feat: add app-level authentication foundation

docs/as-is-to-be.md

@@ -194,12 +194,15 @@
 
 Что уже есть:
 
-- внешний `Basic Auth` на уровне `nginx`.
+- mock `login.html` и `login.js`;
+- `User`, `Membership`, `Invitation` и `PlatformApiKey` как часть access layer.
 
 Чего не хватает:
 
-- либо собственный auth/session backend;
-- либо временный согласованный bridge, если login screen оставляем как demo flow.
+- app-level auth/session backend;
+- password hash storage;
+- session cookie;
+- current user endpoint.
 
 ## 5. Архитектурные конфликты, которые нужно разобрать отдельно
 
@@ -232,7 +235,13 @@
 
 Решение:
 
-- зафиксировать временную и целевую auth model отдельно.
+- убрать внешний `Basic Auth` как основной способ входа;
+- реализовать app-level auth/session backend;
+- отделить browser session auth от `PlatformApiKey`.
+
+Статус:
+
+- закрыто в `feat/auth-foundation`.
 
 ## 6. Приоритет реализации