보안+성능 일괄 수정 (CSRF, IDOR, N+1)

## 수정된 기능

### 1. CSRF 보호 (CRITICAL → 해결)
- `highlights_controller.rb`에서 `skip_before_action :verify_authenticity_token` 제거
- JS(bible_passage_controller.js)는 이미 X-CSRF-Token 헤더 포함 → 추가 수정 불필요

### 2. N+1 쿼리 최적화 (HIGH → 해결)
- index: `.includes(:qt_participants)` 추가
- members: SQL GROUP BY + CASE WHEN 집계 (N+1 → 1 쿼리)
- rankings: SQL GROUP BY + CASE WHEN 집계 (N*4+1 → 1 쿼리)

### 3. IDOR 접근 제어 (MEDIUM → 해결)
- `verify_participant` before_action 추가 (show, shared_meditations, members, rankings)
- select 액션 참여자 검증 추가
- 테스트 8개 추가

## 테스트 결과
- 전체: 533 runs, 1279 assertions, 0 failures
- 기존 2 errors: ProfilesControllerTest fixture 누락 (기존 이슈, 본 작업과 무관)

## 남은 이슈
- ProfilesControllerTest fixture 파일 누락 에러 (별도 처리 필요)

## 작업 계획
- 목표: 리뷰에서 발견된 CRITICAL CSRF, HIGH N+1, MEDIUM IDOR 3건 일괄 수정
- 접근 방식: 파일별 분리하여 2명 에이전트 병렬 처리

## 팀 구성
- csrf-fixer: highlights_controller.rb + JS CSRF 토큰 (파일 충돌 없음)
- sessions-fixer: sessions_controller.rb N+1 + IDOR (동일 파일이므로 1명이 통합 처리)

## 현재 상태
- 보드 현황: backlog 0 / todo 3 / in_progress 3 / review 0 / done 96