fix(security): audit RBAC complet v3.0 — rôles normalisés, lifecycle, changement mdp mobile

RBAC:
- HealthResource: @PermitAll
- RoleResource: @RolesAllowed ADMIN/SUPER_ADMIN/ADMIN_ORGANISATION class-level
- PropositionAideResource: @RolesAllowed MEMBRE/USER class-level
- AuthCallbackResource: @PermitAll
- EvenementResource: @PermitAll /publics et /test, count restreint
- BackupResource/LogsMonitoringResource/SystemResource: MODERATOR → MODERATEUR
- AnalyticsResource: MANAGER/MEMBER → ADMIN_ORGANISATION/MEMBRE
- RoleConstant.java: constantes de rôles centralisées

Cycle de vie membres:
- MemberLifecycleService: ajouterMembre()/retirerMembre() sur activation/radiation/archivage
- MembreResource: endpoint GET /numero/{numeroMembre}
- MembreService: méthode trouverParNumeroMembre()

Changement mot de passe:
- CompteAdherentResource: endpoint POST /auth/change-password (mobile)
- MembreKeycloakSyncService: changerMotDePasseDirectKeycloak() via API Admin Keycloak directe
- Fallback automatique si lions-user-manager indisponible

Workflow:
- Flyway V17-V23: rôles, types org, formules Option C, lifecycle columns, bareme cotisation
- Nouvelles classes: MemberLifecycleService, OrganisationModuleService, scheduler
- Security: OrganisationContextFilter, OrganisationContextHolder, ModuleAccessFilter

src/main/java/dev/lions/unionflow/server/resource/PaiementResource.java

@@ -170,6 +170,24 @@ public class PaiementResource {
     return Response.status(Response.Status.CREATED).entity(result).build();
   }
 
+  /**
+   * Polling du statut d'une IntentionPaiement Wave.
+   * Si Wave a confirmé le paiement, réconcilie automatiquement la cotisation (PAYEE) et retourne COMPLETEE.
+   * Le client web appelle cet endpoint toutes les 3 secondes pendant l'affichage du QR code.
+   *
+   * @param intentionId UUID de l'intention (clientReference retourné par initier-paiement-en-ligne)
+   * @return Statut courant + waveLaunchUrl (pour re-générer le QR si besoin) + message
+   */
+  @GET
+  @Path("/statut-intention/{intentionId}")
+  @RolesAllowed({ "MEMBRE", "MEMBRE_ACTIF", "ADMIN", "ADMIN_ORGANISATION", "USER" })
+  public Response getStatutIntention(@PathParam("intentionId") java.util.UUID intentionId) {
+    LOG.infof("GET /api/paiements/statut-intention/%s", intentionId);
+    dev.lions.unionflow.server.api.dto.paiement.response.IntentionStatutResponse result =
+        paiementService.verifierStatutIntention(intentionId);
+    return Response.ok(result).build();
+  }
+
   /**
    * Déclare un paiement manuel (espèces, virement, chèque).
    * Le paiement est créé avec le statut EN_ATTENTE_VALIDATION.