feat: implement shared-album multi-user photo album

Backend (Go/Gin/pgx): env config, pgx pool with retries, Garage S3 client
(path-style, region garage), embedded golang-migrate migrations, JWT auth with
refresh rotation, albums CRUD, members/roles/invites with no-escalation matrix,
photo upload + async imaging/goexif WebP variants, cursor pagination, presigned
URLs, likes/comments, SSE hub (album + personal), notifications, share links.

Frontend (SvelteKit 2 + Svelte 5 + Tailwind v4): API wrapper with 401 refresh,
auth store, all screens, Uploader/PhotoGrid/Lightbox/Comments, SSE client with
reconnect + REST catch-up, three themes + system via data-theme.

Deploy without Docker: Makefile builds the frontend into backend/static and
embeds it (go:embed) into a single statically linked binary; systemd unit and
nginx SSE example included.

Use gen2brain/webp (-tags nodynamic) instead of cgo kolesa-team/go-webp to keep
CGO_ENABLED=0 static builds; design.md/proposal.md updated accordingly.

openspec/changes/shared-album/specs/share-links/spec.md

@@ -0,0 +1,46 @@
+# Spec Delta
+
+## Purpose
+
+View-only доступ к альбому по ссылке без авторизации, с несколькими ссылками, сроком действия и отзывом.
+
+## ADDED Requirements
+
+### Requirement: Создание ссылки для просмотра
+Владелец и админ SHALL иметь возможность создать ссылку для просмотра альбома с заданным сроком действия.
+
+#### Scenario: Создание ссылки
+- **WHEN** админ создаёт share-ссылку со сроком действия
+- **THEN** система создаёт токен и возвращает URL для просмотра
+
+### Requirement: Несколько ссылок
+Альбом SHALL поддерживать несколько независимых share-ссылок.
+
+#### Scenario: Отзыв одной ссылки не затрагивает другие
+- **WHEN** владелец отзывает одну ссылку
+- **THEN** остальные ссылки остаются действующими
+
+### Requirement: Просмотр альбома по ссылке
+Пользователь без авторизации SHALL иметь возможность просматривать альбом по действующему токену (сетка, лайтбокс, скачивание одиночного фото).
+
+#### Scenario: Просмотр по действующей ссылке
+- **WHEN** аноним открывает ссылку с действующим токеном
+- **THEN** система возвращает фото альбома со свежими presigned URL
+
+#### Scenario: Истёкшая или отозванная ссылка
+- **WHEN** аноним открывает ссылку с истёкшим или отозванным токеном
+- **THEN** система отклоняет доступ
+
+### Requirement: Ограничения по ссылке
+Доступ по ссылке SHALL быть только на просмотр: без комментариев, лайков, загрузки и управления участниками.
+
+#### Scenario: Аноним не может комментировать
+- **WHEN** аноним по ссылке пытается добавить комментарий
+- **THEN** система отклоняет запрос
+
+### Requirement: Отзыв ссылки
+Владелец и админ SHALL иметь возможность отозвать ссылку.
+
+#### Scenario: Отзыв ссылки
+- **WHEN** владелец отзывает share-ссылку
+- **THEN** система прекращает доступ по этому токену