Правки второй волны: редактирование цели, вёрстка, тултипы, ссылки ...

- Цель: PATCH /admin/targets/{id} (частичное обновление, канал не
  меняется; 409 на дубль имени в канале) + редактирование на странице
  цели: название/описание/config-JSON с валидацией, switch вкл/выкл.
- Тултипы заголовков таблиц: панель кита раскрывается ВНИЗ поверх
  таблицы — иначе обрезается overflow у .table-wrapper.
- Правила: колонка «Условия» из таблицы убрана (только на странице
  правила); вёрстка действий на странице правила починена — голова
  (номер/канал/цель) и тело (шаблон) в отдельные строки.
- Доставки: кнопка обновления выровнена по вертикали с контролами
  фильтров.
- Источники/цели: у строк убрана кнопка просмотра; slug/название —
  кликабельная ссылка на страницу, удаление — единственная кнопка.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Админка SPA (#32): разделы Источники/Типы/Цели/Правила/Доставки ...

Маршруты + навигация в App.vue; ui.js — варианты статусов, формат
времени, JSON-обрезка. Токен ключа показывается один раз (модаль с
GnCopyButton), шумодав и switch вкл/выкл правила, s2s-target config в
JSON, фильтры доставок по статусу/каналу. Компоненты — из кита.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Single sign-out: logout gnexus-auth отзывает токены Synapse через вебхуки ...

- logout в gnexus-auth НЕ отзывает OAuth-токены (проверено в его коде:
  isUsable = только expiry/revoked) — значит SSO-выход доедает вебхук
- store_login: выданные при callback токены лежат в Redis по user_id (TTL 30d)
- webhook auth.logout / auth.global_logout / session.revoked ->
  revoke access+refresh всех логинов пользователя на gnexus-auth + очистка
- POST /auth/logout: выход из Synapse отзывает все входы пользователя
- SPA: heartbeat adminMe каждые 45 c — 401 после logout в auth убивает
  сессию SPA автоматически; 403 ведёт на denied
- порт 8001 -> 8012 (на локальной машине занят другим проектом)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SSO через gnexus-auth-client-py: OAuth-поток на сервере, без ввода токенов в UI ...

- /auth/login: state+PKCE в Redis (переживает рестарты), redirect на authorize
- /auth/callback: обмен кода, проверка system_role до выдачи токена,
  не-админу access-токен сразу revoke; токены в URL-фрагменте
- /auth/refresh и /auth/revoke; SPA: кнопка входа, /oauth/callback,
  тихий refresh по 401, логаут
- креды только из env (GAUTH_*), GAUTH_VERIFY_TLS для self-signed в LAN

Co-Authored-By: Claude Code <noreply@anthropic.com>

Каркас #33: FastAPI + Celery + Postgres в докере, Vue 3 SPA на gnexus-ui-kit ...

- FastAPI: healthz/readyz, Swagger на /api/docs, раздача SPA-статики из того же контейнера
- Гейт админки по ролям gnexus-auth (opaque-токены, userinfo, admin/superadmin, 401/403)
- Celery-воркер (redis broker) с каркасной задачей synapse.ping
- Alembic настроен на DATABASE_URL из .env, миграций пока нет (#34)
- docker-compose: api, worker, postgres, redis — одна команда, миграции при старте
- frontend: Vue 3 + Vite + gnexus-ui-kit (git-зависимость), вход-заглушка dev, дашборд, denied-экран

Co-Authored-By: Claude Code <noreply@anthropic.com>