точки входа переехали в cmd/, заведена заглушка OIDC для локального входа

- main.go и journal_route_test.go переехали в cmd/transcriber без правок
  содержимого; образ собирает ./cmd/transcriber поимённо
- cmd/oidcstub отвечает на /authorize, /token и /userinfo, проверок не делает
  и слушает петлевой адрес: войти без Authelia стало чем
- ступень сборки приложения переехала на node:24 с alpine — musl ждёт ответа
  на AAAA, которого нет, и npm ci висел вместо отказа

config.example.toml

@@ -85,3 +85,31 @@ redirect_url = "https://transcriber.example.com/auth/callback"
 # Признак `Secure` у куки сессии. Умолчание true; false только для локального
 # запуска по http://localhost, где браузер такую куку не сохранит
 secure_cookie = true
+
+# Локальный вход без Authelia.
+#
+# Провайдер на машине разработчика не поднимается, а ключи боевого на ней лежать
+# не должны — вместо провайдера идёт заглушка `cmd/oidcstub`. Она отвечает на
+# `/authorize`, `/token` и `/userinfo` и не сверяет ни секрет клиента, ни
+# проверочный код PKCE: вход у неё один и заранее известный. Поднимается
+# отдельным процессом:
+#
+#   go run ./cmd/oidcstub
+#
+# Замени секцию `[auth]` выше на эти значения — вход пойдёт настоящим путём,
+# вплоть до куки сессии и заведённой учётной записи в панели:
+#
+#   auth_url      = "http://localhost:9000/authorize"
+#   token_url     = "http://localhost:9000/token"
+#   user_info_url = "http://localhost:9000/userinfo"
+#   client_id     = "transcriber"
+#   client_secret = "local"
+#   redirect_url  = "http://localhost:8080/auth/callback"
+#   secure_cookie = false
+#
+# Другое значение `-sub` заводит второго вошедшего: это неизменяемый признак,
+# по которому обмен ищет учётную запись. Почта переезжает вместе с ним сама —
+# заглушка выводит её из `-sub`, — и это обязательно: при общей почте второй вход
+# приходит к первой записи и получает отказ.
+#
+#   go run ./cmd/oidcstub -sub local-2