feat(access): демо-QR — многоразовое приглашение для показа

- invites.max_uses/uses: обычное приглашение — 1 вход, демо-QR — до DEMO_INVITE_MAX_USES (50),
  живёт DEMO_INVITE_TTL_HOURS (3 ч); захват атомарный, UPDATE … WHERE uses < max_uses
- users.guest: вошедшие по демо-QR; «🧹 Отключить гостей демо» отзывает всех и гасит демо-QR
- «👥 Участники»: кнопка «🎤 Демо-QR», гости в списке — 🎟
- миграция 0003 (ADD COLUMN без batch — SQLite не пересоздаёт users); проверена на Postgres
- SPEC A-3a, ADR-017, DEMO.md, .env.example

Refs #55

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/DEMO.md

@@ -40,6 +40,9 @@
 | 15 | 11:30 | любой | «🚨 Алерты» → «📋 Список» | активные сверху, история, карточка алерта | сц. 10, AL-6 |
 | 16 | 12:00 | А | «👥 Участники» → Б → «Отозвать» | Б нажимает любую кнопку — тишина | A-7 |
 
+**Зал пробует сам (по желанию, в конце):** А → «👥 Участники» → «🎤 Демо-QR» → QR на экран; до 50 человек входят
+гостями 🎟 и пробуют разделы. После показа — «🧹 Отключить гостей демо»: все гости отключены, QR погашен.
+
 Что сказать по ходу (по одной фразе на шаг):
 - **2–4:** токен 128 бит, одноразовый, 24 ч, в БД только хэш; проверка доступа — middleware на каждом апдейте.
 - **7:** CI — Gitea Actions репозитория загрузок; бот находит прогон по sha и разворачивает только после зелёного CI.