feat(web): браузерный OAuth в --serve (убрать CLI-стену онбординга)

[ArtVsMark]

[P2 / P0-product] · Part of #392 · аудит docs/audit-2026-07-14.md (PR2)

Доказательство

web-current.md:189-194 — браузерный OAuth-редирект «не реализован и не планируется» для web; grader-workflow.md:403 — downloader требует secrets.json, создаваемого только через терминал. Новичок «боится консоли» → чтобы пользоваться web-оболочкой, обязан сперва пройти консоль (самая дорогая точка отвала до первой ценности).

Что сделать

Loopback-redirect OAuth в --serve (переиспользовать существующий браузерный поток stepik_client/oauth_flow, обёрнутый в web); минимум — мастер первого запуска с кнопкой «Проверить токен».

Acceptance criteria

• Из web можно авторизоваться в Stepik без ручного создания secrets.json.

Links

Область #240/#241 (OAuth).