security(iot): MQTT ACL isolation via EMQX HTTP authorization

Each IoT device can only pub/sub to its own topics: {namespace}/{deviceId}/#
Any attempt to access foreign topics → EMQX denies and disconnects.

Changes:
- internal/api/handler: add MQTTAcl handler (POST /internal/mqtt/acl)
- internal/api/router: register /internal/mqtt/acl route
- deployments/k8s/emqx.yaml: add HTTP authorization backend, no_match=deny
- Operator v0.1.52 deployed

Tested: own topic ALLOWED, foreign topic → authorization_permission_denied + disconnect

internal/api/router.go

@@ -80,6 +80,9 @@ func NewRouter(h *handler.Handler, log *slog.Logger) http.Handler {
 	// MQTT Auth — БЕЗ JWT. Вызывается EMQX при MQTT CONNECT из кластера.
 	// /internal/ недоступен снаружи (Ingress не проксирует /internal/).
 	r.HandleFunc("/internal/mqtt/auth", h.MQTTAuth).Methods(http.MethodPost)
+	// MQTT ACL — БЕЗ JWT. Вызывается EMQX при каждом pub/sub для проверки прав.
+	// Изолирует клиента в пределах его топиков: {namespace}/{deviceId}/#
+	r.HandleFunc("/internal/mqtt/acl", h.MQTTAcl).Methods(http.MethodPost)
 
 	// Цепочка middleware: logging → (auth только для /v1/) → router
 	// /fn/ — без auth, /v1/ — с auth.