feat: popup quảng cáo, đặt lại mật khẩu bằng token 80 ký tự, 2FA email, vá lỗ hổng bảo mật

- Popup/banner quảng cáo cấu hình từ admin (loại, link, lịch hiển thị)
- Đặt lại mật khẩu: token 80 ký tự kèm check digit Luhn thay cho token+email lộ trong URL, chỉ lưu bản băm, một lần dùng, hết hạn 60 phút
- Xác thực 2 lớp qua email khi đăng nhập (mã 6 số, ghi nhớ thiết bị 90 ngày)
- ApiAuthCheck chặn ngay tài khoản bị khoá dù JWT còn hạn (trước đây dùng được tới hết TTL)
- Handler trả 404 thay vì 500 khi ModelNotFoundException không bọc HttpException
- Test ClientTamperingTest: xác nhận IDOR/giả mạo dữ liệu từ client đều bị chặn

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

routes/api/admin/system.php

@@ -5,6 +5,7 @@ use App\Http\Controllers\Api\Admin\EmailLog\EmailLogController;
 use App\Http\Controllers\Api\Admin\EmailTemplate\EmailTemplateController;
 use App\Http\Controllers\Api\Admin\MailCampaign\MailCampaignController;
 use App\Http\Controllers\Api\Admin\Setting\ClientMenuController;
+use App\Http\Controllers\Api\Admin\Setting\PopupBannerController;
 use App\Http\Controllers\Api\Admin\Setting\SettingController as AdminSettingController;
 use App\Http\Controllers\Api\Admin\Staff\StaffOnlineController;
 use App\Http\Controllers\Api\Admin\Ticket\TicketController as AdminTicketController;
@@ -32,6 +33,16 @@ Route::prefix('client-menu')
         Route::put('quick-links', 'updateQuickLinks');
     });
 
+Route::prefix('popup-banners')
+    ->controller(PopupBannerController::class)
+    ->middleware('perm:setting.manager')
+    ->group(function () {
+        Route::get('/', 'index');
+        Route::post('/', 'store');
+        Route::post('{id}', 'update')->whereNumber('id');
+        Route::delete('{id}', 'destroy')->whereNumber('id');
+    });
+
 // VAT settings per service type (module: settings)
 Route::prefix('vat-settings')
     ->controller(AdminSettingController::class)