feat(metadata): SQLite backend, storage reconciliation and local defaults

- pluggable per-domain Repository interfaces; PostgreSQL and SQLite impls
- SQLite on modernc.org/sqlite (WAL, busy_timeout, foreign_keys, immediate tx)
- separate migrations/sqlite and db.MigrateSQLite; store.NewPostgres/NewSQLite
- cmd/reconcile compares object storage with the journal (report, then --delete)
- storage.Backend.List and photos.Repository.AllStorageKeys
- DB_BACKEND/SQLITE_PATH and STORAGE_BACKEND/FS_ROOT selectable; local defaults
  (sqlite ./galo.db, fs ./data)
- Makefile reconcile/reconcile-delete; docs and .env.example updated

project.md

@@ -144,6 +144,10 @@ PG_PASSWORD=change_me
 PG_DATABASE=shared_album
 PG_SSLMODE=disable
 
+# Metadata backend
+DB_BACKEND=sqlite            # sqlite (default, embedded single instance) | postgres
+SQLITE_PATH=./galo.db        # path when DB_BACKEND=sqlite
+
 # S3 (Garage) - внутреннее хранилище, клиенту не раскрывается
 S3_ENDPOINT=http://s3.localnet:3900
 S3_REGION=garage
@@ -153,8 +157,8 @@ S3_BUCKET=albums
 S3_USE_PATH_STYLE=true
 
 # Storage backend
-STORAGE_BACKEND=s3          # s3 (default) | fs (local filesystem)
-FS_ROOT=/var/lib/galo/objects   # required when STORAGE_BACKEND=fs
+STORAGE_BACKEND=fs          # fs (default, local filesystem) | s3
+FS_ROOT=./data                  # root directory for object blobs (fs)
 URL_SECRET=change_me            # signs object URLs; falls back to JWT_SECRET
 OBJECT_URL_TTL=1h               # lifetime of signed object URLs
 
@@ -384,6 +388,12 @@ colors: {
 не выдаются; для ФС — чтение с диска. Переключение бэкенда не переносит существующие
 блобы — перенос выполняется вручную.
 
+**Реконсиляция хранилища.** Сборка мусора управляется журналом `objects` и не сканирует
+хранилище, поэтому осиротевшие блобы (нет строки в журнале) не удаляются автоматически.
+Ручная команда `cmd/reconcile` сверяет хранилище с журналом: по умолчанию только отчёт,
+`--delete` удаляет сироты старше `--min-age` (по умолчанию 1h) в пределах префикса
+`objects/`; пропавшие ключи только сообщаются.
+
 ## 11. API-эндпоинты
 
 ### Auth