вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

internal/adapter/repo/pocketbase/schema_test.go

@@ -74,6 +74,35 @@ func TestRecordContentIsClosedEverywhere(t *testing.T) {
 
 // Прежняя коллекция задач уходит вместе с моделью: данных под ней не было, а
 // пустая копия висела бы в панели вторым домом для понятия, которого больше нет.
+// Поверхность коллекции пользователей закрыта наглухо — все пять правил.
+//
+// Проверка стоит отдельно от соседней намеренно: та сторожит коллекции, которые
+// заводит наш шаг схемы, а эту заводит системный шаг библиотеки, и её умолчания
+// открывают владельцу записи чтение, правку и удаление собственной строки. Пока
+// узнавание жило под корнем приложения, до этой поверхности браузер не
+// дотягивался вовсе; с узнаванием по заголовку она достижима, а ключ учётной
+// записи лежит здесь обычной колонкой — правка своей записи и есть захват чужого
+// имени.
+func TestUsersCollectionSurfaceIsClosed(t *testing.T) {
+	app := newTestStorage(t)
+
+	users, err := app.FindCollectionByNameOrId(migrations.UsersCollection)
+	require.NoError(t, err)
+
+	assert.Nil(t, users.ListRule, "перечисление учётных записей закрыто")
+	assert.Nil(t, users.ViewRule, "чтение учётной записи закрыто")
+	assert.Nil(t, users.CreateRule, "заведение учётной записи снаружи закрыто")
+	assert.Nil(t, users.UpdateRule, "правка учётной записи снаружи закрыта")
+	assert.Nil(t, users.DeleteRule, "удаление учётной записи снаружи закрыто")
+
+	// Собственные способы войти выключены там же: без этого узнавание по
+	// заголовку обходится двумя запросами — завести себе запись и войти паролем.
+	assert.False(t, users.PasswordAuth.Enabled, "вход по паролю выключен")
+	assert.False(t, users.OTP.Enabled, "вход по одноразовому коду выключен")
+	assert.False(t, users.OAuth2.Enabled, "обмен кода у внешнего провайдера выключен")
+	assert.Empty(t, users.OAuth2.Providers, "настроенных провайдеров не осталось")
+}
+
 func TestFormerJobsCollectionIsGone(t *testing.T) {
 	app := newTestStorage(t)