feat(access): демо-QR — многоразовое приглашение для показа

- invites.max_uses/uses: обычное приглашение — 1 вход, демо-QR — до DEMO_INVITE_MAX_USES (50),
  живёт DEMO_INVITE_TTL_HOURS (3 ч); захват атомарный, UPDATE … WHERE uses < max_uses
- users.guest: вошедшие по демо-QR; «🧹 Отключить гостей демо» отзывает всех и гасит демо-QR
- «👥 Участники»: кнопка «🎤 Демо-QR», гости в списке — 🎟
- миграция 0003 (ADD COLUMN без batch — SQLite не пересоздаёт users); проверена на Postgres
- SPEC A-3a, ADR-017, DEMO.md, .env.example

Refs #55

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/DECISIONS.md

@@ -155,3 +155,17 @@
 прежнее (деплой сразу). Деплой ждёт CI: на общих раннерах это от ~30 с до минут при очереди, таймаут — 30 мин.
 Возврат к SourceCraft — вторая реализация `CIProvider` поверх готового `SourceCraftClient` (ADR-014), код наблюдателя
 не меняется.
+
+## ADR-017: Демо-QR — многоразовое приглашение с лимитом для показа
+**Дата:** 2026-10-22 · **Статус:** принято (дополняет ADR-011)
+
+**Контекст:** на защите зал должен попробовать бота по одному QR с экрана; одноразовое приглашение (ADR-011) пускает
+только первого (#55).
+**Решение:** у приглашения — лимит входов `max_uses` (обычное — 1) и счётчик `uses`; захват атомарный
+(`UPDATE … WHERE uses < max_uses`). Админ выпускает демо-QR отдельной кнопкой: `DEMO_INVITE_MAX_USES` входов (50),
+`DEMO_INVITE_TTL_HOURS` (3 ч). Вошедшие помечаются `users.guest`; «Отключить гостей демо» отзывает их всех и гасит
+действующие демо-QR, чтобы фото QR больше никого не пускало.
+**Альтернативы:** выпустить 50 одноразовых QR — неудобно показывать; роль «гость» без коммита — больше работы, а
+код гостей и так исполняется только в песочнице `tgit-runner` (ADR-005/006).
+**Последствия:** риск ADR-011 «одна утечка открывает доступ всем» ограничен лимитом, коротким сроком и массовым
+отзывом. Гости получают алерты и дневной лимит агента наравне с участниками.

docs/DEMO.md

@@ -40,6 +40,9 @@
 | 15 | 11:30 | любой | «🚨 Алерты» → «📋 Список» | активные сверху, история, карточка алерта | сц. 10, AL-6 |
 | 16 | 12:00 | А | «👥 Участники» → Б → «Отозвать» | Б нажимает любую кнопку — тишина | A-7 |
 
+**Зал пробует сам (по желанию, в конце):** А → «👥 Участники» → «🎤 Демо-QR» → QR на экран; до 50 человек входят
+гостями 🎟 и пробуют разделы. После показа — «🧹 Отключить гостей демо»: все гости отключены, QR погашен.
+
 Что сказать по ходу (по одной фразе на шаг):
 - **2–4:** токен 128 бит, одноразовый, 24 ч, в БД только хэш; проверка доступа — middleware на каждом апдейте.
 - **7:** CI — Gitea Actions репозитория загрузок; бот находит прогон по sha и разворачивает только после зелёного CI.

docs/SPEC.md

@@ -57,6 +57,7 @@
 | A-3 | Приглашение **одноразовое**, живёт 24 ч (настраивается); в БД хранится только хэш токена |
 | A-4 | Переход по QR → `/start <token>` → проверка → пользователь становится участником, видит главное меню. Повторное использование, истёкший или неизвестный токен → отказ |
 | A-5 | Без приглашения ни одна функция недоступна: проверка — в middleware на **каждом** апдейте (сообщения и нажатия кнопок) |
+| A-3a | Исключение для показа (#55): **демо-QR** — одно приглашение на ≤ 50 входов, живёт 3 ч (настраивается). Вошедшие по нему — гости 🎟 (права участника); «Отключить гостей демо» отзывает всех разом и гасит демо-QR |
 | A-6 | Защита от перебора: не больше 5 неудачных `/start <token>` в час с одного Telegram ID, дальше — игнор |
 | A-7 | Администратор видит участников (имя, кто пригласил, когда, последняя активность) и может **отозвать** доступ — с этого момента апдейты пользователя игнорируются, его черновик удаляется |
 | A-8 | Первые администраторы задаются в `.env` (`ADMIN_IDS`); остальные — только через приглашение |