GatedAdminController

El seam compartido del gate de Milpa Admin: passkey session → `milpa.admin` → handler. Cada controller del área (shell GET, settings POST, …) construye su propio `$tip` PSR-15 y llama a {@see self::runGated()}; el middleware produce 401/403 tipado y este seam lo proyecta a `HttpResponse` (redirect a login / HTML "sin acceso"), preservando `Content-Type`, cualquier `Set-Cookie` que el handler emita, y — desde la Tarea 7 — el header `Location` de un 302 (el PRG del POST de settings tras un dispatch válido).