fix: harden auth and investment synchronization

Resolve A01-A10 and C01-C07 from the backend audit.
Preserve auth failures, forced candle reconciliation and forecast freshness.
Validate MOEX responses and nested HTTP errors; remove unused legacy paths.

Verified: 209 unit tests, 262 SQLite e2e tests on Linux, OpenAPI and durability.
Record the remaining macOS native SQLite abort in the audit.

.ai/architecture.md

@@ -160,8 +160,10 @@ HTTP/e2e naming и расположение — в [Testing](conventions/testing
 
 `*.module.ts` задаёт DI boundary; `*.api.ts` перечисляет используемые другими
 модулями providers, функции и типы. Внешний production import идёт через этот
-API или файл Nest module. Чистый `integrations/tbank/decimal.ts` — отдельный
-публичный вход для protobuf conversion: импорт арифметики не загружает DI/Prisma.
+API или файл Nest module. Чистые `integrations/tbank/decimal.ts` и
+`modules/investments/operations/domain/operations-sync-plan.ts` — отдельные
+публичные входы для protobuf conversion и interval rules: импорт расчётов
+не загружает DI/Prisma.
 Внутри модуля используй прямые локальные импорты.
 Tests могут импортировать внутренний owner для проверки поведения и mocks.
 Новый export требует текущего потребителя; controller и persistence остаются

.ai/conventions/error-handling.md

@@ -8,8 +8,8 @@ application/domain outcome → application mapping → HttpExceptionFilter
 ```
 
 Сохраняй принятый профиль RFC 9457: `status`, стабильный публичный `code`,
-для validation — `errors: [{ pointer, detail }]`. Точный контракт и известное
-расхождение validation описаны в [HTTP API](http-api.md#источник-контракта).
+для validation — `errors: [{ pointer, detail }]`. Точный контракт validation
+описан в [HTTP API](http-api.md#источник-контракта).
 Не добавляй `type/title/instance` как обязательные поля без contract change.
 
 Чистый domain не импортирует Nest HTTP exceptions. Существующий application

.ai/conventions/http-api.md

@@ -83,6 +83,6 @@ artifact отдельно; backend не читает их репозитории
 HTTP prefix — `/api/v1`; Swagger доступен согласно `src/config/swagger.config.ts`.
 Общий error response — `application/problem+json` со `status` и публичным `code`.
 Validation требует `400 / VALIDATION_ERROR` и `errors: [{ pointer, detail }]`.
-Известное ограничение: ValidationPipe сейчас формирует строковые сообщения,
-а filter ожидает структурированные field errors; schema parity не доказывает
-правильность `errors`. Изменение требует проверки реального HTTP pipeline.
+ValidationPipe сохраняет структурированные field errors без `target/value`,
+а filter формирует JSON pointers, включая вложенные поля. Schema parity не
+доказывает правильность `errors`; изменения проверяются через реальный HTTP pipeline.