feat(ledger): импорт отчётов в леджер — приём, дедупликация, pending_instrument

Поток: upload -> raw_report_file (sha256 UNIQUE) -> parse -> raw_report_line,
событий в леджере ещё нет -> preview -> POST /imports/{id}/commit ->
ledger/ingest.py резолвит инструмент, считает dedupe_key, пишет event
confirmed | shadow (plan §1.6 B) — сравнивая account.primary_event_source
с источником отчёта, а не гадая. Нерезолвленный инструмент ждёт в
pending_instrument, никогда не угадывается; POST /instruments/pending/{id}/resolve
привязывает и пересобирает лоты.

ledger/dedupe.py — shadow-матчинг случая B двумя проходами (точная дата, затем
±1 рабочий день, жадно 1:1, |price| ±0,5 %). Шаги shadow_dedupe и
report_reconcile зарегистрированы перед quality: оба говорят через FINDINGS.

/instruments/pending регистрируется в app.py ДО routers/instruments.py:
FastAPI сопоставляет маршруты по порядку, и /instruments/{id} с типом int
отвечает 422 на нечисловой сегмент, а не проваливается дальше.

Контракт — docs/ai/import-contract.md, общий для бэкенда и Flutter.

backend/src/fintracker/api/app.py

@@ -22,6 +22,7 @@ from fintracker.api.routers import (
     categories,
     events,
     health,
+    imports,
     instruments,
     links,
     metrics,
@@ -86,6 +87,11 @@ def create_app() -> FastAPI:
     app.include_router(cashflow.router, prefix=API_PREFIX)
     app.include_router(analytics.router, prefix=API_PREFIX)
     app.include_router(events.router, prefix=API_PREFIX)
+    app.include_router(imports.router, prefix=API_PREFIX)
+    # Before `instruments`: FastAPI matches in registration order, and `/instruments/{id}`
+    # typed `int` does not fall through on a non-numeric segment — it answers 422. So
+    # `/instruments/pending` has to be declared first or it becomes unreachable.
+    app.include_router(imports.pending_router, prefix=API_PREFIX)
     app.include_router(instruments.router, prefix=API_PREFIX)
     app.include_router(links.router, prefix=API_PREFIX)
     app.include_router(metrics.router, prefix=API_PREFIX)