fix(auth): flujo de recuperación de contraseña usa email en vez de usuario

- login.html: corregir link roto /password/reset → /request-password-reset
- request-password-reset.html: reescribir — pide email, AJAX, diseño de la app
- RequestPasswordResetPost: buscar por email (GetUserByEmail), no revela si
  el correo existe o no (misma respuesta siempre — seguridad)
- password-reset.html: reescribir — eliminar campo nombre_usuario redundante,
  validación de contraseñas en cliente, diseño consistente con el resto del app
- PasswordResetPost: usar c.Locals("email") del token (ya validado por
  middleware) en vez de nombre_usuario del form
- password_reset.go middleware: ampliar expiración de token de 5 min a 1 hora

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

resources/views/auth/login.html

@@ -71,7 +71,7 @@
 
         <!-- Forgot password link -->
         <div class="flex justify-end">
-            <a href="/password/reset" class="text-xs font-medium hover:underline" style="color:#8eb02f">
+            <a href="/request-password-reset" class="text-xs font-medium hover:underline" style="color:#8eb02f">
                 ¿Olvidaste tu contraseña?
             </a>
         </div>