feat: popup quảng cáo, đặt lại mật khẩu bằng token 80 ký tự, 2FA email, vá lỗ hổng bảo mật

- Popup/banner quảng cáo cấu hình từ admin (loại, link, lịch hiển thị)
- Đặt lại mật khẩu: token 80 ký tự kèm check digit Luhn thay cho token+email lộ trong URL, chỉ lưu bản băm, một lần dùng, hết hạn 60 phút
- Xác thực 2 lớp qua email khi đăng nhập (mã 6 số, ghi nhớ thiết bị 90 ngày)
- ApiAuthCheck chặn ngay tài khoản bị khoá dù JWT còn hạn (trước đây dùng được tới hết TTL)
- Handler trả 404 thay vì 500 khi ModelNotFoundException không bọc HttpException
- Test ClientTamperingTest: xác nhận IDOR/giả mạo dữ liệu từ client đều bị chặn

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/Http/Controllers/Api/Setting/SettingController.php

@@ -3,6 +3,7 @@
 namespace App\Http\Controllers\Api\Setting;
 
 use App\Http\Controllers\Controller;
+use App\Models\PopupBanner;
 use App\Models\Setting;
 use App\Support\ClientMenu;
 use App\Support\ClientQuickLinks;
@@ -80,4 +81,9 @@ class SettingController extends Controller
             'data'  => ClientQuickLinks::items(),
         ]);
     }
+
+    public function getPopups(): \Illuminate\Http\JsonResponse
+    {
+        return response()->json(['error' => false, 'data' => PopupBanner::publicList()]);
+    }
 }