feat: account merge flow — merge redirect, error handling, server-complete linking

- Добавлен merge_required + merge_token redirect в OAuthCallback и LinkTelegramCallback
- Server-complete OAuth linking для Mini App (внешний браузер)
- getErrorDetail: единый экстрактор ошибок из axios response
- LinkTelegramCallback: типизированный catch с getErrorDetail
- Удалён мёртвый экспорт getAndClearOAuthState
- CSRF валидация для Telegram и OAuth linking flows
- Типы ServerCompleteResponse, LinkCallbackResponse

src/locales/fa.json

@@ -3055,6 +3055,7 @@
       "returnToTelegram": "برای ادامه به تلگرام بازگردید",
       "openTelegram": "باز کردن تلگرام",
       "continueInBrowser": "ادامه احراز هویت در مرورگر باز شده",
+      "pollingTimeout": "بررسی احراز هویت منقضی شد. اگر اتصال را تکمیل کرده‌اید صفحه را بارگذاری مجدد کنید.",
       "providers": {
         "telegram": "تلگرام",
         "email": "ایمیل",