feat(astroklient): pule plików per konto i izolacja od produkcji (PRE-29)

Demo ma być rozdawane szeroko i różnym osobom, więc pierwsza wersja — jedno konto
na produkcyjnej warstwie danych — nie nadawała się do użycia: każdy dostawałby
dostęp do oryginalnych baz, a wgrania jednego klienta widzieliby wszyscy.

IZOLACJA OD PRODUKCJI. Warstwa danych i logiczna demo są osobne (manifesty w repo
deploy). Osobna musi być TEŻ LOGICZNA, bo zna ona jeden adres warstwy danych —
demo korzystające z produkcyjnej logiki i tak trafiłoby na produkcyjne bazy.

PULE PER KONTO w warstwie danych. Zapytanie i lista plików niosą nazwę puli;
puste = cały udział, czyli produkcja działa dokładnie jak dotąd i o pulach nic
nie wie. Nazwa puli przechodzi przez sito dopuszczające wyłącznie znaki bezpieczne
w nazwie katalogu — „../..” albo ukośnik wyprowadziłyby zapytanie wprost do cudzych
baz, więc sito ZAMIENIA podejrzane znaki zamiast ufać, że nikt ich nie poda.

PULA MUSI BYĆ W KLUCZU CACHE ZAPYTAŃ. Bez tego wynik policzony dla jednego konta
trafiłby z cache do drugiego — cicha wymiana treści baz między klientami,
niewidoczna w logach i nie do wykrycia z zewnątrz. Osobny test tego pilnuje.

PULA WYNIKA Z LOGINU, nigdy z żądania. Klient warstwy logicznej jest budowany
per żądanie i związany z pulą zalogowanej osoby; gdyby nazwa przychodziła
z formularza, wystarczyłoby podstawić cudzy login. Test wysyła `tenant`, `user`
i `login` w polach formularza i sprawdza, że nie mają na nią wpływu.

Pulę wstrzykujemy w INSTANCJĘ klienta, nie w sygnatury metod. Argumentem trzeba
by ją przeprowadzić przez protokół DataSource i build_report — kod, który o kontach
nie ma prawa nic wiedzieć — a każde nowe wywołanie byłoby okazją, żeby o nią
zapomnieć i sięgnąć nie tam.

Konta demo to lista `login:sekret` (DEMO_USERS), bo jedno wspólne konto oznaczałoby
wspólną pulę. Format i skrypt haseł te same, co w głównej aplikacji.

Pula klienta to JEDEN KATALOG, więc przejście na pełną wersję nie oznacza utraty
wgrań — procedurę importu opisuje runbook w repo deploy.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

services/logic/app/main.py

@@ -133,29 +133,33 @@ def bases() -> dict:
 
 class FilesQuery(BaseModel):
     for_admin: bool = False
+    tenant: str = ""
 
 
 class FileAction(BaseModel):
     path: str
     status: str = ""
     by: str = ""
+    tenant: str = ""
 
 
 class FileUpload(BaseModel):
     filename: str
     content_b64: str
     by: str = ""
+    tenant: str = ""
 
 
 class RulesUpdate(BaseModel):
     rules: dict
+    tenant: str = ""
 
 
-def _files_call(fn, *args, **kw) -> dict:
+def _files_call(fn, *args, tenant: str = "", **kw) -> dict:
     from app.clients.data_client import DataClient
 
     try:
-        return fn(DataClient(), *args, **kw)
+        return fn(DataClient(tenant=tenant), *args, **kw)
     except httpx.HTTPStatusError as e:
         # 422 z warstwy danych to ODMOWA MERYTORYCZNA (np. plik nie przeszedł
         # walidacji), nie awaria — ma dojść do prezentacji jako 422, żeby dało
@@ -175,27 +179,27 @@ def _detail(e: httpx.HTTPStatusError) -> str:
 
 @app.post("/files")
 def files_list(q: FilesQuery) -> dict:
-    return _files_call(lambda c: c.files_list(q.for_admin))
+    return _files_call(lambda c: c.files_list(q.for_admin), tenant=q.tenant)
 
 
 @app.post("/files/status")
 def files_status(a: FileAction) -> dict:
-    return _files_call(lambda c: c.files_status(a.path, a.status, a.by))
+    return _files_call(lambda c: c.files_status(a.path, a.status, a.by), tenant=a.tenant)
 
 
 @app.post("/files/upload")
 def files_upload(u: FileUpload) -> dict:
-    return _files_call(lambda c: c.files_upload(u.filename, u.content_b64, u.by))
+    return _files_call(lambda c: c.files_upload(u.filename, u.content_b64, u.by), tenant=u.tenant)
 
 
 @app.post("/files/delete")
 def files_delete(a: FileAction) -> dict:
-    return _files_call(lambda c: c.files_delete(a.path))
+    return _files_call(lambda c: c.files_delete(a.path), tenant=a.tenant)
 
 
 @app.post("/files/rules")
 def files_rules(u: RulesUpdate) -> dict:
-    return _files_call(lambda c: c.files_rules(u.rules))
+    return _files_call(lambda c: c.files_rules(u.rules), tenant=u.tenant)
 
 
 @app.post("/chart/synastry")
@@ -248,6 +252,10 @@ class ReportRequest(BaseModel):
     lon: float = 0.0
     limit: int = 5000
     group: bool = False          # grupowanie identycznych opisów
+    # Pula konta (PRE-29) — puste = cały udział. Warstwa logiczna niczego tu nie
+    # rozstrzyga, tylko przenosi: kto do jakiej puli ma prawo, wie warstwa
+    # prezentacji, bo to ona zna konta.
+    tenant: str = ""
 
 
 @app.post("/chart/report")
@@ -263,7 +271,7 @@ def chart_report(req: ReportRequest) -> dict:
     chart = build_chart(engine, moment)     # pozycje z domami + aspekty
     try:
         report = build_report(
-            chart["positions"], DataClient(),
+            chart["positions"], DataClient(tenant=req.tenant),
             aspects=chart.get("aspects"), parallels=chart.get("parallels"),
             per_object_limit=req.limit, group=req.group,
         )