вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

Dockerfile

@@ -46,8 +46,8 @@ COPY . .
 COPY --from=front-build /web/embed/dist ./web/embed/dist
 
 # Build the application
-# Собирается одна точка входа из cmd/, а не весь пакет: соседний cmd/oidcstub —
-# подставной провайдер для локального запуска, и в образе ему делать нечего.
+# Собирается одна точка входа из cmd/, а не весь пакет: соседний cmd/devtools —
+# оснастка разработчика (подставной прокси), и в образе ей делать нечего.
 RUN CGO_ENABLED=0 go build -o transcriber ./cmd/transcriber
 
 # ----------------
@@ -91,7 +91,12 @@ COPY docker/entrypoint.sh /usr/bin/entrypoint
 RUN chmod 755 /usr/bin/entrypoint
 
 # Set user
-USER transcriber
+#
+# Числом, а не именем: имя разрешает в идентификатор сам образ, и хост, которому
+# нужно понять владельца файлов в смонтированном каталоге, разрешить его не
+# может. Числа те же, что заданы выше при заведении пользователя (`-u 1000`,
+# `-g 1000`), поэтому владелец файлов не меняется — меняется только запись.
+USER 1000:1000
 
 EXPOSE 8080