feat: protecao CSRF (double-submit cookie) e paginacao da lista de clientes

CSRF: novo app/csrf.py + middleware em app/main.py garantem um cookie
csrf_token por navegador; todo formulario que muda estado (criar/editar/
excluir cliente, adicionar/editar/excluir contato) embute esse valor
como campo oculto, e Depends(exigir_csrf) confere no POST que o valor
enviado bate com o cookie antes de deixar a rota executar. Verificado
ponta a ponta com o app real rodando (curl): token errado -> 403,
token correto -> 303.

Paginacao: db_clientes.listar_clientes ganha offset, nova
contar_clientes(); GET /clientes aceita ?pagina=N (100 clientes por
pagina), template mostra Anterior/Proxima e o total.

53/53 testes passando (8 novos).

app/templates/cliente_detalhe.html

@@ -7,6 +7,7 @@
   <p>
     <a class="botao" href="/clientes/{{ cliente.ID }}/editar">Editar</a>
     <form method="post" action="/clientes/{{ cliente.ID }}/excluir" style="display:inline">
+      <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
       <button type="submit" onclick="return confirm('Excluir este cliente?')">Excluir</button>
     </form>
   </p>
@@ -21,6 +22,7 @@
         <details style="display:inline-block">
           <summary class="botao" style="display:inline-block;cursor:pointer">Editar</summary>
           <form method="post" action="/clientes/{{ cliente.ID }}/contatos/{{ ct.ID }}/editar" style="margin-top:8px">
+            <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
             <label for="nome-{{ ct.ID }}">Nome</label>
             <input type="text" id="nome-{{ ct.ID }}" name="nome" value="{{ ct.NOME or '' }}">
             <label for="telefone-{{ ct.ID }}">Telefone</label>
@@ -31,6 +33,7 @@
           </form>
         </details>
         <form method="post" action="/clientes/{{ cliente.ID }}/contatos/{{ ct.ID }}/excluir" style="display:inline">
+          <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
           <button type="submit" onclick="return confirm('Excluir este contato?')">Excluir</button>
         </form>
       </td>
@@ -38,6 +41,7 @@
     {% endfor %}
   </table>
   <form method="post" action="/clientes/{{ cliente.ID }}/contatos">
+    <input type="hidden" name="csrf_token" value="{{ csrf_token }}">
     <label for="nome">Nome</label>
     <input type="text" id="nome" name="nome">
     <label for="telefone">Telefone</label>