feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

internal/server/server.go

@@ -17,6 +17,8 @@ import (
 	"glchat/internal/gateway"
 	"glchat/internal/httpx"
 	"glchat/internal/meta"
+	"glchat/internal/permissions"
+	"glchat/internal/source"
 	"glchat/internal/store"
 )
 
@@ -26,6 +28,9 @@ type Deps struct {
 	Store   *store.Store
 	Auth    *auth.Service
 	Gateway *gateway.Service
+	// Permissions — общий с Gateway калькулятор прав (необязателен: если не
+	// передан, сервер создаёт собственный).
+	Permissions *permissions.Calculator
 }
 
 type Server struct {
@@ -34,10 +39,12 @@ type Server struct {
 	store   *store.Store
 	auth    *auth.Service
 	gateway *gateway.Service
-	logger  *slog.Logger
-	http    *http.Server
-	static  *staticHandler
-	api     huma.API
+	// perms — движок прав: ручки проверяют права теми же правилами, что Gateway.
+	perms  *permissions.Calculator
+	logger *slog.Logger
+	http   *http.Server
+	static *staticHandler
+	api    huma.API
 }
 
 func New(cfg config.Config, db *database.DB, logger *slog.Logger, deps Deps) *Server {
@@ -50,12 +57,25 @@ func New(cfg config.Config, db *database.DB, logger *slog.Logger, deps Deps) *Se
 		logger:  logger,
 		static:  newStaticHandler(cfg.WebRoot),
 	}
+	switch {
+	case deps.Permissions != nil:
+		s.perms = deps.Permissions
+	case deps.Store != nil:
+		s.perms = permissions.NewCalculator(source.New(deps.Store))
+	}
 
 	router := chi.NewRouter()
 	router.Route("/api/v1", func(apiRouter chi.Router) {
+		// Сессия резолвится один раз на запрос: huma-ручки читают её из контекста.
+		apiRouter.Use(s.sessionContext)
 		s.api = s.registerAPI(apiRouter)
 		s.registerMetaRoutes(s.api)
 		s.registerAuthRoutes(apiRouter)
+		if deps.Store != nil {
+			s.registerUserRoutes(s.api)
+			s.registerGuildRoutes(s.api)
+			s.registerInstanceRoutes(s.api)
+		}
 		apiRouter.Get("/openapi.json", s.handleOpenAPI)
 	})
 	s.registerRoutes(router)