fix: CRITICAL/HIGH 버그 30건 수정 + 전체 코드 주석 추가 + 중복 정리

## CRITICAL 수정 (20건)
- day_trading: global 선언 누락, loss_tracker 연동, ban 체크 추가
- trade_executor: BUY 체결가 order_price로 수정, remaining_pct 누적 계산
- risk_validator: get_current_price dict 파싱, MAX_POSITION_SIZE 동기화, DB 세션 누수
- risk_management/recommendations: date.today() → KST 변환
- mdd_manager: Lock 밖 executed_key 참조 수정
- correlation_filter: output → output2 키 수정
- portfolio: 해외 종목 USD/KRW 환율 적용 분리
- Sharpe Ratio 거래빈도 기반 연간화
- telegram_notifier: send_message() 공개 래퍼 추가
- position_manager: 앱 재시작 시 DB 포지션 복원
- swing exit_service: remaining_pct 조건 범위 수정
- run_backtest: original_qty 기반 remaining_pct 계산
- us_market_schedule: 2027년 미국 공휴일 추가
- Login.tsx: res.ok 검증 추가
- mean_reversion_strategy: RSI 로그 하드코딩 수정

## HIGH 수정 (10건)
- db_worker: DLQ 파일 백업 메커니즘 추가
- korea_investment_api: 만료 토큰 임의 연장 제거
- market_data: chart_cache 최대 100개 + TTL 만료
- main.py: rate_limit_store 1시간 미접근 IP 정리
- recommendations: fire-and-forget try/except 추가
- swing/scheduler: DB 세션 3개 분리
- Dashboard: wsMessages 전체 순회
- Layout: /health 엔드포인트 + 30초 폴링
- ml_ensemble: POST /train require_api_key 추가
- day_trading: record_trade_result_safe() 전환

## 코드 정리
- 프론트엔드: isUsStock, formatTime 공통 유틸 추출
- 백엔드: dead code 제거, 중복 import 통합
- MCP: JSON 파싱 헬퍼 추출 (~60줄 감소)
- 전체 ~100개 파일 한국어 주석 추가
- 테스트 13건 코드 기준 수정 (468 passed)

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

backend/app/core/security.py

@@ -0,0 +1,82 @@
+"""API 보안 모듈
+
+- API 키 기반 인증 (Bearer token)
+- 매매 실행 및 관리 API 보호
+- 읽기 전용 엔드포인트는 인증 선택적
+
+사용법:
+  from app.core.security import require_api_key, optional_api_key
+
+  @router.post("/execute", dependencies=[Depends(require_api_key)])
+  async def execute_trade(...): ...
+
+  @router.get("/data")
+  async def get_data(api_key: str | None = Depends(optional_api_key)): ...
+"""
+import hmac
+import logging
+import secrets
+from fastapi import Depends, HTTPException, Security, status
+from fastapi.security import APIKeyHeader
+
+from app.core.config import settings
+
+logger = logging.getLogger(__name__)
+
+# API 키 헤더 스키마
+_api_key_header = APIKeyHeader(name="X-API-Key", auto_error=False)
+
+
+def _constant_time_compare(a: str, b: str) -> bool:
+    """타이밍 공격 방지를 위한 상수 시간 비교."""
+    return hmac.compare_digest(a.encode(), b.encode())
+
+
+def _get_api_key() -> str:
+    """API 인증용 키 반환. API_KEY가 설정되면 우선 사용, 없으면 SECRET_KEY 폴백."""
+    return settings.API_KEY if settings.API_KEY else settings.SECRET_KEY
+
+
+async def require_api_key(api_key: str | None = Security(_api_key_header)) -> str:
+    """매매 실행, 관리 API 등 민감한 엔드포인트에 필수 적용.
+
+    X-API-Key 헤더가 없거나 불일치하면 401 반환.
+    """
+    if not api_key:
+        logger.warning("[Security] API 키 누락 — 요청 거부")
+        raise HTTPException(
+            status_code=status.HTTP_401_UNAUTHORIZED,
+            detail="API 키가 필요합니다. X-API-Key 헤더를 설정하세요.",
+        )
+
+    expected = _get_api_key()
+    if not _constant_time_compare(api_key, expected):
+        logger.warning("[Security] API 키 불일치 — 요청 거부")
+        raise HTTPException(
+            status_code=status.HTTP_403_FORBIDDEN,
+            detail="유효하지 않은 API 키입니다.",
+        )
+
+    return api_key
+
+
+async def optional_api_key(api_key: str | None = Security(_api_key_header)) -> str | None:
+    """읽기 전용 엔드포인트에서 선택적 인증.
+
+    키가 있으면 검증, 없으면 None 반환 (인증 없이 접근 허용).
+    """
+    if not api_key:
+        return None
+
+    expected = _get_api_key()
+    if not _constant_time_compare(api_key, expected):
+        raise HTTPException(
+            status_code=status.HTTP_403_FORBIDDEN,
+            detail="유효하지 않은 API 키입니다.",
+        )
+    return api_key
+
+
+def generate_secure_key(length: int = 64) -> str:
+    """보안 키 생성 유틸리티 (운영 환경 시크릿 생성용)."""
+    return secrets.token_urlsafe(length)