feat: popup quảng cáo, đặt lại mật khẩu bằng token 80 ký tự, 2FA email, vá lỗ hổng bảo mật

- Popup/banner quảng cáo cấu hình từ admin (loại, link, lịch hiển thị)
- Đặt lại mật khẩu: token 80 ký tự kèm check digit Luhn thay cho token+email lộ trong URL, chỉ lưu bản băm, một lần dùng, hết hạn 60 phút
- Xác thực 2 lớp qua email khi đăng nhập (mã 6 số, ghi nhớ thiết bị 90 ngày)
- ApiAuthCheck chặn ngay tài khoản bị khoá dù JWT còn hạn (trước đây dùng được tới hết TTL)
- Handler trả 404 thay vì 500 khi ModelNotFoundException không bọc HttpException
- Test ClientTamperingTest: xác nhận IDOR/giả mạo dữ liệu từ client đều bị chặn

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

app/Http/Resources/Api/Client/ClientResource.php

@@ -38,7 +38,7 @@ class ClientResource extends JsonResource
                 'cmnd_after' => $this->cccdUrl('back', $this->back_identity_number),
                 'cmnd' => $this->identity_number ? Str::mask($this->identity_number, '*', 0, -4) : null,
                 'fb_link' => null,
-                'active_2fa' => 0,
+                'active_2fa' => (int) $this->two_factor_enabled,
                 'off_mail_marketing' => $this->off_mail_marketing,
                 'email_marketing' => (bool) $this->email_marketing,
                 'receive_deposit' => (bool) $this->receive_deposit,