fix(files): аватары и баннеры доступны авторизованным пользователям

Аватар нельзя было показать в списке друзей: файл без комнаты был доступен
только загрузившему. Добавлено назначение файла (`files.purpose`: attachment |
avatar | banner, миграция 00006): аватары и баннеры отдаются любому
авторизованному пользователю, вложения по-прежнему проверяются по правам
комнаты, а непривязанные загрузки остаются приватными.

internal/database/migrations/00006_files_purpose.sql

@@ -0,0 +1,7 @@
+-- +goose Up
+-- Назначение файла: вложения видны по правам комнаты, аватары и баннеры —
+-- всем авторизованным (AGENT.md 7.2, 7.7).
+ALTER TABLE files ADD COLUMN purpose TEXT NOT NULL DEFAULT 'attachment';
+
+-- +goose Down
+ALTER TABLE files DROP COLUMN purpose;