feat: login individual por funcionario (cadastro, senha com hash, ativar/desativar)

- Tabela FUNCIONARIO_PAINEL (nova, ja criada no banco de dev) +
  app/db/funcionarios.py: nome/login/senha (hash scrypt, stdlib, sem
  dependencia nova) por funcionario, nunca excluido de verdade (so
  ativo/inativo).
- app/senha.py: gerar_hash/verificar_senha com hashlib.scrypt + salt
  aleatorio por senha.
- app/auth.py: login passa a checar duas fontes, nessa ordem -
  ADMIN_USER/ADMIN_PASSWORD (bootstrap, continua exigindo as duas
  preenchidas) e depois FUNCIONARIO_PAINEL (so contas ATIVO=1). O
  nome retornado (usado no log) passa a ser o nome de verdade do
  funcionario, nao mais sempre 'admin'.
- Tela /funcionarios: listar, criar (com confirmacao de senha e
  checagem de login duplicado), editar nome/login, redefinir senha
  (form separado) e ativar/desativar. Tudo logado em LOG_PAINEL.
- Testado ponta a ponta contra o app real: funcionario criado via
  tela consegue logar de verdade, e a acao aparece no /log com o
  nome de quem fez.

93/93 testes passando (23 novos).

app/templates/base.html

@@ -26,6 +26,7 @@
   <nav>
     <a href="/clientes">Clientes</a>
     <a href="/gerador-chave">Gerador de chave</a>
+    <a href="/funcionarios">Funcionários</a>
     <a href="/log">Log</a>
   </nav>
   <main>

app/templates/funcionario_form.html

@@ -0,0 +1,26 @@
+<!-- app/templates/funcionario_form.html -->
+{% extends "base.html" %}
+{% block titulo %}{{ "Editar" if funcionario else "Novo" }} funcionário{% endblock %}
+{% block conteudo %}
+  <h1>{{ "Editar" if funcionario else "Novo" }} funcionário</h1>
+  {% if erro %}
+    <div class="mensagem danger">{{ erro }}</div>
+  {% endif %}
+  <form method="post" action="{{ '/funcionarios/' + funcionario.ID|string + '/editar' if funcionario else '/funcionarios/novo' }}">
+    <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
+    <label for="nome">Nome</label>
+    <input type="text" id="nome" name="nome" value="{{ dados.NOME if dados else (funcionario.NOME if funcionario else '') }}" required>
+    <label for="login">Login</label>
+    <input type="text" id="login" name="login" value="{{ dados.LOGIN if dados else (funcionario.LOGIN if funcionario else '') }}" required>
+    {% if not funcionario %}
+      <label for="senha">Senha</label>
+      <input type="password" id="senha" name="senha" required>
+      <label for="confirmar_senha">Confirmar senha</label>
+      <input type="password" id="confirmar_senha" name="confirmar_senha" required>
+    {% endif %}
+    <button type="submit">Salvar</button>
+  </form>
+  {% if funcionario %}
+    <p><small>Para trocar a senha, use "Redefinir senha" na lista de funcionários.</small></p>
+  {% endif %}
+{% endblock %}

app/templates/funcionarios_lista.html

@@ -0,0 +1,37 @@
+<!-- app/templates/funcionarios_lista.html -->
+{% extends "base.html" %}
+{% block titulo %}Funcionários{% endblock %}
+{% block conteudo %}
+  <h1>Funcionários</h1>
+  <p><a class="botao" href="/funcionarios/novo">+ Novo funcionário</a></p>
+  <table>
+    <tr><th>Nome</th><th>Login</th><th>Status</th><th></th></tr>
+    {% for f in funcionarios %}
+    <tr>
+      <td>{{ f.NOME }}</td>
+      <td>{{ f.LOGIN }}</td>
+      <td>{{ "Ativo" if f.ATIVO else "Inativo" }}</td>
+      <td>
+        <a class="botao" href="/funcionarios/{{ f.ID }}/editar">Editar</a>
+        <details style="display:inline-block">
+          <summary class="botao" style="display:inline-block;cursor:pointer">Redefinir senha</summary>
+          <form method="post" action="/funcionarios/{{ f.ID }}/redefinir-senha" style="margin-top:8px">
+            <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
+            <label for="nova_senha-{{ f.ID }}">Nova senha</label>
+            <input type="password" id="nova_senha-{{ f.ID }}" name="nova_senha" required>
+            <label for="confirmar_nova_senha-{{ f.ID }}">Confirmar nova senha</label>
+            <input type="password" id="confirmar_nova_senha-{{ f.ID }}" name="confirmar_nova_senha" required>
+            <button type="submit">Salvar senha</button>
+          </form>
+        </details>
+        <form method="post" action="/funcionarios/{{ f.ID }}/alternar-ativo" style="display:inline">
+          <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
+          <button type="submit" onclick="return confirm('{{ "Desativar" if f.ATIVO else "Reativar" }} este funcionário?')">
+            {{ "Desativar" if f.ATIVO else "Reativar" }}
+          </button>
+        </form>
+      </td>
+    </tr>
+    {% endfor %}
+  </table>
+{% endblock %}