypt) 우선, 없으면 ADMIN_PASSWORD(평문) 사용. 둘 다 비면 로그인 비활성(503)
-    # 해시 생성: python -c "import bcrypt; print(bcrypt.hashpw(b'비밀번호', bcrypt.gensalt()).decode())"
-    ADMIN_USERNAME: str = "admin"
-    ADMIN_PASSWORD: str = ""
-    ADMIN_PASSWORD_HASH: str = ""
+    # ── 대시보드 로그인 (DB users 테이블, bcrypt) ─────────────────────────
+    SIGNUP_ENABLED: bool = True  # 회원가입 허용. False 면 /auth/register 403
+    SIGNUP_AUTO_APPROVE: bool = False  # True: 가입 즉시 활성. False: 첫 가입자만 자동 관리자, 이후 관리자 승인 필요
     SESSION_TOKEN_EXPIRE_HOURS: int = 24  # 로그인 세션 토큰 유효시간
     LOGIN_MAX_FAILURES: int = 5  # IP당 연속 실패 허용 횟수
     LOGIN_LOCKOUT_SECONDS: int = 300  # 초과 시 잠금 시간(초)