feat(web): базовый клиент Фазы 1 — вход, серверы, комнаты, настройки

Клиент React 19 + TanStack Query + Zustand:

- вход (поле TOTP появляется на `auth.2fa_required`), регистрация с проверками
  и учётом `registration_enabled`, онбординг первого входа с возможностью
  пропустить, редирект `/` и страница `/status`;
- защита маршрутов: неавторизованных — на `/login`, без онбординга — на
  `/onboarding`;
- оболочка `/app`: рейка серверов, сайдбар категорий и комнат, шапка сервера,
  панель пользователя, модалки создания сервера и комнаты, экран «нет серверов»
  со вступлением в главный сервер, заглушка комнаты до Фазы 2;
- настройки: профиль, безопасность (step-up, сессии, logout-all, 2FA с
  локальным QR и кодами восстановления), внешний вид, админ-раздел инстанса;
- Gateway-клиент: HELLO/IDENTIFY/RESUME, heartbeat с ожиданием ACK,
  экспоненциальное переподключение, разбор `INVALID_SESSION {reason,resumable}`;
- диспетчер событий: READY/RESUMED/USER_UPDATE/GUILD_UPDATE/GUILD_DELETE/
  CHANNEL_* применяются к стору, GUILD_CREATE догружается по REST,
  MEMBER_*/ROLE_* инвалидируют запросы участников, ролей и карточки сервера;
- i18n ru/en, 66 тестов Vitest, `check`/`lint`/`test`/`build` зелёные.

Серверные правки под клиент:

- `totp_enabled` в профиле (`GET /users/@me`, вход, регистрация) — клиенту
  нужно знать, требовать ли код при step-up;
- `POST /auth/2fa/setup` отдаёт `otpauth_url` и `qr_png` (data-URI): QR-код
  рисуется локально, внешние сервисы генерации QR не используются;
- права в ответах — имена (`VIEW_CHANNEL|SEND_MESSAGES`), клиент сверяет имена.

web/tests/login.test.tsx

@@ -2,7 +2,15 @@ import { describe, expect, it } from 'vitest';
 import { screen, waitFor } from '@testing-library/react';
 import userEvent from '@testing-library/user-event';
 
-import { apiError, installFetch, json, makeUser, renderApp } from './helpers';
+import {
+  apiError,
+  findRequest,
+  installFetch,
+  json,
+  makeUser,
+  recordedRequests,
+  renderApp,
+} from './helpers';
 
 const instanceOpen = {
   name: 'glchat-test',
@@ -42,12 +50,7 @@ describe('страница входа', () => {
       await screen.findByRole('button', { name: 'Присоединиться к главному серверу' }),
     ).toBeVisible();
 
-    const loginCall = fetchMock.mock.calls.find(([input]) =>
-      String(input).includes('/auth/login'),
-    );
-    expect(loginCall).toBeDefined();
-    const init = loginCall?.[1] as RequestInit;
-    expect(JSON.parse(String(init.body))).toEqual({
+    expect(findRequest(fetchMock, { url: '/auth/login', method: 'POST' })?.body).toEqual({
       email: 'alice@example.com',
       password: 'super-secret-1',
     });
@@ -87,11 +90,11 @@ describe('страница входа', () => {
       expect(router.state.location.pathname).toBe('/app/empty');
     });
 
-    const secondLogin = fetchMock.mock.calls.filter(([input]) =>
-      String(input).includes('/auth/login'),
-    )[1];
-    const init = secondLogin?.[1] as RequestInit;
-    expect(JSON.parse(String(init.body))).toEqual({
+    const logins = recordedRequests(fetchMock).filter(
+      (request) => request.url.includes('/auth/login') && request.method === 'POST',
+    );
+    expect(logins).toHaveLength(2);
+    expect(logins[1]?.body).toEqual({
       email: 'alice@example.com',
       password: 'super-secret-1',
       totp_code: '123456',