feat(auth): вход по ключу доступа (passkeys, WebAuthn)

Фаза 7, AGENT.md 7.1: регистрация ключа в настройках безопасности с
обязательным step-up, вход по ключу без пароля (в т.ч. без ввода почты —
обнаруживаемый ключ), несколько ключей на аккаунт, отзыв и переименование,
события безопасности и аудит.

Сервер: github.com/go-webauthn/webauthn (BSD-3-Clause), RP ID и Origin
берутся из конфига домена; если домен — IP-адрес (стенд без домена),
passkeys честно выключены (auth.passkey_unsupported). Церемонии живут в
памяти процесса 5 минут и одноразовые: повторная отправка challenge
отклоняется. Миграция 00018 пересобирает неиспользуемую таблицу
webauthn_credentials под полную запись credential в JSON. Новые ручки
входа ограничены по IP (10/мин).

Клиент: тонкая обёртка над navigator.credentials без тяжёлых SDK,
раздел «Ключи доступа» в настройках безопасности и кнопка «Войти по ключу»
на экране входа; понятные сообщения для браузеров без поддержки WebAuthn
и при отмене диалога.

Тесты: Go — регистрация/вход с эмулятором аутентификатора (реальная
проверка подписи P-256), отказ при чужом challenge, одноразовость
церемонии, обязательный step-up при управлении ключами, запрет входа
забаненному, ограничение allowCredentials при входе с почтой, лимит и
валидация имени; web — 12 vitest с моком navigator.credentials;
Playwright — живой сценарий с виртуальным аутентификатором Chromium.

web/src/pages/LoginPage.tsx

@@ -1,15 +1,18 @@
 import { useState, type FormEvent } from 'react';
-import { useMutation } from '@tanstack/react-query';
+import { useMutation, useQuery } from '@tanstack/react-query';
 import { useTranslation } from 'react-i18next';
 import { Link, useLocation, useNavigate, useSearchParams } from 'react-router';
 
 import { login } from '@/api/auth';
+import { fetchMeta, metaQueryKey } from '@/api/meta';
+import { loginWithPasskey } from '@/api/passkeys';
 import { ErrorNotice } from '@/components/ui/ErrorNotice';
 import { Field } from '@/components/ui/Field';
 import { Button, Card } from '@/components/ui/primitives';
 import { getQueryClient } from '@/lib/queryClient';
 import { useInstance } from '@/lib/hooks';
 import { errorCode } from '@/lib/format';
+import { isPasskeySupported, WebAuthnClientError } from '@/lib/webauthn';
 import { useGatewayStore } from '@/stores/gateway';
 
 interface LocationState {
@@ -20,6 +23,8 @@ interface LocationState {
  * Форма входа. Поле кода 2FA показывается всегда: сервер принимает и код из
  * приложения (6 цифр), и резервный код вида `a8eh-pshp-t8st`, а при попытке
  * входа без кода отвечает `auth.2fa_required` — тогда подсказываем про код.
+ *
+ * Дополнительно (Фаза 7): вход по ключу доступа (passkeys).
  */
 export default function LoginPage() {
   const { t } = useTranslation();
@@ -39,19 +44,30 @@ export default function LoginPage() {
   const stateFrom = (location.state as LocationState | null)?.from ?? null;
   const from = next !== null && next.startsWith('/') ? next : (stateFrom ?? '/app');
 
+  // Признак доступности passkeys берём из меты инстанса: на IP-адресе (стенд
+  // без домена) WebAuthn невозможен, и кнопку показывать нельзя.
+  const meta = useQuery({
+    queryKey: metaQueryKey,
+    queryFn: ({ signal }) => fetchMeta(signal),
+    staleTime: 60_000,
+  });
+  const passkeySupported = isPasskeySupported() && meta.data?.features.passkeys_enabled === true;
+
+  const finishLogin = async (): Promise<void> => {
+    // Профиль перечитываем заново: cookie уже выставлена сервером. Признак
+    // отозванной сессии снимаем — иначе AuthGuard увёл бы обратно на /login.
+    useGatewayStore.getState().reset();
+    await getQueryClient().invalidateQueries();
+    void navigate(from === '/login' ? '/app' : from, { replace: true });
+  };
+
   const submit = useMutation({
     mutationFn: () => {
       // Пустое поле — вход без кода: сервер сам скажет, нужен ли он.
       const code = totpCode.trim();
       return login(code === '' ? { email, password } : { email, password, totp_code: code });
     },
-    onSuccess: async () => {
-      // Профиль перечитываем заново: cookie уже выставлена сервером. Признак
-      // отозванной сессии снимаем — иначе AuthGuard увёл бы обратно на /login.
-      useGatewayStore.getState().reset();
-      await getQueryClient().invalidateQueries();
-      void navigate(from === '/login' ? '/app' : from, { replace: true });
-    },
+    onSuccess: finishLogin,
     onError: (error: unknown) => {
       if (errorCode(error) === 'auth.2fa_required') {
         // Логин, пароль и уже введённый код остаются в форме.
@@ -60,6 +76,11 @@ export default function LoginPage() {
     },
   });
 
+  const passkey = useMutation({
+    mutationFn: () => loginWithPasskey(email.trim() === '' ? undefined : email.trim()),
+    onSuccess: finishLogin,
+  });
+
   const onSubmit = (event: FormEvent<HTMLFormElement>): void => {
     event.preventDefault();
     setNeedsTotp(false);
@@ -68,6 +89,14 @@ export default function LoginPage() {
 
   const registrationEnabled = instance.data?.registration_enabled === true;
 
+  // Ошибка клиента WebAuthn важнее серверной: она объясняет, что делать.
+  const passkeyErrorKey =
+    passkey.error instanceof WebAuthnClientError && passkey.error.code === 'cancelled'
+      ? 'auth.login.passkeyCancelled'
+      : passkey.error instanceof WebAuthnClientError && passkey.error.code === 'unsupported'
+        ? 'auth.login.passkeyUnsupported'
+        : null;
+
   return (
     <main className="gl-page mx-auto flex min-h-full w-full max-w-md flex-col justify-center gap-5 px-4 py-10">
       <header>
@@ -120,6 +149,29 @@ export default function LoginPage() {
           </Button>
         </form>
 
+        {passkeySupported ? (
+          <div className="mt-4 flex flex-col gap-2">
+            <Button
+              variant="ghost"
+              data-testid="passkey-login"
+              disabled={passkey.isPending}
+              onClick={() => {
+                setNeedsTotp(false);
+                passkey.mutate();
+              }}
+            >
+              {t(passkey.isPending ? 'auth.login.passkeyPending' : 'auth.login.passkeySubmit')}
+            </Button>
+            {passkeyErrorKey === null ? (
+              <ErrorNotice error={passkey.error} />
+            ) : (
+              <p className="text-sm text-danger" role="alert" data-testid="passkey-error">
+                {t(passkeyErrorKey)}
+              </p>
+            )}
+          </div>
+        ) : null}
+
         <p className="mt-4 text-sm text-fg-muted">
           {t('auth.login.noAccount')}{' '}
           {registrationEnabled ? (