Étape 7 : authentification par lien magique + JWT + rôles

- app/auth/ : jetons (lien magique aléatoire haché SHA-256, JWT HS256),
  dépendances get_current_account / current_account_in_edition / require_roles
  + require_coordinator / require_staff, et ensure_can_write_position/_shift
- Endpoints app/api/auth.py : POST .../auth/magic-link (202 constant, pas de
  divulgation), POST .../auth/verify (JWT, jeton à usage unique), GET /auth/me
- Envoi d'email stubé : le lien est journalisé (logger app.auth, identifiants
  seulement, aucune donnée nominative)
- app/api/accounts.py : CRUD des comptes réservé à la COORDINATION
- Rôles appliqués sur toute l'API :
  COORDINATION accès complet ; RÉFÉRENT lecture globale + écriture sur ses
  seuls postes/créneaux/affectations ; BÉNÉVOLE sa fiche et ses affectations,
  aucune écriture
- imports.py aligné sur la dépendance get_edition (404 avant 403)
- Secret JWT porté à >= 32 octets (config, .env.example, docker-compose)
- seed : crée un compte VOLUNTEER pour chaque bénévole avec email (104 comptes)
- conftest : fixtures make_account / coordinator / as_account / raw_client ;
  la suite existante s'exécute en COORDINATION
- 13 tests d'authentification + de rôles ; 119 tests au total ; alembic check
  toujours vert (Account / MagicLinkToken déjà dans la migration 0001)

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM

backend/app/api/schemas.py

@@ -9,6 +9,7 @@ from app.models import (
     AssignmentSource,
     AssignmentStatus,
     PositionCategory,
+    Role,
     TshirtSize,
 )
 from app.validation import Violation
@@ -190,3 +191,36 @@ class MatrixPosition(ApiModel):
 class MatrixResponse(ApiModel):
     edition_id: uuid.UUID
     positions: list[MatrixPosition]
+
+
+# --------------------------------------------------------------------------- #
+# Authentification et comptes                                                  #
+# --------------------------------------------------------------------------- #
+class MagicLinkRequest(ApiModel):
+    email: str
+
+
+class VerifyRequest(ApiModel):
+    token: str
+
+
+class AccountRead(ApiModel):
+    id: uuid.UUID
+    edition_id: uuid.UUID
+    email: str
+    role: Role
+    volunteer_id: uuid.UUID | None
+    created_at: dt.datetime
+    updated_at: dt.datetime
+
+
+class TokenResponse(ApiModel):
+    access_token: str
+    token_type: str
+    account: AccountRead
+
+
+class AccountCreate(ApiModel):
+    email: str
+    role: Role
+    volunteer_id: uuid.UUID | None = None