Document clean-pdf state, correct SSRF limits and prod gate

Audit of the shipped Chistyy PDF feature against the actual code found
three documentation defects and one misplaced gate:

- The SSRF write-up understated the hole. assertPublicUrl resolves DNS
  exactly once, for the initial URL; the in-browser filter never resolves
  hostnames at all. Any new hostname after the first navigation (redirect,
  subresource, fetch, ws://) goes unchecked - a DNS rebind is not even
  required. Corrected in TECHNICAL.md and the design spec.
- The prod gate was tied to TOOLBOX_VISIBLE, but /api/pdf sits in
  PUBLIC_ROUTES and authenticates itself, so the feature goes live the
  moment browserless and BROWSER_WS_URL appear on prod - before the flag.
  Gate is now tied to the renderer.
- TECHNICAL.md claimed the browserless port is published on neither
  staging nor prod. It is published on dev/staging (127.0.0.1:3333) and
  the SSH tunnel depends on it.
- AGENTS.md described a src/proxy.ts that does not exist; route protection
  lives in src/middleware.ts.

Also adds a state snapshot (docs/plans) and a "grabli uklada" section to
CLAUDE.md covering the non-obvious conventions already enforced in code:
the two ToolUsage ids, the vitest include pattern, page.pdf() without a
timeout option, context.route not seeing WebSockets, and NEXT_PUBLIC_*
being inlined at build time.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Sy7vY7WQ1A3q1MkgsDd8VB

AGENTS.md

@@ -36,8 +36,7 @@ Production: **https://school.second-brain.ru**
 Эти технологии отличаются от того, что содержится в обучающих данных большинства моделей. **Читай документацию перед написанием кода.**
 
 ### Next.js 16.2.2
-- Используется `proxy.ts` вместо `middleware.ts`
-- Экспортируемая функция называется `proxy`, не `middleware`
+- Защита маршрутов — `src/proxy.ts` **НЕ существует**: весь код в `src/middleware.ts`, экспорт называется `middleware` (проверено 20260912). Next.js 16 поддерживает `proxy.ts`, но в этом проекте он не заведён — не создавать второй файл, править `middleware.ts`
 - Перед написанием кода смотри `node_modules/next/dist/docs/`
 
 ### Tailwind CSS v4
@@ -119,8 +118,7 @@ lms-system/
 │   │   ├── email.ts                # Resend email helpers
 │   │   └── utils.ts                # cn() и утилиты
 │   ├── types/                      # TypeScript-типы
-│   ├── proxy.ts                    # Auth middleware (защита маршрутов)
-│   └── middleware.ts               # Обёртка над proxy
+│   └── middleware.ts               # Auth middleware (защита маршрутов) + PUBLIC_ROUTES
 ├── prisma/
 │   ├── schema.prisma               # Схема БД (~314 строк)
 │   ├── seed.ts                     # Тестовые данные
@@ -142,7 +140,7 @@ lms-system/
 | `curator` | `/curator/*`, `/dashboard` | Проверка ДЗ, комментарии |
 | `student` | `/dashboard`, `/courses/*` | Просмотр курсов, прогресс |
 
-Защита маршрутов — в `src/proxy.ts` + проверка сессии в layout/page.
+Защита маршрутов — в `src/middleware.ts` (массив `PUBLIC_ROUTES`, сверка по `startsWith`) + проверка сессии в layout/page.
 
 ---