tgclient: QR-вход (account_login_qr_start + SPA «Вход по QR») — обходит PHONE_CODE_FLOOD (коды ТГ не используются); резидентный waiter qr.wait/recreate, 2FA через обычный password-шаг, отмена/сгорание чистят waiter

fix: деплой-фиксы + автоотмена зависших логинов (sweeper) ...

Четыре бага, найденных при деплое 2026-10-05, и одна фича (запрос
владельца: pending-логин без аккаунта через 15 мин от начала входа
отменяется автоматически).

Фиксы:
- Dockerfile: COPY frontend/package-lock.json — без него npm ci падал;
- tg/manager.py: импорт TelegramClient (NameError в аннотациях);
- mcp/server.py: TransportSecuritySettings(enable_dns_rebinding_protection=
  False) — FastMCP при дефолтном host=127.0.0.1 резал 421 «Invalid Host
  header» всем запросам через домен (сервис за nginx со своим гардом);
- tg/login_flow.py: property session у TelegramClientWithSession —
  _finalize падал на client.session.save() сразу после успешного sign_in
  (Telegram авторизацию засчитывал, сессия терялась). Плюс диагностический
  лог типа доставки кода ([login] send_code_request ok: sent=…).

Фича: автоотмена зависших логинов.
- config.py: TGCLIENT_LOGIN_STALE_MINUTES (default 15);
- tg/login_flow.py: purge_stale_logins() — pending-логины старше N минут
  от created_at отменяются как ручная DELETE (_cleanup: строка в БД +
  disconnect RAM-клиента — иначе зомби-коннект к Telegram);
- main.py: login_sweeper_loop (30 с) в lifespan с graceful cancel;
- auth.py: purge_expired больше не удаляет login_sessions — sweeper
  единственный владелец их очистки (GC по expires_at disconnect не делал).

Верифицировано на деплое: тестовая строка (created_at=now-20min) вычищена
sweeper'ом за 40 с; health ok.

tgclient: upload_* (voice/file/round) принимают file_path — файл с диска сервера из TGCLIENT_UPLOAD_DIR (только имя файла, пути запрещены — гард против чтения произвольных файлов MCP-ключом); по умолчанию выкл.

tgclient: звонки через MCP (call_start/status/discard) — сигналинг phone.* (ring, DH-обмен по voice-calls-спецификации, confirm+hangup); голос без tgcalls не передаётся — задокументировано

tgclient: правки tools.py — SearchGlobal по сигнатуре слоя, username-резолв dialogs, чистка мёртвого кода

tgclient: backend M1-M5 — FastAPI + Telethon + MCP (core, media, voice/rounds, login-тулы) ...

- каркас: config/db/schema/security/auth/locales/errors/synapse_report
- Telethon: AccountManager (StringSession+persist), login_flow (общий SPA/MCP), waveform 63x5 бит, rate-limit мутаций
- MCP: FastMCP stateless+json, гард require_mcp (mcp_*/admin-токен/cookie), ContextVar личности, 22 тула
- API: gnexus-auth SSO + вебхуки, mcp_tokens (plaintext-once), accounts, admin
- деплой: Dockerfile (multi-stage SPA), docker-compose, README