v0.1.16: JWT auth via nubes API, auto-provisioning, UI login

- app/auth/jwt.go: ParseJWTClaims, TenantIDFromSub (sless-compatible SHA256), PingNubesAPI
- app/admin/admin.go: POST /ui/api/auth endpoint, jwtMiddleware for /ui/api/*
- app/tenant/tenant_store.go: NubesSub/Email fields, GetBySub, CreateFromJWT
- app/ui/index.html: login page, email in navbar, JWT session in localStorage
- deployments/k8s/deployment.yaml: v0.1.16, NUBES_ENDPOINT env
- doc/decisions/resource-limits-plan.md: 20 vulnerabilities audit
- Fix: /ui/api/auth moved to subrouter (gorilla/mux PathPrefix conflict)

app/router/router.go

@@ -33,10 +33,12 @@ func New(tenantStore *tenant.TenantStore, adminToken string) http.Handler {
 	adminHandler := admin.NewHandler(tenantStore, adminToken)
 	adminHandler.RegisterRoutes(r)
 
-	// UI public API — без auth, для встроенной console
+	// UI public API — JWT auth, для встроенной console
+	// ВАЖНО: RegisterPublicRoutes ПЕРЕД static handler — иначе PathPrefix("/ui") перехватит /ui/api/*
 	adminHandler.RegisterPublicRoutes(r)
 
 	// UI console — встроенный SPA, публичный доступ
+	// НЕ ловит /ui/api/* — mux сначала проверит более специфичные маршруты выше
 	r.PathPrefix("/ui").Handler(http.StripPrefix("/ui", ui.Handler()))
 
 	// SQS API — tenant auth middleware оборачивает каждый handler отдельно.