feat(auth): JWT scope authorization (@nstart/auth контракт)

Новый модуль ordinis-auth:
- OrdinisAuthProperties — public-key, issuer, requireAuthentication, allowQueryScope
- ScopeContext — резолвит current scopes из JWT claim 'scopes' (приоритет),
  потом legacy ?as_scope=, потом anonymous=PUBLIC
- SecurityConfig — Spring Security OAuth2 Resource Server + RSA public-key
  decoder. Если public-key пуст — JWT validation отключён (permissive
  fallback); rollout без auth-сервера не ломает API.

Read controller теперь делегирует scope resolution в ScopeContext вместо
прямого парсинга ?as_scope=. Backward compat: legacy query параметр
работает пока ordinis.auth.allow-query-scope=true (по умолчанию true в
dev/staging, false в prod после интеграции с @nstart/auth).

Vault: public-key читается из secret/ordinis/cuod/jwt-public-key (key=key).
Spring Cloud Vault flatten'ит в property 'key', resolved в
ordinis.auth.public-key=${key:}.

pom.xml

@@ -24,6 +24,7 @@
     <module>ordinis-validation</module>
     <module>ordinis-events-api</module>
     <module>ordinis-outbox</module>
+    <module>ordinis-auth</module>
     <module>ordinis-rest-api</module>
     <module>ordinis-app</module>
     <module>ordinis-read-api</module>
@@ -78,6 +79,11 @@
         <artifactId>ordinis-outbox</artifactId>
         <version>${project.version}</version>
       </dependency>
+      <dependency>
+        <groupId>cloud.nstart.terravault.ordinis</groupId>
+        <artifactId>ordinis-auth</artifactId>
+        <version>${project.version}</version>
+      </dependency>
       <dependency>
         <groupId>cloud.nstart.terravault.ordinis</groupId>
         <artifactId>ordinis-rest-api</artifactId>