feat(auth): вход через OAuth-провайдеры (GitHub, Google, Discord)

Фаза 7, AGENT.md 7.1: провайдеры включаются переменными окружения
OAUTH_<PROVIDER>_CLIENT_ID/SECRET, привязка внешнего аккаунта идёт по
подтверждённому провайдером email через blind index, вход забаненному на
инстансе запрещён, все входы и привязки попадают в события безопасности,
привязка — ещё и в аудит инстанса.

Внешний идентификатор (subject) хранится только индексом HMAC-SHA-256,
токены провайдеров не сохраняются вовсе; state подписывается ключом сессий
и ограничен по времени, редирект после входа — только внутренний путь.
Если провайдер не настроен, ручка отвечает oauth.provider_not_configured,
а клиент показывает человеческий текст вместо кнопки.

Клиент: кнопки входа по списку включённых провайдеров на экране входа и
раздел «Вход через внешние сервисы» в настройках безопасности; адрес
возврата для настроек приложения виден в GET /auth/oauth/providers.

Миграция 00019 добавляет таблицу oauth_accounts. Установщик и .env.example
знают про OAUTH_* и сохраняют значения при --reconfigure.

Тесты: Go — выключенный провайдер, подписанный state (подмена и чужой
провайдер), создание и повторный вход, привязка к существующему аккаунту,
неподтверждённый email, выключенная регистрация, бан инстанса, mocked
провайдер (httptest) для обмена кода; web — кнопки провайдеров и ошибка
возврата; серверная ручка отдаёт понятный отказ без настроек.

web/src/api/oauth.ts

@@ -0,0 +1,41 @@
+import { request } from './client';
+
+/** Провайдер входа, включённый на инстансе (AGENT.md 7.1, Фаза 7). */
+export interface OAuthProvider {
+  id: string;
+  name: string;
+}
+
+export interface OAuthProvidersResponse {
+  providers: OAuthProvider[];
+  /** Адрес возврата: его оператор прописывает в настройках приложения. */
+  redirect_url: string;
+}
+
+export function fetchOAuthProviders(signal?: AbortSignal): Promise<OAuthProvidersResponse> {
+  return request<OAuthProvidersResponse>(
+    '/auth/oauth/providers',
+    signal === undefined ? {} : { signal },
+  );
+}
+
+/**
+ * Ссылка входа через провайдера. Браузер уходит по ней целиком (обычная
+ * навигация): cookie сессии выставляет сервер после возврата.
+ */
+export function oauthStartURL(provider: string, redirect?: string): string {
+  const query = new URLSearchParams();
+  if (redirect !== undefined && redirect !== '') {
+    query.set('redirect', redirect);
+  }
+  const suffix = query.toString();
+  return `/api/v1/auth/oauth/${encodeURIComponent(provider)}/start${suffix === '' ? '' : `?${suffix}`}`;
+}
+
+/** Код ошибки возврата (`?oauth_error=`), если вход через провайдера не удался. */
+export function oauthErrorCode(value: string | null): string | null {
+  if (value === null || value === '') {
+    return null;
+  }
+  return value;
+}