feat: login individual por funcionario (cadastro, senha com hash, ativar/desativar)

- Tabela FUNCIONARIO_PAINEL (nova, ja criada no banco de dev) +
  app/db/funcionarios.py: nome/login/senha (hash scrypt, stdlib, sem
  dependencia nova) por funcionario, nunca excluido de verdade (so
  ativo/inativo).
- app/senha.py: gerar_hash/verificar_senha com hashlib.scrypt + salt
  aleatorio por senha.
- app/auth.py: login passa a checar duas fontes, nessa ordem -
  ADMIN_USER/ADMIN_PASSWORD (bootstrap, continua exigindo as duas
  preenchidas) e depois FUNCIONARIO_PAINEL (so contas ATIVO=1). O
  nome retornado (usado no log) passa a ser o nome de verdade do
  funcionario, nao mais sempre 'admin'.
- Tela /funcionarios: listar, criar (com confirmacao de senha e
  checagem de login duplicado), editar nome/login, redefinir senha
  (form separado) e ativar/desativar. Tudo logado em LOG_PAINEL.
- Testado ponta a ponta contra o app real: funcionario criado via
  tela consegue logar de verdade, e a acao aparece no /log com o
  nome de quem fez.

93/93 testes passando (23 novos).

app/auth.py

@@ -1,6 +1,15 @@
 """
-Login simples via HTTP Basic Auth, usuário/senha vindos de variável de
-ambiente. Sem cadastro de usuários, sem perfis, sem sessão/cookie.
+Login HTTP Basic. Duas fontes de credencial, checadas nessa ordem:
+
+1. ADMIN_USER/ADMIN_PASSWORD (variáveis de ambiente) — conta única de
+   bootstrap, útil para o primeiro acesso (cadastrar o primeiro
+   funcionário em /funcionarios) e como plano B se a tabela de
+   funcionários ficar vazia/inacessível. Continua exigindo as duas
+   variáveis preenchidas (nunca autentica credencial vazia).
+2. FUNCIONARIO_PAINEL (app/db/funcionarios.py) — conta individual por
+   funcionário, com senha em hash (app/senha.py). Só autentica se ATIVO=1.
+
+Sem sessão/cookie — o próprio navegador guarda a credencial Basic.
 """
 import os
 import secrets
@@ -8,27 +17,28 @@ import secrets
 from fastapi import Depends, HTTPException, status
 from fastapi.security import HTTPBasic, HTTPBasicCredentials
 
+from .db import funcionarios as db_funcionarios
+from .senha import verificar_senha
+
 _security = HTTPBasic()
 
 
 def exigir_login(credenciais: HTTPBasicCredentials = Depends(_security)) -> str:
-    usuario_esperado = os.environ.get("ADMIN_USER", "")
-    senha_esperada = os.environ.get("ADMIN_PASSWORD", "")
+    usuario_admin = os.environ.get("ADMIN_USER", "")
+    senha_admin = os.environ.get("ADMIN_PASSWORD", "")
 
-    if not usuario_esperado or not senha_esperada:
-        raise HTTPException(
-            status_code=status.HTTP_401_UNAUTHORIZED,
-            detail="Usuário ou senha inválidos.",
-            headers={"WWW-Authenticate": "Basic"},
-        )
+    if usuario_admin and senha_admin:
+        usuario_ok = secrets.compare_digest(credenciais.username, usuario_admin)
+        senha_ok = secrets.compare_digest(credenciais.password, senha_admin)
+        if usuario_ok and senha_ok:
+            return credenciais.username
 
-    usuario_ok = secrets.compare_digest(credenciais.username, usuario_esperado)
-    senha_ok = secrets.compare_digest(credenciais.password, senha_esperada)
+    funcionario = db_funcionarios.obter_por_login(credenciais.username)
+    if funcionario and funcionario["ATIVO"] and verificar_senha(credenciais.password, funcionario["SENHA_HASH"]):
+        return funcionario["NOME"]
 
-    if not (usuario_ok and senha_ok):
-        raise HTTPException(
-            status_code=status.HTTP_401_UNAUTHORIZED,
-            detail="Usuário ou senha inválidos.",
-            headers={"WWW-Authenticate": "Basic"},
-        )
-    return credenciais.username
+    raise HTTPException(
+        status_code=status.HTTP_401_UNAUTHORIZED,
+        detail="Usuário ou senha inválidos.",
+        headers={"WWW-Authenticate": "Basic"},
+    )