refactor: SoC — EnsureNamespace в namespace.go, маршрут /ensure, client.EnsureNamespace, fix secrets в .gitignore

- handler.go: убраны бизнес-логика и k8s-типы (corev1/k8serrors/metav1)
  handler.go теперь только инфраструктура: Handler struct + helpers
- namespace.go: новый файл — EnsureNamespace хендлер живёт здесь
  SoC: создание namespace — отдельная ответственность, не смешивается с CRUD
- router.go: добавлен маршрут POST /v1/namespaces/{namespace}/ensure
- client.go: добавлен метод EnsureNamespace(ctx, ns) → POST /ensure
- provider.go: Configure() вызывает c.EnsureNamespace(ctx, namespace) после создания Client
  Namespace создаётся ОДИН РАЗ при инициализации провайдера
  Resource-хендлеры (Function, Trigger, Job) namespace не трогают
- .gitignore: добавлена директория secrets/ (токены, ключи)
- provider v0.1.13, operator v0.1.21

Operator: naeel/sless-operator:v0.1.21
Provider: terra.k8c.ru/naeel/sless v0.1.13

terraform/provider/internal/provider/provider.go

@@ -10,15 +10,17 @@
 //  5. Создаём client.Client с вычисленным namespace.
 //
 // Атрибуты провайдера:
-//   endpoint       — URL sless оператора (env: SLESS_ENDPOINT)
-//   token          — JWT токен облака, общий для nubes и sless (env: SLESS_API_TOKEN)
-//   nubes_endpoint — URL nubes API для валидации токена (env: NUBES_ENDPOINT, опционально)
+//
+//	endpoint       — URL sless оператора (env: SLESS_ENDPOINT)
+//	token          — JWT токен облака, общий для nubes и sless (env: SLESS_API_TOKEN)
+//	nubes_endpoint — URL nubes API для валидации токена (env: NUBES_ENDPOINT, опционально)
 //
 // Env-переменные: SLESS_ENDPOINT, SLESS_API_TOKEN, NUBES_ENDPOINT.
 package provider
 
 import (
 	"context"
+	"fmt"
 	"os"
 	"strings"
 
@@ -143,6 +145,21 @@ func (p *SlessProvider) Configure(ctx context.Context, req provider.ConfigureReq
 
 	// --- 5. Создаём клиент с вычисленным namespace ---
 	c := client.New(endpoint, token, namespace)
+
+	// --- 6. Создаём k8s namespace пользователя (идемпотентно) ---
+	// Namespace создаётся ОДИН РАЗ здесь — resource-хендлеры (Function, Trigger, Job)
+	// не занимаются созданием namespace; это не их ответственность.
+	// Если endpoint недоступен в dev-режиме без токена — пропускаем.
+	if token != "" {
+		if err := c.EnsureNamespace(ctx, namespace); err != nil {
+			resp.Diagnostics.AddError(
+				"Failed to ensure namespace",
+				fmt.Sprintf("Cannot create namespace %q: %s", namespace, err.Error()),
+			)
+			return
+		}
+	}
+
 	resp.ResourceData = c
 	resp.DataSourceData = c
 }