feat(api): REST на chi + huma с auth-ручками и OpenAPI 3.1

- переход на chi + huma (решение D-006): huma отдаёт типизированные ручки и
  генерирует документ, auth-ручки живут на chi (cookie и заголовки напрямую)
- единый формат ошибок: код (auth.invalid_credentials, auth.2fa_required,
  perm.denied и т.д.) + человекочитаемое сообщение (AGENT.md 8.5)
- cookie сессии __Host-session: HttpOnly, SameSite=Lax, Secure при TLS;
  альтернатива — Bearer-токен для desktop/CLI (AGENT.md 8.1)
- ручки: register, login, logout, logout-all, sessions, step-up, 2fa/setup,
  2fa/enable, users/@me; IP и User-Agent прокидываются из запроса в контекст
- /api/v1/openapi.json: объединённый документ (схемы huma + контракт auth)
- тесты: регистрация через API с cookie, ошибки входа, обязательная сессия,
  валидация, наличие всех путей в OpenAPI

internal/server/server_test.go

@@ -10,8 +10,10 @@ import (
 	"strings"
 	"testing"
 
+	"glchat/internal/auth"
 	"glchat/internal/config"
 	"glchat/internal/database"
+	"glchat/internal/store"
 )
 
 func newTestServer(t *testing.T) (*Server, *database.DB) {
@@ -32,21 +34,31 @@ func newTestServer(t *testing.T) (*Server, *database.DB) {
 	})
 
 	cfg := config.Config{
-		Domain:        "gl.mhspx.su",
-		WebRoot:       filepath.Join("testdata", "web"),
-		FilesDomain:   "files.gl.mhspx.su",
-		InstanceName:  "glchat",
-		ListenAddr:    "127.0.0.1:0",
-		Version:       "v0.1.0-test",
-		Commit:        "deadbee",
-		BuildDate:     "2026-09-19T00:00:00Z",
-		MaxUploadSize: 26214400,
-		TLSEnabled:    true,
-		LogLevel:      "error",
-		LogFormat:     "json",
+		Domain:            "gl.mhspx.su",
+		WebRoot:           filepath.Join("testdata", "web"),
+		FilesDomain:       "files.gl.mhspx.su",
+		InstanceName:      "glchat",
+		ListenAddr:        "127.0.0.1:0",
+		Version:           "v0.1.0-test",
+		Commit:            "deadbee",
+		BuildDate:         "2026-09-19T00:00:00Z",
+		MaxUploadSize:     26214400,
+		TLSEnabled:        true,
+		SessionPepper:     "test-pepper",
+		MasterKey:         "00112233445566778899aabbccddeeff00112233445566778899aabbccddeeff",
+		Argon2MemoryKiB:   1024,
+		Argon2Iterations:  1,
+		Argon2Parallelism: 1,
+		LogLevel:          "error",
+		LogFormat:         "json",
 	}
 	logger := slog.New(slog.DiscardHandler)
-	return New(cfg, db, logger), db
+	st := store.New(db)
+	authService, err := auth.New(context.Background(), cfg, st, logger)
+	if err != nil {
+		t.Fatalf("initialize authentication: %v", err)
+	}
+	return New(cfg, db, logger, Deps{Store: st, Auth: authService}), db
 }
 
 func TestHealthz(t *testing.T) {
@@ -221,7 +233,7 @@ func TestServeWebClientReportsMissingBundle(t *testing.T) {
 
 	cfg := config.Config{Domain: "localhost", WebRoot: t.TempDir(), LogFormat: "json", LogLevel: "error"}
 	logger := slog.New(slog.DiscardHandler)
-	srv := New(cfg, db, logger)
+	srv := New(cfg, db, logger, Deps{})
 
 	rec := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec, httptest.NewRequestWithContext(context.Background(), http.MethodGet, "/", nil))