move session init into utils, re-fetch session after login

first step in making the authorize target work correctly, move check for secure connection into utils

log failures and some other actions

actually use the on-disk site-specific nonce to 'pepper' passwords before hashing so that stealing the database won't even reveal weak passwords

convert AuthUtils to a non-static class and instantiate it as an object, support site-wide nonces in settings

move password functions into utils class

move helper functions to an abstract class

make password reset work and verify timecodes

make password change work and add a time-based code to our forms (still needs to be verified)

make creating users and verifying emails actually work

require JS, set cookies, make parts of login flow work

some steps to get an actual authentication going, consolidate includes, put DB configuration into /etc to not expose password

add example files to auth server