feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

internal/store/guilds.go

@@ -357,3 +357,103 @@ func prefixColumns(prefix, columns string) string {
 	}
 	return strings.Join(parts, ", ")
 }
+
+// GuildMemberProfile — участник сервера вместе с публичными полями профиля:
+// нужен списку участников в клиенте (AGENT.md 8.2).
+type GuildMemberProfile struct {
+	UserID          uint64
+	Username        string
+	DisplayName     string
+	Nickname        string
+	AvatarFileID    *uint64
+	Status          string
+	CustomStatus    string
+	IsInstanceAdmin bool
+	JoinedAt        time.Time
+	TimeoutUntil    *time.Time
+	RoleIDs         []uint64
+}
+
+// ListGuildMemberProfiles возвращает участников сервера с профилями и ролями.
+func (s *Store) ListGuildMemberProfiles(ctx context.Context, guildID uint64) ([]GuildMemberProfile, error) {
+	rows, err := s.reader.QueryContext(ctx, `
+		SELECT m.user_id, u.username, u.display_name, m.nickname, u.avatar_file_id,
+		       u.status, u.custom_status, u.is_instance_admin, m.joined_at, m.timeout_until
+		FROM guild_members m
+		JOIN users u ON u.id = m.user_id
+		WHERE m.guild_id = ? AND u.deleted_at IS NULL
+		ORDER BY m.joined_at, m.user_id`, int64(guildID))
+	if err != nil {
+		return nil, err
+	}
+	defer rows.Close()
+
+	profiles := make([]GuildMemberProfile, 0, 16)
+	for rows.Next() {
+		var (
+			profile      GuildMemberProfile
+			nickname     sql.NullString
+			avatarID     sql.NullInt64
+			isAdmin      int
+			joinedAt     string
+			timeoutUntil sql.NullString
+		)
+		if err := rows.Scan(&profile.UserID, &profile.Username, &profile.DisplayName, &nickname,
+			&avatarID, &profile.Status, &profile.CustomStatus, &isAdmin, &joinedAt, &timeoutUntil); err != nil {
+			return nil, err
+		}
+		if nickname.Valid {
+			profile.Nickname = nickname.String
+		}
+		if avatarID.Valid {
+			value := uint64(avatarID.Int64)
+			profile.AvatarFileID = &value
+		}
+		profile.IsInstanceAdmin = isAdmin == 1
+		profile.JoinedAt = parseTimestamp(joinedAt)
+		if timeoutUntil.Valid {
+			value := parseTimestamp(timeoutUntil.String)
+			profile.TimeoutUntil = &value
+		}
+		profiles = append(profiles, profile)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, err
+	}
+
+	// Роли участников читаем одним запросом и раскладываем по участникам.
+	roleRows, err := s.reader.QueryContext(ctx, `
+		SELECT mr.user_id, mr.role_id
+		FROM member_roles mr
+		JOIN guild_members m ON m.guild_id = mr.guild_id AND m.user_id = mr.user_id
+		WHERE mr.guild_id = ?
+		ORDER BY mr.role_id`, int64(guildID))
+	if err != nil {
+		return nil, err
+	}
+	defer roleRows.Close()
+
+	index := make(map[uint64]int, len(profiles))
+	for i, profile := range profiles {
+		index[profile.UserID] = i
+	}
+	for roleRows.Next() {
+		var userID, roleID uint64
+		if err := roleRows.Scan(&userID, &roleID); err != nil {
+			return nil, err
+		}
+		if position, ok := index[userID]; ok {
+			profiles[position].RoleIDs = append(profiles[position].RoleIDs, roleID)
+		}
+	}
+	return profiles, roleRows.Err()
+}
+
+// CountGuildMemberships возвращает число серверов, которыми владеет пользователь
+// и в которых состоит: используется для лимитов (AGENT.md 6.5).
+func (s *Store) CountGuildMemberships(ctx context.Context, userID uint64) (int, error) {
+	var count int
+	err := s.reader.QueryRowContext(ctx,
+		`SELECT COUNT(*) FROM guild_members WHERE user_id = ?`, int64(userID)).Scan(&count)
+	return count, err
+}