feat(auth): support dual login with email or phone number and role population

.agents/memory.md

@@ -80,6 +80,7 @@ File này chỉ lưu sự thật và quyết định dài hạn giúp các phiê
 - QUY TẮC BẮT BUỘC: Tất cả tên quyền (Permission names) PHẢI được định nghĩa tập trung trong `src/common/constants/permission.constant.ts` (ở cả BE và FE), TUYỆT ĐỐI KHÔNG hardcode chuỗi string permission rải rác trong code.
 - Mọi route endpoint nghiệp vụ ở backend bắt buộc được bảo vệ bằng middleware `requirePermission(PERMISSIONS.*)`.
 - Các vai trò hệ thống mặc định/bất biến (Bootstrap & System protection) được định nghĩa tập trung qua `SYSTEM_ROLES` trong `src/common/constants/system-role.constant.ts` (ví dụ `SYSTEM_ROLES.USER` cho vai trò đăng ký mặc định, `SYSTEM_ROLES.ADMIN` cho vai trò quản trị bất biến), không dùng `SYSTEM_ROLES` để kiểm tra phân quyền.
+- Endpoint đăng nhập `POST /api/v1/auth/login` hỗ trợ linh hoạt cả email và số điện thoại thông qua trường `email` hoặc `account`, tự động chuẩn hóa định dạng số điện thoại Việt Nam và truy vấn role đi kèm.
 
 ## Trạng thái đã biết
 

src/modules/auth/auth.dto.ts

 export interface LoginDto {
   email: string;
+  account?: string;
   password: string;
 }
 

src/modules/auth/auth.repository.ts

@@ -161,6 +161,7 @@ export class AuthRepository {
   async findByPhone(phoneNumber: string) {
     return prisma.user.findFirst({
       where: { phoneNumber, deletedAt: null },
+      include: { role: true },
     });
   }
 

src/modules/auth/auth.service.ts

@@ -24,8 +24,19 @@ export class AuthService {
   private readonly uploadService = new UploadService();
 
   async login(data: LoginDto, metadata?: { userAgent?: string; ipAddress?: string }): Promise<LoginResponseDto> {
-    const { email, password } = data;
-    const user = await this.repository.findByEmail(email);
+    const rawIdentifier = (data.account || data.email || '').trim();
+    const { password } = data;
+
+    let user;
+    if (rawIdentifier.includes('@')) {
+      user = await this.repository.findByEmail(rawIdentifier.toLowerCase());
+    } else {
+      const normalizedPhone = rawIdentifier.replace(/^\+84/, '0').replace(/^84/, '0');
+      user = await this.repository.findByPhone(normalizedPhone);
+      if (!user) {
+        user = await this.repository.findByEmail(rawIdentifier.toLowerCase());
+      }
+    }
 
     if (!user) {
       throw new AppError('Invalid credentials', 401, ERROR_CODE.INVALID_CREDENTIALS);

src/modules/auth/auth.validation.ts

 import { z } from 'zod';
 import { validateUrl } from '../../common/helpers/url.helper';
 
-export const loginSchema = z.object({
-  email: z
-    .string()
-    .min(1, 'Email is required')
-    .email('Invalid email format')
-    .transform((val) => val.trim().toLowerCase()),
-  password: z.string().min(1, 'Password is required'),
-});
+export const loginSchema = z
+  .object({
+    email: z.string().optional(),
+    account: z.string().optional(),
+    password: z.string().min(1, 'Password is required'),
+  })
+  .refine((data) => Boolean((data.email && data.email.trim().length > 0) || (data.account && data.account.trim().length > 0)), {
+    message: 'Email or account is required',
+    path: ['email'],
+  })
+  .transform((data) => ({
+    email: (data.email || data.account)!.trim(),
+    password: data.password,
+  }));
 
 export const zaloLoginSchema = z
   .object({