feat(api): ручки Фаз(ы) 1 — профиль, серверы, роли, админ инстанса

REST-слой Фазы 1 на huma (OpenAPI 3.1 генерируется из кода):

- профиль: GET/PATCH /users/@me, смена пароля со step-up, публичный профиль,
  завершение онбординга (новая миграция 00003 с onboarding_completed_at);
- серверы: создание/изменение/удаление, join/leave, список серверов
  пользователя, журнал действий;
- комнаты: список с учётом прав, создание/изменение/удаление;
- участники: список с профилями и ролями, никнейм, тайм-аут, исключение;
- роли: CRUD, выдача/снятие с проверкой иерархии и запретом выдачи прав выше
  собственных;
- админ инстанса: публичная информация, настройки, серверы, пользователи,
  аудит, выдача прав администратора со step-up; обход лимитов фиксируется в
  аудите отдельной записью limits.bypass;
- движок прав: участие в сервере стало обязательным условием (IsMember),
  не участник не получает прав роли @user; калькулятор прав общий для API и
  Gateway, инвалидация кэша после изменений;
- Gateway: браузерный клиент аутентифицируется cookie на рукопожатии, IDENTIFY
  без токена использует её; события GUILD/CHANNEL/MEMBER/ROLE рассылаются из
  ручек, USER_UPDATE — адресно;
- ошибки huma отдаются в едином конверте {"error":{"code","message"}}.

Тесты: 8 сценариев API (профиль, жизненный цикл сервера и права, лимиты и
обход админом, иерархия ролей, тайм-аут, скрытие комнаты оверрайдом,
членство в движке прав, cookie-идентификация Gateway).

web/src/components/ui/Avatar.tsx

@@ -0,0 +1,38 @@
+import { avatarUrl, hueFromId, initials } from '@/lib/identity';
+
+interface AvatarProps {
+  name: string;
+  /** Стабильный id для оттенка заглушки. */
+  seed: string;
+  fileId?: string | undefined;
+  size?: 'sm' | 'md' | 'lg';
+  /** Квадратная заглушка для серверов, круглая — для пользователей. */
+  shape?: 'circle' | 'square';
+}
+
+const sizes = {
+  sm: 'h-7 w-7 text-[11px]',
+  md: 'h-9 w-9 text-xs',
+  lg: 'h-14 w-14 text-lg',
+} as const;
+
+/** Аватар: картинка файлового сервиса либо инициалы на цветной заглушке. */
+export function Avatar({ name, seed, fileId, size = 'md', shape = 'circle' }: AvatarProps) {
+  const src = avatarUrl(fileId);
+  const hue = hueFromId(seed);
+  const radius = shape === 'circle' ? 'rounded-full' : 'rounded-[var(--radius-md)]';
+
+  return (
+    <span
+      aria-hidden="true"
+      className={`inline-flex shrink-0 items-center justify-center overflow-hidden font-semibold text-white ${radius} ${sizes[size]}`}
+      style={src === null ? { backgroundColor: `oklch(0.55 0.13 ${String(hue)})` } : undefined}
+    >
+      {src === null ? (
+        initials(name)
+      ) : (
+        <img src={src} alt="" className="h-full w-full object-cover" />
+      )}
+    </span>
+  );
+}