security: rate limit no login, cookies Secure condicional, security headers e deps com CVE

- app/rate_limit.py: bloqueia por IP após 5 tentativas de senha erradas
  em 5 minutos em POST /login (rota pré-autenticação, hoje sem nenhuma
  proteção contra força bruta).
- Cookie de sessão (routers/auth.py) e cookie CSRF (main.py) passam a
  sair com Secure quando a requisição chega em HTTPS (request.url.scheme)
  — hoje é sempre False porque produção ainda serve HTTP puro, mas o
  cookie passa a ficar protegido automaticamente assim que um TLS for
  colocado na frente, sem precisar editar isso de novo.
- main.py: novo middleware de security headers (X-Content-Type-Options,
  X-Frame-Options: DENY, Referrer-Policy, Content-Security-Policy,
  Strict-Transport-Security condicional a HTTPS).
- requirements.txt: fastapi 0.115.0 -> 0.115.6 (starlette >=0.40.0,
  corrige DoS por memória não limitada ao parsear multipart/form-data —
  GHSA-f96h-pmfr-66vw), python-multipart 0.0.9 -> 0.0.20 (várias
  vulnerabilidades de DoS corrigidas), jinja2 3.1.4 -> 3.1.6 (escapes de
  sandbox). httpx/uvicorn/PyMySQL já estavam em versões sem CVE
  conhecida — conferido via osv.dev.
- Dockerfile: container não roda mais como root.

Suíte completa (181 testes) passando, incluindo testes novos para o
rate limiter (unitários + integração via POST /login) e smoke test
manual confirmando headers, fluxo de login com CSRF e o bloqueio por
força bruta.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

tests/test_router_auth.py

@@ -1,7 +1,7 @@
 from fastapi import Depends, FastAPI
 from fastapi.testclient import TestClient
 
-from app import session
+from app import rate_limit, session
 from app.auth import NaoAutenticado, UsuarioLogado, exigir_login
 from app.routers import auth as router_auth
 
@@ -86,6 +86,27 @@ def test_get_rota_protegida_sem_login_redireciona_para_login():
     assert resposta.headers["location"] == "/login?next=/rota-protegida-teste"
 
 
+def test_post_login_apos_muitas_falhas_e_bloqueado_mesmo_com_senha_certa():
+    # TestClient reporta sempre a mesma origem ("testclient") — limpa
+    # antes pra não herdar a falha registrada em
+    # test_post_login_credenciais_erradas_nao_grava_cookie() acima, e
+    # limpa depois pra não vazar bloqueio pros testes seguintes deste
+    # arquivo (que também usam essa mesma origem "testclient").
+    rate_limit._falhas.pop("testclient", None)
+    try:
+        for _ in range(rate_limit.MAX_TENTATIVAS):
+            client.post("/login", data={"usuario": "admin", "senha": "errada", "csrf_token": CSRF_TESTE})
+
+        resposta = client.post(
+            "/login", data={"usuario": "admin", "senha": "teste123", "csrf_token": CSRF_TESTE}
+        )
+        assert resposta.status_code == 429
+        assert "muitas tentativas" in resposta.text.lower()
+        assert session.SESSION_COOKIE_NAME not in resposta.cookies
+    finally:
+        rate_limit._falhas.pop("testclient", None)
+
+
 def test_post_logout_apaga_cookie_e_redireciona():
     cookies = {session.SESSION_COOKIE_NAME: session.criar_token("admin", "Admin", "ADMIN")}
     resposta = client.post("/logout", data={"csrf_token": CSRF_TESTE}, cookies=cookies)