feat(api): Core-API mit Authentifizierung, CRUD und Monatsreport

- Anmeldung über Argon2id und JWT in httpOnly-Cookies, Refresh mit echter
  Rotation über die neue Tabelle refresh_token
- AuthProvider-Protokoll als Vorbereitung für OIDC, Administrator-Anlage beim
  Erststart mit erzwungenem Passwortwechsel
- CRUD für Konten, Kategorien (zweistufiger Baum), Firmen, Recurrences,
  Preisversionen, Buchungen, Budgets, Vorlagen und Sparziele
- Fälligkeiten mit Overlay-Logik: abrufen, bestätigen, auslassen, zurücksetzen
- Kontosalden zum Stichtag, Monatsübersicht mit Plan-Ist-Vergleich
- SECRET_KEY jetzt mindestens 32 Zeichen; Platzhalter in Produktion abgelehnt
- 61 neue Integrationstests, insgesamt 148 grün

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_014e7t8UpmoVNMtWivY5LiSH

backend/app/schemas/auth.py

@@ -0,0 +1,29 @@
+"""Schemata für Anmeldung und Benutzerkonto."""
+
+from datetime import datetime
+
+from pydantic import Field
+
+from app.schemas.common import ApiModel, InputModel
+
+
+class LoginRequest(InputModel):
+    username: str = Field(min_length=1, max_length=120, examples=["admin"])
+    password: str = Field(min_length=1, max_length=256)
+
+
+class ChangePasswordRequest(InputModel):
+    current_password: str = Field(min_length=1, max_length=256)
+    new_password: str = Field(min_length=10, max_length=256)
+
+
+class UserOut(ApiModel):
+    """Der angemeldete Benutzer."""
+
+    id: int
+    username: str
+    email: str | None = None
+    must_change_password: bool = Field(
+        description="Solange true, sind außer /api/me und /api/auth/* alle Routen gesperrt."
+    )
+    last_login_at: datetime | None = None