heather: use native Jupyter password login instead of Caddy basic auth

hosts/heather/jupyter.nix

@@ -5,8 +5,8 @@
 # установка не в nix store — пакеты летят из PyPI, пинить нечего.
 #
 # Безопасность: слушает только 127.0.0.1:8890, наружу через Caddy
-# (jupyter.iscg.dev). Caddy basicauth (см. caddy.nix jupyterBasicAuth) +
-# Jupyter token (пасс iscg.dev/jupyter/token, env-файл jupyter-secrets).
+# (jupyter.iscg.dev). Native Jupyter password login (bcrypt-хеш
+# в env-файле jupyter-secrets).
 #
 # Лимиты: MemoryMax 2G, CPUQuota 50% — ноутбук не сможет съесть сервер.
 
@@ -17,8 +17,8 @@ let
   jupyterBin = "${jupyterEnv}/bin/jupyter-lab";
 in {
   # JupyterLab управляет собственным env-файлом? нет — используем
-  # EnvironmentFile с токеном: /var/lib/jupyter-secrets/jupyter.env
-  # (JUPYTER_TOKEN=..., mikl:users 0600)
+  # EnvironmentFile с хешем пароля: /var/lib/jupyter-secrets/jupyter.env
+  # (JUPYTER_PASSWORD_HASH=..., mikl:users 0600)
   systemd.services.jupyterlab = {
     description = "JupyterLab notebook server";
     after = [ "network.target" ];
@@ -40,7 +40,8 @@ in {
           --no-browser \
           --ip=127.0.0.1 \
           --port=8890 \
-          --IdentityProvider.token="$JUPYTER_TOKEN" \
+          --ServerApp.password="$JUPYTER_PASSWORD_HASH" \
+          --IdentityProvider.token="" \
           --ServerApp.allow_remote_access=True \
           --ServerApp.root_dir=/srv/jupyter
       '';