feat: trust X-Remote-User only from the proxy (HADO_TRUSTED_PROXIES); open tailnet inbound for the agent

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BCrwHHnGCB5XH968Nxokqw

core/config/hado.php

@@ -4,6 +4,8 @@ return [
     'default_tz' => env('HADO_DEFAULT_TZ', 'UTC'),
     // Только для APP_ENV=local: логин, который подставляется вместо X-Remote-User, если заголовка нет.
     'dev_user' => env('HADO_DEV_USER', ''),
+    // Откуда верим X-Remote-User: loopback и докер-мосты (Caddy заходит через docker-proxy с адреса шлюза).
+    'trusted_proxies' => array_map('trim', explode(',', env('HADO_TRUSTED_PROXIES', '127.0.0.0/8,172.16.0.0/12'))),
     'presence_timeout' => (int) env('HADO_PRESENCE_TIMEOUT', 2),
     'presence_ttl' => 60,
     'fallback_day_minutes' => (int) env('HADO_FALLBACK_DAY', 30),