Pluggbar autentisering: PIN, JWT og OIDC

Dagens «auth» var én delt PIN i et X-Pin-header, sammenlignet med !=, og
den sa ingenting om hvem som sendte et utrop – køen viste bare IP-adressen.
Crew har et eget adminpanel som skal bli identitetsleverandør.

Modellen er én datatype og én funksjon: Principal (hvem + roller +
rettigheter) og require(action), som enten gir deg den eller stopper
forespørselen. Handlinger: view, preview, announce, stop, clear.

Tre leverandører, prøvd i rekkefølge, alle valgfrie:

- pin   X-Pin som før, men med hmac.compare_digest istedenfor ==. Rolle
        admin som standard, så eksisterende oppsett oppfører seg likt.
        Beholdt bevisst: den virker uten nett, og det er nettopp da man
        trenger å rope ut noe.
- jwt   Authorization: Bearer. HS256 med delt hemmelighet, eller
        RS256/ES256 mot panelets JWKS. Krever exp – et token uten
        utløpstid er en evig nøkkel. Roller fra et konfigurerbart claim,
        som tåler liste, streng, kommaliste og punktsti.
- oidc  Autorisasjonskode med PKCE. Discovery hentes først ved første
        innlogging, så tjenesten starter selv om panelet er nede.

En leverandør er aktiv når den står i auth.providers *eller* når den er
ferdig konfigurert. Derfor slår ANNOUNCER_PIN=1234 alene fortsatt på PIN,
slik det har virket til nå. Er ingen aktiv, er alt åpent – som før.

/auth/token?t=<jwt> er broa mens panelet mangler OIDC: panelet lenker hit
med et kortlevd token, vi setter sesjonscookie. Ett klikk, ingen PIN.
Kontrakten panelet skal oppfylle står i docs/crew-integration.md.

401 betyr «vi vet ikke hvem du er, logg inn», 403 «vi vet hvem du er, men
rollen din får ikke dette». Et gyldig token uten roller gir 403, ikke 401 –
å logge inn på nytt ville ikke hjulpet.

Samtidig:

- /api/status er lukket bak «view». Den var åpen, og lekket både
  meldingstekstene og IP-ene til alle som hadde sendt noe, til hvem som
  helst som nådde porten. IP vises nå bare for den som har «clear»; alle
  andre ser navnet.
- Køen og en revisjonslogg i logs/announcements.jsonl viser hvem som sendte
  hva. Loggen feiler aldri forespørselen – en logg som ikke lar seg skrive
  skal ikke hindre et utrop.
- Branding flyttet fra index.html til /api/config, så config.toml fra
  forrige commit faktisk brukes.
- Sesjonsnøkkel i instance/secret_key, ellers logges alle ut ved hver
  restart. SESSION_COOKIE_SECURE settes bare bak TLS: appen kjører på rå
  HTTP over LAN og NetBird, og med Secure på ville ingen klart å logge inn.

57 tester, de fleste på auth, inkludert hele OIDC-runden mot en stubbet
leverandør. Det er delen man ikke kan se etter med øyet: at en PIN virker
ser du med en gang, at et utløpt token blir avvist ser du aldri før det
smeller.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

install.sh

@@ -7,6 +7,8 @@
 # Kjør som vanlig bruker (ikke sudo); skriptet spør om passord der det trengs.
 # Valgfritt:  ANNOUNCER_PIN=1234 ./install.sh    -> sida krever PIN
 #             ANNOUNCER_PORT=8090 ./install.sh   -> annen port
+#             ANNOUNCER_TITLE="Utrop" ./install.sh
+# Resten av konfigurasjonen hører hjemme i config.toml, se config.example.toml.
 # Kan kjøres på nytt; da oppdateres avhengigheter og tjenesten startes om.
 set -euo pipefail
 
@@ -20,6 +22,7 @@ OLD_APP="sg-announcer"          # het dette før; enheten ryddes bort nedenfor
 REPO_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 PORT="${ANNOUNCER_PORT:-8090}"
 PIN="${ANNOUNCER_PIN:-}"
+TITLE="${ANNOUNCER_TITLE:-}"
 UNIT_DIR="$HOME/.config/systemd/user"
 UNIT="$UNIT_DIR/$APP.service"
 
@@ -46,7 +49,7 @@ echo "uv: $UV ($("$UV" --version))"
 step "Python 3.13 og avhengigheter"
 cd "$REPO_DIR"
 "$UV" sync
-mkdir -p cache chimes voices
+mkdir -p cache chimes voices logs instance
 
 step "Laster ned Piper-stemmene (lokal reserve, ca. 600 MB, kun første gang)"
 "$UV" run python -c "import logging, announcer; logging.basicConfig(level=logging.INFO, format='%(message)s'); announcer.ensure_voices()"
@@ -79,8 +82,16 @@ UNIT
     else
         echo "# Environment=ANNOUNCER_PIN=1234"
     fi
+    if [[ -n "$TITLE" ]]; then
+        echo "Environment=ANNOUNCER_TITLE=$TITLE"
+    else
+        echo "# Environment=ANNOUNCER_TITLE=Utrop"
+    fi
     cat <<'UNIT'
 # Environment=ANNOUNCER_SINK=alsa_output.xxx
+# Hemmeligheter hører hjemme her og ikke i config.toml:
+# Environment=ANNOUNCER_JWT_SECRET=...
+# Environment=ANNOUNCER_OIDC_CLIENT_SECRET=...
 Restart=on-failure
 RestartSec=3
 
@@ -88,7 +99,7 @@ RestartSec=3
 WantedBy=default.target
 UNIT
 } > "$UNIT"
-chmod 600 "$UNIT"          # PIN står i klartekst her
+chmod 600 "$UNIT"          # PIN og nøkler står i klartekst her
 systemctl --user daemon-reload
 systemctl --user enable --now "$APP"
 systemctl --user restart "$APP"
@@ -120,6 +131,10 @@ cat <<MSG
 
 Åpne  http://${IP:-<denne-maskinens-ip>}:$PORT  fra hva som helst på nettet.
 
+Uten config.toml er sida åpen for alle som når porten. Vil du ha innlogging:
+  cp config.example.toml config.toml   og les kommentarene der.
+  Mot crew-panelet: docs/crew-integration.md
+
 Tips for en laptop på arrangementet:
   - Lyden spilles i din innloggede økt, så maskinen må være logget inn.
     Slå på automatisk innlogging (Innstillinger -> Påloggingsvindu).