feat(push): Web Push — VAPID, подписки устройств и отправка (AGENT.md 7.16)

Уведомления в браузере и на телефоне: сервер сам решает, кому их слать, и
подписывает запрос VAPID-ключом, поэтому уведомление приходит, даже когда
клиент закрыт.

Сервер:
- миграция 00021: `push_subscriptions` (эндпоинт уникален, ключи, счётчик
  неудач, время последней доставки);
- `internal/push` — VAPID-ключи (приватный PKCS#8 из конфига, публичный
  выводится из него), правила уведомлений повторяют
  `web/src/lib/desktopNotifications.ts` (упоминания и личные беседы, без своих
  и системных сообщений), очередь доставки, TTL 12 часов, Topic по комнате;
- 404/410 от push-сервиса удаляют подписку сразу, 5 неудач подряд — тоже,
  иначе копились бы мёртвые эндпоинты; retention чистит «молчащие» подписки;
- `internal/httpx/safeurl.go` — общий запрет внутренних адресов с проверкой
  адреса в момент подключения (DNS rebinding): эндпоинт подписки приходит от
  клиента, и без проверки сервер сам себе организует SSRF;
- `internal/gateway/presence.go` — `IsUserOnline`: если получатель в клиенте,
  уведомление покажет клиент, дублировать на телефон не нужно;
- ручки `GET /push/config`, `GET|POST|DELETE /push/subscriptions`, лимиты
  10 подписок и 20 уведомлений в минуту; ключ p256dh проверяется как настоящая
  точка P-256;
- установщик генерирует `VAPID_PRIVATE_KEY` (openssl, PKCS#8 DER в base64) и
  `VAPID_SUBJECT`, ключ переиспользуется при переустановке; для ручной установки
  есть `glchat vapid-keys`; `features.web_push_enabled` виден в `/meta`.

Тесты: правила и VAPID, доставка с поддельным push-эндпоинтом (шифрование,
заголовки VAPID/TTL/Topic, очистка мёртвых подписок), ручки и лимиты, отправка
при личном сообщении и упоминании, пропуск онлайн-получателей, миграция на
чистой БД.

cmd/glchat/cli.go

@@ -11,6 +11,7 @@ import (
 	"strconv"
 	"time"
 
+	webpush "github.com/SherClockHolmes/webpush-go"
 	"github.com/pquerna/otp/totp"
 
 	"glchat/internal/auth"
@@ -41,6 +42,8 @@ func runCLI(args []string) int {
 		return cliCleanup(args[1:])
 	case "reindex":
 		return cliReindex(args[1:])
+	case "vapid-keys":
+		return cliVAPIDKeys(args[1:])
 	default:
 		fmt.Fprintf(os.Stderr, "glchat: неизвестная команда %q\n", args[0])
 		return 2
@@ -399,8 +402,10 @@ func cliCleanup(args []string) int {
 			options.OrphanHours = *orphanHours
 		}
 		stats, err := retention.New(st, options).RunOnce(ctx)
-		fmt.Printf("удалено: сессий %d, записей аудита %d, файлов %d, файлов без записи %d (%d байт)\n",
-			stats.Sessions, stats.Audit, stats.Files, stats.Unknown, stats.Bytes)
+		fmt.Printf("удалено: сессий %d, записей аудита %d, файлов %d, файлов без записи %d, "+
+			"подписок Web Push %d (%d байт)\n",
+			stats.Sessions, stats.Audit, stats.Files, stats.Unknown,
+			stats.PushSubscriptions, stats.Bytes)
 		return err
 	})
 }
@@ -415,3 +420,34 @@ func cliReindex(_ []string) int {
 		return nil
 	})
 }
+
+// cliVAPIDKeys печатает пару VAPID-ключей для Web Push (AGENT.md 7.16).
+// Установщик генерирует ключ сам; команда нужна тем, кто ставил инстанс иначе
+// или меняет ключ вручную. Публичный ключ приложение выводит из приватного,
+// поэтому в .env достаточно одной строки.
+func cliVAPIDKeys(args []string) int {
+	flags := flag.NewFlagSet("vapid-keys", flag.ContinueOnError)
+	subject := flags.String("subject", "", "контакт администратора для push-сервисов (mailto:… или https://…)")
+	if err := flags.Parse(args); err != nil {
+		return 2
+	}
+	domain := "localhost"
+	if cfg, err := config.Load(); err == nil && cfg.Domain != "" {
+		domain = cfg.Domain
+	}
+	contact := *subject
+	if contact == "" {
+		contact = "mailto:admin@" + domain
+	}
+	privateKey, publicKey, err := webpush.GenerateVAPIDKeys()
+	if err != nil {
+		fmt.Fprintf(os.Stderr, "glchat: не удалось сгенерировать ключи: %v\n", err)
+		return 1
+	}
+	fmt.Println("# Web Push (Фаза 7): строки ниже добавьте в /opt/glchat/.env и перезапустите glchat-app.")
+	fmt.Printf("VAPID_PRIVATE_KEY=%s\n", privateKey)
+	fmt.Printf("VAPID_SUBJECT=%s\n", contact)
+	// Публичный ключ выводится приложением из приватного: печатаем справочно.
+	fmt.Printf("# публичный ключ: %s\n", publicKey)
+	return 0
+}

cmd/glchat/main.go

@@ -43,7 +43,7 @@ func main() {
 	if len(os.Args) > 1 {
 		switch os.Args[1] {
 		case "bootstrap-admin", "reset-password", "make-admin", "remove-admin", "totp-setup", "totp-reset",
-			"create-user", "cleanup", "reindex":
+			"create-user", "cleanup", "reindex", "vapid-keys":
 			os.Exit(runCLI(os.Args[1:]))
 		}
 	}