feat(payments): Telegram Stars payment rail

Accept real money via Telegram Stars (XTR) — the third intake rail
alongside Robokassa (direct) and VK Votes.

Only the bot reaches Telegram, so the rail funnels through the reverse
mTLS bot-link:
- the gateway mints the invoice on a CreateInvoice command (the bot
  calls createInvoiceLink, XTR; the link goes to WebApp.openInvoice);
- the bot gates each pre_checkout_query via a ValidatePreCheckout unary
  (the order must exist, be still creditable and not already paid — the
  reusable-invoice double-pay guard; the decline reason is localised to
  the order account's language);
- a completed successful_payment is queued in a durable pure-Go SQLite
  outbox and forwarded via a ForwardPayment unary, credited once
  (idempotent on telegram_payment_charge_id, honours an expired order),
  re-driven on restart and every 30s.

The rail is wired by TELEGRAM_STARS_OUTBOX_DIR (default /data) but stays
inert until a chip pack carries an XTR price, so seeding a Stars price in
the admin is the go-live.

Tests: backend integration (order->forward->credit once, duplicate,
pre_checkout gate) + bot outbox unit (idempotent, restart re-drive) +
executor createInvoice. Docs: PAYMENTS(+ru) §9, ARCHITECTURE, the
platform/telegram README, PLAN.

docs/PAYMENTS_ru.md

@@ -220,12 +220,22 @@ provider_payment_id)`.
 Валидный колбэк исполняется **всегда**, даже на истёкшем заказе (`expired` ≠ отмена —
 деньги реальны, Фишки должны быть выданы). Пользователь видит только успешные покупки.
 
-**Outbox TG-бота.** `successful_payment` приходит только боту (Bot API, не Mini App), а
-хост бота слабый и может терять связь, поэтому бот — durable-звено. Store-and-forward на
-**SQLite** на диске бота: получил → сохранил → подтвердил апдейт Telegram → форвардит в
-платёжный домен (идемпотентно, дедуп по `telegram_payment_charge_id`) → ack → пометил
-`forwarded`. Ретраи с backoff; дореталивает недоставленное при рестарте. Доставка
-at-least-once + идемпотентный приём = начисление ровно один раз.
+**TG Stars.** До Telegram дотягивается только **бот**, поэтому весь рельс идёт через обратный
+mTLS **bot-link** (бот ↔ gateway; напрямую к бэкенду бот не ходит). Инвойс создаёт бот: на пути
+заказа gateway шлёт команду `CreateInvoice`, а бот возвращает `createInvoiceLink` (XTR) в Ack,
+который Mini App открывает через `WebApp.openInvoice`. До списания звёзд бот отвечает на
+`pre_checkout_query` через унарный вызов бот→gateway `ValidatePreCheckout` (за ним — приём): одобрить,
+только если заказ существует, ещё оплачиваем и **не оплачен ранее** — ссылка Stars-инвойса
+переиспользуема, так что этот гейт — единственное место, где повторная оплата отсекается **до**
+списания; текст отказа локализован в язык аккаунта заказа.
+
+**Outbox TG-бота.** `successful_payment` приходит только боту (Bot API, не Mini App), а хост бота
+слабый и может терять связь, поэтому бот — durable-звено. Store-and-forward на **SQLite** на диске
+бота (`internal/outbox`): сохранил при получении (идемпотентно по `telegram_payment_charge_id`) →
+форвардит по bot-link (унарный `ForwardPayment`; gateway проксирует в приём) → при durable-ответе
+пометил `forwarded`. Дореталивает недоставленное при рестарте и по периодическому тику. Доставка
+at-least-once + идемпотентный приём (дедуп по `telegram_payment_charge_id`) = начисление ровно один
+раз.
 
 **События.** Платёжный домен пишет `payment_events` (succeeded / failed / refunded);
 диспетчер рассылает по каналам — live gRPC-стрим, если пользователь в аппе, иначе