feat: Betrieb hinter einem Anmelde-Proxy, Schlüssel für die App-Liste

Marc stellt Pangolin davor und will keinen zweiten Anmeldeschirm.

- HONEYOS_PROXY_AUTH=true: HoneyOS prüft nicht mehr selbst, der Start sagt
  deutlich, dass der Container dann nur über den Proxy erreichbar sein darf.
  Mit HONEYOS_USER_HEADER bekommt jeder Name seine eigenen Einstellungen.
- HONEYOS_APPS_KEY schützt /api/apps. Nötig, weil HoneyOS auf einer anderen
  Site liegt als die Apps (duckdns.org steht auf der Public-Suffix-Liste) –
  der Browser schickt die Sitzung dort nicht mit, und der Pfad muss im Proxy
  von der Anmeldung befreit sein.

Beim Durchspielen mit zwei echten Hostnamen fiel ein Loch auf: Ohne eigene
Anmeldung gilt jede Anfrage als angemeldet, also gab der Rückfall auf diese
Prüfung die Liste an jeden heraus – auch ohne oder mit falschem Schlüssel.
Der Rückfall greift jetzt nur noch, wo es wirklich eine Sitzung geben kann.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

auth.go

@@ -109,9 +109,18 @@ func (a *Auth) clearSession(w http.ResponseWriter, r *http.Request) {
 }
 
 // SubFromRequest liest die Sitzung. Zweiter Rückgabewert sagt, ob sie gilt.
+//
+// Ohne eigene Anmeldung (Proxy davor oder offener Betrieb) gilt jede Anfrage
+// als angemeldet — die Prüfung hat dann jemand anders gemacht, oder es gibt
+// keine. Nennt der Proxy einen Namen, bekommt der seine eigenen Einstellungen.
 func (a *Auth) SubFromRequest(r *http.Request) (string, bool) {
 	if !a.Enabled() {
-		return localSub, true // offener Betrieb, siehe Config.Open
+		if a.cfg.UserHeader != "" {
+			if u := strings.TrimSpace(r.Header.Get(a.cfg.UserHeader)); u != "" {
+				return "proxy:" + u, true
+			}
+		}
+		return localSub, true
 	}
 	c, err := r.Cookie(sessionCookie)
 	if err != nil {