feat: account merge flow — merge redirect, error handling, server-complete linking

- Добавлен merge_required + merge_token redirect в OAuthCallback и LinkTelegramCallback
- Server-complete OAuth linking для Mini App (внешний браузер)
- getErrorDetail: единый экстрактор ошибок из axios response
- LinkTelegramCallback: типизированный catch с getErrorDetail
- Удалён мёртвый экспорт getAndClearOAuthState
- CSRF валидация для Telegram и OAuth linking flows
- Типы ServerCompleteResponse, LinkCallbackResponse

src/api/auth.ts

@@ -7,6 +7,7 @@ import type {
   MergeResponse,
   OAuthProvider,
   RegisterResponse,
+  ServerCompleteResponse,
   TokenResponse,
   User,
 } from '../types';
@@ -260,8 +261,8 @@ export const authApi = {
     code: string,
     state: string,
     deviceId?: string,
-  ): Promise<LinkCallbackResponse & { provider?: string }> => {
-    const response = await apiClient.post<LinkCallbackResponse & { provider?: string }>(
+  ): Promise<ServerCompleteResponse> => {
+    const response = await apiClient.post<ServerCompleteResponse>(
       '/cabinet/auth/account/link/server-complete',
       {
         code,