локальный вход задаётся конфигом: заголовки подставляет сам сервис

- в конфиг добавлены секция [auth.test_headers] и предохранитель [server] debug:
  заголовки входа подставляет слой транспорта, второго процесса локальный запуск
  больше не требует
- подкоманда devtools proxy удалена целиком: всё, ради чего её поднимали, делает
  сам сервис
- адресного предохранителя нет по решению владельца — цена названа в ADR и в
  модели угроз

internal/controller/http/server.go

@@ -10,28 +10,39 @@ import (
 
 // AppChain одевает адреса приложения в их слои.
 //
-// Порядок один и он несущий: ограничитель частоты → узнавание → требование
-// учётной записи → обработчик.
+// Порядок один и он несущий: ограничитель частоты → подстановка заголовков →
+// узнавание → требование учётной записи → обработчик.
 //
 //   - ограничитель стоит первым, потому что узнавание читает базу, а на новом
 //     имени ещё и пишет в неё: поставленное раньше, оно работало бы на запросах,
 //     которые ограничитель уже отверг, и поток отвергнутых обращений заводил бы
 //     учётные записи, которые потом не убираются ничем;
+//   - подстановка стоит перед узнаванием и после ограничителя: она правит
+//     заголовки, а ограничитель считает по адресу спрашивающего, и заголовки
+//     входа его не касаются;
 //   - требование учётной записи стоит перед чтением тела: запись, за которую не
 //     заплатит узнанный отправитель, не должна попасть даже в память, а позже
 //     пришлось бы убирать уже уложенный файл — чего сервис не умеет вовсе.
 //
-// Область действия всех трёх — корень приложения, и берётся она из перечня
+// Подстановка — звено необязательное: пустой перечень значит, что отладочный
+// запуск выключен, и слой отдаёт цепочку нетронутой — следующее звено как есть.
+// Цепочка при этом ровно та же, что была до появления предохранителя, — лишнего
+// звена в бою нет. Судит эту пустоту сам слой, и предикат «подставляем ли» имеет
+// поэтому одно представление — непустоту перечня; здесь не решается ничего.
+//
+// Область действия всех — корень приложения, и берётся она из перечня
 // адресного пространства: цепочка вешается на корень целиком, вторым списком
 // адресов её не описывают.
 func AppChain(
 	routes http.Handler,
 	users contract.UserRepository,
 	trusted []netip.Prefix,
+	substitution map[string]string,
 	logger *slog.Logger,
 ) http.Handler {
 	handler := RequireUser()(routes)
 	handler = TrustedHeaderIdentity(users, trusted, logger)(handler)
+	handler = SubstituteIdentityHeaders(substitution, trusted, logger)(handler)
 	handler = RateLimit(trusted)(handler)
 	return handler
 }