feat(juridico): mirrors ref_* en db_juridico + reconcile (A1 + A2 via 2a)

Independizacion del esquema de db_juridico (plan en portal_juridico/docs/INDEPENDIZACION_DB_JURIDICO_Y_RBAC.md). A1: DDL idempotente de los 4 mirrors (ref_usuario, ref_portafolio, ref_empresa, ref_razon_social) en ensure_juridico_schema, con surrogate+clave_canonica_mirror y FKs intra-DB (portafolio SET NULL, razon_social CASCADE). A2 via 2a: services/juridico_ref.py (SQL crudo) con reconcile de usuarios (criterio activo AND (admin OR area juridico)) y de empresas/portafolios/razones fiscales reusando list_catalogo (cadena fiscal); routers/juridico_ref.py con endpoints gateados a admin (reconcile + listados) registrados en main.py. Validado en local: idempotente e integro. Pendiente: via 1 (on-auth) y via 2b (hooks OAE), backfill y FKs desde marcas.

Co-Authored-By: Claude Opus 4.8 (1M context) noreply@anthropic.com