feat(web): базовый клиент Фазы 1 — вход, серверы, комнаты, настройки

Клиент React 19 + TanStack Query + Zustand:

- вход (поле TOTP появляется на `auth.2fa_required`), регистрация с проверками
  и учётом `registration_enabled`, онбординг первого входа с возможностью
  пропустить, редирект `/` и страница `/status`;
- защита маршрутов: неавторизованных — на `/login`, без онбординга — на
  `/onboarding`;
- оболочка `/app`: рейка серверов, сайдбар категорий и комнат, шапка сервера,
  панель пользователя, модалки создания сервера и комнаты, экран «нет серверов»
  со вступлением в главный сервер, заглушка комнаты до Фазы 2;
- настройки: профиль, безопасность (step-up, сессии, logout-all, 2FA с
  локальным QR и кодами восстановления), внешний вид, админ-раздел инстанса;
- Gateway-клиент: HELLO/IDENTIFY/RESUME, heartbeat с ожиданием ACK,
  экспоненциальное переподключение, разбор `INVALID_SESSION {reason,resumable}`;
- диспетчер событий: READY/RESUMED/USER_UPDATE/GUILD_UPDATE/GUILD_DELETE/
  CHANNEL_* применяются к стору, GUILD_CREATE догружается по REST,
  MEMBER_*/ROLE_* инвалидируют запросы участников, ролей и карточки сервера;
- i18n ru/en, 66 тестов Vitest, `check`/`lint`/`test`/`build` зелёные.

Серверные правки под клиент:

- `totp_enabled` в профиле (`GET /users/@me`, вход, регистрация) — клиенту
  нужно знать, требовать ли код при step-up;
- `POST /auth/2fa/setup` отдаёт `otpauth_url` и `qr_png` (data-URI): QR-код
  рисуется локально, внешние сервисы генерации QR не используются;
- права в ответах — имена (`VIEW_CHANNEL|SEND_MESSAGES`), клиент сверяет имена.

web/src/lib/identity.ts

@@ -32,33 +32,17 @@ export function avatarUrl(fileId: string | undefined): string | null {
   return fileId === undefined || fileId === '' ? null : `/files/${encodeURIComponent(fileId)}`;
 }
 
-/** Разбирает число прав из строковой битовой маски, не падая на мусоре. */
-export function parseBigInt(value: string | number | undefined): bigint {
-  if (value === undefined) {
-    return 0n;
-  }
-  try {
-    return BigInt(value);
-  } catch {
-    return 0n;
-  }
-}
+/**
+ * Права приходят с сервера списком имён (`permissions.Names` в Go):
+ * например `["VIEW_GUILD", "MANAGE_CHANNELS"]`. Проверяем вхождение имени.
+ */
+export const PERMISSION_ADMINISTRATOR = 'ADMINISTRATOR';
+export const PERMISSION_MANAGE_GUILD = 'MANAGE_GUILD';
+export const PERMISSION_MANAGE_CHANNELS = 'MANAGE_CHANNELS';
 
-/** Бит ADMINISTRATOR в маске прав (совпадает с серверной константой). */
-export const PERMISSION_ADMINISTRATOR = 1n << 3n;
-export const PERMISSION_MANAGE_GUILD = 1n << 5n;
-export const PERMISSION_MANAGE_CHANNELS = 1n << 6n;
-export const PERMISSION_OWNER = 1n << 62n;
-
-/** Проверяет право в списке масок прав текущего пользователя. */
-export function hasPermission(permissions: readonly string[], mask: bigint): boolean {
-  for (const value of permissions) {
-    const parsed = parseBigInt(value);
-    if (parsed === PERMISSION_OWNER || (parsed & mask) !== 0n) {
-      return true;
-    }
-  }
-  return false;
+/** Есть ли у пользователя право с указанным именем. */
+export function hasPermission(permissions: readonly string[], name: string): boolean {
+  return permissions.includes(name);
 }
 
 /** Может ли пользователь управлять сервером (создавать комнаты и т.п.). */