Remove guest login: every user registers with a phone number

POST /api/auth/session is gone (404). Existing is_guest rows keep refresh and
upgrade-by-phone until the demo/guest rows are purged; the code that serves
them is listed in docs/security-before-production.md §10. Tests that used the
endpoint as a fixture now use accounts/testing.guest_session.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

docs/operations.md

@@ -55,9 +55,7 @@ curl https://mathapi.tadrisino2.ir/api/health
 
 ```bash
 curl -i https://mathapi.tadrisino2.ir/api/schema/
-curl -i -X POST https://mathapi.tadrisino2.ir/api/auth/session \
-  -H 'Content-Type: application/json' \
-  -d '{"type":"guest","deviceId":"verify-1"}'
+curl -i https://mathapi.tadrisino2.ir/api/health
 ```
 
 ## بکاپ و بازیابی
@@ -254,22 +252,10 @@ curl -X POST https://mathapi.tadrisino2.ir/api/auth/login \
 
 ### حسابِ مهمانِ تستِ فرانت
 
-مسیرِ مهمان (`POST /api/auth/session` با یک `deviceId`) اصلاً به پیامک کار
-ندارد و همیشه کار می‌کند — هر رشته‌ای به‌عنوانِ `deviceId` یک حسابِ تازه
-می‌سازد. از ۲۰۲۶-۰۹-۲۴ پاسخش `refreshToken` هم دارد (مثلِ ورود با شماره)، پس
-مهمان بعد از انقضای توکنِ یک‌ساعته با `POST /api/auth/refresh` ادامه می‌دهد.
-
-یک `deviceId` مشخص روی پروداکشن از قبل داده دارد:
-
-```bash
-curl -X POST https://mathapi.tadrisino2.ir/api/auth/session \
-     -H 'Content-Type: application/json' \
-     -d '{"type":"guest","deviceId":"frontend-test-device"}'
-```
-
-کاربرِ شماره‌ی ۶، «حساب تست فرانت». رویش ۲۴ ردیفِ `Notification` و ۲۰ ردیفِ
-`LeaderboardEntry` (هفتگی و کل، با ترتیبِ عمداً متفاوت) نشسته تا تیمِ فرانت
-بتواند آن صفحه‌ها را قبل از وجودِ ترافیکِ واقعی ببیند.
+ورودِ مهمان (`POST /api/auth/session`) حذف شده و دیگر با `frontend-test-device` توکن نمی‌دهد. ردیفِ
+کاربرِ شماره‌ی ۶ («حساب تست فرانت»، `is_guest=True`) با ۲۴ ردیفِ `Notification` و ۲۰ ردیفِ
+`LeaderboardEntry` هنوز روی پروداکشن است؛ برای دیدنِ آن صفحه‌ها با حسابِ دموی شماره‌دار
+(`TEST_LOGIN_PHONES`) وارد شوید.
 
 ⚠️ **این داده دستی روی دیتابیسِ پروداکشن نوشته شده و در گیت نیست.** پیش از باز
 شدنِ سرویس روی کاربرانِ واقعی باید برود، وگرنه اعلان‌ها و لیدربردِ ساختگی را