feat(lab-content-engine): phase 4 - каталог симуляций в БД + API + админка

- Миграция 042_lab_sims.sql: таблица lab_sims (id, cat, title, subject, grade,
  sort_order, enabled, featured, tags JSON), сид 40 симуляций в порядке каталога
- backend/src/routes/lab.js: GET /api/lab/sims (мёрж БД + legacy-флаги, auth),
  PATCH /api/lab/sims/:id (admin), POST /api/lab/sims/reorder (admin).
  enabled зеркалится в legacy sim_disabled_ids -> lab.html без правок фронта
- server.js: монтирование /api/lab
- tests/lab-sims.test.js: 11 тестов (auth/роли/вкл-выкл+зеркало/featured/tags/
  валидация/reorder/404), все проходят; +0 к baseline (3 pre-existing)
- admin/sections/sims.js: убран захардкоженный ADMIN_SIMS, каталог из /api/lab/sims,
  тумблеры вкл-выкл и «рекомендуемая»; XSS-эскейп, иконки .ic
- plans/: Фаза 4 done + handoff

Независимое ревью: PASS, блокеров нет. route-auth lint: PATCH-роут защищён inline
requireRole('admin'). Миграция применена к живой БД.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/src/server.js

@@ -55,6 +55,7 @@ const examPrepRoutes      = require('./routes/exam-prep');
 const textbookRoutes      = require('./routes/textbooks');
 const accessRoutes        = require('./routes/access');
 const teacherStudentsRoutes = require('./routes/teacherStudents');
+const labRoutes           = require('./routes/lab');
 
 const { requestId, errorHandler } = require('./middleware/errorHandler');
 
@@ -177,6 +178,7 @@ app.use('/api/exam-prep',    examPrepRoutes);
 app.use('/api/textbooks',    textbookRoutes);
 app.use('/api/access',       accessRoutes);
 app.use('/api/teacher-students', teacherStudentsRoutes);
+app.use('/api/lab',          labRoutes);
 
 /* ── Public features endpoint (merges global + per-class for authenticated students) ── */
 const _featDb = require('./db/db');