feat: вход, роли и аудит действий (lct-23)

Самое крупное расхождение с ТЗ: входа не было вовсе, экраны открывались
ссылкой с номером занятия, и пускало знание адреса.

- Таблицы users и audit_log, миграция. Пароль argon2, сессия — подписанная
  cookie; роль на сокетах читается из той же cookie в момент рукопожатия,
  отдельного протокола авторизации в канале нет.
- Разграничение: control — преподавателю, observe — преподавателю и админу,
  call и station — обучающемуся и преподавателю. Отказ приходит событием
  error с кодом forbidden.
- Обучающийся не видит чужого: история подменяет фильтр на его собственный
  идентификатор, разбор и профиль сверяют trainee_id. ТЗ запрещает доступ
  к чужим результатам, а не только к чужим экранам.
- Администратору закрыта правка оценок — ТЗ запрещает это прямо.
- make users заводит по записи на роль и печатает случайные пароли один раз:
  зашитый в репозиторий admin/admin пережил бы сдачу.
- Экран входа и проверка роли на каждом маршруте фронта.

Наши инструменты не сломались: make lesson и тесты входят через dev-token
за флагом dev_auth_bypass, на стенде точка отвечает 404 — выключенной
функции не должно быть видно вовсе. У тестов появился conftest.py.

Role уехала в домен и в generated.ts через EventCatalog.principal: иначе
фронт переписывал бы список ролей руками.

181 тест зелёный (14 новых), make typecheck чистый.

scripts/demo.sh

@@ -28,8 +28,9 @@ docker compose up -d postgres
 ( cd backend && uv run alembic upgrade head >/dev/null )
 echo "  миграции накатаны"
 
-say "3/5 Сценарии"
+say "3/5 Сценарии и учётные записи"
 make seed
+make users
 
 say "4/5 Бэкенд с голосом"
 # Контейнерные бэкенд и фронт гасим: порты те же, а голос работает нативно.
@@ -53,6 +54,7 @@ FRONTEND=$!
 
 say "Стенд поднят"
 cat <<'LINKS'
+  вход:                http://localhost:5173/  (пароли печатает make users)
   пульт преподавателя: http://localhost:5173/instructor
   профили курсантов:   http://localhost:5173/profile
   ссылки на АРМ курсанта, монитор и ДДС печатает сам пульт