Задача 037: двухфакторная аутентификация TOTP по выбору пользователя

Пользователь сам включает TOTP (QR, приложение-аутентификатор); 10 одноразовых кодов
восстановления; superadmin сбрасывает 2FA другому пользователю. Вход в два шага:
/auth/login → mfa_token, /auth/login/2fa — под теми же лимитами и advisory-lock, что пароль.
Секрет шифруется Fernet-ключом TOTP_ENC_KEY, защита от повторного использования кода
(totp_last_step), лимиты перебора кода при отключении. Миграция 0015, зависимости pyotp,
segno, cryptography. UI: второй шаг входа, диалоги 2FA в меню логина, бейдж и сброс
в «Пользователях»; submitDialog не закрывает окно, открытое следующим шагом цепочки.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

requirements.lock

@@ -19,9 +19,13 @@ argon2-cffi==25.1.0
 argon2-cffi-bindings==26.1.0
     # via argon2-cffi
 cffi==2.1.1
-    # via argon2-cffi-bindings
+    # via
+    #   argon2-cffi-bindings
+    #   cryptography
 click==8.5.0
     # via uvicorn
+cryptography==50.0.1
+    # via -r requirements.txt
 dnspython==2.8.0
     # via email-validator
 email-validator==2.3.0
@@ -58,12 +62,16 @@ pydantic-settings==2.15.0
     # via -r requirements.txt
 pyjwt==2.15.0
     # via -r requirements.txt
+pyotp==2.10.0
+    # via -r requirements.txt
 python-dotenv==1.2.3
     # via
     #   pydantic-settings
     #   uvicorn
 pyyaml==6.0.3
     # via uvicorn
+segno==1.6.6
+    # via -r requirements.txt
 sqlalchemy==2.0.54
     # via
     #   -r requirements.txt