fix(auth): restringe workshop/mecanico solo por servidor y cookie

- Elimina el script inline que redirigia a todos los usuarios.
- auth_bp.py: la respuesta de login ahora setea cookie pos_role.
- app.py: before_request redirige a /pos/workshop solo cuando la cookie
  indica rol workshop/mechanic (no depende de JS cacheado).
- login.js/login.min.js/app-init.js: sincronizan/limpian la cookie pos_role
  junto con el token en login y logout.

Tests: 35 passed

pos/static/js/login.js

@@ -82,6 +82,7 @@
             localStorage.setItem('pos_token', result.data.token);
             localStorage.setItem('pos_employee', JSON.stringify(result.data.employee));
             localStorage.setItem('pos_tenant_id', tenantId);
+            document.cookie = 'pos_role=' + (result.data.employee.role || '') + '; path=/pos; SameSite=Lax';
             window.location.href = '/pos/catalog';
         })
         .catch(function() {