tasks: вход переезжает на заголовки прокси, пять задач про OIDC закрыты

- заведена `trusted-header-login` и поставлена в голову очереди
- пять задач про механику OIDC закрыты как отменённые ею
- `dev-run-task` и `api-tokens` переписаны под новый вход

tasks/REJECTED.md

@@ -26,3 +26,8 @@
 - 2026-08-15 `resume-halted-record` — ✨ Вернуть остановленную запись в работу из приложения. Причина: Слилась в audiorecord-actions 2026-08-15: возврат в работу живёт на экране одной записи вместе с правкой заголовка и журналом событий. Была секция: Очередь.
 - 2026-08-15 `record-events-screen` — ✨ Показывать журнал событий записи её владельцу. Причина: Слилась в audiorecord-actions 2026-08-15: журнал событий читается с экрана одной записи вместе с правкой заголовка и возвратом в работу. Была секция: Очередь.
 - 2026-08-15 `admin-owner-from-config` — ✨ Заводить владельца панели по ключу конфига. Причина: Решение владельца 2026-08-15: владелец панели нужен только для локальной проверки, и заводит его отдельная команда cmd/devadmin — инструмент разработчика рядом с cmd/oidcstub. Ключ конфига не заводится, требование спеки storage «Пароль владельца от панели не лежит в конфигурации» остаётся в силе. Проверено прогоном: команда открывает базу тем же pbrepo.New, накатывает схему целиком, пароль существующего владельца не переписывает, на настройки провайдера OIDC не влияет — их сервис применяет из конфига при каждом подъёме. Была секция: Очередь.
+- 2026-08-22 `provider-code-out-of-storage-log` — 🐞 Убрать код провайдера из журнала запросов хранилища. Причина: Кода провайдера не станет: вход переезжает на доверенные заголовки задачей trusted-header-login, адрес возврата исчезает вместе с корнем /auth, и в журнал запросов хранилища попадать нечему. Была секция: Очередь.
+- 2026-08-22 `server-side-login-state` — 🐞 Вести учёт употреблённых состояний входа на сервере. Причина: Состояния входа не станет: сверять возврат будет нечего — вход переезжает на доверенные заголовки задачей trusted-header-login, куки состояния и обмена кода исчезают. Была секция: Очередь.
+- 2026-08-22 `login-url-from-collection-settings` — ✨ Строить адрес входа из настроек коллекции, а не из конфига. Причина: Адреса входа не станет вовсе, и настроек провайдера у коллекции тоже: их кладёт ApplyProviderSettings, которую убирает trusted-header-login. Расхождение двух половин протокола исчезает вместе с протоколом. Была секция: Очередь.
+- 2026-08-22 `login-surface-hypotheses` — 🔬 Четыре недоказанные гипотезы о поверхности входа. Причина: Все четыре пути закрывает trusted-header-login: выход по чужой ссылке и слияние двух записей провайдера с одной почтой исчезают вместе с собственным входом, поле снимка — вместе с ответом провайдера, а анонимный запрос подтверждения почты — вместе с собственными адресами входа хранилища, которые та же задача глушит по перечню. Была секция: Очередь.
+- 2026-08-22 `rollback-restores-wrong-session-duration` — 🐞 Починить срок сессии, который ставит откат шага входа. Причина: Константа живёт в откате шага 202608120001_oidc_login, а срок сессии перестаёт значить что-либо: сессии хранилища не будет — доступ судит Authelia на каждом запросе. Шаг остаётся применённым и не переписывается, откаты по-прежнему ничем не подключены. Была секция: Очередь.