feat(web): базовый клиент Фазы 1 — вход, серверы, комнаты, настройки

Клиент React 19 + TanStack Query + Zustand:

- вход (поле TOTP появляется на `auth.2fa_required`), регистрация с проверками
  и учётом `registration_enabled`, онбординг первого входа с возможностью
  пропустить, редирект `/` и страница `/status`;
- защита маршрутов: неавторизованных — на `/login`, без онбординга — на
  `/onboarding`;
- оболочка `/app`: рейка серверов, сайдбар категорий и комнат, шапка сервера,
  панель пользователя, модалки создания сервера и комнаты, экран «нет серверов»
  со вступлением в главный сервер, заглушка комнаты до Фазы 2;
- настройки: профиль, безопасность (step-up, сессии, logout-all, 2FA с
  локальным QR и кодами восстановления), внешний вид, админ-раздел инстанса;
- Gateway-клиент: HELLO/IDENTIFY/RESUME, heartbeat с ожиданием ACK,
  экспоненциальное переподключение, разбор `INVALID_SESSION {reason,resumable}`;
- диспетчер событий: READY/RESUMED/USER_UPDATE/GUILD_UPDATE/GUILD_DELETE/
  CHANNEL_* применяются к стору, GUILD_CREATE догружается по REST,
  MEMBER_*/ROLE_* инвалидируют запросы участников, ролей и карточки сервера;
- i18n ru/en, 66 тестов Vitest, `check`/`lint`/`test`/`build` зелёные.

Серверные правки под клиент:

- `totp_enabled` в профиле (`GET /users/@me`, вход, регистрация) — клиенту
  нужно знать, требовать ли код при step-up;
- `POST /auth/2fa/setup` отдаёт `otpauth_url` и `qr_png` (data-URI): QR-код
  рисуется локально, внешние сервисы генерации QR не используются;
- права в ответах — имена (`VIEW_CHANNEL|SEND_MESSAGES`), клиент сверяет имена.

internal/server/api_users.go

@@ -27,6 +27,21 @@ type profilePayload struct {
 	Locale          string   `json:"locale"`
 	// OnboardingCompleted — признак пройденной первичной настройки (AGENT.md 7.2).
 	OnboardingCompleted bool `json:"onboarding_completed"`
+	// TOTPEnabled — включена ли 2FA: клиенту нужно знать, требовать ли код
+	// при step-up и показывать ли QR при настройке (AGENT.md 7.1).
+	TOTPEnabled bool `json:"totp_enabled"`
+}
+
+// profileFromUser собирает профиль; состояние 2FA читается из сервиса
+// аутентификации (секрет в БД зашифрован, наружу отдаём только факт).
+func (s *Server) profileFromUser(ctx context.Context, user *store.User, includePrivate bool) profilePayload {
+	payload := profileFromUser(user, includePrivate)
+	if s.auth != nil {
+		if enabled, err := s.auth.TOTPEnabled(ctx, user.ID); err == nil {
+			payload.TOTPEnabled = enabled
+		}
+	}
+	return payload
 }
 
 func profileFromUser(user *store.User, includePrivate bool) profilePayload {
@@ -155,7 +170,7 @@ func (s *Server) registerUserRoutes(api huma.API) {
 			return nil, err
 		}
 		output := &meOutput{}
-		output.Body.User = profileFromUser(user, true)
+		output.Body.User = s.profileFromUser(ctx, user, true)
 		return output, nil
 	})
 
@@ -193,7 +208,7 @@ func (s *Server) registerUserRoutes(api huma.API) {
 		// Профиль изменился — остальные клиенты получают событие (AGENT.md 8.3).
 		s.dispatchUserUpdate(updated)
 		output := &meOutput{}
-		output.Body.User = profileFromUser(updated, true)
+		output.Body.User = s.profileFromUser(ctx, updated, true)
 		return output, nil
 	})
 
@@ -248,7 +263,7 @@ func (s *Server) registerUserRoutes(api huma.API) {
 		}
 		s.dispatchUserUpdate(updated)
 		output := &meOutput{}
-		output.Body.User = profileFromUser(updated, true)
+		output.Body.User = s.profileFromUser(ctx, updated, true)
 		return output, nil
 	})
 
@@ -308,7 +323,7 @@ func (s *Server) registerUserRoutes(api huma.API) {
 			return nil, humaError(err)
 		}
 		output := &userOutput{}
-		output.Body.User = profileFromUser(user, false)
+		output.Body.User = s.profileFromUser(ctx, user, false)
 		return output, nil
 	})
 
@@ -383,6 +398,6 @@ func (s *Server) dispatchUserUpdate(user *store.User) {
 		return
 	}
 	s.gateway.SendToUser(user.ID, "USER_UPDATE", map[string]any{
-		"user": profileFromUser(user, true),
+		"user": s.profileFromUser(context.Background(), user, true),
 	})
 }