feat: Authentik OIDC SSO, allow/deny RBAC, admin console & Gitea CI

Authentication & RBAC
- Add confidential OIDC client (Authentik) with /auth/oidc/login +
  /auth/oidc/callback: discovery, code exchange, id_token verify (go-oidc),
  groups claim → role (Archivum-admin → admin, else user). Sessions carry groups.
- Rework ACL into an allow/deny model (new `effect` column + migration).
  db.EffectiveAccess resolves user + all groups over the path and its ancestors:
  default deny, explicit deny always beats allow.
- Enforce ACL for ALL non-admin users (not just guest) across list/read/save/
  delete/move/create/history/diff/images/upload. Admins bypass.
- Seed built-in Archivum-admin / Archivum-reader groups; login allow-list on
  users & groups; public (guest) user access is ACL-configurable.

Admin API & UI
- New GraphQL ops: oidcConfig/updateOidcConfig, group CRUD, membership,
  setUserRole/setUserLogin/setGroupLogin, userGroups, loginOptions.
- Rebuilt AdminView: SSO config, user/group management + membership, login
  toggles, and an allow/deny access-control matrix per path.
- LoginView: "Sign in with Authentik" + public-user option; OIDC callback route.

Rendering/editor
- Fix bug where inline marks (bold/italic/code/strike/link) were dropped on
  TipTap→AsciiDoc save. Add RENDERING_IMPROVEMENTS.md with proposals.

CI / build
- .gitea/workflows/build.yaml: build on the Pi5 runner, push
  localhost:5000/archivum:{latest,<sha>}. Add .dockerignore; bump Go image to 1.25.
- Docs: ARCHITECTURE.md, README.md, docs/AUTHENTIK_SETUP.md.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

README.md

@@ -162,6 +162,37 @@ Konfigurationen lagras i `config.json`. Filen skapas automatiskt av installation
 
 ---
 
+## Autentisering & behörigheter
+
+Archivum stöder tre inloggningssätt:
+
+- **SSO via Authentik (OIDC)** — rekommenderat. Användare loggar in genom
+  Authentik (som i sin tur autentiserar mot LDAP). Grupp-medlemskap avgör roll
+  och åtkomst. Se [`docs/AUTHENTIK_SETUP.md`](docs/AUTHENTIK_SETUP.md).
+- **Lokala konton** — skapas i setup-guiden och i admin-panelen (bcrypt).
+- **Publik användare** — anonym, väljs på login-sidan; ser bara det admin delat.
+
+**Roller:** medlemmar i gruppen `Archivum-admin` är administratörer (ser/gör allt,
+administrerar sidan). Alla andra styrs av åtkomstreglerna.
+
+**Åtkomstmodell:** per sökväg (dokument eller mapp) tilldelar admin `allow`/`deny`
+till användare och grupper. Standard är **deny**; en `allow` ger tillgång, en
+`deny` vinner alltid. Reglerna kombineras över användarens alla grupper och
+överliggande mappar. Hanteras under **Admin Settings → Access Control**.
+
+## Automatiskt bygge (Gitea Actions)
+
+Vid push till `main` bygger den självhostade Gitea-runnern (arm64, på Pi5)
+imagen och pushar den till registryn:
+
+```
+localhost:5000/archivum:latest
+localhost:5000/archivum:<commit-sha>
+```
+
+Workflow: [`.gitea/workflows/build.yaml`](.gitea/workflows/build.yaml). Deploya
+sedan `localhost:5000/archivum:latest` från din compose-stack på Pi5.
+
 ## Dokumentformat
 
 Alla dokument skrivs i [AsciiDoc](https://asciidoc.org/). Exempeldokument: