вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

internal/controller/http/webapp.go

@@ -19,10 +19,16 @@ import (
 //
 // `/api` и `/_` принадлежат хранилищу: первый — его наборам адресов, второй —
 // панели владельца. Поменять их нельзя, это литералы библиотеки.
+//
+// Корня `/auth` здесь больше нет: собственного входа у сервиса не осталось, и
+// адресов под этим корнем не существует. Прежние адреса входа поэтому отвечают
+// тем же, чем отвечает всякий путь вне корней, — разметкой приложения.
+// Резервировать имя за отказом сервис не берётся: имя, за которым ничего не
+// стоит, ничем не отличается от любого другого свободного, а второй перечень
+// «когда-то занятых корней» разошёлся бы с первым молча.
 const (
 	StorageRoot = "/api"
 	PanelRoot   = "/_"
-	AuthRoot    = "/auth"
 
 	HealthPath  = "/health"
 	MetricsPath = "/metrics"
@@ -74,16 +80,11 @@ func (m Mount) Covers(requestPath string) bool {
 }
 
 // ServiceMounts перечисляет адресное пространство сервиса целиком.
-func ServiceMounts(
-	appHandler *AppHandler,
-	authHandler *AuthHandler,
-	metricsHandler http.Handler,
-) []Mount {
+func ServiceMounts(appHandler *AppHandler, metricsHandler http.Handler) []Mount {
 	return []Mount{
 		{Path: StorageRoot},
 		{Path: PanelRoot},
 		{Path: AppRoot, Bind: appHandler.Register},
-		{Path: AuthRoot, Bind: authHandler.Register},
 		{Path: HealthPath, Exact: true, Bind: bindHealth},
 		{Path: MetricsPath, Exact: true, Bind: bindMetrics(metricsHandler)},
 	}