chore(iot): лимит тела запроса + запрет неизвестных полей + таймауты сервера (Этап 5)

- decodeJSON: http.MaxBytesReader (64 КиБ) + DisallowUnknownFields; используется
  в Create/Update устройства. Ловит опечатки в полях (важно для Terraform).
- http.Server: добавлены ReadTimeout=15с, WriteTimeout=60с, IdleTimeout=120с
  (был только ReadHeaderTimeout).

internal/service/api/handler/handler.go

@@ -38,6 +38,21 @@ func writeJSON(w http.ResponseWriter, status int, v any) {
 	_ = json.NewEncoder(w).Encode(v)
 }
 
+// maxRequestBodyBytes — максимум размера тела запроса (устройства/метаданные
+// небольшие; 64 КиБ с запасом).
+const maxRequestBodyBytes = 64 * 1024
+
+// decodeJSON читает JSON-тело с лимитом размера и запретом неизвестных полей
+// (ревью 2026-10-10). MaxBytesReader защищает от раздутых тел;
+// DisallowUnknownFields ловит опечатки в полях — критично для Terraform (лучше
+// 400 с понятной ошибкой, чем молча проигнорированное поле).
+func decodeJSON(w http.ResponseWriter, r *http.Request, v any) error {
+	r.Body = http.MaxBytesReader(w, r.Body, maxRequestBodyBytes)
+	dec := json.NewDecoder(r.Body)
+	dec.DisallowUnknownFields()
+	return dec.Decode(v)
+}
+
 // errResp возвращает структуру ошибки для JSON.
 func errResp(msg string) map[string]string {
 	return map[string]string{"error": msg}