feat: вход, роли и аудит действий (lct-23)

Самое крупное расхождение с ТЗ: входа не было вовсе, экраны открывались
ссылкой с номером занятия, и пускало знание адреса.

- Таблицы users и audit_log, миграция. Пароль argon2, сессия — подписанная
  cookie; роль на сокетах читается из той же cookie в момент рукопожатия,
  отдельного протокола авторизации в канале нет.
- Разграничение: control — преподавателю, observe — преподавателю и админу,
  call и station — обучающемуся и преподавателю. Отказ приходит событием
  error с кодом forbidden.
- Обучающийся не видит чужого: история подменяет фильтр на его собственный
  идентификатор, разбор и профиль сверяют trainee_id. ТЗ запрещает доступ
  к чужим результатам, а не только к чужим экранам.
- Администратору закрыта правка оценок — ТЗ запрещает это прямо.
- make users заводит по записи на роль и печатает случайные пароли один раз:
  зашитый в репозиторий admin/admin пережил бы сдачу.
- Экран входа и проверка роли на каждом маршруте фронта.

Наши инструменты не сломались: make lesson и тесты входят через dev-token
за флагом dev_auth_bypass, на стенде точка отвечает 404 — выключенной
функции не должно быть видно вовсе. У тестов появился conftest.py.

Role уехала в домен и в generated.ts через EventCatalog.principal: иначе
фронт переписывал бы список ролей руками.

181 тест зелёный (14 новых), make typecheck чистый.

backend/app/db/migrations/versions/e6e2ab171dd7_вход_и_роли_users_audit_log.py

@@ -0,0 +1,53 @@
+"""вход и роли: users, audit_log
+
+Revision ID: e6e2ab171dd7
+Revises: ff5de7dfe4ce
+Create Date: 2026-09-20 08:47:33.911250
+"""
+
+from alembic import op
+import sqlalchemy as sa
+
+
+revision = 'e6e2ab171dd7'
+down_revision = 'ff5de7dfe4ce'
+branch_labels = None
+depends_on = None
+
+
+def upgrade() -> None:
+    # ### commands auto generated by Alembic - please adjust! ###
+    op.create_table('audit_log',
+    sa.Column('id', sa.Uuid(), nullable=False),
+    sa.Column('at', sa.DateTime(timezone=True), server_default=sa.text('now()'), nullable=False),
+    sa.Column('actor', sa.String(length=80), nullable=False),
+    sa.Column('role', sa.String(length=16), nullable=False),
+    sa.Column('action', sa.String(length=40), nullable=False),
+    sa.Column('object_id', sa.String(length=80), nullable=True),
+    sa.Column('detail', sa.Text(), nullable=False),
+    sa.PrimaryKeyConstraint('id')
+    )
+    op.create_index('ix_audit_at', 'audit_log', ['at'], unique=False)
+    op.create_table('users',
+    sa.Column('id', sa.Uuid(), nullable=False),
+    sa.Column('login', sa.String(length=80), nullable=False),
+    sa.Column('password_hash', sa.String(length=200), nullable=False),
+    sa.Column('full_name', sa.String(length=120), nullable=False),
+    sa.Column('role', sa.String(length=16), nullable=False),
+    sa.Column('service', sa.String(length=120), nullable=True),
+    sa.Column('trainee_id', sa.Uuid(), nullable=True),
+    sa.Column('blocked', sa.Boolean(), nullable=False),
+    sa.Column('created_at', sa.DateTime(timezone=True), server_default=sa.text('now()'), nullable=False),
+    sa.ForeignKeyConstraint(['trainee_id'], ['trainees.id'], ondelete='SET NULL'),
+    sa.PrimaryKeyConstraint('id'),
+    sa.UniqueConstraint('login')
+    )
+    # ### end Alembic commands ###
+
+
+def downgrade() -> None:
+    # ### commands auto generated by Alembic - please adjust! ###
+    op.drop_table('users')
+    op.drop_index('ix_audit_at', table_name='audit_log')
+    op.drop_table('audit_log')
+    # ### end Alembic commands ###