Дмитрий
f78a85595c
fix(http): IP allowlist fail-closed в production env (Plan 2.6 #ii)
Закрывает CV.11 audit WARN #5 (пустой supplier_ip_allowlist '[]' = fail-open
на production — любой IP пропускается).
Изменение: SupplierWebhookController::verifyIpAllowlist — пустой allowlist
возвращает true только если env != production. На production пустой allowlist
блокирует (404). На dev/testing fail-open сохраняется (для localhost development).
TDD: +2 теста (production env empty → 404; testing env empty → 202).
Inline-warning header обновлён.
phpstan-baseline: count: 6 → 8 (postJson() Pest TestCall PhpDoc-quirk).
Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>