fix: деплой-фиксы + автоотмена зависших логинов (sweeper) ...

Четыре бага, найденных при деплое 2026-10-05, и одна фича (запрос
владельца: pending-логин без аккаунта через 15 мин от начала входа
отменяется автоматически).

Фиксы:
- Dockerfile: COPY frontend/package-lock.json — без него npm ci падал;
- tg/manager.py: импорт TelegramClient (NameError в аннотациях);
- mcp/server.py: TransportSecuritySettings(enable_dns_rebinding_protection=
  False) — FastMCP при дефолтном host=127.0.0.1 резал 421 «Invalid Host
  header» всем запросам через домен (сервис за nginx со своим гардом);
- tg/login_flow.py: property session у TelegramClientWithSession —
  _finalize падал на client.session.save() сразу после успешного sign_in
  (Telegram авторизацию засчитывал, сессия терялась). Плюс диагностический
  лог типа доставки кода ([login] send_code_request ok: sent=…).

Фича: автоотмена зависших логинов.
- config.py: TGCLIENT_LOGIN_STALE_MINUTES (default 15);
- tg/login_flow.py: purge_stale_logins() — pending-логины старше N минут
  от created_at отменяются как ручная DELETE (_cleanup: строка в БД +
  disconnect RAM-клиента — иначе зомби-коннект к Telegram);
- main.py: login_sweeper_loop (30 с) в lifespan с graceful cancel;
- auth.py: purge_expired больше не удаляет login_sessions — sweeper
  единственный владелец их очистки (GC по expires_at disconnect не делал).

Верифицировано на деплое: тестовая строка (created_at=now-20min) вычищена
sweeper'ом за 40 с; health ok.

tgclient: лого под тему Tokyo Night (синий→фиолетовый самолётик на тёмной подложке кита)

tgclient: тема SPA — Tokyo (базовый kit.css) вместо verdant; alias для kit-verdant больше не нужен

tgclient: в api.js потерян adminMcpTokens — страница MCP-ключей падала с 'is not a function'

tgclient: подключён webhook_router — вебхуки gnexus-auth раньше не обслуживали POST (405 от SPA catch-all, блокировка юзера не отключала бы ключи)

tgclient: отступ снизу у GnPageHeader (контент не клеится к хедеру)

tgclient: upload_* (voice/file/round) принимают file_path — файл с диска сервера из TGCLIENT_UPLOAD_DIR (только имя файла, пути запрещены — гард против чтения произвольных файлов MCP-ключом); по умолчанию выкл.

tgclient: звонки через MCP (call_start/status/discard) — сигналинг phone.* (ring, DH-обмен по voice-calls-спецификации, confirm+hangup); голос без tgcalls не передаётся — задокументировано

tgclient: пуш-события сообщений в Synapse (tg_message_received/edited/deleted) — подписка агентов/скриптов через Synapse Target, opt-in TGCLIENT_NOTIFY_MESSAGES

tgclient: SPA фронтенд (accounts+login-wizard, MCP-ключи show-once, админка, настройки, i18n en/ru/uk) + Synapse-каталог событий (7 событие, mcp_token_issued/revoked)

tgclient: правки tools.py — SearchGlobal по сигнатуре слоя, username-резолв dialogs, чистка мёртвого кода

tgclient: регистрация me_router в main.py

tgclient: backend M1-M5 — FastAPI + Telethon + MCP (core, media, voice/rounds, login-тулы) ...

- каркас: config/db/schema/security/auth/locales/errors/synapse_report
- Telethon: AccountManager (StringSession+persist), login_flow (общий SPA/MCP), waveform 63x5 бит, rate-limit мутаций
- MCP: FastMCP stateless+json, гард require_mcp (mcp_*/admin-токен/cookie), ContextVar личности, 22 тула
- API: gnexus-auth SSO + вебхуки, mcp_tokens (plaintext-once), accounts, admin
- деплой: Dockerfile (multi-stage SPA), docker-compose, README