fix: time selection click and shiftclick

app/api/v1/auth.py

@@ -30,6 +30,14 @@ def get_current_user(authorization: Optional[str] = Header(None)):
         raise HTTPException(status_code=401, detail="Token đã hết hạn hoặc không hợp lệ")
     return payload
 
+def enforce_password_changed(user: dict):
+    """Bắt buộc người dùng phải đổi mật khẩu ở lần đăng nhập đầu tiên (22_CLIENT_DESK.md §4.1)."""
+    if user.get("must_change_password"):
+        raise HTTPException(
+            status_code=403,
+            detail="Tài khoản bắt buộc phải đổi mật khẩu ở lần đăng nhập đầu tiên trước khi thực hiện xử lý nhạc (HTTP 403 Forbidden)."
+        )
+
 @router.post("/login")
 async def login(req: LoginRequest):
     conn = get_db_connection()