fix(admin): richiedi autenticazione su logout (CodeQL access-control)

L'endpoint POST /api/admin/auth/logout era [AllowAnonymous]: CodeQL lo
segnala come cs/web/missing-function-level-access-control (high) perche'
manca un controllo di autorizzazione a livello di funzione in un controller
che altrimenti richiede Admin JWT.

Ora logout richiede [Authorize]: solo login/refresh restano anonimi, come da
security model admin. L'admin-web invia gia' il Bearer token via interceptor
axios e gestisce il 401 in catch, quindi nessun impatto client.

Build OK, 254/254 test verdi.

Author: AndreaPrestia

backend/src/Accanto.Admin.Api/Controllers/AdminAuthController.cs

@@ -31,8 +31,13 @@ public async Task<ActionResult<AdminAuthResponse>> Login([FromBody] AdminLoginRe
     public async Task<ActionResult<AdminAuthResponse>> Refresh([FromBody] AdminRefreshRequest request, CancellationToken ct)
         => Ok(await _auth.RefreshAsync(request, BuildClientInfo(), ct));
 
+    // Logout richiede un Admin JWT valido ([Authorize] ereditato dal controller
+    // non e' presente qui, quindi lo dichiariamo esplicito): l'admin deve essere
+    // autenticato per terminare la propria sessione. Solo login/refresh restano
+    // anonimi. Soddisfa anche il controllo CodeQL di access-control a livello di
+    // funzione (nessun endpoint autenticato marcato AllowAnonymous per errore).
     [HttpPost("logout")]
-    [AllowAnonymous]
+    [Authorize]
     public async Task<IActionResult> Logout([FromBody] AdminLogoutRequest request, CancellationToken ct)
     {
         await _auth.LogoutAsync(request, ct);