feat(auth): store the token signing secret in the metadata layer

- app_settings table (PostgreSQL migration 000010, SQLite 000002)
- internal/settings repository (Get/Set/Ensure) wired into store.Repos
- secret generated with crypto/rand on first start and persisted; reused on restart
- drop required JWT_SECRET from env/config; app.New takes a TokenManager and
  storage.Open takes the resolved secret (URL_SECRET still overrides)
- docs updated

README.md

@@ -30,8 +30,10 @@ cp .env.example .env
 ```
 
 Ключевые переменные: `PG_*`, `S3_*` (обязательны `UsePathStyle=true` и регион
-`garage`), `JWT_SECRET`, `JWT_ACCESS_TTL`, `JWT_REFRESH_TTL`, `HTTP_ADDR`,
-`SSE_HEARTBEAT_INTERVAL`, `SSE_CLIENT_BUFFER`.
+`garage`), `JWT_ACCESS_TTL`, `JWT_REFRESH_TTL`, `HTTP_ADDR`,
+`SSE_HEARTBEAT_INTERVAL`, `SSE_CLIENT_BUFFER`. Секрет подписи токенов не задаётся
+в окружении: он генерируется при первом старте и хранится в слое метаданных
+(`app_settings`).
 
 Слои данных выбираются параметрами (по умолчанию — локальный режим):