Merge release/delivery (IAM single sign-on) into the triage work

Brings the four release/delivery commits (IAM SSO for the admin panel,
both apps and the API; IAM env in docker-compose) onto fix/issues-triage.

Conflicts:
- customer-auth.service.ts imports: both kept.
- both apps' api/client.ts: both kept (AccountingBalance/WageQuote, and
  iamAppUrl).
- all build output (admin-panel, user-app, user-app-v2 dist, and the api
  release bundle): rebuilt from the merged source instead of picking a
  side.

Fixed while verifying:
- The IAM change calls iam.browserBootstrapUrl after every login, but
  the identity-service stand-ins in three test files lacked it. 15 tests
  failed on release/delivery itself.
- SMS relay: SMS_RELAY_PLATFORM was read but never sent, so the gateway
  never got `platform` (documented body: phone, host, text, platform).
  relayConfig() now returns it ("default" → null) and the request carries
  it. sms.service.spec now passes.

All 249 API tests pass; the three front-ends type-check and build.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.env.example

@@ -73,6 +73,22 @@ IAM_TENANT_SLUG=
 # off | fallback (default, safest) | exclusive (local password no longer accepted)
 IAM_LOGIN_DELEGATION=fallback
 IAM_HTTP_TIMEOUT_MS=8000
+# صفحه callback اپ کاربر. باید در کلاینت IAM دقیقاً ثبت شود.
+IAM_REDIRECT_URI=
+# callbackهای اضافه (دولوپ و دامنه دیگر) با کاما. آدرس ناشناس جایگزین نمی‌شود.
+IAM_REDIRECT_URIS=
+# بعد از ورود محلی، مرورگر برای کوکی نشست مشترک به اینجا برمی‌گردد.
+IAM_BROWSER_RETURN_URL=
+# خروج سراسری فقط اگر این آدرس در post_logout کلاینت ثبت شده باشد برمی‌گردد.
+IAM_POST_LOGOUT_REDIRECT_URI=
+# مقصدهای مجاز خروج اپ کاربر، با کاما. باید عیناً در post_logout کلاینت باشند.
+IAM_ALLOWED_RETURN_URLS=
+# پنل ادمین. خالی یعنی بررسی بی‌صدای ورود در پنل انجام نمی‌شود.
+IAM_ADMIN_REDIRECT_URI=
+IAM_ADMIN_REDIRECT_URIS=
+IAM_ADMIN_BROWSER_RETURN_URL=
+IAM_ADMIN_POST_LOGOUT_REDIRECT_URI=
+IAM_ADMIN_ALLOWED_RETURN_URLS=
 
 # Revocable admin sessions (AdminSession table).
 #