fix(admin): дать отзыву доступа вторую попытку, а лимиту устройств — порядок снимков

Предыдущий проход сделал правильным порядок «сначала долговременная запись,
потом разрыв сессии» и правильно запретил откат при неудаче разрыва. Способа
прийти к согласованному состоянию ПОТОМ он не дал: у двух операций повтор не
работал вовсе.

Импорт, заменивший auth_id: после неудавшегося /kick старое значение не
хранится нигде, повтор того же файла читает из базы уже новое и рвёт его, а
cron пропускал незнакомый authID молча — dao.ListPeer просто не возвращала
строку. Живая сессия оставалась навсегда.

Снижение maxDevices: повтор формы даёт 1 < 1 -> false, разрыва больше нет.
Лимит устройств в политику доступа не входит и входить не должен — это
свойство сессий, — поэтому механизма схождения у него не было.

enforcePeerAccess стал сверкой живых сессий: обход идёт по каждому authID из
/online. Нет строки в базе -> kick; peerAccessDenied -> kick; непригодный
maxDevices -> kick; устройств больше разрешённого -> kick. Отказ базы при этом
не рвёт ничего. Ни таблицы отложенных операций, ни очереди retry: список живых
сессий уже есть, и это /online.

Отдельно закрыт второй TOCTOU лимита устройств. Учёт выданных разрешений
закрыл сравнение двух одинаковых снимков, но сетевой запрос выполнялся вне
блокировки, поэтому снимки приходили в резервацию в произвольном порядке и
устаревший откатывал lastOnline назад, возвращая уже занятое место. Это не
data race — память защищена мьютексом, и -race здесь молчит принципиально.
Последовательность «прочитать /online -> занять место» выполняется под замком
по authId; глобальный замок не годится, внутри идёт сетевой запрос.

Учёт разрешений больше не растёт бесконечно: запись снималась только на ветке
отказа, поэтому в карте копились удалённые пиры и переписанные импортом
идентификаторы. Уборка идёт по фактической картине подключений.

Гейты приёмки доращены под все три инварианта и проверены в обе стороны.
Go 1.26.7 -> 1.26.8. Документация приведена в соответствие в двух местах,
где описывала снятую архитектуру.

Разбор: docs/acceptance/2026-09-02-v1.0.0-rc3-preflight-findings.md

docs/build/02-build-layer-and-package.md

@@ -78,7 +78,7 @@ HY2XS_TARGET_OS=debian
 HY2XS_TARGET_OS_VERSION=13
 HY2XS_TARGET_ARCH=amd64
 
-GO_VERSION=1.26.7
+GO_VERSION=1.26.8
 GO_LINUX_AMD64_SHA256=<sha256>
 BUN_VERSION=1.3.13
 BUN_LINUX_X64_SHA256=<sha256>
@@ -117,8 +117,14 @@ Go здесь не просто сборщик: им компилируется
 
 Цифры, ради которых это записано. На `GO_VERSION=1.21.13` — линия, давно вне
 поддержки — `govulncheck ./...` находил **21 вызываемую уязвимость**, из них 17 в
-одной только stdlib. После перехода на 1.26.7 и обновления графа зависимостей —
-**ноль**.
+одной только stdlib. После перехода на линию 1.26 и обновления графа
+зависимостей — **ноль**.
+
+По той же причине здесь держится актуальный **patch**-релиз, а не просто
+поддерживаемая линия: «на один патч позади» — свойство выпускаемого артефакта,
+а не среды сборки. Смена patch-версии затрагивает два места сразу —
+`GO_VERSION` с контрольной суммой здесь и `toolchain` в `apps/go.mod`, — и
+расхождение между ними роняет сборку на `verify_go_toolchain_contract`.
 
 Node живёт только на build-хосте и в артефакт не попадает, но 20.x достигла EOL,
 то есть перестала получать security-обновления, а собирает она код, который