feat(auth): вход через OAuth-провайдеры (GitHub, Google, Discord)

Фаза 7, AGENT.md 7.1: провайдеры включаются переменными окружения
OAUTH_<PROVIDER>_CLIENT_ID/SECRET, привязка внешнего аккаунта идёт по
подтверждённому провайдером email через blind index, вход забаненному на
инстансе запрещён, все входы и привязки попадают в события безопасности,
привязка — ещё и в аудит инстанса.

Внешний идентификатор (subject) хранится только индексом HMAC-SHA-256,
токены провайдеров не сохраняются вовсе; state подписывается ключом сессий
и ограничен по времени, редирект после входа — только внутренний путь.
Если провайдер не настроен, ручка отвечает oauth.provider_not_configured,
а клиент показывает человеческий текст вместо кнопки.

Клиент: кнопки входа по списку включённых провайдеров на экране входа и
раздел «Вход через внешние сервисы» в настройках безопасности; адрес
возврата для настроек приложения виден в GET /auth/oauth/providers.

Миграция 00019 добавляет таблицу oauth_accounts. Установщик и .env.example
знают про OAUTH_* и сохраняют значения при --reconfigure.

Тесты: Go — выключенный провайдер, подписанный state (подмена и чужой
провайдер), создание и повторный вход, привязка к существующему аккаунту,
неподтверждённый email, выключенная регистрация, бан инстанса, mocked
провайдер (httptest) для обмена кода; web — кнопки провайдеров и ошибка
возврата; серверная ручка отдаёт понятный отказ без настроек.

web/tests/passkeys.test.tsx

@@ -309,12 +309,13 @@ const metaWithPasskeys = {
     anti_bot_enabled: false,
     voice_enabled: false,
     web_push_enabled: false,
-    oauth_enabled: false,
+    oauth_enabled: true,
     passkeys_enabled: true,
+    oauth_providers: ['github'],
   },
 };
 
-describe('страница входа: вход по ключу', () => {
+describe('страница входа: ключи и внешние провайдеры', () => {
   it('входит по ключу и переводит в приложение', async () => {
     const assertion = {
       id: 'credential-id',
@@ -357,6 +358,11 @@ describe('страница входа: вход по ключу', () => {
         method: 'POST',
         response: () => json({ user }),
       },
+      {
+        match: '/api/v1/auth/oauth/providers',
+        response: () =>
+          json({ providers: [{ id: 'github', name: 'GitHub' }], redirect_url: 'https://x' }),
+      },
       { match: '/api/v1/users/@me', response: () => json({ user }) },
       { match: '/api/v1/users/@me/guilds', response: () => json({ guilds: [] }) },
     ]);
@@ -364,6 +370,8 @@ describe('страница входа: вход по ключу', () => {
     const { router } = renderApp('/login');
     const visitor = userEvent.setup();
 
+    // Кнопка внешнего провайдера нарисована по списку с сервера.
+    expect(await screen.findByTestId('oauth-github')).toBeVisible();
     await visitor.click(await screen.findByTestId('passkey-login'));
 
     await waitFor(() => {
@@ -373,11 +381,39 @@ describe('страница входа: вход по ключу', () => {
     expect((finish?.body as { ceremony: string }).ceremony).toBe('ceremony-login');
   });
 
+  it('ошибка возврата от провайдера показывается на странице входа', async () => {
+    installFetch([
+      {
+        match: '/api/v1/meta',
+        response: () =>
+          json({
+            ...metaWithPasskeys,
+            features: { ...metaWithPasskeys.features, passkeys_enabled: false },
+          }),
+      },
+      { match: '/api/v1/instance', response: () => json({ instance: instanceOpen }) },
+      {
+        match: '/api/v1/auth/oauth/providers',
+        response: () => json({ providers: [], redirect_url: 'https://x' }),
+      },
+    ]);
+
+    renderApp('/login?oauth_error=provider_not_configured');
+
+    expect(await screen.findByTestId('oauth-error')).toHaveTextContent(
+      'Этот способ входа выключен на инстансе',
+    );
+  });
+
   it('без поддержки браузера кнопка входа по ключу не показывается', async () => {
     vi.stubGlobal('PublicKeyCredential', undefined);
     installFetch([
       { match: '/api/v1/meta', response: () => json(metaWithPasskeys) },
       { match: '/api/v1/instance', response: () => json({ instance: instanceOpen }) },
+      {
+        match: '/api/v1/auth/oauth/providers',
+        response: () => json({ providers: [], redirect_url: 'https://x' }),
+      },
     ]);
 
     renderApp('/login');