fix(admin): дать отзыву доступа вторую попытку, а лимиту устройств — порядок снимков

Предыдущий проход сделал правильным порядок «сначала долговременная запись,
потом разрыв сессии» и правильно запретил откат при неудаче разрыва. Способа
прийти к согласованному состоянию ПОТОМ он не дал: у двух операций повтор не
работал вовсе.

Импорт, заменивший auth_id: после неудавшегося /kick старое значение не
хранится нигде, повтор того же файла читает из базы уже новое и рвёт его, а
cron пропускал незнакомый authID молча — dao.ListPeer просто не возвращала
строку. Живая сессия оставалась навсегда.

Снижение maxDevices: повтор формы даёт 1 < 1 -> false, разрыва больше нет.
Лимит устройств в политику доступа не входит и входить не должен — это
свойство сессий, — поэтому механизма схождения у него не было.

enforcePeerAccess стал сверкой живых сессий: обход идёт по каждому authID из
/online. Нет строки в базе -> kick; peerAccessDenied -> kick; непригодный
maxDevices -> kick; устройств больше разрешённого -> kick. Отказ базы при этом
не рвёт ничего. Ни таблицы отложенных операций, ни очереди retry: список живых
сессий уже есть, и это /online.

Отдельно закрыт второй TOCTOU лимита устройств. Учёт выданных разрешений
закрыл сравнение двух одинаковых снимков, но сетевой запрос выполнялся вне
блокировки, поэтому снимки приходили в резервацию в произвольном порядке и
устаревший откатывал lastOnline назад, возвращая уже занятое место. Это не
data race — память защищена мьютексом, и -race здесь молчит принципиально.
Последовательность «прочитать /online -> занять место» выполняется под замком
по authId; глобальный замок не годится, внутри идёт сетевой запрос.

Учёт разрешений больше не растёт бесконечно: запись снималась только на ветке
отказа, поэтому в карте копились удалённые пиры и переписанные импортом
идентификаторы. Уборка идёт по фактической картине подключений.

Гейты приёмки доращены под все три инварианта и проверены в обе стороны.
Go 1.26.7 -> 1.26.8. Документация приведена в соответствие в двух местах,
где описывала снятую архитектуру.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc3-preflight-findings.md

apps/go.mod

@@ -10,14 +10,17 @@ go 1.25.0
 //
 // Директива `go` выше — это языковой baseline модуля, и она НЕ выбирает
 // компилятор: с ней одной локальный `go build` на 1.25 проходил успешно, хотя
-// релизный бинарь собирается на 1.26.7 и наследует её stdlib. То есть
+// релизный бинарь собирается версией из versions.env и наследует её stdlib.
+// Номер здесь не повторяется намеренно — он живёт строкой ниже и в
+// GO_VERSION, а третья копия в прозе устаревала бы на каждом patch-релизе. То
+// есть
 // разработчик и сборка проверяли разный код, а расхождение не было видно ни в
 // одном из выводов.
 //
 // Значение обязано совпадать с GO_VERSION из versions.env; это проверяет
 // verify_go_toolchain_contract, а `tools/dev/doctor` показывает то же
 // расхождение локально, до сборки.
-toolchain go1.26.7
+toolchain go1.26.8
 
 require (
 	github.com/didip/tollbooth v4.0.2+incompatible