вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

internal/adapter/repo/pocketbase/migrations/migrations.go

@@ -51,6 +51,7 @@ func init() {
 	pbmigrations.Register(up202608140002, down202608140002, "202608140002_record_centric_model.go")
 	pbmigrations.Register(up202608140003, down202608140003, "202608140003_owner_required.go")
 	pbmigrations.Register(up202608150001, down202608150001, "202608150001_record_contract_columns.go")
+	pbmigrations.Register(up202608220001, down202608220001, "202608220001_trusted_header_login.go")
 }
 
 func ptr[T any](v T) *T { return &v }