feat(auth): вход через OAuth-провайдеры (GitHub, Google, Discord)

Фаза 7, AGENT.md 7.1: провайдеры включаются переменными окружения
OAUTH_<PROVIDER>_CLIENT_ID/SECRET, привязка внешнего аккаунта идёт по
подтверждённому провайдером email через blind index, вход забаненному на
инстансе запрещён, все входы и привязки попадают в события безопасности,
привязка — ещё и в аудит инстанса.

Внешний идентификатор (subject) хранится только индексом HMAC-SHA-256,
токены провайдеров не сохраняются вовсе; state подписывается ключом сессий
и ограничен по времени, редирект после входа — только внутренний путь.
Если провайдер не настроен, ручка отвечает oauth.provider_not_configured,
а клиент показывает человеческий текст вместо кнопки.

Клиент: кнопки входа по списку включённых провайдеров на экране входа и
раздел «Вход через внешние сервисы» в настройках безопасности; адрес
возврата для настроек приложения виден в GET /auth/oauth/providers.

Миграция 00019 добавляет таблицу oauth_accounts. Установщик и .env.example
знают про OAUTH_* и сохраняют значения при --reconfigure.

Тесты: Go — выключенный провайдер, подписанный state (подмена и чужой
провайдер), создание и повторный вход, привязка к существующему аккаунту,
неподтверждённый email, выключенная регистрация, бан инстанса, mocked
провайдер (httptest) для обмена кода; web — кнопки провайдеров и ошибка
возврата; серверная ручка отдаёт понятный отказ без настроек.

internal/server/oauth.go

@@ -0,0 +1,110 @@
+package server
+
+import (
+	"errors"
+	"log/slog"
+	"net/http"
+	"net/url"
+	"strings"
+
+	"github.com/go-chi/chi/v5"
+
+	"glchat/internal/auth"
+	"glchat/internal/httpx"
+)
+
+// registerOAuthRoutes вешает ручки входа через внешние провайдеры (AGENT.md 7.1).
+// `start` и `callback` — публичные (это вход), лимит по IP общий с другими
+// ручками аутентификации.
+func (s *Server) registerOAuthRoutes(router chi.Router) {
+	oauthLimit := s.oauthLimiter.Middleware(func(r *http.Request) string {
+		return httpx.ClientIP(r, nil)
+	})
+	router.Get("/auth/oauth/providers", s.handleOAuthProviders)
+	router.With(oauthLimit).Get("/auth/oauth/{provider}/start", s.handleOAuthStart)
+	router.With(oauthLimit).Get("/auth/oauth/{provider}/callback", s.handleOAuthCallback)
+}
+
+// handleOAuthProviders отдаёт список включённых провайдеров: клиент рисует по
+// нему кнопки входа, а закрытые провайдеры не показывает вовсе.
+func (s *Server) handleOAuthProviders(w http.ResponseWriter, r *http.Request) {
+	if s.auth == nil {
+		writeJSON(w, map[string]any{"providers": []any{}, "redirect_url": ""})
+		return
+	}
+	writeJSON(w, map[string]any{
+		"providers":    s.auth.OAuthProviders(),
+		"redirect_url": s.auth.OAuthRedirectURL(),
+	})
+}
+
+// handleOAuthStart уводит браузер на страницу согласия провайдера.
+// Если провайдер не настроен — отвечаем понятной ошибкой, а не редиректом.
+func (s *Server) handleOAuthStart(w http.ResponseWriter, r *http.Request) {
+	if s.auth == nil {
+		writeAPIError(w, auth.ErrSessionExpired)
+		return
+	}
+	provider := chi.URLParam(r, "provider")
+	redirect := r.URL.Query().Get("redirect")
+	authorizeURL, err := s.auth.OAuthAuthorizeURL(provider, redirect)
+	if err != nil {
+		writeAPIError(w, err)
+		return
+	}
+	//nolint:gosec // адрес берётся из каталога провайдеров, пользователь его не задаёт
+	http.Redirect(w, r, authorizeURL, http.StatusFound)
+}
+
+// handleOAuthCallback принимает код, находит или создаёт аккаунт и возвращает
+// пользователя в клиент. Ошибки уходят в `?oauth_error=<код>`: браузер видит
+// понятное сообщение на странице входа, а не JSON.
+func (s *Server) handleOAuthCallback(w http.ResponseWriter, r *http.Request) {
+	if s.auth == nil {
+		writeAPIError(w, auth.ErrSessionExpired)
+		return
+	}
+	provider := chi.URLParam(r, "provider")
+	query := r.URL.Query()
+	_, token, session, redirect, err := s.auth.OAuthCallback(r.Context(), provider,
+		query.Get("code"), query.Get("state"),
+		httpx.ClientIPFromContext(r.Context()), httpx.UserAgentFromContext(r.Context()))
+	if err != nil {
+		code := oauthErrorCode(err)
+		s.logger.InfoContext(r.Context(), "вход через OAuth не удался",
+			slog.String("provider", provider), slog.String("code", code))
+		http.Redirect(w, r, "/login?oauth_error="+url.QueryEscape(code), http.StatusFound)
+		return
+	}
+	http.SetCookie(w, s.sessionCookie(token, session.ExpiresAt))
+	// Признак в адресе нужен клиенту, чтобы перечитать профиль после возврата.
+	target := redirect
+	if target == "" || target == "/" {
+		target = "/app"
+	}
+	separator := "?"
+	if strings.Contains(target, "?") {
+		separator = "&"
+	}
+	//nolint:gosec // target — только внутренний путь: его проверил safeRedirect
+	http.Redirect(w, r, target+separator+"oauth=ok", http.StatusFound)
+}
+
+// oauthErrorCode переводит доменную ошибку в код для `?oauth_error=`.
+func oauthErrorCode(err error) string {
+	for _, candidate := range []error{
+		auth.ErrOAuthNotConfigured,
+		auth.ErrOAuthUnknownProvider,
+		auth.ErrOAuthState,
+		auth.ErrOAuthEmailUnverified,
+		auth.ErrOAuthEmailMissing,
+		auth.ErrRegistrationOff,
+		auth.ErrUserBanned,
+		auth.ErrOAuthExchange,
+	} {
+		if errors.Is(err, candidate) {
+			return strings.TrimPrefix(candidate.Error(), "oauth.")
+		}
+	}
+	return "failed"
+}