feat(bootstrap): первичная настройка инстанса и CLI-команды

- internal/bootstrap: создание инстанс-админа, главного сервера, ролей
  «Администратор» и «Пользователь» (all permissions / дефолтный набор §6.3),
  общей текстовой комнаты; повторный запуск идемпотентен
- админ получает флаг is_instance_admin и системный бейдж instance_admin
- CLI: glchat bootstrap-admin, reset-password, make-admin, remove-admin
  (работают внутри контейнера через DATA_DIR)
- auth: UserByEmail, SetPassword (отзывает сессии), RegisterAdmin (в обход
  флага регистрации — bootstrap выполняет установщик)
- тесты: создание админа и главного сервера, идемпотентность, автовступление
  нового пользователя с ролью @user

cmd/glchat/main.go

@@ -33,6 +33,14 @@ func main() {
 	if len(os.Args) > 1 && os.Args[1] == "healthcheck" {
 		os.Exit(healthcheck())
 	}
+	// Подкоманды обслуживания (AGENT.md 10.7): bootstrap-admin, reset-password,
+	// make-admin, remove-admin. Остальные команды реализует shell-обёртка glchat.
+	if len(os.Args) > 1 {
+		switch os.Args[1] {
+		case "bootstrap-admin", "reset-password", "make-admin", "remove-admin":
+			os.Exit(runCLI(os.Args[1:]))
+		}
+	}
 	if err := run(); err != nil {
 		slog.Error("glchat exited with error", slog.Any("error", err))
 		os.Exit(1)