What

Corrige tres bugs de experiencia de usuario: error 403 al recargar rutas del SPA, falta de redirección al login cuando el token expira, y carga innecesaria de todas las tareas al entrar al tablero.

Why

• Al recargar una URL como /projects, Spring Security bloqueaba la petición con 403 porque no reconocía las rutas del frontend.
• Cuando el token JWT expiraba, el backend devolvía 403 en lugar de 401, por lo que el frontend mostraba el error en el DOM en vez de redirigir al login.
• Al entrar al tablero de tareas se cargaban todas las tareas del proyecto antes de que se determinara el sprint por defecto, y el fallback ignoraba sprints cerrados.

Changes

• SecurityConfig.java: reordenar reglas para que /api/** requiera autenticación y todo lo demás sea público (rutas SPA)
• SpaController.java (nuevo): reenvía rutas sin extensión a index.html para que React Router las maneje
• JwtAuthFilter.java: cuando el token está presente pero inválido/expirado, responde con 401 en lugar de dejar pasar la petición sin autenticación
• TasksPage.jsx: inicializar filters.sprint como undefined para bloquear la carga inicial hasta determinar el sprint; ampliar el fallback al sprint más reciente por fecha (cualquier estado, no solo PLANNING)