feat: login individual por funcionario (cadastro, senha com hash, ativar/desativar)

- Tabela FUNCIONARIO_PAINEL (nova, ja criada no banco de dev) +
  app/db/funcionarios.py: nome/login/senha (hash scrypt, stdlib, sem
  dependencia nova) por funcionario, nunca excluido de verdade (so
  ativo/inativo).
- app/senha.py: gerar_hash/verificar_senha com hashlib.scrypt + salt
  aleatorio por senha.
- app/auth.py: login passa a checar duas fontes, nessa ordem -
  ADMIN_USER/ADMIN_PASSWORD (bootstrap, continua exigindo as duas
  preenchidas) e depois FUNCIONARIO_PAINEL (so contas ATIVO=1). O
  nome retornado (usado no log) passa a ser o nome de verdade do
  funcionario, nao mais sempre 'admin'.
- Tela /funcionarios: listar, criar (com confirmacao de senha e
  checagem de login duplicado), editar nome/login, redefinir senha
  (form separado) e ativar/desativar. Tudo logado em LOG_PAINEL.
- Testado ponta a ponta contra o app real: funcionario criado via
  tela consegue logar de verdade, e a acao aparece no /log com o
  nome de quem fez.

93/93 testes passando (23 novos).

tests/test_auth.py

@@ -1,9 +1,12 @@
 import base64
 
+import pytest
 from fastapi import Depends, FastAPI
 from fastapi.testclient import TestClient
 
 from app.auth import exigir_login
+from app.db import funcionarios as db_funcionarios
+from app.db.connection import get_connection
 
 app_teste = FastAPI()
 
@@ -45,3 +48,44 @@ def test_admin_user_e_senha_vazios_nao_autentica_com_credenciais_vazias(monkeypa
     monkeypatch.setenv("ADMIN_PASSWORD", "")
     resposta = client.get("/protegido", headers=_basic("", ""))
     assert resposta.status_code == 401
+
+
+def _limpar_login(login: str) -> None:
+    conn = get_connection()
+    try:
+        with conn.cursor() as cur:
+            cur.execute("DELETE FROM FUNCIONARIO_PAINEL WHERE LOGIN = %s", (login,))
+    finally:
+        conn.close()
+
+
+@pytest.fixture
+def funcionario_teste():
+    login = "teste.login.auth"
+    _limpar_login(login)
+    funcionario_id = db_funcionarios.criar_funcionario("Fulano de Teste", login, "senhaForte123")
+    yield login
+    _limpar_login(login)
+
+
+def test_funcionario_ativo_com_senha_correta_autentica(funcionario_teste):
+    resposta = client.get("/protegido", headers=_basic(funcionario_teste, "senhaForte123"))
+    assert resposta.status_code == 200
+    assert resposta.json() == {"usuario": "Fulano de Teste"}
+
+
+def test_funcionario_com_senha_errada_nao_autentica(funcionario_teste):
+    resposta = client.get("/protegido", headers=_basic(funcionario_teste, "senhaErrada"))
+    assert resposta.status_code == 401
+
+
+def test_funcionario_inativo_nao_autentica(funcionario_teste):
+    funcionario = db_funcionarios.obter_por_login(funcionario_teste)
+    db_funcionarios.alternar_ativo(funcionario["ID"])  # desativa
+    resposta = client.get("/protegido", headers=_basic(funcionario_teste, "senhaForte123"))
+    assert resposta.status_code == 401
+
+
+def test_login_inexistente_nao_autentica():
+    resposta = client.get("/protegido", headers=_basic("nao-existe-esse-login", "qualquer"))
+    assert resposta.status_code == 401