feat(auth): JWT scope authorization (@nstart/auth контракт)

Новый модуль ordinis-auth:
- OrdinisAuthProperties — public-key, issuer, requireAuthentication, allowQueryScope
- ScopeContext — резолвит current scopes из JWT claim 'scopes' (приоритет),
  потом legacy ?as_scope=, потом anonymous=PUBLIC
- SecurityConfig — Spring Security OAuth2 Resource Server + RSA public-key
  decoder. Если public-key пуст — JWT validation отключён (permissive
  fallback); rollout без auth-сервера не ломает API.

Read controller теперь делегирует scope resolution в ScopeContext вместо
прямого парсинга ?as_scope=. Backward compat: legacy query параметр
работает пока ordinis.auth.allow-query-scope=true (по умолчанию true в
dev/staging, false в prod после интеграции с @nstart/auth).

Vault: public-key читается из secret/ordinis/cuod/jwt-public-key (key=key).
Spring Cloud Vault flatten'ит в property 'key', resolved в
ordinis.auth.public-key=${key:}.

ordinis-app/src/main/resources/application.yml

@@ -158,3 +158,11 @@ spring:
     hibernate:
       ddl-auto: none
     open-in-view: false
+
+# Auth (см. ordinis-auth: SecurityConfig). public-key из Vault.
+ordinis:
+  auth:
+    public-key: ${key:}
+    issuer: ${jwt-issuer:}
+    require-authentication: ${ORDINIS_AUTH_REQUIRED:false}
+    allow-query-scope: ${ORDINIS_AUTH_ALLOW_QUERY_SCOPE:true}