feat(web): базовый клиент Фазы 1 — вход, серверы, комнаты, настройки

Клиент React 19 + TanStack Query + Zustand:

- вход (поле TOTP появляется на `auth.2fa_required`), регистрация с проверками
  и учётом `registration_enabled`, онбординг первого входа с возможностью
  пропустить, редирект `/` и страница `/status`;
- защита маршрутов: неавторизованных — на `/login`, без онбординга — на
  `/onboarding`;
- оболочка `/app`: рейка серверов, сайдбар категорий и комнат, шапка сервера,
  панель пользователя, модалки создания сервера и комнаты, экран «нет серверов»
  со вступлением в главный сервер, заглушка комнаты до Фазы 2;
- настройки: профиль, безопасность (step-up, сессии, logout-all, 2FA с
  локальным QR и кодами восстановления), внешний вид, админ-раздел инстанса;
- Gateway-клиент: HELLO/IDENTIFY/RESUME, heartbeat с ожиданием ACK,
  экспоненциальное переподключение, разбор `INVALID_SESSION {reason,resumable}`;
- диспетчер событий: READY/RESUMED/USER_UPDATE/GUILD_UPDATE/GUILD_DELETE/
  CHANNEL_* применяются к стору, GUILD_CREATE догружается по REST,
  MEMBER_*/ROLE_* инвалидируют запросы участников, ролей и карточки сервера;
- i18n ru/en, 66 тестов Vitest, `check`/`lint`/`test`/`build` зелёные.

Серверные правки под клиент:

- `totp_enabled` в профиле (`GET /users/@me`, вход, регистрация) — клиенту
  нужно знать, требовать ли код при step-up;
- `POST /auth/2fa/setup` отдаёт `otpauth_url` и `qr_png` (data-URI): QR-код
  рисуется локально, внешние сервисы генерации QR не используются;
- права в ответах — имена (`VIEW_CHANNEL|SEND_MESSAGES`), клиент сверяет имена.

web/tests/helpers.tsx

@@ -37,7 +37,9 @@ export interface FetchRoute {
 export function installFetch(routes: FetchRoute[]) {
   const fetchMock = vi.fn((input: RequestInfo | URL, init?: RequestInit) => {
     const url = input instanceof Request ? input.url : String(input);
-    const method = (init?.method ?? (input instanceof Request ? input.method : 'GET')).toUpperCase();
+    const method = (
+      init?.method ?? (input instanceof Request ? input.method : 'GET')
+    ).toUpperCase();
     const ordered = [...routes].sort((left, right) => right.match.length - left.match.length);
     for (const route of ordered) {
       if ((route.method ?? 'GET').toUpperCase() !== method) {
@@ -67,6 +69,47 @@ export function createTestQueryClient(): QueryClient {
   });
 }
 
+/** URL запроса независимо от того, строка это или Request. */
+export function requestUrl(input: RequestInfo | URL): string {
+  return input instanceof Request ? input.url : String(input);
+}
+
+export interface RecordedRequest {
+  url: string;
+  method: string;
+  body: unknown;
+}
+
+/** Последний (или отфильтрованный) вызов fetch в удобном виде. */
+export function recordedRequests(fetchMock: ReturnType<typeof installFetch>): RecordedRequest[] {
+  return fetchMock.mock.calls.map(([input, init]) => {
+    const request = input instanceof Request ? input : undefined;
+    const raw = init?.body;
+    return {
+      url: requestUrl(input),
+      method: (init?.method ?? request?.method ?? 'GET').toUpperCase(),
+      body: typeof raw === 'string' ? (JSON.parse(raw) as unknown) : undefined,
+    };
+  });
+}
+
+/** Тело запроса как JSON-объект (или undefined, если тела не было). */
+export function bodyOf(request: RecordedRequest | undefined): unknown {
+  return request?.body;
+}
+
+/** Первый записанный запрос, подходящий под фильтр. */
+export function findRequest(
+  fetchMock: ReturnType<typeof installFetch>,
+  predicate: { url: string; method?: string },
+): RecordedRequest | undefined {
+  return recordedRequests(fetchMock).find(
+    (request) =>
+      request.url.includes(predicate.url) &&
+      (predicate.method === undefined || request.method === predicate.method.toUpperCase()),
+  );
+}
+
 /** Рендер приложения на заданном маршруте с изолированными сторами. */
 export function renderApp(initialPath = '/') {
   const queryClient = createTestQueryClient();
@@ -120,6 +163,7 @@ export function makeUser(overrides: Partial<User> = {}): User {
     badges: [],
     locale: 'ru',
     onboarding_completed: true,
+    totp_enabled: false,
     ...overrides,
   };
 }