feat(api): расширенная админ-панель инстанса (Фаза 7)

Статистика, карточка пользователя и работа с журналом для администратора
инстанса (AGENT.md 3.2, 7.18):

- GET /instance/stats: рост пользователей и сообщений по дням, активность,
  размеры базы и файлов, топы серверов по участникам и сообщениям;
- GET /instance/users/{id}: профиль, активные устройства, серверы с ролями,
  события безопасности и аудит по пользователю;
- DELETE /instance/users/{id}/sessions/{sid} и POST .../reset-2fa: отзыв
  одного устройства и сброс второго фактора со step-up, аудитом и записью
  в события безопасности; чужой ключ администратора не сбрасывается;
- журнал инстанса: фильтры по действию, актору, цели, серверу и датам,
  пагинация с общим числом, список действий и выгрузка CSV (лимит 5/мин);
- список серверов: поиск по названию, владелец, главный сервер, пагинация;
- миграция 00025: нормализованное название сервера `name_lower` — SQLite
  lower() не знает кириллицу, поэтому регистр приводит приложение (как для
  текста сообщений), старые записи дополняются backfill'ом при старте.

internal/gateway/gateway.go

@@ -415,6 +415,33 @@ func (s *Service) InvalidateUserExcept(userID uint64, keepTokenHash, reason stri
 	s.invalidateUser(userID, keepTokenHash, reason)
 }
 
+// InvalidateSession закрывает соединение одной сессии пользователя: панель
+// инстанса отзывает конкретное устройство (AGENT.md 7.18), остальные
+// устройства продолжают работу. Соединение опознаётся по хэшу токена сессии —
+// как и в InvalidateUserExcept, только условие обратное.
+func (s *Service) InvalidateSession(userID uint64, tokenHash, reason string) {
+	if tokenHash == "" {
+		return
+	}
+	s.mu.Lock()
+	targets := make([]*clientSession, 0, 1)
+	for _, session := range s.sessions {
+		if session.userID != userID {
+			continue
+		}
+		if session.buffer == nil || session.buffer.tokenHash != tokenHash {
+			continue
+		}
+		targets = append(targets, session)
+	}
+	s.mu.Unlock()
+	for _, session := range targets {
+		// Сначала кадр (writeSync дожидается записи), потом закрытие.
+		s.sendInvalidSession(session, reason)
+		session.close()
+	}
+}
+
 func (s *Service) invalidateUser(userID uint64, keepTokenHash, reason string) {
 	s.mu.Lock()
 	targets := make([]*clientSession, 0, 2)