Testoppsett i Docker med dummy-IdP

Crew-panelet har ikke OIDC ennå, så OIDC-veien kunne ikke prøves i det hele
tatt – bare enhetstestes mot et stubbet HTTP-lag. Dette gir noe å faktisk
logge inn i.

    docker compose up --build

    localhost:8091   announcer med PIN, JWT og OIDC slått på samtidig
    localhost:9000   docker/dummy_idp.py, som står for crew-panelet

8091 med vilje, så den ikke kolliderer med tjenesten på 8090.

Dummy-IdP-en kjører en ekte autorisasjonskode-runde: den krever PKCE med
S256, avviser feil code_verifier, bruker koden bare én gang, og signerer
id_token med klienthemmeligheten. Du velger hvem du logger inn som – Kari
(crew), Kent (admin) eller Ola, som har null roller og dermed skal gi 403
og ikke 401. /token?who=kari&go=1 logger deg inn via token-lenka, slik
panelet skal gjøre.

To ting i oppsettet som ser rart ut, men ikke er det:

- authorization_endpoint peker på localhost:9000 fordi nettleseren skal
  dit, mens token_endpoint peker på idp:9000 fordi announcer selv snakker
  med den inne i compose-nettet. Delt horisont. Det tester samtidig at
  manuelle endepunkter virker, som er veien når et panel mangler discovery.
- UV_PROJECT_ENVIRONMENT=/opt/venv i bildet: /app er et bind-mount av
  repoet, og uten den ville containerens uv sync overskrevet .venv som den
  kjørende tjenesten bruker.

/run/user/1000 er montert inn, så pw-play i containeren spiller på vertens
anlegg. Det er verifisert; kommenter ut linja hvis du bare skal teste UI.

Docker er bare for testing. På en ekte maskin kjører appen nativt med
install.sh, fordi lyden skal ut på maskinens egen lydutgang.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

AGENTS.md

@@ -22,6 +22,8 @@ Filer:
 | `config.example.toml` | kommentert mal; kopier til `config.toml` |
 | `docs/crew-integration.md` | kontrakten mot crew-panelet |
 | `tests/test_auth.py` | `uv run pytest` |
+| `compose.yaml` + `Dockerfile` | testoppsett, se under. Ikke produksjon |
+| `docker/dummy_idp.py` | falsk crew-panel, så OIDC kan prøves |
 
 ## Kjøring
 
@@ -49,6 +51,39 @@ shebangen til hvert konsollskript, så `uv sync` alene er ikke nok. Da må
 `rm -rf .venv && uv sync` til, og tjenesten startes om.
 
 
+## Testing i Docker
+
+`docker compose up --build` gir to containere:
+
+| | |
+|---|---|
+| `http://localhost:8091` | announcer med PIN, JWT **og** OIDC slått på (`docker/config.test.toml`) |
+| `http://localhost:9000` | `docker/dummy_idp.py`, som later som den er crew-panelet |
+
+Port 8091 med vilje, så den ikke kolliderer med tjenesten på 8090.
+
+Dummy-IdP-en finnes fordi crew-panelet ikke har OIDC ennå: uten den kan
+OIDC-veien ikke prøves i det hele tatt. Den kjører en ekte
+autorisasjonskode-runde med PKCE (og avviser feil `code_verifier`), signerer
+`id_token` med klienthemmeligheten, og lar deg velge hvem du logger inn som –
+Kari (`crew`), Kent (`admin`) eller Ola (ingen roller, skal gi 403, ikke 401).
+`http://localhost:9000/token?who=kari&go=1` logger deg rett inn via
+token-lenka, slik panelet skal gjøre.
+
+Merk i `docker/config.test.toml`: `authorization_endpoint` peker på
+`localhost:9000` fordi nettleseren skal dit, mens `token_endpoint` peker på
+`idp:9000` fordi announcer selv snakker med den inne i compose-nettet. Delt
+horisont, og samtidig en test av at manuelle endepunkter virker når et panel
+mangler discovery.
+
+Lyd: `/run/user/1000` er montert inn, så `pw-play` i containeren spiller på
+vertens anlegg. Kommenter ut den linja i `compose.yaml` hvis du bare skal
+teste innlogging.
+
+`UV_PROJECT_ENVIRONMENT=/opt/venv` i bildet er ikke pynt: `/app` er et
+bind-mount av repoet, og uten det ville containerens `uv sync` overskrevet
+`.venv` som den kjørende tjenesten bruker.
+
 ## Konfigurasjon
 
 Tre lag, siste vinner: `DEFAULTS` i `config.py` → `config.toml` →
@@ -161,8 +196,9 @@ Vil Kent ha enda bedre lyd: ElevenLabs (nøkkel, best norsk) eller OpenAI
   ned stemmer. Harmløst, men greit å vite.
 - `tests/conftest.py` nuller ut alle `ANNOUNCER_*`-variabler før hver test.
   Uten den arver testene maskinens miljø – systemd-enheten setter
-  `ANNOUNCER_PORT` – og man får røde tester med feilmeldinger som ikke peker
-  på noe galt.
+  `ANNOUNCER_PORT`, og compose setter JWT- og OIDC-hemmeligheter, noe som
+  gjorde 28 tester røde i containeren med feilmeldinger som ikke pekte på noe
+  galt.
 - `pyproject.toml` har `[tool.uv] package = false`. Appen er løse `.py`-filer
   som kjøres på plass, ikke en pakke; uten den vil `uv sync` bygge et wheel og
   klage på at `announcer/__init__.py` mangler.