feat(2fa): 动态码改为可选校验，未验证条目支持就地补验

痛点：secret 多为历史留存，录入那一刻手上常常没有能出码的验证器，
原先「绑定必须 secret + 当前 6 位码校验通过」直接把用户挡在门外。
改为「能验则验，没验就标」，抄错风险由角标持续提醒 + 后置补验兜住。

- 后端：新增 otp_verified_at 记账；code 可选（填了必须通过，错码 400
  且不覆盖已绑 secret）；POST /{id}/otp/verify 补验转正；更换 secret
  一律重置为未验证；_migrate_assets_db 幂等补列并回填旧数据，避免升级
  后全量误报未验证
- 前端：列表区分「2FA 已验证/未验证」徽章，展开区未验证提醒条 + 就地
  补验输入；账号查看密码弹窗增加未验证提示；移除 CredentialModal.save()
  里的必填预校验（这是留空保存连请求都不发出的根因）
- 测试：pytest 74 绿（新增契约反转 + 6 个补验用例 + 迁移回填用例）；
  Playwright 端到端 13/13（留空保存 → 未验证角标 → 错码 400 保持未验证
  → 正码补验转正 → 移动端 375px 无横向溢出 → 无 JS 运行时报错）
- 文档：goal-spec §1/§2/§4/§5/§6/§7/§9 同步新决策，替换旧的必填校验约定

app/database.py

@@ -121,6 +121,19 @@ def _migrate_assets_db() -> None:
             _dedupe_accounts(conn)
             # 凭据中心化：账号登录密码搬入 credentials（唯一事实源）
             _migrate_account_credentials_to_vault(conn)
+        if insp.has_table("credentials"):
+            cols = {c["name"] for c in insp.get_columns("credentials")}
+            if "otp_verified_at" not in cols:
+                conn.execute(
+                    sa.text("ALTER TABLE credentials ADD COLUMN otp_verified_at DATETIME")
+                )
+                # 旧版绑定强制校验过动态码，回填为「已验证」，避免升级后全量误报
+                conn.execute(
+                    sa.text(
+                        "UPDATE credentials SET otp_verified_at = COALESCE(updated_at, created_at) "
+                        "WHERE otp_secret_encrypted IS NOT NULL AND otp_secret_encrypted != ''"
+                    )
+                )
 
 
 def _migrate_indexes() -> None: