вход переехал на доверенный заголовок Authelia вместо собственного OIDC

- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
  адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
  корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
  шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
  унаследованный DL3066 — пользователь образа назван числом

openspec/specs/storage/spec.md

@@ -107,19 +107,21 @@ MUST завести свою схему и принимать записи св
 ссылки становится правом. Отданный файл MUST совпадать с принятым по длине.
 
 Одной пометки мало: защищённый файл судится **коротким токеном файла**, который
-узнанный отправитель берёт у хранилища, предъявив сессию, — и правилом просмотра
-коллекции. Правило MUST пускать только владельца файла: незаданное означает
-«только владелец панели», и тогда файла не получит и вошедший, а прежнее «всякий
-узнанный» отдавало чужое аудио тому, кто знает идентификатор записи.
+узнанный отправитель берёт у хранилища, — и правилом просмотра коллекции.
+Правило MUST пускать только владельца файла: незаданное означает «только владелец
+панели», и тогда файла не получит и узнанный, а прежнее «всякий узнанный»
+отдавало чужое аудио тому, кто знает идентификатор записи.
 
 Токен файла хранилище выдаёт **на предъявителя**, а не на файл, и о файле при
 выдаче не спрашивает. Значит владельца судит переход по ссылке, а не выдача
 токена: отказ наступает там, и требовать его от выдачи значит требовать
 механизма, которого нет.
 
-Отсюда порядок для потребителя: сессия → токен файла → ссылка с этим токеном.
-Браузер с одной лишь кукой файла не получит, и это свойство хранилища, а не
-недосмотр.
+Отсюда порядок для потребителя: узнавание → токен файла → ссылка с этим токеном.
+Адрес выдачи токена лежит в пространстве хранилища, и узнавание по заголовку MUST
+на нём работать — иначе файл записи недостижим для браузера вовсе. Одного
+заголовка при этом мало: без токена ссылка файла не отдаёт, и это свойство
+хранилища, а не недосмотр.
 
 Конвейер расшифровки этим не затронут: он читает файл из файловой системы
 хранилища, а не по ссылке.
@@ -133,7 +135,7 @@ MUST завести свою схему и принимать записи св
 бессрочно.
 
 Защищённое поле сужает это право, но не отменяет запрета: право пройти теперь
-требует ещё и сессии, а строка журнала со ссылкой по-прежнему собирала бы
+требует ещё и узнавания, а строка журнала со ссылкой по-прежнему собирала бы
 половину ключа.
 
 Отсюда требование к отказам: сообщение об отказе хранилища MUST не выходить за
@@ -147,17 +149,23 @@ MUST завести свою схему и принимать записи св
 #### Scenario: Файл забирают по ссылке
 
 - **GIVEN** запись принята и её файл лежит в хранилище
-- **AND** забирающий предъявил сессию и взял по ней токен файла
+- **AND** забирающий узнан и взял токен файла
 - **WHEN** ссылку на файл запрашивают с этим токеном
 - **THEN** приходит тот же файл, и его длина совпадает с длиной принятого
 
-#### Scenario: Без сессии файл не отдаётся
+#### Scenario: Неузнанному файл не отдаётся
 
 - **GIVEN** запись принята и её файл лежит в хранилище
-- **WHEN** ссылку на файл запрашивают без сессии
+- **WHEN** ссылку на файл запрашивают неузнанным
 - **THEN** приходит отказ, а содержимого записи в ответе нет
 
-#### Scenario: Конвейер читает файл без сессии
+#### Scenario: Токен файла выдаётся узнанному по заголовку
+
+- **GIVEN** запрос идёт с доверенного адреса с заголовком `Remote-User`
+- **WHEN** он просит у хранилища токен файла
+- **THEN** токен выдаётся
+
+#### Scenario: Конвейер читает файл без узнавания
 
 - **GIVEN** запись принята и ждёт расшифровки
 - **WHEN** шаг конвейера берётся за неё
@@ -324,7 +332,7 @@ MUST завести свою схему и принимать записи св
 Хранилище SHALL держать владельца и у файла записи — той же связью с учётной
 записью, — и правило просмотра файлов MUST пускать к файлу только его владельца.
 
-Владелец файла MUST назначаться при приёме, из предъявленной сессии, а колонка
+Владелец файла MUST назначаться при приёме, из узнанного предъявителя, а колонка
 файла MUST не допускать пустого значения наравне с колонкой записи. Прежде пустое
 значение оставалось у файлов, заведённых конвейером для записи без владельца;
 таких записей больше не заводится, и разное правило у записи и у её файла
@@ -348,8 +356,8 @@ MUST получать владельца своей записи. Иного и
 
 #### Scenario: Чужой файл не отдаётся
 
-- **GIVEN** запись принята одним вошедшим
-- **WHEN** другой вошедший идёт по ссылке на файл этой записи со своим токеном
+- **GIVEN** запись принята одним узнанным
+- **WHEN** другой узнанный идёт по ссылке на файл этой записи со своим токеном
 - **THEN** содержимого он не получает
 
 #### Scenario: Свой файл отдаётся