feat: popup quảng cáo, đặt lại mật khẩu bằng token 80 ký tự, 2FA email, vá lỗ hổng bảo mật

- Popup/banner quảng cáo cấu hình từ admin (loại, link, lịch hiển thị)
- Đặt lại mật khẩu: token 80 ký tự kèm check digit Luhn thay cho token+email lộ trong URL, chỉ lưu bản băm, một lần dùng, hết hạn 60 phút
- Xác thực 2 lớp qua email khi đăng nhập (mã 6 số, ghi nhớ thiết bị 90 ngày)
- ApiAuthCheck chặn ngay tài khoản bị khoá dù JWT còn hạn (trước đây dùng được tới hết TTL)
- Handler trả 404 thay vì 500 khi ModelNotFoundException không bọc HttpException
- Test ClientTamperingTest: xác nhận IDOR/giả mạo dữ liệu từ client đều bị chặn

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/Http/Controllers/Api/Client/ClientController.php

@@ -9,6 +9,7 @@ use App\Services\Api\Client\ClientAuthService;
 
 use App\Http\Controllers\Api\Client\Concerns\HandlesClientAuthentication;
 use App\Http\Controllers\Api\Client\Concerns\HandlesClientPasswordReset;
+use App\Http\Controllers\Api\Client\Concerns\HandlesClientTwoFactor;
 use App\Http\Controllers\Api\Client\Concerns\ManagesClientAccountSettings;
 use App\Http\Controllers\Api\Client\Concerns\ManagesClientProfile;
 /**
@@ -21,6 +22,7 @@ class ClientController extends Controller
 {
     use HandlesClientAuthentication;
     use HandlesClientPasswordReset;
+    use HandlesClientTwoFactor;
     use ManagesClientAccountSettings;
     use ManagesClientProfile;