feat(validation): limites de inputs, mensajes de error y manejo de caracteres inusuales

[ArturoGomezGz]

Resumen

Dos commits de mejora a la validación de inputs:

1. Límites de inputs y mensajes de error claros — establece restricciones en campos que no tenían ninguna, con mensajes descriptivos que llegan al usuario vía toast rojo.
2. Caracteres inusuales devuelven 400 en lugar de 500 — caracteres raros/unicode que rompían el parseo del body ahora retornan INVALID_INPUT con mensaje claro en vez de error interno.

Cambios

Límites de inputs

• TaskRequest.storyPoints: acotado a 1–21 (escala Fibonacci).
• StatusChangeRequest.actualHours: @Positive, máx 999.99, hasta 2 decimales.
• UserController.searchByEmail: @Validated + param @NotBlank @Email @Size(max=100).
• DashboardController.velocity: @Validated + sprints acotado a 1–50.
• LoginRequest.password: máx 100 caracteres (alineado con el registro).
• Paginación global: max-page-size=500, default-page-size=20.

Manejo de errores de parseo (caracteres inusuales)

• HttpMessageNotReadableException → 400 INVALID_INPUT (body no parseable, unicode roto, JSON inválido).
• HttpMessageConversionException → 400 INVALID_INPUT (error de conversión de tipos).
• MethodArgumentTypeMismatchException → 400 INVALID_INPUT con el campo afectado.
• Antes de este fix: todos estos casos devolvían 500.

Mejora general de mensajes

• GlobalExceptionHandler antepone el nombre del campo en errores de body (campo: mensaje).
• Nuevo handler de ConstraintViolationException → 400 en vez de 500 para query params inválidos.

Notas

• Mensajes en inglés, consistente con el resto de la app.
• Sin cambios en el frontend (la cadena ErrorResponse → api.js → toast.error() ya los muestra).
• Sin cambios en el bot de Telegram (ya valida manualmente).

🤖 Generated with Claude Code