Remove guest login: every user registers with a phone number

POST /api/auth/session is gone (404). Existing is_guest rows keep refresh and
upgrade-by-phone until the demo/guest rows are purged; the code that serves
them is listed in docs/security-before-production.md §10. Tests that used the
endpoint as a fixture now use accounts/testing.guest_session.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

README.md

@@ -40,9 +40,10 @@ python manage.py runserver
 | پنلِ ادمین | `/admin/` |
 | سلامتِ سرویس | `/api/health` |
 
-**اولین درخواست در Swagger:** `POST /api/auth/session` با
-`{"type":"guest","deviceId":"d_test1"}` بزنید، `token` را بردارید، روی
-**Authorize** کلیک کنید و همان رشته را (بدونِ کلمه‌ی `Bearer`) وارد کنید.
+**اولین درخواست در Swagger:** در حالتِ `DJANGO_DEBUG=1` با `POST /api/auth/otp/request`
+شماره‌ای بفرستید و با `POST /api/auth/login` و کدِ `DEV_MASTER_OTP` وارد شوید؛ `token` را
+بردارید، روی **Authorize** کلیک کنید و همان رشته را (بدونِ کلمه‌ی `Bearer`) وارد کنید.
+ورودِ مهمان نداریم.
 
 دستورهای پرکاربردِ دیگر: