fix: bloqueia open-redirect via next=/\evil.com no login

_proximo_seguro() (app/routers/auth.py) so recusava next que comecasse
com "//", mas navegadores modernos tratam "/\" como equivalente a
"//" (URL protocol-relative), entao next=/\evil.com ainda era um open
redirect explorável via link de login malicioso.

Bloqueia tambem o prefixo "/\".

Teste de regressao em tests/test_router_auth.py: POST /login com
next=/\evil.com precisa redirecionar para /clientes, nao para o host
externo.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/routers/auth.py

@@ -21,7 +21,7 @@ templates = Jinja2Templates(directory="app/templates")
 def _proximo_seguro(next_: Optional[str]) -> str:
     """Só aceita um path interno (começa com "/", sem "//") — nunca uma URL
     externa, para não virar um open redirect via POST /login?next=..."""
-    if next_ and next_.startswith("/") and not next_.startswith("//"):
+    if next_ and next_.startswith("/") and not next_.startswith(("//", "/\\")):
         return next_
     return "/clientes"