feature: API-ключи клиентов и журнал использования в Postgres (#4, #17)

- Postgres в compose; пакет db (SQLAlchemy async): clients, windows, requests.
- Все эндпоинты, кроме /health, — только с ключом в X-API-Key, иначе 401; без
  выпущенных ключей доступа нет. В базе — только sha256 ключа.
- Задача и окно сессии привязаны к клиенту: чужой ключ их не видит.
- Воркер пишет журнал: окно (открыто, последнее обращение, закрыто) и задачу
  (в очереди, начало, конец, итог, данные без секретов). Сбой записи не роняет задачу.
- python -m db.cli create|list|revoke|stats; make key-create/key-list/key-revoke/stats.
- smoke и loadtest с ключом.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

Makefile

@@ -5,16 +5,17 @@ WHEELS_DIR := wheels
 REQUIREMENTS := requirements.txt
 ver ?= latest
 
-MAKECMDGOALS_TARGETS := install freeze wheels sync sync-offline clean help build release sync-dev test test-browser up down logs smoke
+MAKECMDGOALS_TARGETS := install freeze wheels sync sync-offline clean help build release sync-dev test test-browser up down logs smoke key-create key-list key-revoke stats
 PKG := $(filter-out $(MAKECMDGOALS_TARGETS),$(MAKECMDGOALS))
 
-.PHONY: install freeze wheels sync sync-offline clean help venv build release sync-dev test test-browser up down logs smoke
+.PHONY: install freeze wheels sync sync-offline clean help venv build release sync-dev test test-browser up down logs smoke key-create key-list key-revoke stats
 
 # образы сервисов: api — без Chrome, worker — Chrome + Xvfb; rabbitmq и redis — сторонние, кладутся в релиз
 API_IMAGE := robotex-api
 WORKER_IMAGE := robotex-worker
-DEPS_IMAGES := rabbitmq:4.1-alpine redis:8.2-alpine
+DEPS_IMAGES := rabbitmq:4.1-alpine redis:8.2-alpine postgres:17-alpine
 API_URL ?= http://localhost:8000
+API_KEY ?=
 
 help:
 	@echo "make install <pkg> [<pkg> ...]  - установить пакет(ы) в $(VENV), обновить $(REQUIREMENTS), собрать wheel в $(WHEELS_DIR)/"
@@ -28,7 +29,11 @@ help:
 	@echo "make up                         - собрать и запустить локально: api, worker, rabbitmq, redis"
 	@echo "make down                       - остановить локальный стенд"
 	@echo "make logs                       - логи api и worker"
-	@echo "make smoke [API_URL=...]        - проверить запущенный стенд: /health, /v1/solve, /v2/tasks, удержание окна"
+	@echo "make smoke API_KEY=... [API_URL=...] - проверить запущенный стенд: ключ, /v1/solve, /v2/tasks, удержание окна"
+	@echo "make key-create name=<клиент>   - выпустить API-ключ клиенту (в запущенном compose)"
+	@echo "make key-list                   - клиенты и их ключи (без самих ключей)"
+	@echo "make key-revoke id=<id>         - отозвать ключ клиента"
+	@echo "make stats [days=7]             - статистика: запросы, их время, время работы браузера по клиентам"
 	@echo "make sync-dev                   - установить зависимости для тестов (requirements-dev.txt)"
 	@echo "make test                       - юнит-тесты без браузера"
 	@echo "make test-browser [ver=latest]  - собрать образ и прогнать сквозные тесты с Chrome в Docker (нужна сеть)"
@@ -76,7 +81,20 @@ logs:
 	docker compose logs -f api worker
 
 smoke:
-	$(PYTHON) tests/smoke.py $(API_URL)
+	$(PYTHON) tests/smoke.py $(API_URL) $(API_KEY)
+
+key-create:
+	docker compose exec api python -m db.cli create "$(name)"
+
+key-list:
+	docker compose exec api python -m db.cli list
+
+key-revoke:
+	docker compose exec api python -m db.cli revoke $(id)
+
+days ?= 7
+stats:
+	docker compose exec api python -m db.cli stats --days $(days)
 
 sync-dev: venv
 	$(PIP) install -r requirements-dev.txt
@@ -119,7 +137,8 @@ release: build
 		'docker compose up -d' \
 		'```' \
 		'' \
-		'Настройки (порт, слоты, CPU и память воркера, пароль RabbitMQ) — в .env.' > $(RELEASE_DIR)/README.md
+		'Настройки (порт, слоты, CPU и память воркера, пароли RabbitMQ и Postgres) — в .env.' \
+		'Ключ клиенту: docker compose exec api python -m db.cli create <имя>' > $(RELEASE_DIR)/README.md
 	@echo "Готово: $(RELEASE_DIR)/"
 
 # позволяет передавать имя пакета как аргумент: make install redis