feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

internal/gateway/ready.go

@@ -2,6 +2,7 @@ package gateway
 
 import (
 	"context"
+	"errors"
 	"fmt"
 	"strconv"
 	"time"
@@ -17,8 +18,13 @@ type Snapshot struct {
 	calculator *permissions.Calculator
 }
 
-func NewSnapshot(st *store.Store) *Snapshot {
-	return &Snapshot{store: st, calculator: permissions.NewCalculator(newPermissionSource(st))}
+// NewSnapshot собирает READY через переданный калькулятор прав: сервер и
+// Gateway должны использовать один кэш, иначе инвалидация не видна обоим.
+func NewSnapshot(st *store.Store, calculator *permissions.Calculator) *Snapshot {
+	if calculator == nil {
+		calculator = permissions.NewCalculator(newPermissionSource(st))
+	}
+	return &Snapshot{store: st, calculator: calculator}
 }
 
 var _ SnapshotBuilder = (*Snapshot)(nil)
@@ -182,6 +188,16 @@ func (p *permissionSource) MemberRoleIDs(ctx context.Context, guildID, userID ui
 	return p.store.MemberRoleIDs(ctx, guildID, userID)
 }
 
+func (p *permissionSource) IsMember(ctx context.Context, guildID, userID uint64) (bool, error) {
+	if _, err := p.store.GetGuildMember(ctx, guildID, userID); err != nil {
+		if errors.Is(err, store.ErrNotFound) {
+			return false, nil
+		}
+		return false, err
+	}
+	return true, nil
+}
+
 func (p *permissionSource) ChannelOverrides(ctx context.Context, channelID uint64) ([]permissions.OverrideData, error) {
 	overrides, err := p.store.ListChannelOverrides(ctx, channelID)
 	if err != nil {