feat(web): базовый клиент Фазы 1 — вход, серверы, комнаты, настройки

Клиент React 19 + TanStack Query + Zustand:

- вход (поле TOTP появляется на `auth.2fa_required`), регистрация с проверками
  и учётом `registration_enabled`, онбординг первого входа с возможностью
  пропустить, редирект `/` и страница `/status`;
- защита маршрутов: неавторизованных — на `/login`, без онбординга — на
  `/onboarding`;
- оболочка `/app`: рейка серверов, сайдбар категорий и комнат, шапка сервера,
  панель пользователя, модалки создания сервера и комнаты, экран «нет серверов»
  со вступлением в главный сервер, заглушка комнаты до Фазы 2;
- настройки: профиль, безопасность (step-up, сессии, logout-all, 2FA с
  локальным QR и кодами восстановления), внешний вид, админ-раздел инстанса;
- Gateway-клиент: HELLO/IDENTIFY/RESUME, heartbeat с ожиданием ACK,
  экспоненциальное переподключение, разбор `INVALID_SESSION {reason,resumable}`;
- диспетчер событий: READY/RESUMED/USER_UPDATE/GUILD_UPDATE/GUILD_DELETE/
  CHANNEL_* применяются к стору, GUILD_CREATE догружается по REST,
  MEMBER_*/ROLE_* инвалидируют запросы участников, ролей и карточки сервера;
- i18n ru/en, 66 тестов Vitest, `check`/`lint`/`test`/`build` зелёные.

Серверные правки под клиент:

- `totp_enabled` в профиле (`GET /users/@me`, вход, регистрация) — клиенту
  нужно знать, требовать ли код при step-up;
- `POST /auth/2fa/setup` отдаёт `otpauth_url` и `qr_png` (data-URI): QR-код
  рисуется локально, внешние сервисы генерации QR не используются;
- права в ответах — имена (`VIEW_CHANNEL|SEND_MESSAGES`), клиент сверяет имена.

internal/server/auth.go

@@ -1,10 +1,16 @@
 package server
 
 import (
+	"bytes"
+	"context"
+	"encoding/base64"
+	"image/png"
+	"log/slog"
 	"net/http"
 	"time"
 
 	"github.com/go-chi/chi/v5"
+	"github.com/pquerna/otp"
 
 	"glchat/internal/auth"
 	"glchat/internal/gateway"
@@ -84,6 +90,19 @@ type currentUserPayload struct {
 	Locale          string   `json:"locale"`
 	// OnboardingCompleted — пройдена ли первичная настройка (AGENT.md 7.2).
 	OnboardingCompleted bool `json:"onboarding_completed"`
+	// TOTPEnabled — включена ли 2FA у пользователя (AGENT.md 7.1).
+	TOTPEnabled bool `json:"totp_enabled"`
+}
+
+// withTOTPState дополняет профиль фактом включённой 2FA.
+func (s *Server) withTOTPState(ctx context.Context, user *store.User) map[string]any {
+	payload := userPayload(user)
+	if s.auth != nil {
+		if enabled, err := s.auth.TOTPEnabled(ctx, user.ID); err == nil {
+			payload.TOTPEnabled = enabled
+		}
+	}
+	return map[string]any{"user": payload}
 }
 
 func userPayload(user *store.User) currentUserPayload {
@@ -134,7 +153,7 @@ func (s *Server) handleRegister(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 	http.SetCookie(w, s.sessionCookie(token, session.ExpiresAt))
-	writeJSON(w, map[string]any{"user": userPayload(user)})
+	writeJSON(w, s.withTOTPState(r.Context(), user))
 }
 
 type loginRequest struct {
@@ -164,7 +183,7 @@ func (s *Server) handleLogin(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 	http.SetCookie(w, s.sessionCookie(token, session.ExpiresAt))
-	writeJSON(w, map[string]any{"user": userPayload(user)})
+	writeJSON(w, s.withTOTPState(r.Context(), user))
 }
 
 // authenticate читает сессию из cookie или Bearer-токена (desktop, AGENT.md 8.1).
@@ -259,6 +278,23 @@ func (s *Server) handleListSessions(w http.ResponseWriter, r *http.Request) {
 	writeJSON(w, map[string]any{"sessions": payload})
 }
 
+// totpQRDataURI рисует QR-код otpauth-ссылки локально и отдаёт data-URI.
+func totpQRDataURI(otpauthURL string) (string, error) {
+	key, err := otp.NewKeyFromURL(otpauthURL)
+	if err != nil {
+		return "", err
+	}
+	image, err := key.Image(256, 256)
+	if err != nil {
+		return "", err
+	}
+	var buf bytes.Buffer
+	if err := png.Encode(&buf, image); err != nil {
+		return "", err
+	}
+	return "data:image/png;base64," + base64.StdEncoding.EncodeToString(buf.Bytes()), nil
+}
+
 type totpEnableRequest struct {
 	Code string `json:"code"`
 }
@@ -273,11 +309,19 @@ func (s *Server) handleSetupTOTP(w http.ResponseWriter, r *http.Request) {
 		writeAPIError(w, err)
 		return
 	}
-	writeJSON(w, map[string]any{
-		"secret": setup.Secret,
-		"url":    setup.URL,
-		"issuer": setup.IssuerName,
-	})
+	payload := map[string]any{
+		"secret":      setup.Secret,
+		"otpauth_url": setup.URL,
+		"issuer":      setup.IssuerName,
+	}
+	// QR-код рисуем сами: внешние сервисы генерации QR запрещены (AGENT.md 7.1 —
+	// никаких внешних зависимостей для секретов).
+	if qr, err := totpQRDataURI(setup.URL); err == nil {
+		payload["qr_png"] = qr
+	} else {
+		s.logger.WarnContext(r.Context(), "не удалось построить QR-код для 2FA", slog.Any("error", err))
+	}
+	writeJSON(w, payload)
 }
 
 func (s *Server) handleEnableTOTP(w http.ResponseWriter, r *http.Request) {