feat: test auth mode — accept any plain token without JWT validation

authTestMode=true in middleware/auth.go:
- any non-whitespace, non-JWT string is accepted as Bearer token
- string is used as sub for namespace derivation (SHA256)
- JWT validation still runs for actual JWT strings (xxx.yyy.zzz)
- revert to strict mode: authTestMode = false

iot-console.html:
- namespaceFromToken: plain tokens use the string itself as sub
- login form: updated placeholder + hint explaining test mode

Image: v0.1.60

internal/api/middleware/auth.go

@@ -1,4 +1,4 @@
-// Изменено: 2026-03-11
+// Изменено: 2026-04-05
 // Auth middleware — проверяет Bearer JWT-токен из заголовка Authorization.
 //
 // Архитектура аутентификации:
@@ -10,6 +10,17 @@
 //     внешний доступ — через Ingress, где токен уже проверен на уровне API-шлюза.
 //
 // TODO v2: получать публичный ключ из nubes JWKS endpoint и проверять подпись RS256.
+//
+// ──────────────────────────────────────────────────────────────────────────────
+// ТЕСТОВЫЙ РЕЖИМ (authTestMode = true):
+//   Принимается ЛЮБАЯ строка без пробелов — не обязательно JWT.
+//   Это позволяет тестировать UI/API без реального токена nubes.
+//   Строка используется как идентификатор пользователя (аналог JWT.sub),
+//   namespace выводится из неё так же: SHA256 → первые 16 байт hex → "sless-{hex}".
+//
+//   ⚠️  ПЕРЕД ВЫХОДОМ В ПРОД: установить authTestMode = false.
+//   Для возврата к строгой JWT-валидации: одна строка ниже.
+// ──────────────────────────────────────────────────────────────────────────────
 
 package middleware
 
@@ -22,11 +33,25 @@ import (
 	"time"
 )
 
+// authTestMode — ТЕСТОВЫЙ РЕЖИМ аутентификации.
+//
+// true  → принимается любая строка без пробелов (не обязательно JWT).
+//
+//	Используется при разработке UI когда реальный токен nubes не нужен.
+//
+// false → строгая проверка JWT (структура + sub + exp).
+//
+//	Необходимо установить перед деплоем в прод.
+//
+// Чтобы вернуться к JWT: изменить на false.
+const authTestMode = true
+
 // Auth возвращает middleware которое требует заголовок:
 //
-//	Authorization: Bearer <jwt>
+//	Authorization: Bearer <token>
 //
-// Проверяет: структура JWT (3 части), наличие "sub", отсутствие истечения "exp".
+// В тестовом режиме (authTestMode=true): принимает любую строку без пробелов.
+// В боевом режиме (authTestMode=false): требует валидный JWT (sub + exp).
 func Auth(log *slog.Logger, next http.Handler) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		header := r.Header.Get("Authorization")
@@ -41,7 +66,20 @@ func Auth(log *slog.Logger, next http.Handler) http.Handler {
 			http.Error(w, `{"error":"invalid authorization format, use Bearer <token>"}`, http.StatusUnauthorized)
 			return
 		}
-		if err := validateJWT(parts[1]); err != nil {
+		token := parts[1]
+
+		// ── ТЕСТОВЫЙ РЕЖИМ ───────────────────────────────────────────────────
+		// Если authTestMode=true и токен — просто строка без пробелов (не JWT),
+		// пропускаем JWT-валидацию. Строка обрабатывается как произвольный sub.
+		// Чтобы вернуть строгую проверку: установить authTestMode = false.
+		if authTestMode && isPlainToken(token) {
+			log.Info("auth: test mode — plain token accepted", "remote", r.RemoteAddr, "path", r.URL.Path)
+			next.ServeHTTP(w, r)
+			return
+		}
+		// ── БОЕВОЙ РЕЖИМ / JWT ───────────────────────────────────────────────
+
+		if err := validateJWT(token); err != nil {
 			log.Warn("auth: invalid token", "remote", r.RemoteAddr, "path", r.URL.Path, "reason", err.Error())
 			http.Error(w, `{"error":"invalid token"}`, http.StatusForbidden)
 			return
@@ -50,6 +88,18 @@ func Auth(log *slog.Logger, next http.Handler) http.Handler {
 	})
 }
 
+// isPlainToken возвращает true если токен — непустая строка без пробелов и НЕ является JWT.
+// JWT определяется по наличию ровно двух точек (xxx.yyy.zzz).
+// Логика: если строка выглядит как JWT — проверять через validateJWT (даже в testMode).
+func isPlainToken(token string) bool {
+	if token == "" || strings.ContainsAny(token, " \t\n\r") {
+		return false
+	}
+	// Если три части через точку — скорее всего JWT, проверять нормально
+	parts := strings.Split(token, ".")
+	return len(parts) != 3
+}
+
 // validateJWT проверяет структуру JWT и claim "sub" и "exp".
 // Подпись НЕ проверяется — см. комментарий к файлу.
 func validateJWT(token string) error {