feat(auth): вход через OAuth-провайдеры (GitHub, Google, Discord)

Фаза 7, AGENT.md 7.1: провайдеры включаются переменными окружения
OAUTH_<PROVIDER>_CLIENT_ID/SECRET, привязка внешнего аккаунта идёт по
подтверждённому провайдером email через blind index, вход забаненному на
инстансе запрещён, все входы и привязки попадают в события безопасности,
привязка — ещё и в аудит инстанса.

Внешний идентификатор (subject) хранится только индексом HMAC-SHA-256,
токены провайдеров не сохраняются вовсе; state подписывается ключом сессий
и ограничен по времени, редирект после входа — только внутренний путь.
Если провайдер не настроен, ручка отвечает oauth.provider_not_configured,
а клиент показывает человеческий текст вместо кнопки.

Клиент: кнопки входа по списку включённых провайдеров на экране входа и
раздел «Вход через внешние сервисы» в настройках безопасности; адрес
возврата для настроек приложения виден в GET /auth/oauth/providers.

Миграция 00019 добавляет таблицу oauth_accounts. Установщик и .env.example
знают про OAUTH_* и сохраняют значения при --reconfigure.

Тесты: Go — выключенный провайдер, подписанный state (подмена и чужой
провайдер), создание и повторный вход, привязка к существующему аккаунту,
неподтверждённый email, выключенная регистрация, бан инстанса, mocked
провайдер (httptest) для обмена кода; web — кнопки провайдеров и ошибка
возврата; серверная ручка отдаёт понятный отказ без настроек.

.env.example

@@ -38,6 +38,19 @@ TOTP_ENCRYPTION_KEY=                    # шифрование TOTP-секрет
 WEBHOOK_SECRET=                         # подпись вебхуков
 LIVEKIT_API_KEY=                        # ключ LiveKit (фаза 3)
 LIVEKIT_API_SECRET=                     # секрет LiveKit (фаза 3)
+# --- OAuth-провайдеры (Фаза 7): вход через внешние сервисы ---
+# Пусто — провайдер выключен, ручка входа отвечает oauth.provider_not_configured.
+# Адрес возврата для настроек приложения у провайдера:
+#   <домен>/api/v1/auth/oauth/<github|google|discord>/callback
+OAUTH_GITHUB_CLIENT_ID=
+OAUTH_GITHUB_CLIENT_SECRET=
+OAUTH_GOOGLE_CLIENT_ID=
+OAUTH_GOOGLE_CLIENT_SECRET=
+OAUTH_DISCORD_CLIENT_ID=
+OAUTH_DISCORD_CLIENT_SECRET=
+# Необязательно: внешний адрес инстанса для redirect_uri (пусто — берётся из DOMAIN).
+OAUTH_REDIRECT_BASE=
+
 AGE_RECIPIENT=                          # публичный age-ключ для шифрования бэкапов
 BACKUP_KEEP_DAYS=                       # сколько дней хранить бэкапы (профиль задаёт значение)
 BACKUP_OFFSITE_TARGET=                  # необязательно: rsync-цель (user@host:/path) или rclone:remote:path