P1.5: убрать демо-бэкдор (публичный bypass-токен UI)

Удалены authenticateUIDemoToken, uiDemoToken/uiDemoTenantID/uiDemoEmail и их
константы (demo-ui-shared-sqs-ngcloud-2026) — публичный путь входа в UI мимо
JWT-валидации. seed.go теперь создаёт demo-тенанта со СЛУЧАЙНЫМИ кредами
(tenant.Create), без захардкоженного SecretKey в исходнике. Тест
TestJWTAuth_AllowsDemoToken заменён на TestJWTAuth_RejectsMissingToken.

app/cmd/seed.go

@@ -1,12 +1,11 @@
 // app/cmd/seed.go
-// Created: 2026-04-09
-// Updated: 2026-04-09 — фиксированные credentials для demo-tenant (BYOC)
 // Автосид демо-данных при старте через SHARED_SQS_SEED_DEMO=true.
-// Создаёт тенанта demo-service с 5 очередями и демо-сообщениями.
+// Создаёт тенанта demo-service со случайными кредами (генерируются через
+// tenant.Create → crypto/rand) с 5 очередями и демо-сообщениями.
 //
-// DEMO CREDENTIALS — только для тестового стенда.
 // Тенант demo-service изолирован: видит только свои очереди, не имеет доступа к
-// admin API и к очередям других тенантов. Credentials открыты намеренно — стенд публичный.
+// admin API и к очередям других тенантов. Креды генерируются случайно и печатаются
+// в лог при старте (только при явном включении SHARED_SQS_SEED_DEMO).
 package main
 
 import (
@@ -21,26 +20,22 @@ import (
 	"shared-sqs/app/tenant"
 )
 
-// Фиксированные credentials демо-тенанта.
-// Открыты намеренно — тестовый стенд.
-// Тенант ограничен 10 очередями и не имеет прав admin API.
 const (
-	demoTenantID   = "t-demo-shared-sqs-ngcloud"
-	demoAccessKey  = "SSAK-demo-shared-sqs"
-	demoSecretKey  = "demo-secret-key-shared-sqs-ngcloud-2026"
 	demoTenantName = "demo-service"
 	demoMaxQueues  = 10
 )
 
 // seedDemoData создаёт тенанта demo-service с очередями и сообщениями.
 // Вызывается при SHARED_SQS_SEED_DEMO=true при старте сервера.
+// Креды генерируются случайно (tenant.Create) — никаких захардкоженных
+// AccessKey/SecretKey в исходнике.
 func seedDemoData(store *tenant.TenantStore) {
-	t, err := store.CreateFixed(demoTenantName, demoMaxQueues, demoTenantID, demoAccessKey, demoSecretKey)
+	t, err := store.Create(demoTenantName, demoMaxQueues)
 	if err != nil {
 		log.Warnf("seed: не удалось создать demo-tenant: %v", err)
 		return
 	}
-	log.Infof("seed: создан тенант %s (AccessKey=%s)", t.ID, t.AccessKey)
+	log.Infof("seed: создан тенант %s (AccessKey=%s, SecretKey=%s)", t.ID, t.AccessKey, t.SecretKey)
 
 	// Демо-очереди с набором сообщений
 	queues := []struct {