Restaura skip_forgery_protection no webhook de pagamento

Dois commits automáticos de autofix do CodeQL/Copilot (a168dab,
c191b2e) removeram o skip_forgery_protection do
PaymentWebhooksController alegando "CSRF protection weakened or
disabled" — um falso positivo: o autofix não reconheceu que esse é um
endpoint de webhook (gateway de pagamento chamando o servidor
diretamente, nunca um formulário de navegador com token CSRF) já
autenticado por segredo comparado de forma timing-safe.

Confirmado empiricamente (curl contra o servidor local) que a versão
sem skip_forgery_protection retorna 422 InvalidAuthenticityToken para
todo webhook real, mesmo com o segredo correto — quebrando a
confirmação de pagamento em produção. A suíte de testes não pegou
isso porque o ambiente de teste desliga a proteção CSRF globalmente
(allow_forgery_protection = false); adiciona um teste dedicado que
reativa a proteção só para esse exemplo, para que uma futura remoção
indevida seja pega automaticamente.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01JVmATxHWcsrRUtNEQB923F