feat: invitar a un proyecto por correo a alguien que aun no es usuario

Al agregar un miembro, el popup ahora permite elegir un usuario existente
o escribir un correo nuevo. Si ese correo no pertenece a nadie, se crea
una cuenta en estado 'invited' (nombre/clave placeholder) y se le manda
un correo con un enlace de un solo uso para que complete su registro
(elige su nombre y clave). La fila de project_members se crea de una vez
al invitar, asi que en cuanto acepta ya es miembro sin pasos adicionales.
A diferencia del autorregistro publico, no pasa por aprobacion de un
admin -- quien lo agrego a su proyecto ya lo vetó.

Nuevos endpoints publicos GET /api/auth/invite y POST /api/auth/accept-invite.
Nueva pagina AcceptInvitePage (/aceptar-invitacion). Migracion 004 agrega
el status 'invited' al enum de users.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

API.md

@@ -30,6 +30,12 @@
   `{ bootstrap: false }` y se envia (o loguea, sin SMTP) un correo de verificación.
 - `GET /api/auth/verify-email?token=...` — público. Pasa el usuario a `pending_approval` y notifica
   in-app a los `admin`/`superadmin` activos.
+- `GET /api/auth/invite?token=...` — público. `{ email }` de la invitación (para prellenar el
+  formulario), o `400` si es inválida/expiró.
+- `POST /api/auth/accept-invite` — público. `{ token, name, password }` → completa la cuenta
+  creada por `POST /api/projects/:id/members` con `{ email }` (ver arriba): elige nombre y clave,
+  pasa a `active` directo (sin aprobación — quien invitó ya la vetó) y devuelve `{ token, user }`
+  con sesión iniciada, igual que el bootstrap del primer usuario.
 - `POST /api/auth/forgot-password` — público. `{ email }` → respuesta **siempre genérica**.
 - `POST /api/auth/reset-password` — público. `{ token, password }`.
 - `PUT /api/auth/change-password` — autenticado. `{ currentPassword, newPassword }`, exige la
@@ -53,10 +59,13 @@
   editar el proyecto. `POST /api/projects/:id/restore` y `DELETE /api/projects/:id/permanent`
   (borrado físico, irreversible, arrastra actividades/comentarios/adjuntos) — ambos solo
   superadmin; `permanent` exige que el proyecto ya esté en la papelera (400 si no).
-- `POST /api/projects/:id/members` (`roleInProject` opcional: `'admin'` = administrador del
-  proyecto) · `PUT /api/projects/:id/members/:userId/role` (`{ admin: true|false }`, otorga o
-  quita el rol de administrador **de ese proyecto** — un proyecto puede tener uno o más
-  administradores, sin importar el rol global del usuario; nunca toca al `owner`) ·
+- `POST /api/projects/:id/members` — `{ userId }` (usuario existente) o `{ email }` (si el correo
+  no pertenece a nadie todavía, crea una cuenta `invited` y le manda un correo de invitación para
+  que complete su registro; la fila de `project_members` ya queda creada de una vez). `roleInProject`
+  opcional: `'admin'` = administrador del proyecto. Responde `{ members, invited }`.
+- `PUT /api/projects/:id/members/:userId/role` (`{ admin: true|false }`, otorga o quita el rol de
+  administrador **de ese proyecto** — un proyecto puede tener uno o más administradores, sin
+  importar el rol global del usuario; nunca toca al `owner`) ·
   `DELETE /api/projects/:id/members/:userId`
 
 ### Actividades (`/api/activities`)