feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

internal/permissions/permissions_test.go

@@ -36,6 +36,15 @@ func (f *fakeSource) MemberRoleIDs(_ context.Context, guildID, userID uint64) ([
 	return nil, nil
 }
 
+func (f *fakeSource) IsMember(_ context.Context, guildID, userID uint64) (bool, error) {
+	if byUser, ok := f.memberRoles[guildID]; ok {
+		if _, found := byUser[userID]; found {
+			return true, nil
+		}
+	}
+	return false, nil
+}
+
 func (f *fakeSource) ChannelOverrides(_ context.Context, channelID uint64) ([]OverrideData, error) {
 	return f.overrides[channelID], nil
 }
@@ -92,6 +101,39 @@ func TestDefaultRoleProvidesBasePermissions(t *testing.T) {
 	}
 }
 
+func TestNonMemberHasNoPermissions(t *testing.T) {
+	source := newFakeSource()
+	source.roles[guildID] = []RoleData{
+		{ID: defaultID, Permissions: DefaultUserPermissions, IsDefault: true, Position: 0},
+	}
+	source.owners[guildID] = ownerID
+	source.overrides[channelID] = []OverrideData{
+		{TargetType: "user", TargetID: memberID, Allow: ViewChannel | SendMessages},
+	}
+	calculator := NewCalculator(source)
+
+	// Пользователь вне сервера: роль @user и персональный оверрайд не действуют.
+	resolved, err := calculator.Channel(context.Background(), guildID, channelID, memberID, false)
+	if err != nil {
+		t.Fatalf("Channel: %v", err)
+	}
+	if resolved.IsMember {
+		t.Fatal("user without membership must not be a member")
+	}
+	if resolved.Has(ViewGuild) || resolved.CanViewChannel() || resolved.Can(SendMessages) {
+		t.Fatalf("non-member received permissions: guild=%s channel=%s", resolved.Guild, resolved.Channel)
+	}
+
+	// Инстанс-админ обходит отсутствие участия (AGENT.md 7.19).
+	admin, err := calculator.Channel(context.Background(), guildID, channelID, memberID, true)
+	if err != nil {
+		t.Fatalf("Channel as instance admin: %v", err)
+	}
+	if !admin.CanViewChannel() || !admin.Has(ManageGuild) {
+		t.Fatal("instance admin must bypass membership checks")
+	}
+}
+
 func TestAssignedRoleAddsPermissions(t *testing.T) {
 	source, calculator := fixture()
 	source.memberRoles[guildID][memberID] = []uint64{moderatorRole}