P1.5: убрать демо-бэкдор (публичный bypass-токен UI)

Удалены authenticateUIDemoToken, uiDemoToken/uiDemoTenantID/uiDemoEmail и их
константы (demo-ui-shared-sqs-ngcloud-2026) — публичный путь входа в UI мимо
JWT-валидации. seed.go теперь создаёт demo-тенанта со СЛУЧАЙНЫМИ кредами
(tenant.Create), без захардкоженного SecretKey в исходнике. Тест
TestJWTAuth_AllowsDemoToken заменён на TestJWTAuth_RejectsMissingToken.

app/admin/admin.go

@@ -6,9 +6,7 @@ package admin
 
 import (
 	"context"
-	"crypto/subtle"
 	"encoding/json"
-	"errors"
 	"net/http"
 	"os"
 	"strings"
@@ -30,17 +28,6 @@ const (
 	uiTenantContextKey uiContextKey = "ui-tenant"
 )
 
-// ВАЖНО: значения ниже относятся только к временному demo/showcase режиму.
-// Перед production rollout без публичного demo-режима этот блок должен быть удалён
-// вместе с веткой authenticateUIDemoToken и связанными UI-подсказками.
-const (
-	defaultUIDemoToken    = "demo-ui-shared-sqs-ngcloud-2026"
-	defaultUIDemoTenantID = "t-demo-shared-sqs-ngcloud"
-	defaultUIDemoEmail    = "demo@shared-sqs.ngcloud"
-)
-
-var errUIDemoTokenMismatch = errors.New("demo token mismatch")
-
 // ─── вспомогательная функция: найти очередь тенанта по имени ───────────────
 // findQueue — возвращает ключ и очередь тенанта по имени, или "",nil если не найдено.
 func findQueue(tenantAccessKey, queueName string) (string, *models.Queue) {
@@ -69,48 +56,6 @@ func NewHandler(store *tenant.TenantStore, adminToken string) *Handler {
 	return &Handler{store: store, adminToken: adminToken, nubesEndpoint: nubesEndpoint}
 }
 
-// uiDemoToken — возвращает публичный demo token для UI.
-// Временный showcase-only путь: в production без demo user этот метод нужно удалить.
-func (h *Handler) uiDemoToken() string {
-	if token := os.Getenv("SHARED_SQS_UI_DEMO_TOKEN"); token != "" {
-		return token
-	}
-	return defaultUIDemoToken
-}
-
-// uiDemoTenantID — возвращает tenant ID, к которому привязан demo token.
-// Существует только для showcase-режима, не для постоянной production auth-модели.
-func (h *Handler) uiDemoTenantID() string {
-	if tenantID := os.Getenv("SHARED_SQS_UI_DEMO_TENANT_ID"); tenantID != "" {
-		return tenantID
-	}
-	return defaultUIDemoTenantID
-}
-
-// uiDemoEmail — возвращает отображаемый email для demo UI session.
-// Нужен только для публичного демо-логина и должен уйти вместе с demo path.
-func (h *Handler) uiDemoEmail() string {
-	if email := os.Getenv("SHARED_SQS_UI_DEMO_EMAIL"); email != "" {
-		return email
-	}
-	return defaultUIDemoEmail
-}
-
-// authenticateUIDemoToken — маппит публичный demo token на заранее сидированный demo tenant.
-// Почему так: это быстрый showcase-вход для заказчика. Для production без demo user
-// функция должна быть удалена, чтобы в коде не осталось публичного bypass-пути.
-func (h *Handler) authenticateUIDemoToken(token string) (*tenant.Tenant, string, error) {
-	demoToken := h.uiDemoToken()
-	if demoToken == "" || subtle.ConstantTimeCompare([]byte(token), []byte(demoToken)) != 1 {
-		return nil, "", errUIDemoTokenMismatch
-	}
-	demoTenant, ok := h.store.GetByID(h.uiDemoTenantID())
-	if !ok {
-		return nil, "", errors.New("demo tenant unavailable — enable SHARED_SQS_SEED_DEMO=true")
-	}
-	return demoTenant, h.uiDemoEmail(), nil
-}
-
 // currentUITenant — возвращает tenant, авторизованный через UI middleware.
 func currentUITenant(r *http.Request) (*tenant.Tenant, bool) {
 	t, ok := r.Context().Value(uiTenantContextKey).(*tenant.Tenant)
@@ -197,24 +142,6 @@ func (h *Handler) jwtAuth(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 
-	if demoTenant, demoEmail, err := h.authenticateUIDemoToken(req.Token); err == nil {
-		log.Infof("ui auth: authenticated demo tenant=%s", demoTenant.ID)
-		w.Header().Set("Content-Type", "application/json")
-		json.NewEncoder(w).Encode(map[string]interface{}{
-			"email":      demoEmail,
-			"tenant_id":  demoTenant.ID,
-			"access_key": demoTenant.AccessKey,
-			"secret_key": demoTenant.SecretKey,
-			"max_queues": demoTenant.MaxQueues,
-			"token":      req.Token,
-		})
-		return
-	} else if !errors.Is(err, errUIDemoTokenMismatch) {
-		log.Warnf("ui auth: demo login unavailable: %v", err)
-		jsonErr(w, http.StatusForbidden, err.Error())
-		return
-	}
-
 	// Парсим JWT claims
 	claims, err := auth.ParseJWTClaims(req.Token)
 	if err != nil {
@@ -305,19 +232,6 @@ func (h *Handler) jwtMiddleware(next http.Handler) http.Handler {
 		}
 		token := parts[1]
 
-		if demoTenant, _, err := h.authenticateUIDemoToken(token); err == nil {
-			if pathTenantID, exists := mux.Vars(r)["id"]; exists && pathTenantID != "" && pathTenantID != demoTenant.ID {
-				jsonErr(w, http.StatusForbidden, "forbidden tenant access")
-				return
-			}
-			ctx := context.WithValue(r.Context(), uiTenantContextKey, demoTenant)
-			next.ServeHTTP(w, r.WithContext(ctx))
-			return
-		} else if !errors.Is(err, errUIDemoTokenMismatch) {
-			jsonErr(w, http.StatusForbidden, err.Error())
-			return
-		}
-
 		claims, err := auth.ParseJWTClaims(token)
 		if err != nil {
 			jsonErr(w, http.StatusUnauthorized, "invalid token: "+err.Error())