feat: add authentication and RBAC

- packages/database: schema Prisma (users/sessions/roles/permissions/
  user_roles/role_permissions/audit_logs/password_reset_tokens), migration
  inicial e seed (permissoes+perfis+bootstrap super_admin com senha
  aleatoria em FIRST_LOGIN.txt). Decisao de ORM (Prisma) documentada em
  docs/ARCHITECTURE.md
- packages/shared: catalogo de permissoes (fonte unica usada por seed e API)
- apps/api: NestJS 11 + Fastify
  - autenticacao: Argon2id, access JWT + refresh token opaco com rotacao,
    cookies HttpOnly/SameSite=Lax, change/forgot/reset password
  - rate limiting progressivo de login via Redis (bloqueio crescente por IP)
  - RBAC reforcado no backend (PermissionsGuard), protecao contra
    auto-elevacao de privilegio
  - auditoria (audit_logs) nas acoes sensiveis, com redacao de segredos
  - health checks reais (postgres+redis), swagger desabilitavel, logs
    estruturados JSON com request_id de correlacao, filtro global de
    excecoes sem vazar erro cru
- infrastructure/docker/api.Dockerfile: build multi-stage do monorepo pnpm
- docker-compose.yml: servico api na rede interna, sem porta publicada

Testado via containers reais: login, /me, refresh, change-password,
rate limit (7 tentativas -> 429), RBAC (nega/permite), bloqueio de
auto-elevacao (403), audit log populado, health checks, lint e testes
unitarios passando.

.env.example

@@ -8,6 +8,12 @@ NODE_ENV=production
 APP_NAME=B2BCall
 APP_URL=http://10.10.32.142
 TZ=America/Sao_Paulo
+PORT=3000
+# Origens permitidas por CORS (separadas por vírgula). Nunca usar "*" — a
+# API usa cookies (credentials: true), que exigem origem explícita.
+ALLOWED_ORIGINS=http://10.10.32.142
+# Swagger/OpenAPI em /api/docs — desabilitar em produção real.
+SWAGGER_ENABLED=true
 
 # Modo de simulação do discador: quando true, NENHUMA chamada externa real é
 # originada (usado em dev/testes). Nunca deixar true em produção.