- один факт — один дом: рецепт локального входа, правило чтения
X-Forwarded-For, уровень строки журнала и опись опор изъятия сведены к
своим домам, копии заменены ссылками
- форма [auth.test_headers] выровнена по образцу конфига в семи местах;
сценарии intake и archive перестали ссылаться на сессию, которой сервис
не выдаёт
- поправлены протухшие факты: ключ объекта строит ULID, а не UUID; сверку
адреса пира зовут трое, а не двое; обзор capability access знает о
задаче 2026-08-23
- пришедшего называет заголовок Remote-User от прокси, и верят ему только с
адреса из перечня trusted_proxies; своего входа у сервиса не осталось — ни
корня /auth, ни кук, ни срока сессии, ни секрета клиента в конфиге и в базе
- учётная запись заводится первым обращением: EnsureUser в пакете хранилища,
шаг схемы 202608220001 с колонкой provider_login и снятыми правилами users
- cmd/oidcstub заменён на cmd/devtools с подкомандой proxy; заодно закрыт
унаследованный DL3066 — пользователь образа назван числом
av