fix(files): аватары и баннеры доступны авторизованным пользователям

Аватар нельзя было показать в списке друзей: файл без комнаты был доступен
только загрузившему. Добавлено назначение файла (`files.purpose`: attachment |
avatar | banner, миграция 00006): аватары и баннеры отдаются любому
авторизованному пользователю, вложения по-прежнему проверяются по правам
комнаты, а непривязанные загрузки остаются приватными.

internal/server/api_files.go

@@ -130,6 +130,7 @@ func (s *Server) handleAvatarUpload(w http.ResponseWriter, r *http.Request) {
 		UploaderID:  &currentUser.ID,
 		Filename:    sanitizeFilename(header.Filename),
 		ContentType: contentType,
+		Purpose:     "avatar",
 	}, bytes.NewReader(data))
 	if err != nil {
 		writeHumaAPIError(w, err)
@@ -295,6 +296,11 @@ func (s *Server) requireFileAccess(ctx context.Context, rawFileID string, user *
 	if err != nil {
 		return nil, humaError(err)
 	}
+	// Аватары и баннеры видны всем авторизованным: они показываются в списках
+	// участников и друзей (AGENT.md 7.2).
+	if file.Purpose == "avatar" || file.Purpose == "banner" {
+		return file, nil
+	}
 	if file.ChannelID != nil {
 		if _, _, _, err := s.requireChannelPermission(ctx, formatSnowflake(*file.ChannelID), user, permissions.ViewChannel); err != nil {
 			return nil, err
@@ -355,6 +361,7 @@ func (s *Server) saveUpload(ctx context.Context, file store.File, content io.Rea
 		SizeBytes:   written,
 		StoragePath: path,
 		SHA256:      hex.EncodeToString(hasher.Sum(nil)),
+		Purpose:     file.Purpose,
 	})
 	if err != nil {
 		_ = os.Remove(path)