feat: Turnstile captcha, menu khách + nút tắt topbar cấu hình từ admin, ẩn setting nhạy cảm

- Turnstile (App\Support\Turnstile, middleware turnstile) cho login admin và login/register/forgot/reset của khách; cấu hình ở setting key=turnstile, secret mã hoá SignRSA.
- Menu sidebar khách (setting client_menu) và nút tắt topbar (setting client_quick_links) do admin sửa qua administrator/client-menu[/quick-links], khách đọc v1/setting/menu, v1/setting/quick-links.
- v1/setting và settings/public chỉ trả whitelist PublicSetting::FIELDS (trước đây lộ bot_token, inet_api_key).
- Cài đặt tài khoản khách (preferences), rate limit theo IP cho register/resend-verify.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

app/Providers/RouteServiceProvider.php

@@ -78,8 +78,19 @@ class RouteServiceProvider extends ServiceProvider
         // IP gần như luôn là IP của Next → khoá theo route + email, không theo IP (tránh chặn chung mọi khách).
         RateLimiter::for('client-auth', function (Request $request) {
             $email = strtolower(trim((string) $request->input('email')));
+            $route = $request->route()?->getName();
+            $byEmail = Limit::perMinute(5)->by($route . '|' . ($email ?: $request->ip()));
 
-            return Limit::perMinute(5)->by($request->route()?->getName() . '|' . ($email ?: $request->ip()));
+            $perIpHourly = [
+                'api.client.register'      => 5,
+                'api.client.resend-verify' => 10,
+            ];
+
+            if (!isset($perIpHourly[$route])) {
+                return $byEmail;
+            }
+
+            return [$byEmail, Limit::perHour($perIpHourly[$route])->by($route . '|ip|' . $request->ip())];
         });
     }
 }