fix(audit): corrige errores criticos y mayores, mejora UX/accesibilidad y optimiza rendimiento

- Arregla @require_auth, permisos, race conditions, locks de caja/stock
- Elimina N+1 en layaway, flotilla, dashboard y global_invoice
- Asegura folios atomicos para CFDI, ordenes de servicio y polizas
- Protege client_secret de MercadoLibre en backend
- Conecta botones/filtros de config, customers, accounting e invoicing
- Mejora accesibilidad (labels/aria-label) y estados de carga/vacio
- Limpia accounting.js obsoleto y consolida accounting.v9.js
- Actualiza cache busting a v32 y Service Worker a v32
- Documenta todo en docs/AUDIT_Y_MEJORAS_2026-06-15.md

Tests: 35 passed

pos/blueprints/invoicing_bp.py

@@ -485,7 +485,7 @@ def get_sale_pdf(sale_id):
 
 
 @invoicing_bp.route("/stats", methods=["GET"])
-@require_auth("invoicing.read")
+@require_auth("invoicing.view")
 def api_invoicing_stats():
     """Return counts for tab badges: invoices, credit notes, payment complements, cancellations."""
     conn = get_tenant_conn(g.tenant_id)