feat(admin): журнал событий безопасности (Tier 1-2) + аудит чувствительных действий (Tier 3)

- security_events (миграция 047) + utils/securityLog.js (defensive, lazy stmt)
- Tier 1: login.success/fail, register, password.change в authController
- Tier 2: 403 (роль/разрешение) в middleware/auth, rate_limited в rateLimit
- Tier 3: audit() на выдачу доступа (access), начисление/сброс XP (gam), модерацию аватаров
- API GET/DELETE /api/admin/security-log (фильтр по категории + поиск, прунинг по дням)
- Frontend: вкладка «Безопасность» в admin.html + loadSecurityLog, расширены ACTION_LABELS

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

backend/src/routes/admin.js

@@ -36,6 +36,10 @@ router.delete('/audit-log',           ctrl.clearAuditLog);
 router.get('/error-log',              ctrl.getErrorLog);
 router.delete('/error-log',           ctrl.clearErrorLog);
 
+/* Security / auth event log */
+router.get('/security-log',           ctrl.getSecurityLog);
+router.delete('/security-log',        ctrl.clearSecurityLog);
+
 /* System health */
 router.get('/health',                 ctrl.getHealth);
 router.get('/metrics',                ctrl.getMetrics);