refactor: убрать вход через внешние провайдеры (OAuth) полностью

Решение владельца 27.09.2026 (D-084): сервис ставится на сервер конкретного
человека, и ему всё равно нужен свой OAuth у провайдера — поддержка общего
входа только создаёт трение (регистрация приложений, redirect URI, модерация,
чужие ключи в конфиге). Способы входа остаются: пароль + 2FA и ключи доступа
(WebAuthn).

Удалено:
- сервер: internal/auth/oauth.go, internal/server/oauth.go, internal/store/oauth.go
  и их тесты; поля и методы конфига OAuth*; oauthLimiter и регистрация ручек;
  отображение ошибок oauth.*; features.oauth_enabled/oauth_providers в /meta;
- клиент: web/src/api/oauth.ts, раздел «Вход через внешние сервисы», кнопки
  провайдеров на странице входа, ключи i18n (ru/en), тесты и фикстуры;
- установщик: переменные OAUTH_* из .env, .env.example и шаблона (хелпер
  чтения существующих значений переименован в existing_value — он остался нужен
  для VAPID_SUBJECT);
- зависимость golang.org/x/oauth2 (go mod tidy).

Схема: миграция 00027 удаляет таблицу oauth_accounts (00019 не переписываем —
она применена на стендах). Откат миграции возвращает структуру; тест
TestOAuthRemovalMigration проверяет накат, откат и повторный накат.

AGENT.md (локальный) помечает пункты про OAuth как отменённые.

internal/database/oauth_removal_migration_test.go

@@ -0,0 +1,54 @@
+package database
+
+import (
+	"context"
+	"path/filepath"
+	"testing"
+
+	"github.com/pressly/goose/v3"
+)
+
+// tableExists сообщает, есть ли таблица в схеме.
+func tableExists(ctx context.Context, t *testing.T, db *DB, name string) bool {
+	t.Helper()
+	var count int
+	if err := db.Reader.QueryRowContext(ctx,
+		`SELECT COUNT(*) FROM sqlite_master WHERE type = 'table' AND name = ?`, name).Scan(&count); err != nil {
+		t.Fatalf("sqlite_master(%s): %v", name, err)
+	}
+	return count > 0
+}
+
+// TestOAuthRemovalMigration проверяет миграцию 00027 (D-084): вход через
+// внешние провайдеры удалён, таблица связи внешних аккаунтов уходит из схемы.
+// Откат возвращает структуру (пустую) — код входа лежит в истории git.
+func TestOAuthRemovalMigration(t *testing.T) {
+	ctx := context.Background()
+	db, err := Open(ctx, Options{
+		Path:     filepath.Join(t.TempDir(), "glchat.db"),
+		ReadPool: 2,
+		Migrate:  true,
+	})
+	if err != nil {
+		t.Fatalf("open: %v", err)
+	}
+	defer func() { _ = db.Close() }()
+
+	if tableExists(ctx, t, db, "oauth_accounts") {
+		t.Fatal("после миграций таблицы oauth_accounts быть не должно")
+	}
+
+	// Откат одной миграции возвращает таблицу, повторный накат снова убирает.
+	if err := goose.DownToContext(ctx, db.Writer, "migrations", 26); err != nil {
+		t.Fatalf("down to 26: %v", err)
+	}
+	if !tableExists(ctx, t, db, "oauth_accounts") {
+		t.Fatal("откат 00027 должен вернуть структуру oauth_accounts")
+	}
+	if err := goose.UpContext(ctx, db.Writer, "migrations"); err != nil {
+		t.Fatalf("up: %v", err)
+	}
+	if tableExists(ctx, t, db, "oauth_accounts") {
+		t.Fatal("повторный накат 00027 должен снова удалить oauth_accounts")
+	}
+}