feat(api): расширенная админ-панель инстанса (Фаза 7)

Статистика, карточка пользователя и работа с журналом для администратора
инстанса (AGENT.md 3.2, 7.18):

- GET /instance/stats: рост пользователей и сообщений по дням, активность,
  размеры базы и файлов, топы серверов по участникам и сообщениям;
- GET /instance/users/{id}: профиль, активные устройства, серверы с ролями,
  события безопасности и аудит по пользователю;
- DELETE /instance/users/{id}/sessions/{sid} и POST .../reset-2fa: отзыв
  одного устройства и сброс второго фактора со step-up, аудитом и записью
  в события безопасности; чужой ключ администратора не сбрасывается;
- журнал инстанса: фильтры по действию, актору, цели, серверу и датам,
  пагинация с общим числом, список действий и выгрузка CSV (лимит 5/мин);
- список серверов: поиск по названию, владелец, главный сервер, пагинация;
- миграция 00025: нормализованное название сервера `name_lower` — SQLite
  lower() не знает кириллицу, поэтому регистр приводит приложение (как для
  текста сообщений), старые записи дополняются backfill'ом при старте.

internal/store/sessions.go

@@ -142,6 +142,31 @@ func (s *Store) DeleteOtherSessions(ctx context.Context, userID, keepSessionID u
 	return err
 }
 
+// UserSession отдаёт сессию, только если она принадлежит пользователю: админ
+// панели отзывает конкретное устройство (AGENT.md 7.18), и чужой
+// идентификатор сессии не должен ничего отзывать.
+func (s *Store) UserSession(ctx context.Context, userID, sessionID uint64) (*Session, error) {
+	row := s.reader.QueryRowContext(ctx, `
+		SELECT id, user_id, token_hash, user_agent, ip, created_at, expires_at, last_seen, stepped_up_at
+		FROM sessions WHERE id = ? AND user_id = ?`, int64(sessionID), int64(userID))
+	return scanSession(row)
+}
+
+// DeleteUserSession отзывает одно устройство пользователя. Возвращает false,
+// если сессии с таким идентификатором у него нет.
+func (s *Store) DeleteUserSession(ctx context.Context, userID, sessionID uint64) (bool, error) {
+	result, err := s.writer.ExecContext(ctx,
+		`DELETE FROM sessions WHERE id = ? AND user_id = ?`, int64(sessionID), int64(userID))
+	if err != nil {
+		return false, err
+	}
+	affected, err := result.RowsAffected()
+	if err != nil {
+		return false, err
+	}
+	return affected > 0, nil
+}
+
 // DeleteExpiredSessions вызывается cleanup-джобой (AGENT.md 6.4).
 func (s *Store) DeleteExpiredSessions(ctx context.Context) (int64, error) {
 	result, err := s.writer.ExecContext(ctx, `DELETE FROM sessions WHERE expires_at <= ?`, s.Now())