Вебхуки gnexus-auth: POST /auth/webhooks с HMAC-верификацией через gnexus-gauth ...

- секрет в GAUTH_WEBHOOK_SECRET (env); 503 без секрета, 400 при битой подписи
- события user.*/role.*/client.*/webhook.test логируются (база для
  инвалидации кэша userinfo при появлении кэша)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SSO через gnexus-auth-client-py: OAuth-поток на сервере, без ввода токенов в UI ...

- /auth/login: state+PKCE в Redis (переживает рестарты), redirect на authorize
- /auth/callback: обмен кода, проверка system_role до выдачи токена,
  не-админу access-токен сразу revoke; токены в URL-фрагменте
- /auth/refresh и /auth/revoke; SPA: кнопка входа, /oauth/callback,
  тихий refresh по 401, логаут
- креды только из env (GAUTH_*), GAUTH_VERIFY_TLS для self-signed в LAN

Co-Authored-By: Claude Code <noreply@anthropic.com>

Каркас #33: FastAPI + Celery + Postgres в докере, Vue 3 SPA на gnexus-ui-kit ...

- FastAPI: healthz/readyz, Swagger на /api/docs, раздача SPA-статики из того же контейнера
- Гейт админки по ролям gnexus-auth (opaque-токены, userinfo, admin/superadmin, 401/403)
- Celery-воркер (redis broker) с каркасной задачей synapse.ping
- Alembic настроен на DATABASE_URL из .env, миграций пока нет (#34)
- docker-compose: api, worker, postgres, redis — одна команда, миграции при старте
- frontend: Vue 3 + Vite + gnexus-ui-kit (git-зависимость), вход-заглушка dev, дашборд, denied-экран

Co-Authored-By: Claude Code <noreply@anthropic.com>