вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

internal/service/pipeline_test.go

@@ -716,6 +716,9 @@ func newOwner(t *testing.T, app core.App) string {
 	require.NoError(t, err)
 
 	record := core.NewRecord(users)
+	// Логин у провайдера — ключ учётной записи, и он уникален: две записи с
+	// пустым ключом схема не примет.
+	record.Set(migrations.ProviderLoginField, uuid.NewString())
 	record.Set("email", uuid.NewString()+"@example.test")
 	record.Set("verified", true)
 	record.Set("password", uuid.NewString())