Задача 037: двухфакторная аутентификация TOTP по выбору пользователя

Пользователь сам включает TOTP (QR, приложение-аутентификатор); 10 одноразовых кодов
восстановления; superadmin сбрасывает 2FA другому пользователю. Вход в два шага:
/auth/login → mfa_token, /auth/login/2fa — под теми же лимитами и advisory-lock, что пароль.
Секрет шифруется Fernet-ключом TOTP_ENC_KEY, защита от повторного использования кода
(totp_last_step), лимиты перебора кода при отключении. Миграция 0015, зависимости pyotp,
segno, cryptography. UI: второй шаг входа, диалоги 2FA в меню логина, бейдж и сброс
в «Пользователях»; submitDialog не закрывает окно, открытое следующим шагом цепочки.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

requirements.txt

@@ -7,3 +7,6 @@ pydantic-settings>=2.4
 email-validator>=2.2
 pyjwt>=2.9
 argon2-cffi>=23.1
+pyotp>=2.9        # изменение 037: TOTP-коды двухфакторной аутентификации
+segno>=1.6        # изменение 037: QR-код в SVG на сервере (чистый Python, без внешних вызовов)
+cryptography>=43  # изменение 037: шифрование секрета TOTP (Fernet)