feat(api): sign-in, refresh rotation and bootstrap admin (M1)

- users, refresh_tokens and audit_log schema (migration 00002)
- argon2id passwords with rehash on login, password policy, lockout
  with exponential back-off and a per-IP rate limit in Redis
- Ed25519 JWT access tokens with kid-based key rotation; rotating
  refresh tokens with reuse detection (cookie for web, body for Android)
- bootstrap admin on first start; must_change_credentials and
  must_change_password gate every other endpoint
- /auth/login, /auth/refresh, /auth/logout(-all), /me, /me/password,
  /me/bootstrap-credentials, /me/sessions; server-info reports
  bootstrap_required
- role policy from docs/auth-and-roles.md with table tests
- problem+json errors with field errors; ru/en translations of the codes
- install.sh and update.sh generate JWT_PRIVATE_KEY

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

deploy/.env.example

@@ -20,6 +20,11 @@ HTTP_PORT=80
 POSTGRES_PASSWORD=
 MEILI_MASTER_KEY=
 INTERNAL_TOKEN=
+# Ключ подписи access-токенов (Ed25519, base64 от 32 случайных байт). install.sh и update.sh
+# создают его, если строки нет. Смена ключа разлогинит всех на ≤15 мин — старый можно оставить
+# в JWT_PREVIOUS_KEYS (через запятую), пока не истекут выданные им токены.
+JWT_PRIVATE_KEY=
+#JWT_PREVIOUS_KEYS=
 
 # --- Первый администратор (необязательно; иначе пароль генерируется и выводится в лог api один раз) ---
 #BOOTSTRAP_ADMIN_USERNAME=admin

deploy/install.sh

@@ -66,6 +66,13 @@ if [ ! -f .env ]; then
   echo "  Заполните в .env: DOMAIN и ACME_EMAIL (или настройте свой прокси — docs/install-guide.md)"
 fi
 
+# Ключ подписи токенов (M1): создаётся один раз, в том числе в .env, сделанном до его появления.
+if ! grep -q '^JWT_PRIVATE_KEY=.' .env; then
+  sed -i '/^JWT_PRIVATE_KEY=$/d' .env
+  echo "JWT_PRIVATE_KEY=$(head -c 32 /dev/urandom | base64)" >> .env
+  echo "→ в .env добавлен JWT_PRIVATE_KEY"
+fi
+
 # LIBRARY_HOST, переданный при повторном запуске, попадает и в уже существующий .env
 if [ -n "$LIBRARY_HOST" ]; then
   if grep -q '^LIBRARY_HOST=' .env; then

deploy/update.sh

@@ -16,6 +16,13 @@ cd "$PIPU_DEPLOY_DIR"
 
 [ -f .env ] || { echo "нет .env — сначала sudo ./install.sh" >&2; exit 1; }
 
+# Ключ подписи токенов (M1): создаётся один раз, в том числе в .env, сделанном до его появления.
+if ! grep -q '^JWT_PRIVATE_KEY=.' .env; then
+  sed -i '/^JWT_PRIVATE_KEY=$/d' .env
+  echo "JWT_PRIVATE_KEY=$(head -c 32 /dev/urandom | base64)" >> .env
+  echo "→ в .env добавлен JWT_PRIVATE_KEY"
+fi
+
 REF="${1:-}"
 git fetch --tags --prune --quiet origin