feat: вход, роли и аудит действий (lct-23)

Самое крупное расхождение с ТЗ: входа не было вовсе, экраны открывались
ссылкой с номером занятия, и пускало знание адреса.

- Таблицы users и audit_log, миграция. Пароль argon2, сессия — подписанная
  cookie; роль на сокетах читается из той же cookie в момент рукопожатия,
  отдельного протокола авторизации в канале нет.
- Разграничение: control — преподавателю, observe — преподавателю и админу,
  call и station — обучающемуся и преподавателю. Отказ приходит событием
  error с кодом forbidden.
- Обучающийся не видит чужого: история подменяет фильтр на его собственный
  идентификатор, разбор и профиль сверяют trainee_id. ТЗ запрещает доступ
  к чужим результатам, а не только к чужим экранам.
- Администратору закрыта правка оценок — ТЗ запрещает это прямо.
- make users заводит по записи на роль и печатает случайные пароли один раз:
  зашитый в репозиторий admin/admin пережил бы сдачу.
- Экран входа и проверка роли на каждом маршруте фронта.

Наши инструменты не сломались: make lesson и тесты входят через dev-token
за флагом dev_auth_bypass, на стенде точка отвечает 404 — выключенной
функции не должно быть видно вовсе. У тестов появился conftest.py.

Role уехала в домен и в generated.ts через EventCatalog.principal: иначе
фронт переписывал бы список ролей руками.

181 тест зелёный (14 новых), make typecheck чистый.

frontend/src/app/router.tsx

@@ -5,14 +5,22 @@ import { Instructor } from "@/pages/instructor/Instructor";
 import { Dds } from "@/pages/dds/Dds";
 import { Profile } from "@/pages/profile/Profile";
 import { Wall } from "@/pages/wall/Wall";
+import { RequireAuth } from "@/features/auth/Login";
 
 // Четыре интерфейса — одна SPA (docs/arch/FRONTEND.md).
 // session_id живёт в URL: /instructor?session=..., монитор открывают ссылкой.
+// Каждый экран за проверкой роли: курсант не открывает пульт даже по прямой
+// ссылке. Сервер проверяет то же самое на сокетах — здесь только чтобы человек
+// увидел понятное объяснение вместо пустого экрана (lct-23).
+const guarded = (screen: string, element: JSX.Element) => (
+  <RequireAuth screen={screen}>{element}</RequireAuth>
+);
+
 export const router = createBrowserRouter([
   { path: "/", element: <Navigate to="/trainee" replace /> },
-  { path: "/trainee", element: <Call /> },
-  { path: "/instructor", element: <Instructor /> },
-  { path: "/wall", element: <Wall /> },
-  { path: "/profile", element: <Profile /> },
-  { path: "/dds", element: <Dds /> },
+  { path: "/trainee", element: guarded("/trainee", <Call />) },
+  { path: "/instructor", element: guarded("/instructor", <Instructor />) },
+  { path: "/wall", element: guarded("/wall", <Wall />) },
+  { path: "/profile", element: guarded("/profile", <Profile />) },
+  { path: "/dds", element: guarded("/dds", <Dds />) },
 ]);

frontend/src/features/auth/Login.tsx

@@ -0,0 +1,78 @@
+// Экран входа. Ставится перед всеми остальными: номер занятия перестал быть
+// пропуском, по ссылке пускает роль, а не знание адреса (lct-23).
+
+import { useState, type ReactNode } from "react";
+
+import { SCREENS, useLogin, useLogout, useMe } from "./useAuth";
+
+export function RequireAuth({ screen, children }: { screen: string; children: ReactNode }) {
+  const me = useMe();
+  const logout = useLogout();
+
+  if (me.isLoading) {
+    return <main className="page"><p>Проверяем доступ…</p></main>;
+  }
+  if (!me.data) return <Login />;
+
+  const allowed = SCREENS[me.data.role] ?? [];
+  if (!allowed.includes(screen)) {
+    return (
+      <main className="page">
+        <h1>Экран недоступен</h1>
+        <p className="warn">
+          Вы вошли как {me.data.full_name} ({me.data.role}). Этот экран открыт другой роли.
+        </p>
+        <p>Доступно: {allowed.join(", ") || "ничего"}</p>
+        <p><button type="button" onClick={() => logout.mutate()}>Выйти</button></p>
+      </main>
+    );
+  }
+  return <>{children}</>;
+}
+
+function Login() {
+  const login = useLogin();
+  const [name, setName] = useState("");
+  const [password, setPassword] = useState("");
+
+  return (
+    <main className="page">
+      <h1>Учебный симулятор системы-112</h1>
+      <form
+        onSubmit={(event) => {
+          event.preventDefault();
+          login.mutate({ login: name, password });
+        }}
+      >
+        <table className="grid">
+          <tbody>
+            <tr>
+              <th>Логин</th>
+              <td>
+                <input value={name} autoFocus onChange={(event) => setName(event.target.value)} />
+              </td>
+            </tr>
+            <tr>
+              <th>Пароль</th>
+              <td>
+                <input
+                  type="password"
+                  value={password}
+                  onChange={(event) => setPassword(event.target.value)}
+                />
+              </td>
+            </tr>
+          </tbody>
+        </table>
+        <p>
+          <button type="submit" disabled={!name || !password || login.isPending}>
+            Войти
+          </button>
+        </p>
+      </form>
+      {/* Причину отказа не уточняем: «нет такого логина» — это список
+          действующих учётных записей для того, кто подбирает. */}
+      {login.isError && <p className="warn">Логин или пароль неверны</p>}
+    </main>
+  );
+}

frontend/src/features/auth/useAuth.ts

@@ -0,0 +1,64 @@
+// Кто сейчас за экраном. Роль приходит с сервера, а не хранится на фронте:
+// подписанная cookie — источник истины, здесь только её отражение (lct-23).
+
+import { useMutation, useQuery, useQueryClient } from "@tanstack/react-query";
+
+import type { Role } from "@/shared/types/generated";
+
+export interface Principal {
+  login: string;
+  full_name: string;
+  role: Role;
+  service: string | null;
+  trainee_id: string | null;
+}
+
+async function call<T>(path: string, init?: RequestInit): Promise<T> {
+  const response = await fetch(path, {
+    ...init,
+    headers: { "Content-Type": "application/json", ...init?.headers },
+  });
+  if (!response.ok) throw new Error(String(response.status));
+  return response.json() as Promise<T>;
+}
+
+export function useMe() {
+  return useQuery({
+    queryKey: ["me"],
+    // Отсутствие входа — не ошибка, а состояние: возвращаем null, чтобы
+    // экран показал форму, а не «что-то пошло не так».
+    queryFn: async () => {
+      try {
+        return await call<Principal>("/api/auth/me");
+      } catch {
+        return null;
+      }
+    },
+    retry: false,
+  });
+}
+
+export function useLogin() {
+  const cache = useQueryClient();
+  return useMutation({
+    mutationFn: (body: { login: string; password: string }) =>
+      call<Principal>("/api/auth/login", { method: "POST", body: JSON.stringify(body) }),
+    onSuccess: (who) => cache.setQueryData(["me"], who),
+  });
+}
+
+export function useLogout() {
+  const cache = useQueryClient();
+  return useMutation({
+    mutationFn: () => call<{ ok: boolean }>("/api/auth/logout", { method: "POST" }),
+    onSuccess: () => cache.setQueryData(["me"], null),
+  });
+}
+
+/** Какие экраны открыты роли. Повторяет domain/roles.py: список короткий
+ *  и меняется редко, а держать его на сервере ради двух строк — лишний запрос. */
+export const SCREENS: Record<Role, string[]> = {
+  admin: ["/admin", "/profile"],
+  instructor: ["/instructor", "/wall", "/profile", "/dds"],
+  trainee: ["/trainee", "/profile"],
+};

frontend/src/shared/types/generated.ts

@@ -150,7 +150,7 @@ export interface ErrorEvent {
 }
 
 /** Коды канала `error`. Фронт разбирает код, а не текст сообщения: текст — для человека, код — для поведения интерфейса. */
-export type ErrorKind = "session_not_found" | "call_not_started" | "hint_denied_in_exam" | "models_warming_up" | "directive_needs_network" | "scenario_invalid" | "unsupported_event" | "internal";
+export type ErrorKind = "session_not_found" | "call_not_started" | "hint_denied_in_exam" | "models_warming_up" | "directive_needs_network" | "scenario_invalid" | "unsupported_event" | "forbidden" | "internal";
 
 /** Отметка в разборе. `fact` и `norm` — то самое обоснование. */
 export interface Finding {
@@ -314,6 +314,15 @@ export interface PoliceDetails {
   vehicle?: string | null;
 }
 
+/** Кто вошёл. В событиях не участвует, но фронт разводит по роли экраны, и список ролей должен приезжать из домена, а не переписываться руками (lct-23). Полная модель — в `app/api/auth.py`. */
+export interface Principal {
+  login: string;
+  full_name: string;
+  role: Role;
+  service?: string | null;
+  trainee_id?: string | null;
+}
+
 export interface ReferencePlay {
   type: "reference.play";
 }
@@ -326,6 +335,8 @@ export interface ReferenceStarted {
 
 export type ResponseStatus = "registered" | "transferred" | "in_progress" | "closed";
 
+export type Role = "admin" | "instructor" | "trainee";
+
 export interface ScenarioPublish {
   type: "scenario.publish";
   scenario_id: string;