feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

web/src/api/users.ts

@@ -0,0 +1,61 @@
+import { request } from './client';
+import type { GuildSummary, User, UserSummary } from './types';
+
+export interface UpdateProfileInput {
+  display_name?: string;
+  bio?: string;
+  status?: string;
+  custom_status?: string;
+  custom_status_emoji?: string;
+  locale?: string;
+}
+
+export interface OnboardingInput {
+  display_name?: string;
+  bio?: string;
+  locale?: string;
+}
+
+export const currentUserQueryKey = ['users', '@me'] as const;
+export const myGuildsQueryKey = ['users', '@me', 'guilds'] as const;
+
+export function userQueryKey(userId: string) {
+  return ['users', userId] as const;
+}
+
+export async function fetchCurrentUser(signal?: AbortSignal): Promise<User> {
+  const payload = await request<{ user: User }>(
+    '/users/@me',
+    signal === undefined ? {} : { signal },
+  );
+  return payload.user;
+}
+
+export async function updateProfile(input: UpdateProfileInput): Promise<User> {
+  const payload = await request<{ user: User }>('/users/@me', { method: 'PATCH', body: input });
+  return payload.user;
+}
+
+export async function completeOnboarding(input: OnboardingInput): Promise<User> {
+  const payload = await request<{ user: User }>('/users/@me/onboarding/complete', {
+    method: 'POST',
+    body: input,
+  });
+  return payload.user;
+}
+
+export async function fetchMyGuilds(signal?: AbortSignal): Promise<GuildSummary[]> {
+  const payload = await request<{ guilds: GuildSummary[] }>(
+    '/users/@me/guilds',
+    signal === undefined ? {} : { signal },
+  );
+  return payload.guilds;
+}
+
+export async function fetchUser(userId: string, signal?: AbortSignal): Promise<UserSummary> {
+  const payload = await request<{ user: UserSummary }>(
+    `/users/${encodeURIComponent(userId)}`,
+    signal === undefined ? {} : { signal },
+  );
+  return payload.user;
+}