feat(server): инстанс отдаёт манифест автообновления desktop-обёртки

Обёртка с первого инкремента Фазы 6 запрашивает
`GET /updates/{target}/{arch}/{current_version}`, но на инстансе этого пути не
было: запрос попадал в SPA-заглушку, клиент получал HTML с кодом 200 и писал
в лог «error decoding response body».

Что сделано:

- `internal/server/updates.go` — статика автообновления: каталог `UPDATES_DIR`
  (в контейнере `/app/updates:ro`), раскладка `<target>/<arch>/<version>.json` +
  артефакт и `.sig`; версия без расширения отображается на `<version>.json`,
  а если его нет — на `latest.json` (обёртка приходит со своей установленной
  версией, «новее ли релиз» решает клиент сравнением semver). Для имён
  с расширением артефакта запасного варианта нет: иначе вместо архива клиент
  скачал бы манифест и подпись не сошлась бы. Сегменты пути проверяются по
  символам, выход за каталог невозможен; `/updates/` добавлен в reservedPrefixes,
  поэтому отсутствующий манифест — честный 404, а не HTML-шелл;
- `scripts/desktop-release.sh` и цели `make desktop-release` /
  `make desktop-release-upload HOST=…`: берут собранный `glchat.app.tar.gz` + `.sig`,
  определяют target/arch по имени артефакта, копируют их в каталог инстанса и
  собирают манифест (версия из `tauri.conf.json`), объединяя платформы одной
  версии; есть `--dry-run` и загрузка на инстанс по SSH;
- `deploy/install.sh` и шаблоны compose: каталог `${GLCHAT_UPDATES_DIR}`
  (`/opt/glchat/updates`) создаётся установщиком и монтируется в контейнер
  только для чтения; в `.env` добавлен `GLCHAT_UPDATES_DIR`.

Владельцу внешнего прокси добавлять ничего не нужно: `/updates/...` уходит в
catch-all `handle` и доходит до приложения, как статика клиента.

Проверено на стенде: `curl https://gl.mhspx.su/updates/darwin/aarch64/0.1.0`
→ 200 `application/json; charset=utf-8`, артефакт → 200 `application/gzip`,
отсутствующие платформа и версия → 404 (не HTML), `readyz` → 200, обёртка
в логе пишет «обновлений нет» вместо ошибки разбора. Тесты: 6 новых в
`internal/server/updates_test.go`, манифест разбирается типом самого плагина
обновлений (`updates::tests::манифест_разбирается_плагином_обновлений`).

internal/server/server.go

@@ -93,7 +93,9 @@ type Server struct {
 	logger      *slog.Logger
 	http        *http.Server
 	static      *staticHandler
-	api         huma.API
+	// updates отдаёт манифесты автообновления desktop-обёртки (docs/client-tauri.md §4).
+	updates *updatesHandler
+	api     huma.API
 }
 
 func New(cfg config.Config, db *database.DB, logger *slog.Logger, deps Deps) *Server {
@@ -105,6 +107,7 @@ func New(cfg config.Config, db *database.DB, logger *slog.Logger, deps Deps) *Se
 		gateway: deps.Gateway,
 		logger:  logger,
 		static:  newStaticHandler(cfg.WebRoot),
+		updates: newUpdatesHandler(cfg.UpdatesDir),
 		// 5 попыток входа в минуту на IP и 120 запросов API в минуту на
 		// пользователя/IP — дефолты AGENT.md 8.6.
 		authLimiter: httpx.NewRateLimiter(5, 5),
@@ -228,6 +231,13 @@ func (s *Server) registerRoutes(router chi.Router) {
 		s.registerFileDownload(router)
 	}
 
+	// Манифест автообновления desktop-обёртки (docs/client-tauri.md §4): обычная
+	// статика без сессии — обёртка проверяет обновления до входа в аккаунт.
+	// Обработчик берётся через поле, а не значением метода: каталог обновлений
+	// задаётся конфигом и в тестах подменяется до первого запроса.
+	router.Get("/updates/*", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
+	router.Get("/updates", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
+
 	router.NotFound(s.handleFallback)
 	router.MethodNotAllowed(func(w http.ResponseWriter, _ *http.Request) {
 		httpx.WriteErrorStatus(w, http.StatusMethodNotAllowed, httpx.CodeBadRequest, "method not allowed")