auth: OIDC/lokal inloggning + device-flow för klienter, sessioner per användare

Ersätter den delade AGENT_HELM_TOKEN med en riktig auth-modell:

- Webben loggar in med lokala konton ELLER OIDC (Authentik/Keycloak/…), valt
  per server. Inloggning ger en HMAC-signerad cookie; WS autentiseras via cookien.
- Klienten (daemon) kopplas via device-flödet (RFC 8628-likt): `agent-helm connect`
  skriver ut en URL, du loggar in + godkänner i webben, och får ett klient-token
  som identifierar din användare. Token sparas i ~/.config/agent-helm/.
- Sessioner är per användare (web ser bara sina egna; admin ser alla). Flera
  klient-instanser = flera parallella sessioner; --new tvingar ny, annars resume.
- Identitet är utbytbar (lokal/OIDC) men device-flödet + sessionerna är alltid
  agent-helms egna → funkar för vem som helst som hostar detta, med eller utan IdP.
- Bootstrap-admin via env (engångs) eller first-run-setup i UI:t. Klient-creds
  kan listas/återkallas; minimal admin-UI (skapa användare, konfigurera OIDC).

Nya filer: server/store.ts (JSON-store, scrypt, cookies), server/oidc.ts
(auth-code+PKCE), web/lib/api.ts. Verifierat end-to-end lokalt (login → device
→ approve → daemon-WS → web ser sessionen; web utan cookie nekas).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01U68YyHsxU91ecsen84WQV4

deploy/agent-helm.compose.yaml

@@ -3,8 +3,13 @@
 # Uppdatera till senaste: Dockge -> denna stack -> "Update" (pull + recreate).
 #
 # Lägg i /srv/dockge-staks/agent-helm/ och starta i Dockge.
-# Sätt en stark token i stackens .env (Dockge: env-flik):
-#   AGENT_HELM_TOKEN=<lång-slumpad-hemlighet>
+# Sätt hemligheter i stackens .env (Dockge: env-flik) — INTE i denna fil:
+#   AGENT_HELM_ADMIN_PASSWORD=<starkt-lösen, engångs vid första start>
+#   AGENT_HELM_SECRET=<lång slump, cookie-HMAC>
+#   (om OIDC) AGENT_HELM_OIDC_CLIENT_SECRET=<…>
+#
+# Auth: ingen delad token. Webben loggar in (lokalt konto eller OIDC); klienten
+# kopplas via device-flödet. Ta bort AGENT_HELM_ADMIN_* efter första inloggning.
 x-dockge:
   urls:
     - https://rcai.brasse-pc.eu
@@ -17,9 +22,20 @@ services:
     expose:
       - "8787"                       # NPM binder publikt; ingen host-port behövs
     environment:
-      AGENT_HELM_TOKEN: ${AGENT_HELM_TOKEN}
       PORT: "8787"
       DATA_DIR: /app/data
+      AGENT_HELM_PUBLIC_URL: https://rcai.brasse-pc.eu
+      AGENT_HELM_AUTH: ${AGENT_HELM_AUTH:-local}     # local | oidc
+      AGENT_HELM_SECRET: ${AGENT_HELM_SECRET:-}      # cookie-HMAC (sätts i .env)
+      # Bootstrap-admin (engångs): seedar första kontot. Ta bort efter inloggning.
+      AGENT_HELM_ADMIN_USER: ${AGENT_HELM_ADMIN_USER:-}
+      AGENT_HELM_ADMIN_PASSWORD: ${AGENT_HELM_ADMIN_PASSWORD:-}
+      # OIDC (om AGENT_HELM_AUTH=oidc) — kan även sättas i admin-UI:t
+      AGENT_HELM_OIDC_ISSUER: ${AGENT_HELM_OIDC_ISSUER:-}
+      AGENT_HELM_OIDC_CLIENT_ID: ${AGENT_HELM_OIDC_CLIENT_ID:-}
+      AGENT_HELM_OIDC_CLIENT_SECRET: ${AGENT_HELM_OIDC_CLIENT_SECRET:-}
+      AGENT_HELM_OIDC_LABEL: ${AGENT_HELM_OIDC_LABEL:-Logga in med Authentik}
+      AGENT_HELM_OIDC_GROUP: ${AGENT_HELM_OIDC_GROUP:-}
     volumes:
       # Host-mountad config/data enligt övriga appars konvention (/srv/docker/<stack>).
       # Containern kör som uid 1000 (node) = brasse på host, så filer blir brasse-ägda.