feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

internal/server/auth.go

@@ -7,12 +7,14 @@ import (
 	"github.com/go-chi/chi/v5"
 
 	"glchat/internal/auth"
+	"glchat/internal/gateway"
 	"glchat/internal/httpx"
 	"glchat/internal/store"
 )
 
 // sessionCookieName — имя cookie сессии (AGENT.md 8.1: префикс __Host-).
-const sessionCookieName = "__Host-session"
+// Значение общее с Gateway: браузерный клиент аутентифицируется этой cookie.
+const sessionCookieName = gateway.SessionCookieName
 
 const sessionCookiePath = "/"
 
@@ -54,7 +56,6 @@ func (s *Server) registerAuthRoutes(router chi.Router) {
 	router.Post("/auth/step-up", s.handleStepUp)
 	router.Post("/auth/2fa/setup", s.handleSetupTOTP)
 	router.Post("/auth/2fa/enable", s.handleEnableTOTP)
-	router.Get("/users/@me", s.handleGetMe)
 }
 
 type registerRequest struct {
@@ -77,19 +78,22 @@ type currentUserPayload struct {
 	IsInstanceAdmin bool     `json:"is_instance_admin"`
 	Badges          []string `json:"badges"`
 	Locale          string   `json:"locale"`
+	// OnboardingCompleted — пройдена ли первичная настройка (AGENT.md 7.2).
+	OnboardingCompleted bool `json:"onboarding_completed"`
 }
 
 func userPayload(user *store.User) currentUserPayload {
 	payload := currentUserPayload{
-		ID:              formatSnowflake(user.ID),
-		Username:        user.Username,
-		DisplayName:     user.DisplayName,
-		Bio:             user.Bio,
-		Status:          user.Status,
-		CustomStatus:    user.CustomStatus,
-		IsInstanceAdmin: user.IsInstanceAdmin,
-		Badges:          user.Badges,
-		Locale:          user.Locale,
+		ID:                  formatSnowflake(user.ID),
+		Username:            user.Username,
+		DisplayName:         user.DisplayName,
+		Bio:                 user.Bio,
+		Status:              user.Status,
+		CustomStatus:        user.CustomStatus,
+		IsInstanceAdmin:     user.IsInstanceAdmin,
+		Badges:              user.Badges,
+		Locale:              user.Locale,
+		OnboardingCompleted: user.OnboardingCompletedAt != nil,
 	}
 	if payload.Badges == nil {
 		payload.Badges = []string{}
@@ -251,14 +255,6 @@ func (s *Server) handleListSessions(w http.ResponseWriter, r *http.Request) {
 	writeJSON(w, map[string]any{"sessions": payload})
 }
 
-func (s *Server) handleGetMe(w http.ResponseWriter, r *http.Request) {
-	user, _, ok := s.authenticate(w, r)
-	if !ok {
-		return
-	}
-	writeJSON(w, map[string]any{"user": userPayload(user)})
-}
-
 type totpEnableRequest struct {
 	Code string `json:"code"`
 }