feat(redis): кэш, rate limit, баны IP и pub/sub через Redis

Добавлен сервис redis:7-alpine (AOF, requirepass, maxmemory + allkeys-lru,
healthcheck, том redis-data, порт только на 127.0.0.1) и абстракция redis.js
по образцу storage.js.

Переведено на Redis:
- кэш ответов API и настроек (было Map в памяти), инвалидация по префиксу
  через SCAN + DEL;
- rate limit для api/entry/file — общие счётчики вместо MemoryStore;
- баны IP и счётчики неудачных входа — с TTL, вместо опроса БД каждую минуту;
- кэш сессий (30 с) с invalidateSessions() на каждой мутации users/sessions/
  user_branches, иначе деактивированный пользователь сохранил бы доступ;
- pub/sub для SSE-событий и мгновенного пробуждения фоновых воркеров вместо
  ожидания цикла опроса БД.

Отказоустойчивость: при недоступном Redis все операции уходят в in-memory
backend с той же семантикой, приложение стартует и работает без Redis и
возвращается в Redis автоматически. Первое подключение ограничено по времени
(REDIS_CONNECT_TIMEOUT_MS, 5 с) — node-redis не отклоняет connect() при
недоступном сервере, а повторяет попытки бесконечно.

Добавлены тесты: redis.selftest.js (в т.ч. поведение при недоступном
сервере) и api.smoketest.js (сквозная проверка API, включая инвалидацию
кэша и мгновенную смерть сессии после logout).

.env.example

@@ -4,6 +4,14 @@ DB_PASSWORD=случайная-длинная-строка
 # Лимит размера загружаемого на восстановление бэкапа, МБ (по умолчанию 500)
 BACKUP_UPLOAD_LIMIT_MB=500
 
+# === Redis (кэш, rate limit, баны IP, pub/sub) ===
+# Пароль Redis. Обязателен, если Redis включён в docker-compose.
+REDIS_PASSWORD=замените-на-длинный-секрет
+# Префикс ключей — позволяет держать несколько инстансов в одном Redis.
+REDIS_PREFIX=whatido
+# Лимит памяти Redis. При превышении вытесняются ключи с наименьшим TTL (allkeys-lru).
+REDIS_MAXMEMORY=256mb
+
 # Hugging Face token (нужен для закрытых/приватных репозиториев моделей)
 HUGGINGFACE_TOKEN=
 # Имя GGUF-файла модели для text-corrector (скачивается с Hugging Face, если отсутствует)