refactor: Builder SoC + JWKS stub + unit tests

Builder SoC (builder/context.go):
- Moved generateDockerfile, runtimeBaseImage, zipToTarGz from handler/upload.go
  to internal/builder/context.go.
  Reason: knowledge about runtime images and build context structure is a
  build concern, not an HTTP handler concern.
- Added PrepareContext(zipData []byte, runtime string) (*bytes.Buffer, error) —
  single public entry point. Handler calls one function, gets ready buffer.
- zipToTarGz now accepts *zip.Reader instead of []byte to avoid double parsing.
- upload.go reduced from ~200 LOC to ~60 LOC (build logic gone).

auth.go — JWKS insertion point:
- Added verifySignature() stub with detailed comment explaining what v2
  implementation needs (JWKS endpoint, kid lookup, RS256/ES256 verify).
- Shows exactly where to add the call in validateJWT.

Unit tests (9 total, all pass):
- controllers: TestBuildDeployment_EnvVarsSorted, TestBuildDeployment_EmptyEnv
- handler: TestHopByHopHeaders_* (3 tests)
- builder: TestPrepareContext_PythonWithRequirements, _NodeNoPackageJSON,
           _UnsupportedRuntime, _DockerfileIsFirst

controllers/trigger_controller.go

@@ -219,8 +219,9 @@ func (r *TriggerReconciler) reconcileHTTP(ctx context.Context, tr *slessv1alpha1
 // reconcileCron создаёт CronJob который вызывает функцию по HTTP внутри кластера.
 // curl делает POST на внутренний Service функции — это исключает внешний round-trip.
 // CronJob размещается в deployNS (sless-fn-{userNS}), НЕ в user-namespace:
-//   при NetworkPolicy default-deny под в user-ns не может достучаться до Service в sless-fn-ns.
-//   Размещение CronJob в том же namespace что и Service — гарантирует работу при любой политике.
+//
+//	при NetworkPolicy default-deny под в user-ns не может достучаться до Service в sless-fn-ns.
+//	Размещение CronJob в том же namespace что и Service — гарантирует работу при любой политике.
 func (r *TriggerReconciler) reconcileCron(ctx context.Context, tr *slessv1alpha1.Trigger, fn *slessv1alpha1.Function) (ctrl.Result, error) {
 	deployNS := "sless-fn-" + tr.Namespace
 	// Внутренний URL: Service должен быть создан HTTP триггером или заранее