вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

internal/controller/http/ownership_test.go

@@ -17,40 +17,30 @@ import (
 // Проверки разграничения записей по владельцу. Все идут через собранный роутер:
 // сужение живёт в хранилище, но судится по тому, что видит отправитель.
 
-// newSecondAccount заводит вторую учётную запись с собственной сессией.
-// Постоянный адрес почты первой занят, и повторное сохранение отвергается —
-// адрес здесь свой.
+// newSecondAccount заводит вторую учётную запись со своим логином. Постоянный
+// адрес почты первой занят, и повторное сохранение отвергается — адрес здесь
+// свой.
 func newSecondAccount(t *testing.T, app core.App) (*core.Record, string) {
 	t.Helper()
 
+	const login = "stranger"
+
 	users, err := app.FindCollectionByNameOrId("users")
 	require.NoError(t, err)
 
 	record := core.NewRecord(users)
+	record.Set(migrations.ProviderLoginField, login)
 	record.Set("email", "stranger@example.com")
 	record.Set("verified", true)
 	record.SetRandomPassword()
 	require.NoError(t, app.Save(record))
 
-	token, err := record.NewAuthToken()
-	require.NoError(t, err)
-
-	return record, token
+	return record, login
 }
 
-// withSessionHeader предъявляет сессию заголовком. Собственная поверхность
-// хранилища читается только так: слой, перекладывающий куку в заголовок, на неё
-// намеренно не наведён — часть её защищена ровно тем, что браузер заголовка сам
-// не шлёт.
-func withSessionHeader(req *http.Request, session string) *http.Request {
-	req.Header.Set("Authorization", session)
-	return req
-}
-
-// serveAs шлёт запрос от имени названной сессии, а не сессии окружения.
-func serveAs(env *testEnv, session string, w http.ResponseWriter, req *http.Request) {
-	req.AddCookie(&http.Cookie{Name: SessionCookieName, Value: session})
-	env.mux.ServeHTTP(w, req)
+// serveAs шлёт запрос от имени названного логина, а не логина окружения.
+func serveAs(env *testEnv, login string, w http.ResponseWriter, req *http.Request) {
+	env.mux.ServeHTTP(w, asUser(req, login))
 }
 
 // Чужая задача неотличима от несуществующей: тот же код и то же тело. Разница
@@ -139,8 +129,13 @@ func TestCreateTranscribeJob_SuperuserSessionRejected(t *testing.T) {
 	token, err := admin.NewAuthToken()
 	require.NoError(t, err)
 
+	// Владелец панели предъявляет **свой токен**, а не заголовок: заголовок ему
+	// никто не ставит, и узнавание по нему его учётной записи не касается.
+	req := createMultipartRequest(t, "sample.mp3", []byte("запись"))
+	req.Header.Set("Authorization", token)
+
 	w := httptest.NewRecorder()
-	serveAs(env, token, w, createMultipartRequest(t, "sample.mp3", []byte("запись")))
+	env.mux.ServeHTTP(w, req)
 
 	assert.Equal(t, http.StatusForbidden, w.Code, "узнан, но не запись коллекции пользователей")
 	assert.Equal(t, 0, countJobs(t, env), "задачи не заведено")
@@ -164,13 +159,15 @@ func TestFileDownload_NarrowedByOwner(t *testing.T) {
 
 	link := "/api/files/files/" + record.Id + "/" + record.GetString("file")
 
+	// Переход по ссылке идёт **без** заголовка: файл судится своим коротким
+	// токеном, а не узнаванием. Так же по ней пойдёт и браузер.
 	mine := httptest.NewRecorder()
-	env.mux.ServeHTTP(mine, withSessionHeader(
-		httptest.NewRequest("GET", link+"?token="+fileToken(t, env, env.session), http.NoBody), env.session))
+	env.mux.ServeHTTP(mine,
+		httptest.NewRequest("GET", link+"?token="+fileToken(t, env, env.login), http.NoBody))
 
 	foreign := httptest.NewRecorder()
-	env.mux.ServeHTTP(foreign, withSessionHeader(
-		httptest.NewRequest("GET", link+"?token="+fileToken(t, env, stranger), http.NoBody), stranger))
+	env.mux.ServeHTTP(foreign,
+		httptest.NewRequest("GET", link+"?token="+fileToken(t, env, stranger), http.NoBody))
 
 	require.Equal(t, http.StatusOK, mine.Code, "свой файл отдаётся")
 	assert.Equal(t, "запись", mine.Body.String(), "и отдаётся содержимым")
@@ -179,15 +176,19 @@ func TestFileDownload_NarrowedByOwner(t *testing.T) {
 	assert.NotContains(t, foreign.Body.String(), "запись", "содержимого в отказе нет")
 }
 
-// fileToken берёт у хранилища токен файла для названной сессии. Токен выдаётся
+// fileToken берёт у хранилища токен файла для названного логина. Токен выдаётся
 // на предъявителя: о файле хранилище при выдаче не спрашивает.
-func fileToken(t *testing.T, env *testEnv, session string) string {
+//
+// Адрес выдачи лежит в пространстве хранилища, а не приложения, и узнавание на
+// нём работает поимённо — иначе весь путь «узнавание → токен файла → ссылка»
+// обрывался бы на первом шаге, и файл записи стал бы недостижим для браузера.
+func fileToken(t *testing.T, env *testEnv, login string) string {
 	t.Helper()
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, withSessionHeader(
-		httptest.NewRequest("POST", "/api/files/token", http.NoBody), session))
-	require.Equal(t, http.StatusOK, w.Code, "токен файла выдаётся всякому вошедшему")
+	env.mux.ServeHTTP(w, asUser(
+		httptest.NewRequest("POST", "/api/files/token", http.NoBody), login))
+	require.Equal(t, http.StatusOK, w.Code, "токен файла выдаётся всякому узнанному")
 
 	var body struct {
 		Token string `json:"token"`