feat: Turnstile captcha, menu khách + nút tắt topbar cấu hình từ admin, ẩn setting nhạy cảm

- Turnstile (App\Support\Turnstile, middleware turnstile) cho login admin và login/register/forgot/reset của khách; cấu hình ở setting key=turnstile, secret mã hoá SignRSA.
- Menu sidebar khách (setting client_menu) và nút tắt topbar (setting client_quick_links) do admin sửa qua administrator/client-menu[/quick-links], khách đọc v1/setting/menu, v1/setting/quick-links.
- v1/setting và settings/public chỉ trả whitelist PublicSetting::FIELDS (trước đây lộ bot_token, inet_api_key).
- Cài đặt tài khoản khách (preferences), rate limit theo IP cho register/resend-verify.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

tests/Feature/Api/Client/SecurityHardeningTest.php

@@ -30,13 +30,12 @@ class SecurityHardeningTest extends TestCase
     {
         $response = $this->withHeaders(['x-access-token' => $this->buildClientAccessToken()])->postJson('/v1/client/register', [
             'fullname' => 'Nguyen Van B',
-            'phone'    => '0912345679',
             'email'    => 'long-pass@example.com',
             'password' => 'abcdefghij',
             'password_confirmation' => 'abcdefghij',
         ]);
 
-        $response->assertJsonMissingValidationErrors('password');
+        $response->assertJsonMissingValidationErrors(['password', 'phone']);
     }
 
     public function test_cccd_upload_rejects_svg(): void