tgclient: лимит 3 pending-логина считает только живые (expires_at>now) — истёкшие зомби-строки больше не лочат новый вход 409-ом на 15 минут

tgclient: cancelCode/qr.recreate под wait_for (5с/10с) — DELETE отмены на полумёртвом MTProto-коннекте висел вечно: кнопка «Отменить логин» выглядела мёртвой ровно тогда, когда код не приходил

tgclient: QR-вход (account_login_qr_start + SPA «Вход по QR») — обходит PHONE_CODE_FLOOD (коды ТГ не используются); резидентный waiter qr.wait/recreate, 2FA через обычный password-шаг, отмена/сгорание чистят waiter

tgclient: отмена логина инвалидирует код у Telegram (auth.cancelCode), а не только чистит строку; sweeper отменяет так же; фронт — ошибка отмены не глотается (тост + модалка не закрывается на неудаче)

fix: деплой-фиксы + автоотмена зависших логинов (sweeper) ...

Четыре бага, найденных при деплое 2026-10-05, и одна фича (запрос
владельца: pending-логин без аккаунта через 15 мин от начала входа
отменяется автоматически).

Фиксы:
- Dockerfile: COPY frontend/package-lock.json — без него npm ci падал;
- tg/manager.py: импорт TelegramClient (NameError в аннотациях);
- mcp/server.py: TransportSecuritySettings(enable_dns_rebinding_protection=
  False) — FastMCP при дефолтном host=127.0.0.1 резал 421 «Invalid Host
  header» всем запросам через домен (сервис за nginx со своим гардом);
- tg/login_flow.py: property session у TelegramClientWithSession —
  _finalize падал на client.session.save() сразу после успешного sign_in
  (Telegram авторизацию засчитывал, сессия терялась). Плюс диагностический
  лог типа доставки кода ([login] send_code_request ok: sent=…).

Фича: автоотмена зависших логинов.
- config.py: TGCLIENT_LOGIN_STALE_MINUTES (default 15);
- tg/login_flow.py: purge_stale_logins() — pending-логины старше N минут
  от created_at отменяются как ручная DELETE (_cleanup: строка в БД +
  disconnect RAM-клиента — иначе зомби-коннект к Telegram);
- main.py: login_sweeper_loop (30 с) в lifespan с graceful cancel;
- auth.py: purge_expired больше не удаляет login_sessions — sweeper
  единственный владелец их очистки (GC по expires_at disconnect не делал).

Верифицировано на деплое: тестовая строка (created_at=now-20min) вычищена
sweeper'ом за 40 с; health ok.

tgclient: backend M1-M5 — FastAPI + Telethon + MCP (core, media, voice/rounds, login-тулы) ...

- каркас: config/db/schema/security/auth/locales/errors/synapse_report
- Telethon: AccountManager (StringSession+persist), login_flow (общий SPA/MCP), waveform 63x5 бит, rate-limit мутаций
- MCP: FastMCP stateless+json, гард require_mcp (mcp_*/admin-токен/cookie), ContextVar личности, 22 тула
- API: gnexus-auth SSO + вебхуки, mcp_tokens (plaintext-once), accounts, admin
- деплой: Dockerfile (multi-stage SPA), docker-compose, README