вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

openspec/specs/intake/spec.md

@@ -14,7 +14,7 @@
 
 Сервис SHALL принимать запись запросом `POST /app/audiorecords` с телом
 `multipart/form-data` и полем `audio` **только от узнанного отправителя**.
-Запрос без сессии MUST получать код `401`, и по нему MUST не заводиться ни файл,
+Запрос от неузнанного MUST получать код `401`, и по нему MUST не заводиться ни файл,
 ни аудиозапись. Принятая запись от узнанного отправителя MUST быть сохранена и
 получить заведённую под неё аудиозапись на рубеже `uploaded`.
 
@@ -50,7 +50,7 @@
 самый частый отказ у человека на мобильной сети — прежде не был нормирован
 ничем и уходил телом ограничителя тела, мимо единой формы.
 
-Отказ по отсутствию сессии наступает **раньше** чтения тела: запись, за которую
+Отказ неузнанному наступает **раньше** чтения тела: запись, за которую
 не заплатит узнанный отправитель, не должна попасть даже в память.
 
 Приём не судит о годности записи сам: расширение он берёт из имени файла, а
@@ -59,20 +59,20 @@
 Куда именно ложится принятая запись, приёму не принадлежит: раскладку выбирает
 хранилище, и нормирует её capability `storage`.
 
-Владельцем принятой записи приём SHALL назначать предъявителя сессии. Обязательность
+Владельцем принятой записи приём SHALL назначать узнанного предъявителя. Обязательность
 владельца при этом MUST держаться и схемой хранилища: колонка владельца пустого
 значения не принимает вовсе, и норму эту держит capability `storage`. Проверка в
 приёме от этого не лишняя — она отвечает отправителю понятным отказом до того, как
 запись попадёт в память, а схема отвечала бы отказом сохранения после укладки
 файла.
 
-Предъявитель, чья сессия не даёт учётной записи пользователя, MUST получать
-отказ `403` и MUST получать его **до чтения тела** — там же, где стоит отказ по
-отсутствию сессии. Сессия владельца панели — именно такой случай: узнан он всё
-же узнан, а записи в коллекции пользователей у него нет, и владельцем записи он
-стать не может.
+Предъявитель, узнанный без учётной записи пользователя, MUST получать
+отказ `403` и MUST получать его **до чтения тела** — там же, где стоит отказ
+неузнанному. Владелец панели, предъявивший собственный токен хранилища, — именно
+такой случай: узнан он всё же узнан, а записи в коллекции пользователей у него
+нет, и владельцем записи он стать не может.
 
-Код здесь другой, чем у запроса без сессии, и это не оплошность: `401` значит
+Код здесь другой, чем у запроса от неузнанного, и это не оплошность: `401` значит
 «предъяви себя», а предъявитель себя предъявил. Утечки по разнице кодов нет —
 оба ответа говорят о самом спрашивающем, а не о том, какие записи заведены.
 
@@ -83,31 +83,31 @@
 #### Scenario: Запись принята
 
 - **GIVEN** источник метаданных читает запись и отдаёт её длительность
-- **AND** отправитель предъявил сессию
+- **AND** отправитель узнан
 - **WHEN** программа шлёт `POST /app/audiorecords` с полем `audio`
 - **THEN** ответ имеет код `201`, а в теле лежит список из одного элемента
 - **AND** элемент несёт непустой `id`, поле `state` со значением `uploaded` и
   место под признак повторного файла
 - **AND** содержимое записи целиком лежит в хранилище одним файлом
-- **AND** владельцем заведённой аудиозаписи стоит предъявитель сессии
+- **AND** владельцем заведённой аудиозаписи стоит узнанный предъявитель
 
-#### Scenario: Сессия не даёт учётной записи пользователя
+#### Scenario: Узнанный без учётной записи пользователя
 
-- **GIVEN** предъявлена сессия владельца панели
+- **GIVEN** предъявлен собственный токен владельца панели
 - **WHEN** он шлёт `POST /app/audiorecords` с полем `audio`
 - **THEN** ответ имеет код `403`
 - **AND** ни файла, ни аудиозаписи не заводится
 
-#### Scenario: Сессии нет
+#### Scenario: Пришедший не узнан
 
-- **WHEN** программа шлёт `POST /app/audiorecords` с полем `audio` без сессии
+- **WHEN** программа шлёт `POST /app/audiorecords` с полем `audio` неузнанной
 - **THEN** ответ имеет код `401`
 - **AND** ни файла, ни аудиозаписи не заводится
 - **AND** тело ответа не несёт данных записи
 
 #### Scenario: Поля с записью нет
 
-- **GIVEN** отправитель предъявил сессию
+- **GIVEN** отправитель узнан
 - **WHEN** программа шлёт `POST /app/audiorecords` без поля `audio`
 - **THEN** ответ имеет код `400` и сообщение об отсутствии записи
 - **AND** ни файла, ни аудиозаписи не заводится
@@ -115,7 +115,7 @@
 #### Scenario: Размеру записи приём не судья
 
 - **GIVEN** источник метаданных читает запись и отдаёт её длительность
-- **AND** отправитель предъявил сессию
+- **AND** отправитель узнан
 - **WHEN** программа шлёт запись нулевой длины
 - **THEN** ответ имеет код `201`: собственного порога по размеру у приёма нет