feat(server): auth comptes utilisateurs et tokens API (ticket #48)

Ajoute la couche application (ports, use cases), les entités du
domaine, l'endpoint api/auth_api.dart (register/login/logout) et son
câblage dans le router, le hashing de mot de passe et le service de
token (infrastructure/security), et l'adapter Postgres des repositories
d'auth s'appuyant sur la table users du ticket #49. dart pub get OK,
dart analyze clean, dart test 10/10 vert (test PostgreSQL réel skip
faute de Docker disponible dans ce sandbox). Logique d'auth et
middleware testés via repositories fake en mémoire ; les endpoints
HTTP register/login/logout n'ont pas pu être exercés de bout en bout
faute d'accès à un vrai PostgreSQL local.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

server/lib/infrastructure/security/README.md

@@ -1,5 +1,7 @@
 # Security infrastructure
 
-Placeholder for password hashing, token signing and token verification.
+Password hashing uses PBKDF2-HMAC-SHA256 via `package:cryptography`, with a
+random per-password salt and encoded parameters in the stored hash.
 
-Authentication is planned for ticket #48.
+API tokens are opaque random base64url strings generated with `Random.secure()`.
+Only the SHA-256 hash of a token is persisted.