feat(web): Remote-Web-UI mit Mikrofon + Forward-Auth (YunoHost-SSO)

- Minimale Web-UI (app/web/, vanilla, same-origin -> kein CORS): Text-Prompt +
  Mikrofon-Button (Aufnahme im Browser -> /ws/voice -> Antwort wird vorgelesen),
  Token-Streaming, PCM-Wiedergabe, Identitaet/Logout/Admin im Menue
- Forward-/Trusted-Header-Auth (app/auth.py): Identitaet aus SSO-Header, nur von
  TRUSTED_PROXY_IPS akzeptiert; sonst Token/Anonymous-Fallback. Auto-Provisioning
  via store.get_or_create_user_by_external_id (+ external_id-Spalte/Migration)
- /api/me um is_admin + sso_logout_url erweitert; GET /api/admin/users (Liste) und
  GET /api/admin/request-headers (SSO-Header-Discovery), Admin-gated
- StaticFiles-Mount; Config: TRUSTED_AUTH_HEADER/_PROXY_IPS, ADMIN_USERS, SSO_LOGOUT_URL
- WS-Auth liest Identitaet aus dem Handshake-Header
- Deploy: nginx-Vorlage (WS-Upgrade!) + deploy/README.md (HTTPS/SSO/Firewall/Discovery)
- Tests: Forward-Auth (Provisioning, Admin-Flag, Proxy-IP-Trust, 401/403, Static)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

app/config.py

@@ -141,6 +141,14 @@ class Settings(BaseSettings):
     db_path: str = str(BASE_DIR / "data" / "voice-assistant.db")
     admin_api_key: str = ""
     auth_enabled: bool = True
+    # --- Forward-/Trusted-Header-Auth (Reverse-Proxy / YunoHost-SSO) ---------
+    # Ist trusted_auth_header gesetzt UND die Quell-IP in trusted_proxy_ips, wird die
+    # Identitaet aus diesem Header gelesen (SSO-User) und ein interner Nutzer
+    # automatisch angelegt. Sonst gilt die normale Token-/Anonymous-Auth.
+    trusted_auth_header: str = ""
+    trusted_proxy_ips: str = ""        # kommasepariert; IP(s) des Reverse-Proxys
+    admin_users: str = ""             # kommaseparierte SSO-Usernamen mit Admin-Rechten
+    sso_logout_url: str = ""          # Logout-Link fuers Frontend (SSO-Portal)
     history_max_messages: int = 10
     # Automatische Erinnerungs-Extraktion: das LLM destilliert dauerhafte Fakten
     # aus dem Gespraech und legt sie als Nutzer-Erinnerungen ab (best-effort,