feat(phase-16): security hotfix (CVE, JWT, secrets fail-fast)

[SlavaKuntsov]

Phase 16 — security hotfix (auth hardening, secrets fail-fast)

Закрывает оставшиеся открытые тикеты фазы 16 (родитель #66). Тикеты #43–#47 уже слиты ранее отдельными PR.

Closes #48
Closes #49
Closes #53

Что изменено

#48 — python-jose → PyJWT, passlib → argon2-cffi

• services/auth/src/core/security.py: PyJWT 2.14 (HS256, require: ["exp","sub"]), PasswordHasher (argon2-cffi), лимит токена 8 KB до decode (CVE-2024-33664 — JWT-бомба)
• обновлены pyproject.toml, uv.lock, docs/spec.md

#49 — password policy, email normalization, IntegrityError

• password: Field(min_length=8) в RegisterRequest (login — без политики, не ломаем существующих)
• email нормализуется в lowercase в register/login (validator в схемах)
• IntegrityError на commit → rollback + 409 (гонка SELECT-then-INSERT)

#53 — fail fast на секретах, обязательный exp/type в JWT, constant-time internal auth

• Go (gateway/metadata/upload): requireEnv — пустые JWT_SECRET/INTERNAL_TOKEN роняют сервис на старте, кроме ENV=dev; хардкод change-me-... убран
• auth: validate_secrets() в lifespan — та же семантика для JWT_SECRET
• jwt.WithExpirationRequired() + строгий type == "access" во всех мидлварях (gateway Auth/Optional/hls, metadata Auth/Optional, upload Auth)
• constant-time compare (crypto/subtle) в metadata InternalAuth
• compose: ${JWT_SECRET:?} / ${INTERNAL_TOKEN:?} — make up без секретов падает с внятной ошибкой
• Makefile: dev-таргеты с ENV=dev; .env.example — предупреждение про prod

Acceptance criteria

• login/refresh работают на PyJWT; токен-бомба/oversized → 401 (P1 auth: replace python-jose with pyjwt (CVE-2024-33663/33664) #48)
• регистрация дубликата → 409; a@x.com == A@x.com; пароль < 8 → 422 (P1 auth: add password policy, email normalization and IntegrityError handling #49)
• make up без секретов падает с внятной ошибкой; токен без exp → 401; INTERNAL_TOKEN не открывает /internal/* молча (P1 infra: fail fast on empty JWT_SECRET/INTERNAL_TOKEN and require exp in JWT #53)
• приватное видео недоступно (проверено e2e: 403 без токена, 200 с токеном)

Verification

• make test-py — 38 passed (18 auth + 20 transcoder)
• make test-go — pass (metadata/gateway/upload)
• make lint-py / make lint-go (0 issues) / make lint-front — чисто
• docker compose config — :? синтаксис валиден в dev и prod override
• make up && make e2e — PASS на чистых volumes (OrbStack): полный пайплайн, presign, private HLS, resumable
• живые проверки на стенде: короткий пароль 422, дубликат 409, регистр email 200, JWT без exp → 401

Review cycle

• Независимое ревью фазы: 1 итерация; 2 High исправлены (e2e-пароль выровнен с политикой P1 auth: add password policy, email normalization and IntegrityError handling #49, env-зависимый тест переписан на monkeypatch)
• Follow-up: P1 auth: require type=access in /me (refresh token must not be an identity) #76 (/me принимает refresh-токен — не входит в скоуп P1 infra: fail fast on empty JWT_SECRET/INTERNAL_TOKEN and require exp in JWT #53)
• Remaining risks: none known