feat: integrate upload-platform v0.2.2 into drhider (v0.0.78)

- Update upload/ module to v0.2.2 with modular Layer 1 (FilePicker) and Layer 2 (Streaming transit upload)
- Replace legacy manual file table in site/templates/index.html with FilePicker.initFilePicker
- Wire uploadViaVM with per-file status updates and abort signal support
- Add dist bundles to dist/ and site/static/dist/ with routes in site/routes/main_bp.py
- Add test_hardening.py and test_safe_name.py from upload-platform
- Bump version to 0.0.78 in site/app.py
- Document integration plan and report in History/upload-integration/

upload/frontend/table/on_files_change.js

@@ -1,56 +1,72 @@
-// Обработчик <input type="file" multiple> change: дедуп + раскрытие ZIP + фильтр.
-// Экспортируется и чистая логика добавления массива файлов (addFiles),
-// и фабрика обработчика для input (makeFilesChangeHandler).
-
 import { listZipFiles } from '../zip/list_zip_files.js';
 import { addFileWithDedup } from './add_file_with_dedup.js';
 import { render } from './render.js';
 
-// Добавить массив файлов в список (дедуп + раскрытие ZIP + лимиты).
-// files: File[]. els.fileInput — для синхронизации input.files (DataTransfer),
-// чтобы повторный выбор того же файла сработал. onStatus(cls, text) — колбэк сообщений.
-export async function addFiles(state, cfg, files, els, onStatus) {
-  const incoming = Array.from(files);
-  const hasZip = incoming.some(f => f.name.toLowerCase().endsWith('.zip'));
-  if (hasZip) {
-    document.body.style.cursor = 'wait';
-    if (onStatus) onStatus('progress', 'Разбираю архивы…');
-  }
-  try {
-    for (const f of incoming) {
-      if (f.name.toLowerCase().endsWith('.zip')) {
-        try {
-          const nested = await listZipFiles(f, cfg.allowedExt);
-          if (nested.length) nested.forEach(x => addFileWithDedup(state, x, cfg));
-          else addFileWithDedup(state, f, cfg);  // в архиве нет документов — архив как есть
-        } catch (err) {
-          addFileWithDedup(state, f, cfg);  // не удалось распаковать — zip как есть
-        }
-      } else {
-        addFileWithDedup(state, f, cfg);
+/**
+ * Обрабатывает список файлов из обычного file input.
+ *
+ * @param {{fileKeys: Set<string>, nodes: Array, busy: boolean}} state Состояние picker.
+ * @param {{allowedExt: string[]}} cfg Конфигурация разрешённых расширений.
+ * @param {FileList|File[]} files Выбранные browser File objects.
+ * @param {{tableBodyEl: HTMLElement, countEl: HTMLElement}} elements DOM-элементы вывода.
+ * @returns {Promise<void>} Завершается после разбора всех ZIP и перерисовки таблицы.
+ *
+ * Обычные документы добавляются сразу. ZIP читаются асинхронно в браузере;
+ * ошибка одного архива не отменяет обработку остальных выбранных файлов.
+ */
+export async function addFiles(state, cfg, files, elements) {
+  for (const file of Array.from(files)) {
+    if (!file.name.toLowerCase().endsWith('.zip')) {
+      // Фильтр повторяет accept в HTML, потому что accept не является защитой API.
+      if (!cfg.allowedExt.some((extension) => file.name.toLowerCase().endsWith(extension.toLowerCase()))) {
+        continue;
       }
+      // Обычный файл получает имя как путь: у file input нет относительного пути.
+      addFileWithDedup(state, {
+        id: crypto.randomUUID(), kind: 'file', name: file.name, path: file.name,
+        file, children: [], expanded: true,
+      });
+      continue;
     }
-  } finally {
-    if (hasZip) {
-      document.body.style.cursor = '';
-      if (onStatus) onStatus('', '');
+    try {
+      // listZipFiles возвращает дерево только с разрешёнными leaf-файлами.
+      const zipTree = await listZipFiles(file, cfg.allowedExt, cfg.limits);
+      if (zipTree) addFileWithDedup(state, zipTree);
+    } catch (error) {
+      // Битый или небезопасный ZIP пропускается, чтобы не блокировать picker.
+      if (typeof cfg.onError === 'function') {
+        cfg.onError(error, file);
+      } else if (elements.statusEl) {
+        elements.statusEl.textContent = `Ошибка чтения архива ${file.name}: ${error.message}`;
+      }
+      continue;
     }
   }
-  // Синхронизировать input.files — чтобы повторный выбор того же файла сработал
-  if (els && els.fileInput && els.fileInput.files) {
-    const d = new DataTransfer();
-    state.files.forEach(f => d.items.add(f));
-    els.fileInput.files = d.files;
-  }
-  render(state, els, cfg);
+  // Единая перерисовка после всей пачки предотвращает промежуточные состояния UI.
+  render(state, elements, cfg);
 }
 
-// Фабрика обработчика change для <input type="file">.
-// ctx = { state, cfg, els, onStatus }
-export function makeFilesChangeHandler(ctx) {
-  const { state, cfg, els, onStatus } = ctx;
-  return () => {
-    if (state.busy) return;  // во время загрузки/обработки менять список нельзя
-    addFiles(state, cfg, els.fileInput.files, els, onStatus);
+/**
+ * Создаёт обработчик change для обычного выбора файлов.
+ *
+ * @param {object} state Состояние picker, включая флаг busy.
+ * @param {object} cfg Конфигурация picker.
+ * @param {object} elements DOM-элементы picker.
+ * @returns {Function} Async-обработчик для addEventListener('change', ...).
+ *
+ * busy устанавливается синхронно до первого await. Поэтому второе быстрое
+ * событие выбора не запускает параллельный разбор и не меняет дерево конкурирующе.
+ */
+export function onFilesChange(state, cfg, elements) {
+  return async () => {
+    if (state.busy) return;
+    state.busy = true;
+    try {
+      await addFiles(state, cfg, elements.fileInputEl.files, elements);
+    } finally {
+      // Даже исключение вне внутреннего ZIP-catch не оставляет picker заблокированным.
+      elements.fileInputEl.value = '';
+      state.busy = false;
+    }
   };
-}
+}