contracts/History/sonnet-audit-request.md

Аудит для Sonnet — пофайловый разбор

Ты должен прочитать КАЖДЫЙ файл из списка ниже и выдать по нему детальный отчёт.

Формат отчёта ПОФАЙЛОВО

Для каждого файла:

### convert_server.py
| Строка | Тип | Серьёзность | Что не так | Как исправить |
|--------|-----|-------------|------------|---------------|
| 242    | dead code | low | Дубликат _handle_cleanup | Удалить второй |

После пофайлового разбора — СВОДНАЯ ТАБЛИЦА всех проблем по серьёзности: critical → high → medium → low.

---

Файл 1: contractor/deploy/convert_server.py

Что это: HTTP роутер на http.server + ThreadingMixIn. Все endpoint'ы приложения.

Что смотреть:

• ВСЕ do_GET, do_POST, do_DELETE — правильная диспетчеризация? Нет мёртвых путей?
• _handle_process_v2 — валидация UUID? SSE корректно закрывается при ошибке? Утечка соединений?
• _handle_upload — размер тела? Content-Type проверка? Таумаут?
• _handle_cleanup — ДВА определения (строки ~242 и ~255). Второй перекрывает первый. Dead code. Порядок DELETE правильный?
• _handle_api_sync — читает JSON body. Что если тело пустое/битое? Что если keep_ids содержит 10000 id? Нет лимита.
• _handle_api_document — doc_id из URL без валидации UUID → psycopg2.InvalidTextRepresentation на "fake-id".
• _handle_api_document_delete — cascade порядок: spec_current → spec_events → supplements → document. Правильный?
• _handle_classify_batch — batch_id из JSON без валидации UUID.
• _handle_apply_groups — валидация структуры groups?
• _handle_api_prompts_* — role из query params без валидации.
• _json() — экранирует ли спецсимволы в данных?
• _sse() — f-string с json.dumps. Данные от LLM могут содержать спецсимволы.
• Импорт execute на строке 12 — не конфликтует с другими импортами?
• ALTER TABLE ADD COLUMN IF NOT EXISTS — права на DDL? Идемпотентно?
• CORS — _send_cors() вызывается везде? OPTIONS?

---

Файл 2: contractor/deploy/app.js

Что это: Весь фронтенд (42KB). Загрузка, классификация, группы, сравнение, промпты.

Что смотреть:

• fileQueue, contractId, batchId — глобальные. Где расходятся с сервером?
• renderTable() — innerHTML из fileQueue[].name, fileQueue[].status. XSS?
• fileInput change — гонка удаления старых + upload новых?
• syncDB() — fire-and-forget, без await, без проверки ответа.
• runClassify() — утечка таймеров при ошибке?
• loadGroups() — ЕДИНСТВЕННОЕ место где diffBody. Больше никто не должен.
• runCompareForGroup() — compareCard. Все ссылки compareBody/compareStatus?
• llmBtn — compareCard. То же.
• SSE handler'ы — ДВА почти идентичных. Дублирование.
• showText() — escHtml(classify_raw) ок, но counterparty, own_number — НЕ экранированы! XSS.
• escHtml() — экранирует <>&"'?
• stepDone/Active/resetStepper — innerHTML через replace. Спецсимволы в id?
• window._groupsData — устаревает после remove→re-classify. runCompareForGroup использует индекс.
• showClassifyBtn() — идемпотентно?
• lucide.createIcons() — не ломает onclick?

---

Файл 3: contractor/deploy/app_utils.js

Что это: Утилиты: форматирование, removeFile, escHtml, модалки.

Что смотреть:

• removeFile() — syncDB+resetStepper+showClassifyBtn через typeof. Если нет — молча.
• formatDate(), formatSize() — null/undefined safe?
• escHtml() — все опасные символы: < > & " '?
• moveUp/Down — не вызывают syncDB (правильно, состав не меняется).

---

Файл 4: contractor/deploy/services/classify.py

Что это: LLM-классификация. ThreadPoolExecutor, выжимка, вызов LLM.

Что смотреть:

• classify_batch() — reset + list_pending. Гонка между ними?
• _classify_one() — _smart_extract может упасть до LLM. Обрабатывается?
• _smart_extract() — неожиданная структура elements_json?
• _call_llm_classify() — httpx verify=False. MITM уязвимость.
• _safe_json_parse() — edge cases: Null/None, числа без кавычек, пустой ответ.
• MAX_WORKERS=4 — 4 одновременных запроса создают каждый свой пул?
• LLM_KEY из env — если не задан?
• API key в коде? (берётся из env, ок)

---

Файл 5: contractor/deploy/services/grouping.py

Что это: Группировка документов по контрактам + виртуальные группы.

Что смотреть:

• group_documents() — виртуальные группы: что если parent_number и own_number оба null?
• Коллизия normalize_number: разные номера → одинаковый нормализованный.
• Сортировка по doc_date: None у всех → нестабильный порядок.
• apply_groups() — нет проверки на существующий contract (дубликат при повторе).
• supplements_list.remove(s) внутри цикла for — может пропускать элементы.

---

Файл 6: contractor/deploy/services/process.py

Что это: SSE пайплайн сравнения.

Что смотреть:

• run_pipeline() — битая ссылка supplement→document? timeout? retry?
• call_llm() — таймаут?
• SSE события — все ли обрабатываются на фронте?

---

Файл 7: contractor/deploy/services/parse.py

Что это: Парсинг PDF/DOCX.

Что смотреть:

• Расширение: .PDF uppercase? Без расширения?
• PDF: битый/зашифрованный → исключение?
• DOCX: .doc (OLE) → исключение?
• Таблицы: пустые, объединённые ячейки?
• file_data = None?

---

Файл 8: contractor/deploy/services/upload.py

Что это: Multipart загрузка через cgi.FieldStorage.

Что смотреть:

• cgi.FieldStorage deprecated. Большие файлы?
• content_length — отрицательное/огромное → rfile.read?
• filename — path traversal (../../etc/passwd)?
• 100MB файл → весь в памяти.
• contract_id без валидации → SQL.
• delete_by_document до создания нового → исключение = потеря старого без создания нового.
• base64 → +33% размер.

---

Файл 9: contractor/deploy/db/connection.py

Что это: ThreadedConnectionPool.

Что смотреть:

• DB_PASS из env, пустой → ошибка подключения.
• minconn=1, maxconn=10 — достаточно?
• getconn/putconn всегда в finally?
• _connection глобальная — сервер не стартует без БД.

---

Файл 10: contractor/deploy/db/documents.py

Что это: CRUD documents + classify_raw.

Что смотреть:

• insert() — все параметры через %s?
• set_classification() — classify_raw=None → NULL.
• set_classify_failed() — не чистит старые поля классификации.
• delete() — без cascade!
• get() — SELECT *, может вернуть base64 original_bytes.

---

Файл 11: contractor/deploy/db/supplements.py

Что это: CRUD supplements + cascade.

Что смотреть:

• delete_by_document() — spec_current WHERE contract_id удаляет ВСЁ для контракта. Если несколько supplements → остальные теряют spec_current.
• list_by_contract() — orphan supplements игнорируются.
• insert() — нет FK проверки.

---

Файл 12: contractor/deploy/db/contracts.py

Что это: CRUD contracts.

Что смотреть:

• insert() — нет уникальности, можно дубликат.
• delete_orphaned() — вызывается? Где?

---

Файл 13: contractor/deploy/db/spec_events.py

Что это: Event Sourcing.

Что смотреть:

• get_next_seq() — MAX(seq)+1. Гонка! Два потока → одинаковый seq.
• reset() — необратимо.
• apply_ops() — валидация структуры?

---

Файл 14: contractor/deploy/db/spec_current.py

Что это: Текущая спецификация.

Что смотреть:

• Кто обновляет spec_current после удаления spec_events?
• get_elements_json() — где используется?

---

Файл 15: contractor/deploy/db/prompts.py

Что это: CRUD промптов с версионированием.

Что смотреть:

• seed_defaults() — if count>0: return — если есть extract но нет classify → classify не создастся.
• _ensure_classify_prompt() — отдельный механизм, почему?
• save_new_version() — UPDATE+INSERT не атомарно. Гонка.
• activate() — гонка.
• delete_prompt() — проверка is_active потом DELETE. Гонка.
• _serialize() — мутирует словарь.

---

Файл 16: contractor/deploy/llm_prompt.py

Что это: Билдер промптов.

Что смотреть:

• build_prompt() — f-string с данными парсинга. Безопасно?
• _fetch_prompt() — HTTP к Lucee. Таймаут? Fallback при недоступности?
• build_classify_prompt() — прямой доступ к БД, не через HTTP. Почему?
• FALLBACK_* хардкод — дублирование с БД.

---

Файл 17: contractor/index.cfm

Что это: HTML-оболочка.

Что смотреть:

• ?v=1.0.175 хардкод — менять при каждом обновлении JS.
• pipelineStepper — ○⏳✓ через replace. Надёжно?
• XSS через prompt body в textarea/div?
• Z-index конфликты модалок?
• inline onclick — ломаются при перезагрузке JS?

---

СВОДНАЯ ТАБЛИЦА (выдать после пофайлового разбора)

#	Файл:строка	Серьёзность	Тип	Описание	Как исправить

ТОП-5 (срочно)

5 проблем, которые надо чинить прямо сейчас.