feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

web/src/components/AuthGuard.tsx

@@ -0,0 +1,62 @@
+import { Navigate, Outlet, useLocation } from 'react-router';
+
+import { ErrorNotice, LoadingNotice } from '@/components/ui/ErrorNotice';
+import { useCurrentUser } from '@/lib/hooks';
+
+interface AuthGuardProps {
+  /**
+   * Если `true`, пользователей с незавершённым онбордингом пускаем внутрь
+   * (нужно для /onboarding и /settings).
+   */
+  allowIncompleteOnboarding?: boolean;
+}
+
+/**
+ * Защита маршрутов: проверяет GET /users/@me.
+ * Неавторизованных отправляет на /login, не прошедших онбординг — на /onboarding.
+ */
+export function AuthGuard({ allowIncompleteOnboarding = false }: AuthGuardProps) {
+  const location = useLocation();
+  const currentUser = useCurrentUser();
+
+  if (currentUser.isPending) {
+    return (
+      <div className="flex min-h-full items-center justify-center p-6">
+        <LoadingNotice />
+      </div>
+    );
+  }
+
+  if (currentUser.isError) {
+    if (isUnauthorized(currentUser.error)) {
+      return <Navigate to="/login" replace state={{ from: location.pathname }} />;
+    }
+    return (
+      <div className="mx-auto flex min-h-full w-full max-w-md flex-col justify-center p-6">
+        <ErrorNotice error={currentUser.error} onRetry={() => void currentUser.refetch()} />
+      </div>
+    );
+  }
+
+  const user = currentUser.data;
+  if (!allowIncompleteOnboarding && !user.onboarding_completed) {
+    return <Navigate to="/onboarding" replace />;
+  }
+
+  return <Outlet context={{ user }} />;
+}
+
+/** Коды, которые означают именно отсутствие сессии. */
+const unauthorizedCodes = new Set(['auth.unauthorized', 'auth.session_invalid', 'auth.required']);
+
+/** 401/403 или один из «сессионных» кодов; остальное — сеть или ошибка сервера. */
+export function isUnauthorized(error: unknown): boolean {
+  if (typeof error !== 'object' || error === null) {
+    return false;
+  }
+  const candidate = error as { status?: unknown; code?: unknown };
+  if (candidate.status === 401) {
+    return true;
+  }
+  return typeof candidate.code === 'string' && unauthorizedCodes.has(candidate.code);
+}