perf(api): кэш профиля и конфигурации, лимитер argon2, SHA-256 для client secret, trust proxy

apps/api/src/lib/audit.ts

@@ -5,10 +5,7 @@ import {
 } from '@authportal/db'
 
 export function clientIp(request: FastifyRequest): string | null {
-  const forwarded = request.headers['x-forwarded-for']
-  if (typeof forwarded === 'string' && forwarded.trim()) {
-    return forwarded.split(',')[0]?.trim() ?? null
-  }
+  // request.ip учитывает X-Forwarded-For только от доверенных прокси (TRUST_PROXY).
   return request.ip ?? null
 }