## Why

После baseline приложение не различает пользователей и не может безопасно предоставить личные данные или подключение к T-Bank. Авторизация нужна как первая пользовательская возможность и как граница владения всеми последующими данными.

## What Changes

- Добавить свободную регистрацию и вход по нормализованному email и паролю не короче 12 символов.
- Добавить access JWT в ответе API и rotating refresh JWT в `httpOnly`, `SameSite=Lax` cookie, а также refresh, logout и получение текущего профиля.
- Добавить защищенные backend-маршруты и frontend-маршрутизацию с восстановлением сессии.
- Добавить страницы входа и регистрации без восстановления или смены пароля.
- Зафиксировать фактический пользовательский поток авторизации в feature-документации.

## Capabilities

### New Capabilities
- `user-authentication`: Регистрация, вход, refresh-сессия, logout и текущий профиль пользователя.

### Modified Capabilities

Нет.

## Impact

- Затрагивает SQLite schema и Prisma migrations, NestJS auth API/OpenAPI, frontend API-клиент, маршруты и session state.
- Добавляет зависимости для JWT, bcrypt и cookie parsing.
- Создает user-scoped контекст для будущих T-Bank токенов, счетов и портфелей.