docs: решено перевести хранилище и файлы записей на PocketBase

- разведка pocketbase-admin-fit ответила замером панели версии 0.39.10:
  записка в docs/research/pocketbase.md, решение — в ADR
- панель показывает файлы и пользователей только своих, поэтому файлы
  переезжают в её раскладку, а вход идёт через её провайдера OIDC
- периметр расширился панелью на /_/ и паролем суперпользователя;
  закрывает её Authelia на прокси, задачи в беклоге у этого нет

tasks/items/pocketbase-storage.md

@@ -1,18 +1,21 @@
-# 🧹 Перевести хранилище на встроенный PocketBase
+# 🧹 Перевести хранилище и файлы записей на встроенный PocketBase
 
 - **Тип:** chore
 - **Категория:** Очередь
-- **Зачем:** Из трёх доводов за перевод остался один: учётные записи ушли к Authelia, страницу статистики рисует само приложение, а панель администратора не проверена.
+- **Зачем:** Записи, метаданные и файлы лежат порознь, и владелец не видит их ничем: панель PocketBase покажет и то и другое, только если они переедут к ней.
 
 PocketBase встраивается библиотекой в тот же бинарник и приносит хранилище,
-учётные записи и панель администратора разом. Наблюдаемое поведение сервиса
-после перевода не меняется: те же два входа, тот же конвейер, тот же текст на
-выходе.
+учётные записи и панель администратора разом. Конвейер и оба входа работают
+по-прежнему, а снаружи прибавляется панель по адресу `/_/`.
 
-Из трёх доводов 2026-08-11 осталось полтора: учётные записи заводит Authelia по
-OIDC, страницу статистики рисует само приложение. Довод про панель
-администратора проверяет разведка `pocketbase-admin-fit`, и её ответ решает,
-берётся эта задача или уходит в `REJECTED.md`.
+Разведка `pocketbase-admin-fit` довод проверила, и 2026-08-11 принято решение
+[перевести хранилище вместе с файлами](../../docs/adr/ADR-2026-08-11-pocketbase-storage-with-admin-panel.md):
+панель показывает файлы и пользователей только тех, что лежат у неё, а половина
+перевода довода не окупает. Замер — [docs/research/pocketbase.md](../../docs/research/pocketbase.md).
+
+**Файлы переезжают в раскладку PocketBase**, а плоского каталога `data/files` с
+именами-UUID не остаётся. Это необратимо, и момент перехода назначает человек.
+Вход в этой задаче не трогаем: его переводит `oidc-login`.
 
 Данные не переносим — база заводится с чистого листа, и это решение принято
 сознательно.
@@ -24,10 +27,20 @@ OIDC, страницу статистики рисует само приложе
 - `internal/adapter/repo/sqlite` целиком, включая захват задачи через
   `FindAndAcquire`;
 - `internal/contract`, интерфейсы `FileRepository` и `TranscriptJobRepository`;
-- ключ конфигурации `[database] path` и раскладка каталога `data/`;
+- ключ конфигурации `[database] path`, ключ `[storage] path` и раскладка
+  каталога `data/`;
+- **формат файла на диске:** запись переезжает в поле коллекции, путь становится
+  `pb_data/storage/<коллекция>/<запись>/<имя>_<10 случайных символов>` рядом с
+  файлом атрибутов. Имя, данное отправителем, впервые попадает в путь целиком;
+- отдача файла: вместо чтения с диска — ссылка `/api/files/...`, и решение,
+  помечать ли поле защищённым;
 - сборка образа: PocketBase тянет свой набор зависимостей, а `mattn/go-sqlite3`
-  с его требованием CGO может уйти;
-- `docs/database.md` — схема, представление данных и таблица настроек.
+  с его требованием CGO уходит — библиотека ходит в SQLite через
+  `modernc.org/sqlite`;
+- пароль суперпользователя панели: где заводится и как попадает на сервер;
+- `docs/database.md` — схема, представление данных и таблица настроек;
+- `CLAUDE.md` — строка стека про CGO и раздел про запреты с путями;
+- `docs/security.md` — раздел «Из чего строятся пути и ключи».
 
 ## Критерии приёмки
 
@@ -39,6 +52,9 @@ OIDC, страницу статистики рисует само приложе
   получает запись.
 - Задача, брошенная на середине, достаётся снова по истечении срока захвата.
   Оракул — тест с проставленным задним числом `acquire_time`.
+- Принятая запись видна в панели строкой и скачивается из неё файлом. Оракул —
+  прогон записи через `POST /api/audio` на пустом каталоге, затем запрос
+  `/api/files/...` за тем же файлом: длина совпадает с загруженной.
 - `docs/database.md` описывает новую схему, а старые упоминания goose и goqu из
   документов канона убраны. Оракул — `task gate`, шаг `docs.py check`.
 
@@ -46,4 +62,5 @@ OIDC, страницу статистики рисует само приложе
 
 Данные прежней базы не переносим и не пытаемся сохранить; выкладку не запускаем;
 смена формата хранения на сервере необратима, и момент перехода назначает
-человек.
+человек. Вход не трогаем — он на `oidc-login`. Панель наружу закрывает Authelia
+на обратном прокси: это работа выкладки, а не приложения.