feat(update): обновления с сервера лицензий по лицензии установки

- по умолчанию https://lic.zetit.ru/updates; клиент артефактории передаёт лицензионный
  токен установки (Authorization: Bearer), сервер отдаёт модули по признакам лицензии
- компоненты получили признак лицензии (ядро и криптосервис — updates, ЛК — web-cabinet,
  НПР — npr, экспорт QUIK — quik-export)
- в bj зашит открытый ключ подписи релизов (закрытый хранится вне сервера лицензий)
- проверено сквозной установкой bj-lk 0.2.0 из канала beta

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

internal/lkgateway/updater.go

@@ -27,13 +27,16 @@ import (
 var BuildVersion = "0.1.0"
 
 // DefaultUpdatePublicKey — публичный ключ артефактории, зашитый в релиз.
-// Пустой в исходниках; подставляется при официальной сборке. Если задан в
+// Открытая часть ключа подписи релизов. Если задан в
 // настройках (UpdateSettings.PublicKey) — приоритет у настроек (для проверки
 // в bj; root-установщик верит только /etc/bj/update.pub).
-var DefaultUpdatePublicKey = ""
+var DefaultUpdatePublicKey = "GHC/gJdQOAEVuBmq8pRpfG+CoIwtcjpNlSf6bPFtr/Y=" // ~/keys/release-signing.pub (закрытый ключ хранится вне сервера лицензий)
 
 const updateStagingDir = "/var/lib/bj/update-staging"
 
+// DefaultUpdateURL — сервер обновлений по умолчанию (встроен в сервер лицензий).
+const DefaultUpdateURL = "https://lic.zetit.ru/updates"
+
 type Updater struct{ rc *RuntimeConfig }
 
 func NewUpdater(rc *RuntimeConfig) *Updater { return &Updater{rc: rc} }
@@ -55,14 +58,23 @@ func (u *Updater) updateClient() (*release.Client, error) {
 	if pub == "" {
 		pub = DefaultUpdatePublicKey
 	}
-	if cfg.BaseURL == "" || pub == "" {
-		return nil, fmt.Errorf("обновления не настроены (нужны URL артефактории и публичный ключ)")
+	base := cfg.BaseURL
+	if base == "" {
+		base = DefaultUpdateURL
+	}
+	if pub == "" {
+		return nil, fmt.Errorf("обновления не настроены: в этой сборке нет открытого ключа подписи релизов")
 	}
 	channel := cfg.Channel
 	if channel == "" {
 		channel = "stable"
 	}
-	return release.NewClient(cfg.BaseURL, channel, pub)
+	cl, err := release.NewClient(base, channel, pub)
+	if err != nil {
+		return nil, err
+	}
+	cl.Token = strings.TrimSpace(u.rc.Snapshot().License.Key) // лицензионный токен установки
+	return cl, nil
 }
 
 // CheckForUpdate — манифест и состояние каждого компонента.

internal/lkgateway/web/templates/admin_setup.html

@@ -947,10 +947,10 @@
 
     <div class="card">
       <h2><span class="dot {{if .Settings.Update.BaseURL}}ok{{else}}warn{{end}}"></span>Источник обновлений</h2>
-      <p class="muted">Артефактория раздаёт подписанные релизы. Обновления проверяются по подписи Ed25519 и sha256 — без валидной подписи установка не выполняется.</p>
+      <p class="muted">Обновления раздаёт сервер лицензий по лицензии этой установки: модуль скачивается, только если он входит в лицензию. Каждый релиз проверяется по подписи Ed25519 и контрольным суммам, без действительной подписи установка не выполняется.</p>
       <form method="post" action="/admin/setup/update" style="margin-top:12px;display:grid;gap:10px;max-width:680px">
         <label>URL артефактории</label>
-        <input type="text" name="base_url" value="{{.Settings.Update.BaseURL}}" placeholder="https://updates.example.com">
+        <input type="text" name="base_url" value="{{.Settings.Update.BaseURL}}" placeholder="https://lic.zetit.ru/updates (по умолчанию)">
         <label>Канал</label>
         <select name="channel">
           <option value="stable" {{if eq .Settings.Update.Channel "stable"}}selected{{end}}>stable — стабильный</option>