Security fixes:
- Added @login_required to record_lookup to prevent enumeration attacks
- Added admin_required decorator for staff-only views
- Added user_permissions_overview view (staff only)
- Added user_permissions.html template
- Added 'Uživatelé' link in navbar for staff

Documentation:
- Added permissions section to README.md
- Documented roles, how to assign permissions, security measures

Tests:
- Added test_auth_security.py with 11 tests
- Tests cover: record_lookup security, overview access, user permissions
- All 46 tests pass (1 skipped due to FIO_API_TOKEN config)

Addresses issues from AUTH.md:
- Issue 2: record_lookup now requires authentication
- Issue 1: Django admin login forms still need attention

@@ -51,6 +51,25 @@ Ve webovém rozhraní je možné požádat o výpis z bankovního účtu u Fio b
 
 **Důležité**: Pokud se požadují data starší než 90 dní, je nutné manuálně autorizovat API klíč v internetovém bankovnictví Fio banky.
 
+## Oprávění

@@ -54,0 +63,4 @@
+| **Přihlášený** | Základní | Může prohlížet semináře, ke kterým má přístup |
+| **Účetní (accountant)** | Rozšířený | Může spravovat transakce, proplácení, importovat výpisy z banky |
+| **Správce (staff)** | Administrativní | Může spravovat uživatele a jejich oprávnění |
+| **Superuživatel** | Plný | Má všechny práva včetně správy Django adminu |

@@ -79,0 +79,4 @@
+
+
+def admin_required(view_func):
+    """Restricts view to staff users only."""

@@ -0,0 +58,4 @@
+                                    <ul class="unstyled-list text-small">
+                                        {% for perm in user_info.permissions %}
+                                            <li>{{ perm }}</li>
+                                        {% endfor %}

@@ -0,0 +48,4 @@
+
+    def test_record_lookup_enumeration_blocked(self):
+        """Test that records cannot be enumerated without authentication."""
+        # This simulates the attack described in AUTH.md

@@ -0,0 +60,4 @@
+            self.assertEqual(response.status_code, 302)
+        
+        # No records should be found
+        self.assertEqual(len(found_records), 0)

@@ -320,3 +321,4 @@
 
 
+@login_required
 def record_lookup(request):

@@ -326,3 +328,4 @@
+    Requires authentication to prevent enumeration attacks.
     """
     code = request.GET.get("code", "").strip()
 

@@ -449,0 +464,4 @@
+        perms = set()
+        for group in user.groups.all():
+            perms.update(group.permissions.values_list("codename", flat=True))
+        perms.update(user.user_permissions.values_list("codename", flat=True))

@@ -449,0 +471,4 @@
+            "is_staff": user.is_staff,
+            "is_superuser": user.is_superuser,
+            "permissions": sorted(perms),
+        })