Задача N (сервер + шлюз MAX + Android):

- PHP: source_gateway.phone в server_config.json (атомарная запись), действие set_phone в POST /server/gateway/auth (E.164 10-15 цифр, ответ и журнал - только маска), phone в request.json при qr_start, phone_masked в GET /server/config (всегда при наличии номера, даже при absent);

- Python: mask_phone(), phone в FilePasswordProvider (в state.json только phone_masked), PyMaxTransport(phone=...)+set_phone, чтение phone в auth_qr_start, request.json с сырым номером удаляется сразу после записи response.json;

- Android: фаза ввода номера в диалоге авторизации (Сохранить -> QR), подсказка 'пароль 2FA для аккаунта ...', строка 'Телефон: ...' в секции шлюза, gatewayAuthSetPhone по всей цепочке колбэков;

- тесты: PHP 47, Python 30, Kotlin-сериализация расширена; доки: API_SPEC 3.12/3.13, TESTING A0/V, SECRETS, gateway/README.