Одноразовый вход: magic link, срок и безопасный redirect

Запрос

POST /users/1024/magic-link
{"redirect_path": "/panel/", "ttl_minutes": 30}

{"ok": true, "magic_link": {"url": "https://serpjet.ru/auth/magic/…",
 "expires_at": "…", "ttl_seconds": 1800}}

Правила

• ttl_minutes — от 1 до 30; больше 30 урезается до 30. По умолчанию — 30.
• redirect_path — локальный путь SerpJet, начинающийся с одного /: без домена, //, :// и обратных слэшей. Иначе — 400 validation_error. Для новой панели используйте /panel/ или путь к проекту.
• Ссылка одноразовая: после первого входа перестаёт работать.

Безопасность

• Создавайте ссылку в момент, когда пользователь нажал «Открыть SerpJet», и сразу перенаправляйте его.
• Не логируйте ссылку в открытом виде и не храните её.
• Не передавайте ссылку во frontend без необходимости и не отправляйте её по почте.