Mesh: én sentral fordeler til flere soner

Flere anlegg – hovedscene, resepsjon, crew – og ett sted å sende fra, med
avkryssing for hvilke soner meldingen skal til.

Sentralen er en vanlig announcer med [zones] i config. En sone er en vanlig
announcer med ANNOUNCER_MESH_SECRET. Samme image, ingen mode, og en sone kan
brukes alene hvis sentralen faller ut. Hver avhengighet med C-kode har
aarch64-wheel i uv.lock, så det samme bildet går på en Raspberry Pi uten å
kompilere noe.

Sentralen syntetiserer én gang og sender ferdig WAV (POST /api/play,
multipart). Sonen trenger da verken nett, edge-tts eller Pipers 670 MB for
det den får – Item.wav er hele endringen i avspillingen. Køene forblir per
sone: dispatcheren har egen tråd og egen kø, leverer til hver sone i hver sin
tråd med timeout, og går videre. En opptatt hovedscene holder ikke igjen
resepsjonen, og en sone som er nede feiler alene – synlig per sone i UI og
revisjonslogg.

Auth gjenbrukes: ny leverandør mesh på header X-Mesh-Key (ikke Bearer – den
leses av JWT-leverandøren, som avviser alt som ikke er et JWT før neste får
prøve), med én handling, play. To regler som fulgte med:

- play følger aldri med «alt åpent». Uten det kunne hvem som helst POSTe en
  WAV til en åpen sone og få den spilt. Testen for åpen modus fanget det.
- En legitimasjon som vises fram og er feil gir 401 også der gjester ellers
  har lov. Før slapp en feil PIN i åpen modus stille gjennom som gjest.

mesh teller ikke som innlogging for folk: en sone med bare nøkkelen har
fortsatt åpen side lokalt.

Planlagte sendinger husker sonene sine og fordeles gjennom dispatcheren;
planen ender som sent hvis minst én sone tok imot, med «hovedscene: kø #3,
crew: nede» som note.

Hodeløs Pi: install.sh kjører loginctl enable-linger, ellers finnes ikke
lydsocketen når ingen logger inn. docs/mesh.md tar også raspi-config for
jack framfor HDMI.

38 nye tester, 148 totalt. Fordelingen testes uten nett med stubbet
transport; selve HTTP-en testes mot en levende werkzeug-server, så den
håndrullede multiparten møter Flask sin parser. Verifisert i compose med
sentral og to soner: til alle, bare til én, og én sone stoppet.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

tests/test_auth.py

@@ -72,7 +72,21 @@ def test_uten_konfig_er_alt_apent(tmp_path):
     c, a = build(tmp_path)
     assert a.enabled is False
     for action in config.ACTIONS:
+        if action == "play":
+            continue
         assert c.get(f"/do/{action}").status_code == 200, action
+    # Det ene unntaket: «play» er for en sentral med mesh-nøkkel. En åpen
+    # sone skal ikke spille lyd for hvem som helst som finner den.
+    assert c.get("/do/play").status_code == 401
+
+
+def test_feil_legitimasjon_er_feil_ogsa_pa_apen_sone(tmp_path):
+    """En PIN som vises fram og er feil, skal avvises – ikke behandles som
+    gjest fordi gjester tilfeldigvis har lov."""
+    c, _ = build(tmp_path, '[mesh]\nsecret = "riktig"\n')
+    assert c.get("/do/view").status_code == 200                                  # gjest: lov
+    assert c.get("/do/view", headers={"X-Mesh-Key": "feil"}).status_code == 401  # feil nøkkel: nei
+    assert c.get("/do/play", headers={"X-Mesh-Key": "riktig"}).status_code == 200
 
 
 def test_tom_providers_liste_er_fortsatt_apen(tmp_path):