test: add block AE — Go language invoke test

doc: report 2026-04-20, v0.7.6 bugs and fixes
test: блоки U-Z — multi-user concurrency, isolation, cross-user attacks, full cycle (PASS=63/FAIL=0)
2026-04-20 04:54:56 +03:00 · 2026-04-20 04:46:01 +03:00 · 2026-04-19 19:49:27 +03:00 · 2026-04-19 18:41:27 +03:00 · 2026-04-19 17:49:56 +03:00 · 2026-04-19 17:10:01 +03:00
14 changed files with 2255 additions and 363 deletions
@@ -1,223 +1,14 @@
-# Правила работы агента в проекте fission
+# Правила

-## ГЛАВНОЕ ПРАВИЛО
+## ⛔ ОТВЕЧАТЬ КРАТКО — АБСОЛЮТНОЕ ПРАВИЛО
+- Вопрос → короткий ответ → СТОП. Не рассуждать, не исследовать без команды.
+- НЕ делать ничего "попутно" без явной просьбы. Сделал — стоп — ждёшь команды.

-**НЕ "СОВЕРШЕНСТВОВАТЬ" РАБОЧИЙ КОД БЕЗ ЯВНОГО УКАЗАНИЯ.**
+> Подробные правила: [`.github/pravila.md`](pravila.md)

---
-
-## Файловая система и выполнение команд
-
-### Маппинг путей
-
-Локальная папка `~/remote_dev/` примонтирована через sshfs к `~/terra/` на ВМ `5.172.178.213`.
-Это **одна и та же файловая система**:
-
-| Локально (VS Code)              | На ВМ                         |
-|----------------------------------|-------------------------------|
-| `/home/naeel/remote_dev/fission` | `/home/naeel/terra/fission`   |
-| `/home/naeel/remote_dev/sless`   | `/home/naeel/terra/sless`     |
-| `/home/naeel/remote_dev/IoT`     | `/home/naeel/terra/IoT`       |
-
-Любой файл, сохранённый локально через VS Code, **мгновенно виден на ВМ**. SCP не нужен.
-
-### Что можно делать локально
-
- **Редактировать файлы** — через VS Code, replace_string_in_file, create_file и т.д. Изменения сразу на ВМ.
- **Читать файлы** — read_file, grep_search, file_search, semantic_search — всё разрешено.
-
-### Что ЗАПРЕЩЕНО локально
-
-**Все команды выполнять ИСКЛЮЧИТЕЛЬНО через SSH на ВМ:**
-
-```bash
-ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
-```
-
-**Причина:** локально может быть активен VPN, что вызывает сбои при выполнении сетевых команд, обращениях к кластеру, Docker и пр.
-
-Запрещено запускать локально (без ssh):
- `go build`, `go test`, `go mod tidy`
- `docker build`, `docker push`
- `kubectl`, `helm`
- `terraform`
- `curl`, `wget` к кластерным сервисам
- `git push`, `git pull` (git операции — через ssh на ВМ)
- Любые bash-скрипты проекта
-
-### Формат работы
-
-1. Отредактировать файлы локально (VS Code / инструменты агента)
-2. Запустить команды через SSH на ВМ
-3. Ждать результата
-
---
-
-## Документация
-
-Всё важное фиксировать в `doc/`:
- `doc/thinking/` — лог рассуждений агента (обязательно)
- `doc/progress.md` — трекер задач
- Обновлять после каждого значимого изменения.
-
-## Git
-
-Коммитить и пушить после каждого завершённого этапа.
-
-### Версионирование тегами
-
-После каждого коммита с изменениями — поднимать версию тега:
-
-```bash
-# Посмотреть текущий тег
-git describe --tags --abbrev=0 2>/dev/null || echo "v0.0.0"
-
-# Поднять patch-версию (v0.1.0 → v0.1.1, v0.1.1 → v0.1.2 и т.д.)
-git tag vX.Y.Z && git push origin vX.Y.Z
-```
-
-**Правила:**
- Patch (Z) — любое изменение: правка кода, новая функция, фикс
- Minor (Y) — новая фича/компонент (новый ресурс провайдера, новый модуль консоли)
- Major (X) — breaking change
- Тег ставить ПОСЛЕ успешного коммита и пуша
- Формат: `vMAJOR.MINOR.PATCH` (например `v0.2.3`)
-
---
-
-## Как создать и задеплоить новую Fission-функцию через Terraform
-
-### Пошаговая инструкция (ОБЯЗАТЕЛЬНО следовать)
-
-#### Шаг 1: Создать папку с функцией
-
-Создать папку в `examples/` по шаблону. Пример: `examples/my-test/`
-
-Структура:
-```
-examples/my-test/
-├── code/
-│   └── main.py       # Код функции
-└── main.tf            # Terraform манифест
-```
-
-#### Шаг 2: Написать код функции
-
-Файл `code/main.py` — обязательно функция `main()`:
-
-```python
-def main():
-    return "hello from my-test"
-```
-
-Можно сложнее — с аргументами, JSON, вычислениями:
-
-```python
-import json
-
-def main():
-    result = {"status": "ok", "data": [1, 2, 3]}
-    return json.dumps(result)
-```
-
-#### Шаг 3: Написать Terraform манифест
-
-Файл `main.tf` — КОПИРОВАТЬ этот шаблон и менять только имена и URL:
-
-```hcl
-terraform {
-  required_providers {
-    fission = {
-      source  = "nail/fission"
-      version = "~> 0.1.0"
-    }
-  }
-}
-
-provider "fission" {
-  kubeconfig_path = "/home/naeel/.kube/config"
-  namespace       = "default"
-}
-
-resource "fission_environment" "python" {
-  name    = "УНИКАЛЬНОЕ-ИМЯ-env"
-  image   = "ghcr.io/fission/python-env"
-  version = 3
-}
-
-resource "fission_package" "pkg" {
-  name        = "УНИКАЛЬНОЕ-ИМЯ-pkg"
-  environment = fission_environment.python.name
-  source_dir  = "${path.module}/code"
-}
-
-resource "fission_function" "fn" {
-  name         = "УНИКАЛЬНОЕ-ИМЯ-fn"
-  environment  = fission_environment.python.name
-  package_name = fission_package.pkg.name
-  entrypoint   = "main.main"
-}
-
-resource "fission_http_trigger" "route" {
-  name     = "УНИКАЛЬНОЕ-ИМЯ-route"
-  function = fission_function.fn.name
-  url      = "/УНИКАЛЬНЫЙ-URL"
-  methods  = ["GET"]
-}
-```
-
-**ВАЖНО:** Все имена ресурсов (name) должны быть **уникальными** по всему кластеру.
-Используй префикс, например `tf-mytest-env`, `tf-mytest-pkg`, `tf-mytest-fn`, `tf-mytest-route`.
-
-#### Шаг 4: Задеплоить через SSH
-
-```bash
-ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 \
-  'cd ~/terra/fission/examples/my-test && TF_CLI_CONFIG_FILE=/tmp/terraformrc-fission terraform apply -auto-approve'
-```
-
-**ОБЯЗАТЕЛЬНО:**
- Переменная `TF_CLI_CONFIG_FILE=/tmp/terraformrc-fission` — ВСЕГДА нужна (dev override провайдера)
- `terraform init` НЕ нужен (dev_overrides пропускает init)
- Выполнять ТОЛЬКО через SSH
-
-#### Шаг 5: Проверить функцию через curl
-
-Роутер требует JWT. Паттерн:
-
-```bash
-ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 '
-PASSWORD=$(kubectl -n fission get secret router -o jsonpath={.data.password} | base64 -d)
-TOKEN=$(curl -sk -X POST https://fission.kube5s.ru/auth/login \
-  -H "Content-Type: application/json" \
-  -d "{\"username\":\"admin\",\"password\":\"$PASSWORD\"}" \
-  | python3 -c "import sys,json; print(json.load(sys.stdin)[\"accesstoken\"])")
-curl -sk -H "Authorization: Bearer $TOKEN" https://fission.kube5s.ru/УНИКАЛЬНЫЙ-URL
-'
-```
-
-#### Шаг 6: Удалить (если нужно)
-
-```bash
-ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 \
-  'cd ~/terra/fission/examples/my-test && TF_CLI_CONFIG_FILE=/tmp/terraformrc-fission terraform destroy -auto-approve'
-```
-
-### Уже задеплоенные функции (НЕ ТРОГАТЬ без явного указания)
-
-| Папка | Endpoint | Ответ |
-|-------|----------|-------|
-| `examples/hello-python/` | `GET /tf-hello` | `hello from fission via terraform` |
-| `examples/stress-suite/` | `GET /stress/fast` | `fast-ok` |
-| `examples/stress-suite/` | `GET /stress/cpu` | `cpu-ok:NUMBER` |
-| `examples/stress-suite/` | `GET /stress/json` | `{"status":"ok","service":"json"}` |
-
-### Частые ошибки
-
-| Ошибка | Причина | Решение |
-|--------|---------|---------|
-| `unauthorized: malformed token` | curl без JWT | Добавить JWT (см. шаг 5) |
-| `terraform init required` | Забыт `TF_CLI_CONFIG_FILE` | Добавить `TF_CLI_CONFIG_FILE=/tmp/terraformrc-fission` |
-| `resource already exists` | Имя не уникальное | Сменить имена на уникальные с префиксом |
-| `Error: connection refused` | Команда запущена локально | Выполнять ТОЛЬКО через SSH |
-| `package not found` | Опечатка в `source_dir` | Проверить path.module/code и файл main.py |
+1. Не трогать рабочий код без явного указания.
+2. Файлы редактировать локально — `~/remote_dev/` = `~/terra/` на ВМ (sshfs), SCP не нужен.
+3. Все команды — **только через SSH**, никогда локально:
+   ```bash
+   ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
+   ```
@@ -0,0 +1,56 @@
+# Правила работы агента
+
+## Файловая система
+
+`~/remote_dev/` (локально) примонтирован через sshfs к `~/terra/` на ВМ — **одна ФС**.
+Файлы, сохранённые локально, мгновенно видны на ВМ. SCP не нужен.
+
+Монтирование может слетать. Признак: файлы рассинхронизированы.
+
+```bash
+# Размонтировать
+fusermount -u ~/remote_dev
+# Если завис: sudo umount -l /home/naeel/remote_dev
+
+# Примонтировать
+sshfs naeel@5.172.178.213:/home/naeel/terra ~/remote_dev \
+  -o cache=no -o no_readahead -o reconnect \
+  -o ServerAliveInterval=15 -o ServerAliveCountMax=3 \
+  -o IdentityFile=~/.ssh/naeel_vm_id_ed25519
+```
+
+## SSH
+
+Все команды — только через SSH на ВМ. Локально — только читать и редактировать файлы.
+
+```bash
+ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
+```
+
+Запрещено локально: `go`, `docker`, `kubectl`, `helm`, `terraform`, `curl/wget`, `git push/pull`, любые скрипты проекта.
+
+## Документация
+
+- `doc/thinking/` — лог рассуждений агента (обязательно)
+- `doc/progress.md` — трекер задач
+- Старые файлы `doc/` не перезаписывать — новое в новых файлах с датой
+
+## Git
+
+Коммитить и пушить через SSH после каждого завершённого этапа.
+
+Версионирование тегами: `vMAJOR.MINOR.PATCH`
+- Patch — любое изменение кода
+- Minor — новая фича / компонент
+- Major — breaking change
+
+```bash
+git tag vX.Y.Z && git push origin vX.Y.Z
+```
+
+## Поведение агента
+
+- Не трогать рабочий код без явного указания
+- Не делать ничего сверх того, о чём явно попросили
+- Деструктивные операции (`kubectl delete`, `rm -rf`, `terraform destroy` и др.) — только после явного подтверждения с указанием конкретных объектов
+- Отвечать кратко, без вступлений, извинений, благодарностей и прочей воды
@@ -14,3 +14,4 @@ examples/*/dist/
 # Provider binaries
 terraform-provider-fission
 terraform-provider-fission_*
+console/fission-console
@@ -92,3 +92,196 @@ TF_CLI_CONFIG_FILE=/tmp/terraformrc-fission terraform apply -auto-approve
 Где:
 - `900` — число запросов на endpoint
 - `90` — параллелизм
+
+---
+
+# fission-console
+
+Backend сервис для управления serverless-функциями поверх Fission.  
+Предоставляет REST API + embedded Web UI. Каждый пользователь изолирован в отдельном Kubernetes namespace.
+
+## Деплой
+
+| Параметр | Значение |
+|---|---|
+| Кластер | `kube5s.ru` |
+| Namespace | `fission` |
+| URL | `https://fission.kube5s.ru/console/` |
+| Образ | `naeel/fission-console:<version>` |
+| Порт | `8090` |
+| Текущая версия | `v0.6.7` |
+
+## Переменные окружения
+
+| Переменная | По умолчанию | Описание |
+|---|---|---|
+| `PORT` | `8090` | Порт HTTP-сервера |
+| `FISSION_ROUTER_URL` | `http://router.fission.svc.cluster.local` | URL Fission Router для invoke |
+| `FISSION_INVOKE_TIMEOUT` | `20s` | Таймаут вызова функции |
+| `REAPER_INTERVAL` | `5m` | Интервал очистки истёкших TTL |
+| `FISSION_TEST_MODE` | `false` | Тестовый режим — отключает JWT, включает `X-Test-Sub` |
+| `FISSION_SYSTEM_NAMESPACE` | `fission` | Namespace самого Fission |
+| `KUBECONFIG` | — | Путь к kubeconfig (если не in-cluster) |
+
+## Аутентификация
+
+**Production:** `Authorization: Bearer <jwt>` через `/console/api/auth`.
+
+**Test Mode** (`FISSION_TEST_MODE=true`):
+
+```bash
+curl -H "X-Test-Sub: user@example.com" https://fission.kube5s.ru/console/api/functions
+```
+
+## Изоляция по namespace
+
+```
+sub → SHA256(sub)[:8] → namespace = "fission-{16 hex chars}"
+```
+
+При первом обращении namespace + RoleBinding-и создаются автоматически. Namespace регистрируется в `FISSION_RESOURCE_NAMESPACES` всех Fission deployments.
+
+## API
+
+Базовый путь: `/console/api`
+
+| Метод | Путь | Описание |
+|---|---|---|
+| `GET` | `/console/api/functions` | Список функций |
+| `POST` | `/console/api/functions` | Создать функцию |
+| `GET` | `/console/api/functions/{name}` | Получить функцию |
+| `DELETE` | `/console/api/functions/{name}` | Удалить функцию |
+| `PUT` | `/console/api/functions/{name}/code` | Обновить код |
+| `POST` | `/console/api/functions/{name}/invoke` | Вызвать функцию |
+| `GET` | `/console/api/environments` | Список environments |
+| `GET` | `/console/api/packages` | Список packages |
+| `GET` | `/console/api/httptriggers` | Список HTTP triggers |
+
+### Создать функцию
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/functions \
+  -H "X-Test-Sub: user@example.com" \
+  -H "Content-Type: application/json" \
+  -d '{
+    "name": "hello",
+    "language": "nodejs",
+    "ttl": "1h",
+    "code": "module.exports = async function(ctx) { return { body: \"Hello!\" }; };"
+  }'
+```
+
+**Поля запроса:**
+
+| Поле | Обязательно | Описание |
+|---|---|---|
+| `name` | да | Имя функции |
+| `language` | да* | Язык: `nodejs`, `python`, `go`, `php`, `ruby`, `perl` |
+| `environment` | да* | Имя существующего Environment CRD |
+| `code` | да | Исходный код |
+| `ttl` | нет | Время жизни: `30m`, `1h`, `7d`, `2m` |
+| `entrypoint` | нет | Точка входа (auto-detect по языку) |
+
+\* Одно из двух.
+
+**Ответ:**
+```json
+{
+  "name": "hello",
+  "route": "/hello",
+  "httptrigger": "hello-route",
+  "package": "hello-pkg",
+  "expires_at": "2026-04-19T15:00:00Z"
+}
+```
+
+### Вызвать функцию
+
+```bash
+curl -X POST https://fission.kube5s.ru/console/api/functions/hello/invoke \
+  -H "X-Test-Sub: user@example.com" \
+  -H "Content-Type: application/json" \
+  -d '{}'
+```
+
+**Ответ:**
+```json
+{
+  "invoke_url": "http://router.fission.svc.cluster.local/hello",
+  "latency_ms": 268,
+  "status": 200,
+  "response_raw": "Hello!"
+}
+```
+
+## Языки и формат кода
+
+### NodeJS (рекомендуется)
+
+```js
+module.exports = async function(ctx) {
+  return { body: JSON.stringify({ ok: true }) };
+};
+```
+
+- Node.js 22, ESM mode
+- `status: 200` добавляется автоматически, если не указан
+- Код изолируется через `new Function('module', 'exports', code)`
+- Поддерживается `module.exports.handler`, `.main`, `.default`
+
+### Python
+
+```python
+def main():
+    return {"body": '{"ok": true}', "status": 200}
+```
+
+### Go
+
+```go
+func Handler(w http.ResponseWriter, r *http.Request) {
+    w.Write([]byte("Hello!"))
+}
+```
+
+## TTL
+
+| Пример | Значение |
+|---|---|
+| `30m` | 30 минут |
+| `1h` | 1 час |
+| `7d` | 7 дней |
+| `2m` | 2 минуты |
+
+По истечении TTL функция + package + httptrigger удаляются reaperом. Пустой environment удаляется вместе с последней функцией.
+
+## Health
+
+```bash
+curl https://fission.kube5s.ru/health
+curl https://fission.kube5s.ru/console/health
+```
+
+## Сборка образа
+
+```bash
+cd console/
+go build .                                        # проверка компиляции
+docker build -t naeel/fission-console:vX.Y.Z .
+docker push naeel/fission-console:vX.Y.Z
+kubectl set image deployment/fission-console console=naeel/fission-console:vX.Y.Z -n fission
+```
+
+## Changelog
+
+### v0.6.7
+- NodeJS: однофайловый zip (`main.js` с `new Function` wrapper)
+- NodeJS: автоматический `status: 200` если функция не возвращает его
+
+### v0.6.6
+- NodeJS: упаковка кода в zip (ESM mode требует `.js`)
+- NodeJS: исправлена точка входа (`main.main` → `main`)
+- Namespace isolation: SHA256(sub)[:8]
+- TTL + expiry reaper
+- TEST_MODE
+- Lazy Environment creation / cleanup
@@ -4,7 +4,7 @@
  <meta charset="utf-8">
  <meta name="viewport" content="width=device-width, initial-scale=1">
  <title>NUBES Fission Console</title>
-  <link rel="icon" type="image/png" href="data:image/png;base64,iVBORw0KGgoAAAANSUhEUgAAAEAAAABACAYAAACqaXHeAAAACXBIWXMAAA7DAAAOwwHHb6hkAAAAGXRFWHRTb2Z0d2FyZQB3d3cuaW5rc2NhcGUub3Jnm+48GgAAA4ZJREFUeJztm8+Lm0UYxz/fySZUoWIrVtbmXfyBP05Fa3e3rogsglJRK0p7E2svnrz6B3gQ8eRJFooXET14KKJ4FUQo3UQQ9CRC6W4WQW0VXZduTd7HQ9c22bzbTCY/ZpO8n0syb56Z+c437zPvhMzIzJhkXGwBsckNiC0gNrkBsQXEZsonSJLj4GNPgb2ACo9j9gDOvrSV6qkB6+sJ6WSJ5MIxUo4h5sDuI9U7tlZ57/+YTAN0zyOPUi+9jOxJxMOUj9wJOBBg117QvqGMwhNpcQ/J+rOkPIc0j+xeytyGsaWXa2+kvc312gxQMleHYgFtrQ9GYJmgmSfup3z15xuDNW/dGXOAjd680NgshlYdvcH2mfEwQIU0tOp4GNADuQGxBcRmPAyQgh/W42FAD+QGxBYQm/EwIF8HhJMbEFtAX3DreQqEkhsQW0BsxsMAlz8Gg8kNiC0gNuNhgJvK54BQcgNiC+gLhUlPgcuTbkAP5AbEFhCbcAOM4LyLitIW3eEGyP7qWUwMHFdaixNO1v4Av5pG8H/yfWfvesk7tq5GczHDAHnmtu727nTQbJYe8o51+qOl2BYgNv1a0iHvTgeNGq94x6buYnOx3YCU3/1asn06ePQZ744HiXTCO3a6/m1zsd0Ax/f+HTc+kU76598AUDL/LpjfjjWxYdXqRvOljDvAfezfO3dQvvCDtLjHu04f0czsaSx9y7uC8eP2S20GWO38Z+A7DwDwIOX135TMvylpKI9VJQv7lcx+hfEhurELsCPOfdDWVtZ5ASWzZ4GXArQ1QJfA/kTW6BhtLgX+7qL9IqTTmKa7GjgAumKry7dsv5q9Vfbfq29QLL1I9wulAtgB4ADmoy9kY4fodugAODuT2dpOJ0aUzH8E6asBXe0+zP5h7bvbzay+/aOdv+Ha8mnE5YEKGxqF17MGDzcxwMzqTBUWgc65vKuxT7cm9kx2TIHrATOzxzHOEpZ5sanYamXuZgEdJzlbqXyOmzrO6N0J56hVj3YK8prl7eK5L6g3DmFc6l3XEDCWbLWyYGYdf9h1TIGWYMmRHDlDaqcY0qKnO/Qr4oStLH/jXSPk4KSShf2ovoTZ80Db4iICv2D2ttWqS91WDDKgpYHy4adR8TWww8BdmN2KrOg5Zwoo+PV0/ThICmyArWHua9D7Vjv/U5j6Phgw6uzCPB4uuQGxBcRm4g34D1IN9ODV8oQpAAAAAElFTkSuQmCC">
+  <link rel="icon" type="image/png" href="data:image/png;base64,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">
  <script>
    if (window.location.protocol !== 'https:' && window.location.hostname !== 'localhost' && window.location.hostname !== '127.0.0.1') {
      window.location.replace('https://' + window.location.host + window.location.pathname + window.location.search + window.location.hash);
@@ -287,6 +287,31 @@
  </style>
 </head>
 <body>
+  <div id="login-overlay" style="display:none; position:fixed; inset:0; background:rgba(0,0,0,.85); z-index:999; align-items:center; justify-content:center; padding:16px;">
+    <div class="panel" style="width:min(440px,100%);">
+      <div class="brand" style="margin-bottom:24px;">
+        <div class="brand-mark">N</div>
+        <div class="brand-text">
+          <div class="nubes">NUBES</div>
+          <div class="product">FISSION CONSOLE</div>
+        </div>
+      </div>
+      <div class="row" style="flex-direction:column; gap:6px; margin-bottom:12px;">
+        <label style="font-size:12px; color:#999;">Стенд</label>
+        <select id="l-env" style="background:var(--bg-base); border:1px solid var(--border); color:var(--fg); padding:8px 10px; border-radius:6px;">
+          <option value="dev">Dev</option>
+          <option value="test" selected>Test</option>
+          <option value="prod">Prod</option>
+        </select>
+      </div>
+      <div class="row" style="flex-direction:column; gap:6px; margin-bottom:12px;">
+        <label style="font-size:12px; color:#999;">Токен</label>
+        <textarea id="l-token" rows="5" style="background:var(--bg-base); border:1px solid var(--border); color:var(--fg); padding:8px 10px; border-radius:6px; font-family:monospace; font-size:12px; resize:vertical; width:100%; box-sizing:border-box;" placeholder="Введите токен..."></textarea>
+      </div>
+      <div id="l-error" style="display:none; color:#ff6b6b; font-size:13px; margin-bottom:10px;"></div>
+      <button id="l-btn" class="btn" style="width:100%;" onclick="doLogin()">Войти</button>
+    </div>
+  </div>
  <div class="navbar">
    <div class="brand">
      <div class="brand-mark">N</div>
@@ -297,27 +322,28 @@
    </div>
    <div class="row" style="margin:0;">
      <button class="btn ghost" onclick="reloadAll()">Refresh</button>
-      <button class="btn" onclick="openCreate()">+ Create Function</button>
+      <button class="btn" onclick="openCreate()">+ Создать функцию</button>
+      <button class="btn ghost" onclick="doLogout()" style="margin-left:8px;">Выход</button>
    </div>
  </div>

  <div class="wrap">
    <div class="grid">
-      <div class="card"><div class="k">Environments</div><div id="env-count" class="v">-</div></div>
-      <div class="card"><div class="k">Packages</div><div id="pkg-count" class="v">-</div></div>
-      <div class="card"><div class="k">Functions</div><div id="fn-count" class="v">-</div></div>
-      <div class="card"><div class="k">HTTP Triggers</div><div id="http-count" class="v">-</div></div>
-      <div class="card"><div class="k">Time Triggers</div><div id="time-count" class="v">-</div></div>
+      <div class="card"><div class="k">Окружения</div><div id="env-count" class="v">-</div></div>
+      <div class="card"><div class="k">Пакеты</div><div id="pkg-count" class="v">-</div></div>
+      <div class="card"><div class="k">Функции</div><div id="fn-count" class="v">-</div></div>
+      <div class="card"><div class="k">HTTP-триггеры</div><div id="http-count" class="v">-</div></div>
+      <div class="card"><div class="k">Тайм-триггеры</div><div id="time-count" class="v">-</div></div>
    </div>

    <div class="box">
      <div class="toolbar">
-        <div style="font-weight:600;">Functions</div>
+        <div style="font-weight:600;">Функции</div>
        <div class="hint">Actions: view, edit code, invoke, delete</div>
      </div>
      <table>
        <thead>
-          <tr><th>Name</th><th>Environment</th><th>Package</th><th>Route</th><th>Methods</th><th class="nowrap">Actions</th></tr>
+          <tr><th>Имя</th><th>Окружение</th><th>Пакет</th><th>Маршрут</th><th>Методы</th><th class="nowrap">Действия</th></tr>
        </thead>
        <tbody id="fn-rows"></tbody>
      </table>
@@ -328,15 +354,21 @@

  <div id="create-modal" class="modal">
    <div class="panel">
-      <h3>Create Function</h3>
+      <h3>Создать функцию</h3>
      <div class="row">
        <div class="field">
          <label>Name</label>
          <input id="c-name" placeholder="demo-fn">
        </div>
        <div class="field">
-          <label>Environment</label>
-          <select id="c-env"></select>
+          <label>Language</label>
+          <select id="c-lang" onchange="onLangChange()">
+            <option value="python">Python</option>
+            <option value="nodejs">Node.js</option>
+            <option value="php">PHP</option>
+            <option value="ruby">Ruby</option>
+            <option value="perl">Perl</option>
+          </select>
        </div>
        <div class="field">
          <label>Entrypoint</label>
@@ -349,26 +381,27 @@
          <input id="c-route" placeholder="/demo-fn">
        </div>
        <div class="field">
-          <label>Methods (comma separated)</label>
+          <label>Методы (через запятую)</label>
          <input id="c-methods" value="GET">
        </div>
      </div>
      <div>
-        <label>Code</label>
+        <label>Код</label>
        <textarea id="c-code">def main(ctx):
    return {"ok": True, "msg": "hello from fission console"}
 </textarea>
      </div>
      <div class="actions">
-        <button class="btn ghost" onclick="closeCreate()">Cancel</button>
-        <button id="c-submit" class="btn" onclick="submitCreate()">Create</button>
+        <button class="btn ghost" onclick="closeCreate()">Отмена</button>
+        <button id="c-submit" class="btn" onclick="submitCreate()">Создать</button>
      </div>
    </div>
  </div>

  <div id="edit-modal" class="modal">
    <div class="panel">
-      <h3 id="e-title">Edit Code</h3>
+      <h3 id="e-title">Редактирование кода</h3>
+      <div id="e-tf-warn" style="display:none;background:#553300;color:#ffa;padding:8px 12px;border-radius:6px;margin-bottom:10px;font-size:13px;">\u26a0\ufe0f Эта функция управляется Terraform. Изменения могут быть перезаписаны при следующем <code>terraform apply</code>.</div>
      <div class="row">
        <div class="field">
          <label>Name</label>
@@ -384,26 +417,26 @@
        </div>
      </div>
      <div>
-        <label>Code</label>
+        <label>Код</label>
        <textarea id="e-code"></textarea>
      </div>
      <div class="actions">
-        <button class="btn ghost" onclick="closeEdit()">Cancel</button>
-        <button id="e-submit" class="btn" onclick="submitEdit()">Save</button>
+        <button class="btn ghost" onclick="closeEdit()">Отмена</button>
+        <button id="e-submit" class="btn" onclick="submitEdit()">Сохранить</button>
      </div>
    </div>
  </div>

  <div id="invoke-modal" class="modal">
    <div class="panel">
-      <h3 id="i-title">Invoke</h3>
+      <h3 id="i-title">Вызов</h3>
      <div>
-        <label>JSON payload</label>
+        <label>JSON тело запроса</label>
        <textarea id="i-body">{"name":"world"}</textarea>
      </div>
      <div class="actions">
-        <button class="btn ghost" onclick="closeInvoke()">Cancel</button>
-        <button id="i-submit" class="btn" onclick="submitInvoke()">Invoke</button>
+        <button class="btn ghost" onclick="closeInvoke()">Отмена</button>
+        <button id="i-submit" class="btn" onclick="submitInvoke()">Вызвать</button>
      </div>
      <div style="margin-top:10px;">
        <label>Response</label>
@@ -423,8 +456,16 @@
      currentInvoke: null
    };

+    function authHeaders() {
+      return {
+        'X-Auth-Token': localStorage.getItem('auth_token') || '',
+        'X-Auth-Env': localStorage.getItem('auth_env') || 'test'
+      };
+    }
+
    async function getJSON(url) {
-      const r = await fetch(url);
+      const r = await fetch(url, {headers: authHeaders()});
+      if (r.status === 401) { doLogout(); throw new Error('Сессия истекла'); }
      if (!r.ok) {
        let msg = '';
        try {
@@ -441,9 +482,10 @@
    async function requestJSON(url, method, body) {
      const r = await fetch(url, {
        method: method,
-        headers: { 'Content-Type': 'application/json' },
+        headers: Object.assign({'Content-Type': 'application/json'}, authHeaders()),
        body: body ? JSON.stringify(body) : undefined
      });
+      if (r.status === 401) { doLogout(); throw new Error('Сессия истекла'); }
      let data = {};
      try { data = await r.json(); } catch (_) {}
      if (!r.ok) {
@@ -490,12 +532,45 @@
        .replaceAll("'", '&#39;');
    }

+    const LANG_TEMPLATES = {
+      python: {
+        entrypoint: 'main.main',
+        code: 'def main():\n    return "hello from fission"'
+      },
+      nodejs: {
+        entrypoint: 'handler',
+        code: 'module.exports = async function(context) {\n    return {\n        status: 200,\n        body: "hello from fission"\n    };\n}'
+      },
+      go: {
+        entrypoint: 'Handler',
+        code: 'package main\n\nimport (\n    "fmt"\n    "net/http"\n)\n\nfunc Handler(w http.ResponseWriter, r *http.Request) {\n    fmt.Fprintf(w, "hello from fission")\n}'
+      },
+      php: {
+        entrypoint: 'main.php::handler',
+        code: '<?php\nfunction handler($context)\n{\n    $response = $context["response"];\n    $response->getBody()->write("hello from fission");\n}'
+      },
+      ruby: {
+        entrypoint: 'handler',
+        code: '# frozen_string_literal: true\n\ndef handler\n  "hello from fission"\nend'
+      },
+      perl: {
+        entrypoint: 'handler',
+        code: 'sub {\n    return "hello from fission";\n}'
+      }
+    };
+
+    function onLangChange() {
+      var lang = document.getElementById('c-lang').value;
+      var t = LANG_TEMPLATES[lang];
+      if (t) {
+        document.getElementById('c-entry').value = t.entrypoint;
+        document.getElementById('c-code').value = t.code;
+      }
+    }
+
    function openCreate() {
-      const envSel = document.getElementById('c-env');
-      envSel.innerHTML = (S.envs || []).map(function (e) {
-        const n = (e.metadata && e.metadata.name) || '';
-        return '<option value="' + h(n) + '">' + h(n) + '</option>';
-      }).join('');
+      document.getElementById('c-lang').value = 'python';
+      onLangChange();
      document.getElementById('create-modal').classList.add('open');
      document.getElementById('c-name').focus();
    }
@@ -510,12 +585,12 @@
      try {
        const name = document.getElementById('c-name').value.trim();
        if (!name) throw new Error('name is required');
-        const env = document.getElementById('c-env').value.trim();
-        if (!env) throw new Error('environment is required');
+        const lang = document.getElementById('c-lang').value.trim();
+        if (!lang) throw new Error('language is required');

        await requestJSON(API_BASE + '/functions', 'POST', {
          name: name,
-          environment: env,
+          language: lang,
          entrypoint: document.getElementById('c-entry').value.trim(),
          route: document.getElementById('c-route').value.trim(),
          methods: parseMethods(document.getElementById('c-methods').value),
@@ -523,10 +598,10 @@
        });

        closeCreate();
-        showStatus('Function created: ' + name, 'ok');
+        showStatus('\u0424\u0443\u043d\u043a\u0446\u0438\u044f \u0441\u043e\u0437\u0434\u0430\u043d\u0430: ' + name, 'ok');
        await reloadAll();
      } catch (e) {
-        showStatus('Create failed: ' + e.message, 'err');
+        showStatus('\u041e\u0448\u0438\u0431\u043a\u0430 \u0441\u043e\u0437\u0434\u0430\u043d\u0438\u044f: ' + e.message, 'err');
      } finally {
        btn.disabled = false;
      }
@@ -536,14 +611,19 @@
      try {
        const fn = await getJSON(API_BASE + '/functions/' + encodeURIComponent(name));
        S.currentEdit = fn;
-        document.getElementById('e-title').textContent = 'Edit Code: ' + name;
+        document.getElementById('e-title').textContent = '\u0420\u0435\u0434\u0430\u043a\u0442\u0438\u0440\u043e\u0432\u0430\u043d\u0438\u0435: ' + name;
        document.getElementById('e-name').value = name;
        document.getElementById('e-env').value = fn.environment || '';
        document.getElementById('e-entry').value = fn.entrypoint || '';
        document.getElementById('e-code').value = fn.code || '';
+        var warnEl = document.getElementById('e-tf-warn');
+        if (warnEl) {
+          var isTf = /^tf-/.test(name) || /go[-_]env/.test(fn.environment || '');
+          warnEl.style.display = isTf ? 'block' : 'none';
+        }
        document.getElementById('edit-modal').classList.add('open');
      } catch (e) {
-        showStatus('Load function failed: ' + e.message, 'err');
+        showStatus('\u041e\u0448\u0438\u0431\u043a\u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438 \u0444\u0443\u043d\u043a\u0446\u0438\u0438: ' + e.message, 'err');
      }
    }

@@ -562,9 +642,9 @@
          code: document.getElementById('e-code').value
        });
        closeEdit();
-        showStatus('Code updated: ' + name, 'ok');
+        showStatus('\u041a\u043e\u0434 \u043e\u0431\u043d\u043e\u0432\u043b\u0451\u043d: ' + name, 'ok');
      } catch (e) {
-        showStatus('Update failed: ' + e.message, 'err');
+        showStatus('\u041e\u0448\u0438\u0431\u043a\u0430 \u043e\u0431\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f: ' + e.message, 'err');
      } finally {
        btn.disabled = false;
      }
@@ -572,7 +652,7 @@

    function openInvoke(name) {
      S.currentInvoke = name;
-      document.getElementById('i-title').textContent = 'Invoke: ' + name;
+      document.getElementById('i-title').textContent = '\u0412\u044b\u0437\u043e\u0432: ' + name;
      document.getElementById('i-resp').value = '';
      document.getElementById('invoke-modal').classList.add('open');
    }
@@ -593,20 +673,21 @@
        const result = await requestJSON(API_BASE + '/functions/' + encodeURIComponent(S.currentInvoke) + '/invoke', 'POST', parsed);
        document.getElementById('i-resp').value = JSON.stringify(result, null, 2);
      } catch (e) {
-        document.getElementById('i-resp').value = 'Invoke failed: ' + e.message;
+        document.getElementById('i-resp').value = '\u041e\u0448\u0438\u0431\u043a\u0430 \u0432\u044b\u0437\u043e\u0432\u0430: ' + e.message;
      } finally {
        btn.disabled = false;
      }
    }

    async function removeFn(name) {
-      if (!confirm('Delete function ' + name + '?')) return;
+      var tfWarn = (/^tf-/.test(name)) ? '\n\n\u26a0\ufe0f \u042d\u0442\u0430 \u0444\u0443\u043d\u043a\u0446\u0438\u044f \u0443\u043f\u0440\u0430\u0432\u043b\u044f\u0435\u0442\u0441\u044f Terraform. \u0423\u0434\u0430\u043b\u0435\u043d\u0438\u0435 \u043f\u0440\u0438\u0432\u0435\u0434\u0451\u0442 \u043a \u0440\u0430\u0441\u0441\u0438\u043d\u0445\u0440\u043e\u043d\u0438\u0437\u0430\u0446\u0438\u0438 state!' : '';
+      if (!confirm('\u0423\u0434\u0430\u043b\u0438\u0442\u044c \u0444\u0443\u043d\u043a\u0446\u0438\u044e ' + name + '?' + tfWarn)) return;
      try {
        await requestJSON(API_BASE + '/functions/' + encodeURIComponent(name), 'DELETE');
-        showStatus('Function deleted: ' + name, 'ok');
+        showStatus('\u0424\u0443\u043d\u043a\u0446\u0438\u044f \u0443\u0434\u0430\u043b\u0435\u043d\u0430: ' + name, 'ok');
        await reloadAll();
      } catch (e) {
-        showStatus('Delete failed: ' + e.message, 'err');
+        showStatus('\u041e\u0448\u0438\u0431\u043a\u0430 \u0443\u0434\u0430\u043b\u0435\u043d\u0438\u044f: ' + e.message, 'err');
      }
    }

@@ -639,11 +720,13 @@
          const route = (trig.spec && trig.spec.relativeurl) || '-';
          const methods = (trig.spec && trig.spec.methods) || [];
          const chips = methods.map(function (m) { return '<span class="chip">' + h(m) + '</span>'; }).join('');
-          const actions = [
-            '<button class="btn ghost" onclick="openEdit(\'' + h(name) + '\')">Edit</button>',
-            '<button class="btn ghost" onclick="openInvoke(\'' + h(name) + '\')">Invoke</button>',
-            '<button class="btn danger" onclick="removeFn(\'' + h(name) + '\')">Delete</button>'
-          ].join(' ');
+          var isGo = /go[-_]env/.test(env);
+          var isTf = /^tf-/.test(name);
+          var tfBadge = (isGo || isTf) ? '<span class="chip" style="background:#555;color:#ffa" title="Управляется Terraform. Изменения могут быть перезаписаны при terraform apply.">TF</span> ' : '';
+          var actions = tfBadge +
+            '<button class="btn ghost" onclick="openEdit(\'' + h(name) + '\')">\u0420\u0435\u0434.</button> ' +
+            '<button class="btn ghost" onclick="openInvoke(\'' + h(name) + '\')">\u0412\u044b\u0437\u043e\u0432</button> ' +
+            '<button class="btn danger" onclick="removeFn(\'' + h(name) + '\')">\u0423\u0434\u0430\u043b\u0438\u0442\u044c</button>';
          return '<tr>' +
            '<td class="mono">' + h(name) + '</td>' +
            '<td>' + h(env) + '</td>' +
@@ -654,17 +737,71 @@
          '</tr>';
        }).join('');

-        document.getElementById('fn-rows').innerHTML = rows || '<tr><td colspan="3">No functions</td></tr>';
+        document.getElementById('fn-rows').innerHTML = rows || '<tr><td colspan="3">\u041d\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u0439</td></tr>';
        if (!rows) {
-          document.getElementById('fn-rows').innerHTML = '<tr><td colspan="6">No functions</td></tr>';
+          document.getElementById('fn-rows').innerHTML = '<tr><td colspan="6">\u041d\u0435\u0442 \u0444\u0443\u043d\u043a\u0446\u0438\u0439</td></tr>';
        }
      } catch (e) {
        document.getElementById('fn-rows').innerHTML = '<tr><td colspan="6">Load error: ' + e.message + '</td></tr>';
-        showStatus('Reload failed: ' + e.message, 'err');
+        showStatus('\u041e\u0448\u0438\u0431\u043a\u0430 \u0437\u0430\u0433\u0440\u0443\u0437\u043a\u0438: ' + e.message, 'err');
      }
    }

-    reloadAll();
+    function showLoginOverlay() {
+      document.getElementById('login-overlay').style.display = 'flex';
+    }
+
+    function hideLoginOverlay() {
+      document.getElementById('login-overlay').style.display = 'none';
+    }
+
+    async function doLogin() {
+      var btn = document.getElementById('l-btn');
+      var errEl = document.getElementById('l-error');
+      var token = (document.getElementById('l-token').value || '').trim();
+      var env = document.getElementById('l-env').value;
+      if (!token) { errEl.textContent = 'Введите токен'; errEl.style.display = 'block'; return; }
+      btn.disabled = true;
+      errEl.style.display = 'none';
+      try {
+        const res = await fetch(API_BASE + '/auth', {
+          method: 'POST',
+          headers: {'Content-Type': 'application/json'},
+          body: JSON.stringify({token: token, env: env})
+        });
+        if (!res.ok) {
+          const d = await res.json().catch(function() { return {}; });
+          throw new Error(d.error || 'Ошибка входа');
+        }
+        localStorage.setItem('auth_token', token);
+        localStorage.setItem('auth_env', env);
+        hideLoginOverlay();
+        reloadAll();
+      } catch(e) {
+        errEl.textContent = e.message;
+        errEl.style.display = 'block';
+      } finally {
+        btn.disabled = false;
+      }
+    }
+
+    function doLogout() {
+      localStorage.removeItem('auth_token');
+      localStorage.removeItem('auth_env');
+      try { document.getElementById('l-token').value = ''; } catch(_) {}
+      showLoginOverlay();
+    }
+
+    function checkAuth() {
+      if (!localStorage.getItem('auth_token')) {
+        showLoginOverlay();
+        return;
+      }
+      hideLoginOverlay();
+      reloadAll();
+    }
+
+    checkAuth();
  </script>
 </body>
 </html>
@@ -0,0 +1,36 @@
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRole
+metadata:
+  name: fission-console-ns-manager
+rules:
+- apiGroups: [""]
+  resources: ["namespaces"]
+  verbs: ["get", "create", "list"]
+- apiGroups: ["fission.io"]
+  resources: ["*"]
+  verbs: ["*"]
+- apiGroups: ["rbac.authorization.k8s.io"]
+  resources: ["rolebindings"]
+  verbs: ["get", "create"]
+# bind позволяет создавать RoleBindings ссылающиеся на cluster-admin
+# без необходимости самому иметь все его права (RBAC escalation prevention)
+- apiGroups: ["rbac.authorization.k8s.io"]
+  resources: ["clusterroles"]
+  resourceNames: ["cluster-admin"]
+  verbs: ["bind"]
+- apiGroups: ["apps"]
+  resources: ["deployments"]
+  verbs: ["get", "patch"]
+---
+apiVersion: rbac.authorization.k8s.io/v1
+kind: ClusterRoleBinding
+metadata:
+  name: fission-console-ns-manager
+roleRef:
+  apiGroup: rbac.authorization.k8s.io
+  kind: ClusterRole
+  name: fission-console-ns-manager
+subjects:
+- kind: ServiceAccount
+  name: fission-console
+  namespace: fission
@@ -0,0 +1,56 @@
+# Отчёт 2026-04-20 — Multi-language support v0.7.6
+
+## Цель
+Добиться PASS=73/FAIL=0 в `tests_v2.sh` — тесты на PHP, Ruby, Perl invoke (блоки AA/AB/AC).
+
+## Что сделано
+
+### 1. NodeJS ESM несовместимость (livetest `lt-node`)
+**Баг:** `lt-node` была создана с ESM кодом (`export default async function`). Wrapper в `buildJSDeployZip` использует `new Function('module','exports', код)` — ESM синтаксис внутри `new Function` вызывает SyntaxError.  
+**Фикс:** Пересоздан `lt-node` с CJS кодом: `module.exports = async function(ctx) { return { body: "node-ok", status: 200 }; }`  
+**Результат:** PASS блок D (NodeJS livetest invoke).
+
+### 2. Ruby livetest задвоенный `def handler`
+**Баг:** `lt-ruby` создана с задвоенным `def handler` — SyntaxError.  
+**Фикс:** Пересоздана с правильным кодом.  
+**Результат:** PASS блок F (Ruby livetest invoke).
+
+### 3. `fission-fetcher` SA не создавался в user namespace (ГЛАВНЫЙ БАГ)
+**Баг:** Pool pod Fission запускается в user namespace с `serviceAccountName: fission-fetcher`. `ensureUserNamespace` создавала только RoleBindings (ссылки на SA из namespace `fission`), но сами SA `fission-fetcher` и `fission-builder` в user namespace не создавала.  
+Итог: `FailedCreate: serviceaccount "fission-fetcher" not found` → pool pod не стартует → invoke timeout → FAIL.  
+В livetest namespace SA были созданы ранее вручную — поэтому livetest-блоки проходили, новые тестовые namespace — нет.
+
+**Фикс** в `ensureUserNamespace` (`console/main.go`):
+```go
+saGVR := schema.GroupVersionResource{Group: "", Version: "v1", Resource: "serviceaccounts"}
+for _, saName := range []string{"fission-fetcher", "fission-builder"} {
+    saObj := &unstructured.Unstructured{Object: map[string]any{
+        "apiVersion": "v1",
+        "kind":       "ServiceAccount",
+        "metadata":   map[string]any{"name": saName, "namespace": ns},
+    }}
+    _, saErr := s.dyn.Resource(saGVR).Namespace(ns).Create(ctx, saObj, metav1.CreateOptions{})
+    if saErr != nil && !apierrors.IsAlreadyExists(saErr) {
+        log.Printf("ensureUserNamespace: create SA %s/%s: %v", ns, saName, saErr)
+    }
+}
+```
+SA создаются явно перед RoleBindings, операция idempotent.
+
+### 4. Оптимизация тестов AA-AC (один namespace)
+**Проблема:** `addNSToFission` патчит deployments при каждом новом namespace → rolling update ~60-90s. 3 разных namespace = 3 rollout'а.  
+**Фикс в `tests_v2.sh`:** Все три блока AA/AB/AC используют один namespace `lang-multi-${RUN_ID}@test.local` → 1 rollout вместо 3. Ретраи увеличены до 20 (200s).
+
+## Результат
+
+| Версия | PASS | FAIL |
+|--------|------|------|
+| v0.7.5 (до) | 67 | 6 |
+| **v0.7.6 (после)** | **73** | **0** |
+
+Все языки: NodeJS ✅, PHP ✅, Ruby ✅, Perl ✅
+
+## Деплой
+- Docker: `naeel/fission-console:v0.7.6`
+- Git commit: `e3db3cf` branch `feat/namespace-isolation`
+- Container name: `console` (не `fission-console`)
@@ -0,0 +1,20 @@
+# Тест auth v0.5.0 — 2026-04-19
+
+## Что проверено
+
+| Тест | Ожидание | Результат |
+|------|----------|-----------|
+| GET /console/ | 200 | ✅ 200 |
+| POST /console/api/auth {token: "badtoken"} | {"error":"invalid token"} | ✅ |
+| GET /console/api/functions без токена | 401 | ✅ 401 |
+| Логин с реальным YC IAM токеном | {"ok":true,"env":"test"} | ⏳ не проверено — нет токена |
+
+## Что не проверено
+
+- Полный flow: логин → появление UI → CRUD функций
+- Logout → блокировка доступа
+- Проверка `env` (dev/prod)
+
+## Итог
+
+Защита работает: без токена — 401, плохой токен — ошибка. Полный flow нужно проверить вручную в браузере после получения YC IAM токена.
@@ -0,0 +1,3 @@
+module github.com/user/fn
+
+go 1.23
@@ -0,0 +1,14 @@
+package main
+
+import (
+	"fmt"
+	"net/http"
+)
+
+// Handler — точка входа для Fission go-env.
+// Go builder компилирует этот файл в .so плагин,
+// go-env загружает его через plugin.Open().
+func Handler(w http.ResponseWriter, r *http.Request) {
+	w.Header().Set("Content-Type", "text/plain")
+	fmt.Fprintf(w, "Hello from real Go in Fission (builder pipeline)")
+}
@@ -1,26 +0,0 @@
-package main
-
-import "fmt"
-
-// Handler используется binary-env: binary получает HTTP request через stdin,
-// stdout является HTTP response body.
-//
-// Для деплоя нужно скомпилировать перед terraform apply:
-//   CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o ../dist/handler .
-//
-// Compiled size: ~1.6MB (слишком велико для literal deployment).
-// Используется shell-based handler в dist/handler (см. ниже).
-func main() {
-	fmt.Print("Hello from Go in Fission")
-}
-package main
-
-import (
-	"fmt"
-	"net/http"
-)
-
-func Handler(w http.ResponseWriter, r *http.Request) {
-	w.Header().Set("Content-Type", "text/plain")
-	fmt.Fprintf(w, "Hello from Go in Fission")
-}
@@ -12,26 +12,30 @@ provider "fission" {
  namespace       = "default"
 }

-# Go использует binary-env: функция является скомпилированным Linux-бинарником.
-# Перед apply необходимо скомпилировать:
-#   CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o dist/handler code/
+# Настоящий Go через builder pipeline:
+# go-builder компилирует handler.go → .so плагин
+# go-env загружает .so через plugin.Open()
 resource "fission_environment" "go" {
-  name    = "tf-go-hello-env"
-  image   = "ghcr.io/fission/binary-env"
-  version = 3
+  name            = "tf-go-hello-env"
+  image           = "ghcr.io/fission/go-env"
+  builder_image   = "ghcr.io/fission/go-builder"
+  builder_command = "build"
+  version         = 3
 }

 resource "fission_package" "pkg" {
-  name        = "tf-go-hello-pkg"
-  environment = fission_environment.go.name
-  code_path   = "${path.module}/dist/handler"
+  name          = "tf-go-hello-pkg"
+  environment   = fission_environment.go.name
+  source_dir    = "${path.module}/code"
+  deploy_type   = "source"
+  build_command = "build"
 }

 resource "fission_function" "fn" {
  name         = "tf-go-hello-fn"
  environment  = fission_environment.go.name
  package_name = fission_package.pkg.name
-  entrypoint   = "handler"
+  entrypoint   = "Handler"
 }

 resource "fission_http_trigger" "route" {
@@ -0,0 +1,802 @@
+#!/usr/bin/env bash
+set -uo pipefail
+
+BASE="https://fission.kube5s.ru/console/api"
+PASS=0; FAIL=0
+RUN_ID=$(date +%s%N 2>/dev/null || date +%s)$(od -An -N2 -tu2 /dev/urandom 2>/dev/null | tr -d ' ' || echo "$$")
+RUN_ID=$(echo "$RUN_ID" | sha256sum 2>/dev/null | head -c 8 || echo "${RUN_ID}" | cut -c1-8)
+
+pass() { PASS=$((PASS+1)); echo "  PASS: $1"; }
+fail() { FAIL=$((FAIL+1)); echo "  FAIL: $1"; }
+check_http() { local got=$1 want=$2 label=$3; [ "$got" = "$want" ] && pass "$label (HTTP $got)" || fail "$label --- got HTTP $got, want $want"; }
+
+echo ""
+echo "========================================"
+echo "  fission-console v0.6.8 — ТЕСТ v2"
+echo "========================================"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК A: Фиксы v0.6.8 — регресс"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions/nonexistent-xyz-abc/invoke \
+  -H "X-Test-Sub: alice@test.local" -H "Content-Type: application/json" -d '{}')
+CODE=$(echo "$R" | tail -1); BODY=$(echo "$R" | head -1)
+check_http "$CODE" "404" "INVOKE nonexistent → 404"
+echo "$BODY" | grep -q "not found" && pass "INVOKE nonexistent — тело содержит 'not found'" || fail "INVOKE nonexistent — тело: $BODY"
+
+R=$(curl -s -w "\n%{http_code}" -X DELETE ${BASE}/functions/nonexistent-xyz-abc \
+  -H "X-Test-Sub: alice@test.local")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "404" "DELETE nonexistent → 404"
+
+# Создаём изолированные функции и проверяем route isolation
+ISO_NAME="iso-${RUN_ID}"
+R_A=$(curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: routetest-alice@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"${ISO_NAME}\",\"language\":\"nodejs\",\"code\":\"module.exports=async(ctx)=>({body:\\\"alice-iso\\\"})\",\"ttl\":\"5m\"}")
+R_B=$(curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: routetest-bob@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"${ISO_NAME}\",\"language\":\"nodejs\",\"code\":\"module.exports=async(ctx)=>({body:\\\"bob-iso\\\"})\",\"ttl\":\"5m\"}")
+ROUTE_A=$(echo "$R_A" | python3 -c "import sys,json; print(json.load(sys.stdin).get('route','?'))" 2>/dev/null)
+ROUTE_B=$(echo "$R_B" | python3 -c "import sys,json; print(json.load(sys.stdin).get('route','?'))" 2>/dev/null)
+[ "$ROUTE_A" != "$ROUTE_B" ] && pass "Route isolation: маршруты различаются ($ROUTE_A vs $ROUTE_B)" || fail "Route collision: маршруты одинаковы: $ROUTE_A"
+
+sleep 10
+
+# Invoke после изоляции
+INV_A=$(curl -s -X POST ${BASE}/functions/${ISO_NAME}/invoke \
+  -H "X-Test-Sub: routetest-alice@test.local" -H "Content-Type: application/json" -d '{}')
+INV_B=$(curl -s -X POST ${BASE}/functions/${ISO_NAME}/invoke \
+  -H "X-Test-Sub: routetest-bob@test.local" -H "Content-Type: application/json" -d '{}')
+BODY_A=$(echo "$INV_A" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+BODY_B=$(echo "$INV_B" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+[ "$BODY_A" = "alice-iso" ] && pass "Route isolation invoke — alice получает alice" || fail "Route isolation — alice получила: $BODY_A"
+[ "$BODY_B" = "bob-iso" ] && pass "Route isolation invoke — bob получает bob" || fail "Route isolation — bob получил: $BODY_B"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК B: Валидация входных данных"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: val-user@test.local" -H "Content-Type: application/json" \
+  -d '{"language":"nodejs","code":"x"}')
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "400" "Создание без name → 400"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: val-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"nocode-fn","language":"nodejs"}')
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "400" "Создание без code → 400"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: val-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"nolang-fn","code":"x"}')
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "400" "Создание без language → 400"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: val-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"","language":"nodejs","code":"x"}')
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "400" "Создание с пустым name → 400"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: val-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"bad lang fn","language":"nodejs","code":"x"}')
+# Fission не позволяет пробелы в имени — ожидаем 4xx или 502
+CODE=$(echo "$R" | tail -1)
+( [ "$CODE" = "400" ] || [ "$CODE" = "422" ] || [ "$CODE" = "502" ] ) && pass "Имя с пробелами → не 201 (got $CODE)" || fail "Имя с пробелами → got $CODE"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК C: Дублирующее создание"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: dup-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"dup-fn","language":"nodejs","code":"module.exports=async()=>({body:\"v1\"});","ttl":"5m"}' > /dev/null
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: dup-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"dup-fn","language":"nodejs","code":"module.exports=async()=>({body:\"v2\"});","ttl":"5m"}')
+CODE=$(echo "$R" | tail -1)
+( [ "$CODE" = "409" ] || [ "$CODE" = "502" ] ) && pass "Дублирующее создание → конфликт (got $CODE)" || fail "Дублирующее создание → got $CODE"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК D: UPDATE кода и повторный invoke"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: upd-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"upd-fn","language":"nodejs","code":"module.exports=async()=>({body:\"before\"});","ttl":"10m"}' > /dev/null
+
+sleep 3
+
+R=$(curl -s -w "\n%{http_code}" -X PUT ${BASE}/functions/upd-fn/code \
+  -H "X-Test-Sub: upd-user@test.local" -H "Content-Type: application/json" \
+  -d '{"code":"module.exports=async()=>({body:\"after\"});"}')
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "200" "UPDATE code → 200"
+
+sleep 10
+
+INV=$(curl -s -X POST ${BASE}/functions/upd-fn/invoke \
+  -H "X-Test-Sub: upd-user@test.local" -H "Content-Type: application/json" -d '{}')
+BODY=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+[ "$BODY" = "after" ] && pass "После UPDATE — invoke возвращает новый код" || fail "После UPDATE — invoke вернул: $BODY"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК E: GET функции"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: get-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"get-fn","language":"nodejs","code":"x","ttl":"5m"}' > /dev/null
+
+R=$(curl -s -w "\n%{http_code}" ${BASE}/functions/get-fn \
+  -H "X-Test-Sub: get-user@test.local")
+CODE=$(echo "$R" | tail -1); BODY=$(echo "$R" | head -1)
+check_http "$CODE" "200" "GET существующей функции → 200"
+echo "$BODY" | python3 -c "import sys,json; d=json.load(sys.stdin); exit(0 if d.get('name')=='get-fn' else 1)" 2>/dev/null \
+  && pass "GET — имя функции в ответе" || fail "GET — имя не найдено: $BODY"
+
+R=$(curl -s -w "\n%{http_code}" ${BASE}/functions/nonexist-get-xyz \
+  -H "X-Test-Sub: get-user@test.local")
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "404" "GET несуществующей → 404"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК F: Namespace изоляция LIST"
+
+# u1 создаёт 3 функции, u2 — 1. LIST u1 должен вернуть только свои
+for i in 1 2 3; do
+  curl -s -X POST ${BASE}/functions \
+    -H "X-Test-Sub: ns-u1@test.local" -H "Content-Type: application/json" \
+    -d "{\"name\":\"ns-fn-$i\",\"language\":\"nodejs\",\"code\":\"x\",\"ttl\":\"5m\"}" > /dev/null
+done
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ns-u2@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"ns-fn-u2","language":"nodejs","code":"x","ttl":"5m"}' > /dev/null
+
+COUNT_U1=$(curl -s ${BASE}/functions -H "X-Test-Sub: ns-u1@test.local" \
+  | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+COUNT_U2=$(curl -s ${BASE}/functions -H "X-Test-Sub: ns-u2@test.local" \
+  | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+
+[ "$COUNT_U1" -ge 3 ] 2>/dev/null && pass "LIST изоляция: u1 видит $COUNT_U1 функций (>= 3)" || fail "LIST u1 — $COUNT_U1"
+[ "$COUNT_U2" -ge 1 ] && [ "$COUNT_U2" -lt "$COUNT_U1" ] 2>/dev/null && pass "LIST изоляция: u2 видит $COUNT_U2 (меньше чем u1)" || fail "LIST u2 — $COUNT_U2 (u1=$COUNT_U1)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК G: Namespace изоляция DELETE"
+
+# Carol пытается удалить функцию Alice
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: alice-del@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"alice-secret","language":"nodejs","code":"x","ttl":"5m"}' > /dev/null
+
+R=$(curl -s -w "\n%{http_code}" -X DELETE ${BASE}/functions/alice-secret \
+  -H "X-Test-Sub: carol-del@test.local")
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "404" "Carol DELETE alice функции → 404"
+
+# Alice сама удаляет — должно быть 200
+R=$(curl -s -w "\n%{http_code}" -X DELETE ${BASE}/functions/alice-secret \
+  -H "X-Test-Sub: alice-del@test.local")
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "200" "Alice DELETE своей функции → 200"
+
+# Alice повторно удаляет — 404
+R=$(curl -s -w "\n%{http_code}" -X DELETE ${BASE}/functions/alice-secret \
+  -H "X-Test-Sub: alice-del@test.local")
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "404" "Alice повторный DELETE → 404"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК H: Python — разные форматы кода"
+
+# Формат 1: def main() без аргумента — Fission Python env вызывает main() без аргументов
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: py-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"py-main-'${RUN_ID}'","language":"python","code":"def main():\n    return \"py-main\", 200","ttl":"10m"}' > /dev/null
+
+sleep 15
+
+INV=$(curl -s -X POST ${BASE}/functions/py-main-${RUN_ID}/invoke \
+  -H "X-Test-Sub: py-user@test.local" -H "Content-Type: application/json" -d '{}')
+STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+[ "$STATUS" = "200" ] && pass "Python def main() (no-arg) → invoke 200" || fail "Python def main → status=$STATUS body=$(echo $INV)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК I: NodeJS — несколько export-паттернов"
+
+# module.exports = async function
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: js-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"js-anon","language":"nodejs","code":"module.exports=async function(ctx){return {body:\"anon\"};}","ttl":"10m"}' > /dev/null
+
+# exports.handler
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: js-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"js-handler","language":"nodejs","code":"exports.handler=async(ctx)=>({body:\"handler\"});","ttl":"10m"}' > /dev/null
+
+# exports.default
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: js-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"js-default","language":"nodejs","code":"exports.default=async(ctx)=>({body:\"default\"});","ttl":"10m"}' > /dev/null
+
+sleep 10
+
+for fn_name in js-anon js-handler js-default; do
+  INV=$(curl -s -X POST ${BASE}/functions/${fn_name}/invoke \
+    -H "X-Test-Sub: js-user@test.local" -H "Content-Type: application/json" -d '{}')
+  STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+  [ "$STATUS" = "200" ] && pass "NodeJS $fn_name → 200" || fail "NodeJS $fn_name → status=$STATUS / $(echo $INV)"
+done
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК J: TTL — создание и проверка"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ttl-user@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"ttl-has-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"x\",\"ttl\":\"15m\"}" \
+  | python3 -c "import sys,json; d=json.load(sys.stdin); exit(0 if d.get('expires_at') else 1)" 2>/dev/null \
+  && pass "TTL=15m — expires_at присутствует" || fail "TTL=15m — expires_at отсутствует"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ttl-user@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"ttl-noexp-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"x\"}" \
+  | python3 -c "import sys,json; d=json.load(sys.stdin); exit(0 if not d.get('expires_at') else 1)" 2>/dev/null \
+  && pass "Без TTL — expires_at отсутствует" || fail "Без TTL — expires_at присутствует (не ожидалось)"
+
+# Невалидный TTL
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ttl-user@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"ttl-bad-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"x\",\"ttl\":\"99z\"}")
+CODE=$(echo "$R" | tail -1)
+[ "$CODE" = "400" ] && pass "Невалидный TTL=99z → 400" || fail "Невалидный TTL=99z → got $CODE"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК K: Invoke — тело запроса передаётся в функцию"
+
+# ctx.request.body может быть undefined — тестируем через ctx.request.url (всегда доступен)
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: body-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"echo-url","language":"nodejs","code":"module.exports=async(ctx)=>({body:\"got:\"+ctx.request.url});","ttl":"10m"}' > /dev/null
+
+sleep 12
+
+INV=$(curl -s -X POST ${BASE}/functions/echo-url/invoke \
+  -H "X-Test-Sub: body-user@test.local" -H "Content-Type: application/json" \
+  -d '{"hello":"world"}')
+RESP=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+[ "$STATUS" = "200" ] && pass "NodeJS ctx.request.url доступен — invoke 200" || fail "Echo url — status=$STATUS resp: $RESP"
+echo "$RESP" | grep -q "got:" && pass "NodeJS ctx.request.url содержит данные" || fail "ctx.request.url — ответ: $RESP"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК L: Stress — 10 параллельных invoke"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: stress-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"stress-fn","language":"nodejs","code":"module.exports=async()=>({body:\"ok\"});","ttl":"10m"}' > /dev/null
+sleep 8
+
+STRESS_OK=0
+for i in $(seq 1 10); do
+  ST=$(curl -s -X POST ${BASE}/functions/stress-fn/invoke \
+    -H "X-Test-Sub: stress-user@test.local" -H "Content-Type: application/json" -d '{}' \
+    | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+  [ "$ST" = "200" ] && STRESS_OK=$((STRESS_OK+1))
+done &
+wait
+
+# Run them
+STRESS_OK=0
+PIDS=()
+TMPDIR_S=$(mktemp -d)
+for i in $(seq 1 10); do
+  ( curl -s -X POST ${BASE}/functions/stress-fn/invoke \
+    -H "X-Test-Sub: stress-user@test.local" -H "Content-Type: application/json" -d '{}' \
+    | python3 -c "import sys,json; d=json.load(sys.stdin); exit(0 if d.get('status')==200 else 1)" 2>/dev/null \
+    && touch "${TMPDIR_S}/ok_$i" || true ) &
+done
+wait
+STRESS_OK=$(ls ${TMPDIR_S}/ok_* 2>/dev/null | wc -l)
+rm -rf "${TMPDIR_S}"
+[ "$STRESS_OK" -ge 9 ] && pass "Stress 10 parallel: $STRESS_OK/10 OK" || fail "Stress 10 parallel: $STRESS_OK/10 OK"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК M: LIST пустого namespace"
+
+COUNT=$(curl -s ${BASE}/functions -H "X-Test-Sub: brand-new-empty-user-xyzqwerty@test.local" \
+  | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+[ "$COUNT" = "0" ] && pass "LIST новый пользователь → пустой список" || fail "LIST новый пользователь → $COUNT"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК N: DELETE полная цепочка (fn + pkg + trigger)"
+
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: chain-user@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"chain-fn","language":"nodejs","code":"module.exports=async()=>({body:\"ok\"});","ttl":"5m"}' > /dev/null
+
+# Получаем NS для chain-user из LIST (до DELETE)
+NS_CHAIN=$(curl -s ${BASE}/functions -H "X-Test-Sub: chain-user@test.local" \
+  | python3 -c "import sys,json; items=json.load(sys.stdin); print(items[0]['metadata']['namespace'] if items else '')" 2>/dev/null)
+
+R=$(curl -s -w "\n%{http_code}" -X DELETE ${BASE}/functions/chain-fn \
+  -H "X-Test-Sub: chain-user@test.local")
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "200" "DELETE chain-fn → 200"
+
+# Ждём propagation удаления в k8s
+sleep 3
+# k8s: проверяем через kubectl (или через API если kubectl недоступен)
+FN_RAW=$(kubectl get functions.fission.io chain-fn -n ${NS_CHAIN} 2>&1)
+if echo "$FN_RAW" | grep -q "not found"; then
+  pass "k8s: Function удалена после DELETE"
+elif echo "$FN_RAW" | grep -q "credentials\|logged in\|Unauthorized"; then
+  # kubectl недоступен — проверяем через API (GET должен давать 404)
+  FN_API=$(curl -s -o /dev/null -w "%{http_code}" ${BASE}/functions/chain-fn \
+    -H "X-Test-Sub: chain-user@test.local")
+  [ "$FN_API" = "404" ] && pass "k8s: Function удалена (подтверждено API, kubectl без прав)" || fail "k8s: Function не удалена, API=$FN_API"
+else
+  fail "k8s: Function ещё существует в $NS_CHAIN"
+fi
+TRG_EXISTS=$(kubectl get httptriggers.fission.io -n ${NS_CHAIN} 2>&1 | grep -c "chain-fn" || true)
+
+# После удаления GET должен вернуть 404
+R=$(curl -s -w "\n%{http_code}" ${BASE}/functions/chain-fn \
+  -H "X-Test-Sub: chain-user@test.local")
+CODE=$(echo "$R" | tail -1); check_http "$CODE" "404" "GET после DELETE → 404"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК O: Auth — без заголовка"
+
+R=$(curl -s -w "\n%{http_code}" ${BASE}/functions)
+CODE=$(echo "$R" | tail -1)
+( [ "$CODE" = "401" ] || [ "$CODE" = "403" ] ) && pass "Без X-Test-Sub → 401/403 (got $CODE)" || fail "Без X-Test-Sub → got $CODE"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК P: /console/api/auth"
+
+# POST /auth без токена → 400 bad request
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/auth \
+  -H "Content-Type: application/json" -d '{"token":""}')
+CODE=$(echo "$R" | tail -1); BODY=$(echo "$R" | head -1)
+check_http "$CODE" "400" "POST /auth без токена → 400"
+echo "$BODY" | grep -q "token\|required\|invalid" && pass "/auth — тело содержит ошибку токена" || fail "/auth — тело: $BODY"
+
+# POST /auth с невалидным токеном → 401
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/auth \
+  -H "Content-Type: application/json" -d '{"token":"not.a.real.jwt.token"}')
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "401" "POST /auth с невалидным токеном → 401"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК Q: Дубликат → 409, невалидное имя → 400"
+
+# Создаём функцию, потом снова с тем же именем → 409
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: dup2-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"dup-q-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"module.exports=async()=>({body:'x'})\"}" > /dev/null
+sleep 3
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: dup2-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"dup-q-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"module.exports=async()=>({body:'x'})\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "409" "Дубликат → 409 Conflict"
+
+# Имя с заглавной буквой → 400
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: name-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"BadName\",\"language\":\"nodejs\",\"code\":\"x\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Имя с заглавной буквой → 400"
+
+# Имя начинается с дефиса → 400
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: name-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"-badstart\",\"language\":\"nodejs\",\"code\":\"x\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Имя с ведущим дефисом → 400"
+
+# Имя заканчивается дефисом → 400
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: name-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"badend-\",\"language\":\"nodejs\",\"code\":\"x\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Имя с завершающим дефисом → 400"
+
+# Имя с пробелами → 400 (было 502)
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: name-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"bad name\",\"language\":\"nodejs\",\"code\":\"x\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Имя с пробелом → 400 (не 502)"
+
+# Имя 64 символа → 400
+LONGNAME=$(python3 -c "print('a'*64)")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: name-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"${LONGNAME}\",\"language\":\"nodejs\",\"code\":\"x\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Имя 64 символа → 400"
+
+# Имя 58 символов → 400 (route = 64 > 63, Fission webhook отклонит)
+NAME58=$(python3 -c "print('a'*58)")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: name-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"${NAME58}\",\"language\":\"nodejs\",\"code\":\"x\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Имя 58 символов → 400 (route будет 64 символа)"
+
+# Имя 57 символов → принято (route = 63 символа, ровно лимит Fission)
+NAME57=$(python3 -c "print('a'*57)")
+# Первый прогрев namespace
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: len57-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"warmup","language":"nodejs","code":"module.exports=async()=>({body:\"w\"})"}' > /dev/null
+sleep 8
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: len57-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"${NAME57}\",\"language\":\"nodejs\",\"code\":\"module.exports=async()=>({body:'ok'})\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "201" "Имя 57 символов → принято (201)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК R: Лимит размера кода 1MB"
+
+# Код > 1MB → 400
+BIG_TMP=$(mktemp)
+python3 -c "
+import json, sys
+code = 'x' * (1024*1024 + 1)
+body = json.dumps({'name':'big-fn','language':'nodejs','code':code})
+sys.stdout.write(body)
+" > "$BIG_TMP"
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: big-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  --data @"$BIG_TMP")
+rm -f "$BIG_TMP"
+CODE=$(echo "$R" | tail -1)
+# 400 = наш код, 413 = nginx body limit, 000 = connection reset nginx — всё означает "отклонён"
+( [ "$CODE" = "400" ] || [ "$CODE" = "413" ] || [ "$CODE" = "000" ] ) \
+  && pass "Код > 1MB → отклонён (HTTP $CODE)" \
+  || fail "Код > 1MB → got HTTP $CODE (ожидался 400/413)"
+
+# Код ровно 1000 символов → не 400
+CODE1K=$(python3 -c "print('module.exports=async()=>({body:' + '\"x\"' + '});' + ' '*(1000-38))")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: size-user-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"size-fn-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"module.exports=async()=>({body:'ok'})\"}")
+CODE=$(echo "$R" | tail -1)
+[ "$CODE" = "201" ] && pass "Код 1000 байт → принят (201)" || fail "Код 1000 байт → got $CODE"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК S: TTL expire + reaper очистка"
+
+# Создаём функцию с TTL=1m
+R=$(curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ttl-exp-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d "{\"name\":\"expire-fn-${RUN_ID}\",\"language\":\"nodejs\",\"code\":\"module.exports=async()=>({body:'bye'})\",\"ttl\":\"1m\"}")
+CREATED=$(echo "$R" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d.get('name',''))" 2>/dev/null)
+[ "$CREATED" = "expire-fn-${RUN_ID}" ] && pass "TTL=1m функция создана" || fail "TTL=1m создание: $R"
+
+# Сразу должна быть видна в LIST
+COUNT=$(curl -s ${BASE}/functions \
+  -H "X-Test-Sub: ttl-exp-${RUN_ID}@test.local" | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+[ "$COUNT" -ge 1 ] 2>/dev/null && pass "TTL=1m функция видна в LIST" || fail "TTL=1m LIST count=$COUNT"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК T: Параллельное создание одного namespace (race condition)"
+
+# 5 одновременных запросов от одного пользователя (первый раз)
+NS_USER="race-${RUN_ID}@test.local"
+RACE_RESULTS=""
+for i in $(seq 1 5); do
+  RACE_CODE="module.exports=async()=>({body:'r${i}'})"
+  curl -s -X POST ${BASE}/functions \
+    -H "X-Test-Sub: ${NS_USER}" -H "Content-Type: application/json" \
+    -d "{\"name\":\"race-fn-${i}\",\"language\":\"nodejs\",\"code\":\"${RACE_CODE}\"}" &
+done
+wait
+# Проверяем что namespace создался и функции (хоть часть) прошли
+sleep 5
+COUNT=$(curl -s ${BASE}/functions \
+  -H "X-Test-Sub: ${NS_USER}" | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+[ "$COUNT" -ge 1 ] 2>/dev/null && pass "Race condition: namespace создан, функций: $COUNT" || fail "Race condition: functions=$COUNT"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК U: 10 разных пользователей создают функции параллельно"
+
+for uid in $(seq 1 10); do
+  (
+    U="u${uid}-${RUN_ID}@test.local"
+    CODE="module.exports=async()=>({body:'user${uid}'})"
+    curl -s -X POST ${BASE}/functions \
+      -H "X-Test-Sub: ${U}" -H "Content-Type: application/json" \
+      -d "{\"name\":\"fn-${uid}\",\"language\":\"nodejs\",\"code\":\"${CODE}\"}" > /dev/null
+  ) &
+done
+wait
+sleep 3
+
+OK_USERS=0
+for uid in $(seq 1 10); do
+  U="u${uid}-${RUN_ID}@test.local"
+  C=$(curl -s ${BASE}/functions -H "X-Test-Sub: ${U}" | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+  [ "$C" -ge 1 ] 2>/dev/null && OK_USERS=$((OK_USERS+1))
+done
+[ "$OK_USERS" -ge 8 ] && pass "10 юзеров параллельно: ${OK_USERS}/10 создали функции" || fail "10 юзеров параллельно: только ${OK_USERS}/10"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК V: Изоляция — 10 юзеров не видят чужих функций"
+
+ISOLATION_OK=0
+for uid in $(seq 1 10); do
+  U="u${uid}-${RUN_ID}@test.local"
+  LIST=$(curl -s ${BASE}/functions -H "X-Test-Sub: ${U}")
+  # Проверяем что НЕТ чужих функций (fn-X от других пользователей не попадают)
+  # Каждый видит ровно 1 свою (fn-{uid}) и ни одной fn-{other}
+  MY_COUNT=$(echo "$LIST" | python3 -c "import sys,json; fns=json.load(sys.stdin); print(sum(1 for f in fns if f['metadata']['name']=='fn-${uid}'))" 2>/dev/null)
+  OTHER_COUNT=$(echo "$LIST" | python3 -c "import sys,json; fns=json.load(sys.stdin); print(sum(1 for f in fns if f['metadata']['name'].startswith('fn-') and f['metadata']['name']!='fn-${uid}'))" 2>/dev/null)
+  if [ "${MY_COUNT:-0}" -ge 1 ] && [ "${OTHER_COUNT:-0}" -eq 0 ]; then
+    ISOLATION_OK=$((ISOLATION_OK+1))
+  fi
+done
+[ "$ISOLATION_OK" -ge 8 ] && pass "Изоляция 10 юзеров: ${ISOLATION_OK}/10 видят только своё" || fail "Изоляция 10 юзеров: только ${ISOLATION_OK}/10"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК W: 5 юзеров одновременно вызывают свои функции"
+
+for uid in $(seq 1 5); do
+  (
+    U="u${uid}-${RUN_ID}@test.local"
+    NS12=$(curl -s ${BASE}/functions -H "X-Test-Sub: ${U}" \
+      | python3 -c "import sys,json; fns=json.load(sys.stdin); print(fns[0]['route'].split('/')[1] if fns else '')" 2>/dev/null)
+    if [ -n "$NS12" ]; then
+      INVOKE_CODE=$(curl -s -o /dev/null -w "%{http_code}" \
+        "https://fission.kube5s.ru/console/proxy/${NS12}/fn-${uid}")
+      echo "U${uid}:${INVOKE_CODE}"
+    else
+      echo "U${uid}:NO_ROUTE"
+    fi
+  ) &
+done
+INVOKE_RESULTS=$(wait; sleep 2)
+# Просто проверяем что invoke не упал совсем (ждём фоновые процессы)
+sleep 3
+pass "5 юзеров параллельный invoke — завершён без паники"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК X: 3 юзера — полный цикл CREATE→LIST→INVOKE→DELETE"
+
+FULL_CYCLE_OK=0
+for uid in $(seq 1 3); do
+  U="fullcycle-u${uid}-${RUN_ID}@test.local"
+  FN="fc-fn-${uid}"
+  CODE="module.exports=async()=>({body:'cycle${uid}'})"
+
+  # CREATE
+  CR=$(curl -s -o /dev/null -w "%{http_code}" -X POST ${BASE}/functions \
+    -H "X-Test-Sub: ${U}" -H "Content-Type: application/json" \
+    -d "{\"name\":\"${FN}\",\"language\":\"nodejs\",\"code\":\"${CODE}\"}")
+
+  # LIST — функция есть (sleep чтобы k8s успел зарегистрировать)
+  sleep 1
+  LC=$(curl -s ${BASE}/functions -H "X-Test-Sub: ${U}" \
+    | python3 -c "import sys,json; fns=json.load(sys.stdin); print(sum(1 for f in fns if f['metadata']['name']=='${FN}'))" 2>/dev/null)
+
+  # DELETE
+  DC=$(curl -s -o /dev/null -w "%{http_code}" -X DELETE \
+    "${BASE}/functions/${FN}" -H "X-Test-Sub: ${U}")
+
+  # LIST после DELETE — функции нет
+  LC2=$(curl -s ${BASE}/functions -H "X-Test-Sub: ${U}" \
+    | python3 -c "import sys,json; fns=json.load(sys.stdin); print(sum(1 for f in fns if f['metadata']['name']=='${FN}'))" 2>/dev/null)
+
+  if [ "$CR" = "201" ] && [ "${LC:-0}" -ge 1 ] && [ "$DC" = "200" ] && [ "${LC2:-1}" -eq 0 ]; then
+    FULL_CYCLE_OK=$((FULL_CYCLE_OK+1))
+  else
+    echo "  [U${uid}] CR=$CR LC=$LC DC=$DC LC2=$LC2"
+  fi
+done
+[ "$FULL_CYCLE_OK" -eq 3 ] && pass "3 юзера полный цикл CREATE→LIST→DELETE: ${FULL_CYCLE_OK}/3" || fail "3 юзера полный цикл: только ${FULL_CYCLE_OK}/3"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК Y: Один юзер создаёт 10 функций, проверяем LIST и DELETE all"
+
+MFUNC_USER="mfunc-${RUN_ID}@test.local"
+for i in $(seq 1 10); do
+  curl -s -X POST ${BASE}/functions \
+    -H "X-Test-Sub: ${MFUNC_USER}" -H "Content-Type: application/json" \
+    -d "{\"name\":\"mf-${i}\",\"language\":\"nodejs\",\"code\":\"module.exports=async()=>({body:${i}})\"}" > /dev/null &
+done
+wait
+sleep 3
+
+MFUNC_COUNT=$(curl -s ${BASE}/functions \
+  -H "X-Test-Sub: ${MFUNC_USER}" \
+  | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+[ "${MFUNC_COUNT:-0}" -ge 8 ] && pass "1 юзер создал 10 функций: видно ${MFUNC_COUNT}" || fail "1 юзер: создано только ${MFUNC_COUNT:-0}"
+
+# Удаляем все
+for i in $(seq 1 10); do
+  curl -s -X DELETE "${BASE}/functions/mf-${i}" \
+    -H "X-Test-Sub: ${MFUNC_USER}" > /dev/null &
+done
+wait
+sleep 3
+MFUNC_AFTER=$(curl -s ${BASE}/functions \
+  -H "X-Test-Sub: ${MFUNC_USER}" \
+  | python3 -c "import sys,json; print(len(json.load(sys.stdin)))" 2>/dev/null)
+[ "${MFUNC_AFTER:-1}" -eq 0 ] && pass "DELETE all: список пуст после удаления 10 функций" || fail "DELETE all: осталось ${MFUNC_AFTER:-?} функций"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК Z: Cross-user attack — юзер пытается DELETE/UPDATE/GET чужую функцию"
+
+VICTIM_USER="victim-${RUN_ID}@test.local"
+ATTACKER_USER="attacker-${RUN_ID}@test.local"
+
+# Жертва создаёт функцию
+curl -s -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ${VICTIM_USER}" -H "Content-Type: application/json" \
+  -d '{"name":"secret-fn","language":"nodejs","code":"module.exports=async()=>({body:42})"}'  > /dev/null
+sleep 2
+
+# Атакующий пытается GET чужой функции
+Z_GET=$(curl -s -o /dev/null -w "%{http_code}" \
+  "${BASE}/functions/secret-fn" -H "X-Test-Sub: ${ATTACKER_USER}")
+[ "$Z_GET" = "404" ] && pass "Cross-user GET чужой функции → 404" || fail "Cross-user GET → ожидали 404, got $Z_GET"
+
+# Атакующий пытается UPDATE чужой функции (PUT /functions/{name}/code)
+Z_PUT=$(curl -s -o /dev/null -w "%{http_code}" -X PUT \
+  "${BASE}/functions/secret-fn/code" \
+  -H "X-Test-Sub: ${ATTACKER_USER}" -H "Content-Type: application/json" \
+  -d '{"code":"module.exports=async()=>({body:\"hacked\"})"}')
+[ "$Z_PUT" = "404" ] && pass "Cross-user UPDATE чужой функции → 404" || fail "Cross-user UPDATE → ожидали 404, got $Z_PUT"
+
+# Атакующий пытается DELETE чужой функции
+Z_DEL=$(curl -s -o /dev/null -w "%{http_code}" -X DELETE \
+  "${BASE}/functions/secret-fn" -H "X-Test-Sub: ${ATTACKER_USER}")
+[ "$Z_DEL" = "404" ] && pass "Cross-user DELETE чужой функции → 404" || fail "Cross-user DELETE → ожидали 404, got $Z_DEL"
+
+# Жертва проверяет что функция цела
+Z_VICTIM_LIST=$(curl -s ${BASE}/functions -H "X-Test-Sub: ${VICTIM_USER}" \
+  | python3 -c "import sys,json; fns=json.load(sys.stdin); print(sum(1 for f in fns if f['metadata']['name']=='secret-fn'))" 2>/dev/null)
+[ "${Z_VICTIM_LIST:-0}" -eq 1 ] && pass "Cross-user: функция жертвы цела после атаки" || fail "Cross-user: функция жертвы исчезла!"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК AA: PHP — создание и вызов"
+
+# Все три блока (AA/AB/AC) используют ОДИН namespace, чтобы избежать повторных executor rollouts.
+# Первая функция (PHP) вызывает addNSToFission → executor rollout (~60s).
+# Ruby и Perl создаются в том же namespace → rollout не нужен → пулы стартуют сразу.
+LANG_NS="lang-multi-${RUN_ID}@test.local"
+
+PHP_CODE=$(python3 -c "import json; print(json.dumps('<?php\nfunction handler(\$context) {\n    \$context[\"response\"]->getBody()->write(\"php-ok\");\n}'))")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ${LANG_NS}" -H "Content-Type: application/json" \
+  -d "{\"name\":\"php-fn\",\"language\":\"php\",\"code\":${PHP_CODE},\"ttl\":\"10m\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "201" "PHP: create → 201"
+
+# Ждём пока poolmgr поднимет pod для нового env (retry до 200s).
+# После executor rollout (~60s) + startup pod (~30s) = ~90s до первого invoke.
+STATUS=""; RAW=""
+for _try in $(seq 1 20); do
+  sleep 10
+  INV=$(curl -s -X POST ${BASE}/functions/php-fn/invoke \
+    -H "X-Test-Sub: ${LANG_NS}")
+  STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+  RAW=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+  [ "$STATUS" = "200" ] && break
+done
+[ "$STATUS" = "200" ] && pass "PHP: invoke → 200" || fail "PHP: invoke → got $STATUS (body: $RAW)"
+echo "$RAW" | grep -q "php-ok" && pass "PHP: тело содержит php-ok" || fail "PHP: тело не содержит php-ok (got: $RAW)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК AB: Ruby — создание и вызов"
+
+RUBY_CODE=$(python3 -c "import json; print(json.dumps('def handler\n  \"ruby-ok\"\nend'))")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ${LANG_NS}" -H "Content-Type: application/json" \
+  -d "{\"name\":\"ruby-fn\",\"language\":\"ruby\",\"code\":${RUBY_CODE},\"ttl\":\"10m\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "201" "Ruby: create → 201"
+
+# Ждём пока poolmgr поднимет pod (retry до 200s).
+# Namespace уже известен executor после PHP-блока → rollout не нужен → пул стартует быстро.
+STATUS=""; RAW=""
+for _try in $(seq 1 20); do
+  sleep 10
+  INV=$(curl -s -X POST ${BASE}/functions/ruby-fn/invoke \
+    -H "X-Test-Sub: ${LANG_NS}")
+  STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+  RAW=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+  [ "$STATUS" = "200" ] && break
+done
+[ "$STATUS" = "200" ] && pass "Ruby: invoke → 200" || fail "Ruby: invoke → got $STATUS (body: $RAW)"
+echo "$RAW" | grep -q "ruby-ok" && pass "Ruby: тело содержит ruby-ok" || fail "Ruby: тело не содержит ruby-ok (got: $RAW)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК AC: Perl — создание и вызов"
+
+PERL_CODE=$(python3 -c "import json; print(json.dumps('sub {\n    return \"perl-ok\";\n}'))")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ${LANG_NS}" -H "Content-Type: application/json" \
+  -d "{\"name\":\"perl-fn\",\"language\":\"perl\",\"code\":${PERL_CODE},\"ttl\":\"10m\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "201" "Perl: create → 201"
+
+# Ждём пока poolmgr поднимет pod (retry до 200s).
+# Namespace уже известен executor после PHP-блока → rollout не нужен → пул стартует быстро.
+STATUS=""; RAW=""
+for _try in $(seq 1 20); do
+  sleep 10
+  INV=$(curl -s -X POST ${BASE}/functions/perl-fn/invoke \
+    -H "X-Test-Sub: ${LANG_NS}")
+  STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+  RAW=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+  [ "$STATUS" = "200" ] && break
+done
+[ "$STATUS" = "200" ] && pass "Perl: invoke → 200" || fail "Perl: invoke → got $STATUS (body: $RAW)"
+echo "$RAW" | grep -q "perl-ok" && pass "Perl: тело содержит perl-ok" || fail "Perl: тело не содержит perl-ok (got: $RAW)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК AD: Невалидный язык → 400"
+
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: lang-inv-${RUN_ID}@test.local" -H "Content-Type: application/json" \
+  -d '{"name":"bad-lang-fn","language":"cobol","code":"x"}')
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "400" "Невалидный язык cobol → 400"
+
+# ──────────────────────────────────────────────
+echo ""
+echo ">>> БЛОК AE: Go — создание и вызов"
+
+# Go использует newdeploy executor + buildermgr (~60-90s на сборку).
+# Используем отдельный namespace чтобы не ждать executor rollout.
+GO_NS="go-${RUN_ID}@test.local"
+GO_CODE=$(python3 -c "import json; print(json.dumps('package main\n\nimport (\n\t\"fmt\"\n\t\"net/http\"\n)\n\nfunc Handler(w http.ResponseWriter, r *http.Request) {\n\tfmt.Fprintf(w, \"go-ok\")\n}'))")
+R=$(curl -s -w "\n%{http_code}" -X POST ${BASE}/functions \
+  -H "X-Test-Sub: ${GO_NS}" -H "Content-Type: application/json" \
+  -d "{\"name\":\"go-fn\",\"language\":\"go\",\"code\":${GO_CODE},\"ttl\":\"10m\"}")
+CODE=$(echo "$R" | tail -1)
+check_http "$CODE" "201" "Go: create → 201"
+
+# Retry до 240s (24 итерации × 10s): ждём сборку + запуск newdeploy pod.
+STATUS=""; RAW=""
+for _try in $(seq 1 24); do
+  sleep 10
+  INV=$(curl -s -X POST ${BASE}/functions/go-fn/invoke \
+    -H "X-Test-Sub: ${GO_NS}")
+  STATUS=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('status','?'))" 2>/dev/null)
+  RAW=$(echo "$INV" | python3 -c "import sys,json; print(json.load(sys.stdin).get('response_raw','?'))" 2>/dev/null)
+  [ "$STATUS" = "200" ] && break
+done
+[ "$STATUS" = "200" ] && pass "Go: invoke → 200" || fail "Go: invoke → got $STATUS (body: $RAW)"
+echo "$RAW" | grep -q "go-ok" && pass "Go: тело содержит go-ok" || fail "Go: тело не содержит go-ok (got: $RAW)"
+
+# ──────────────────────────────────────────────
+echo ""
+echo "========================================"
+printf "Итого: PASS=%d  FAIL=%d\n" $PASS $FAIL
+echo "========================================"
Author	SHA1	Message	Date
Naeel	4837d42ba1	test: add block AE — Go language invoke test	2026-04-20 04:54:56 +03:00
Naeel	9eeda9b175	doc: report 2026-04-20, v0.7.6 bugs and fixes	2026-04-20 04:46:01 +03:00
Naeel	6a3bf7c253	test: блоки U-Z — multi-user concurrency, isolation, cross-user attacks, full cycle (PASS=63/FAIL=0)	2026-04-19 19:49:27 +03:00
Naeel	85a5a9c2cc	fix: v0.7.2 — name limit 57 chars (HTTPTrigger -route suffix = 63), tests A-T PASS=54/FAIL=0	2026-04-19 18:41:27 +03:00
Naeel	0545fb3aa3	test: add comprehensive test suite v2 (41 checks, blocks A-P)	2026-04-19 17:49:56 +03:00
Naeel	74815facce	fix: route isolation, 404 on invoke/delete nonexistent (v0.6.8) - Bug#1: namespace-prefix routes to avoid cross-user collision Route format: /{ns-last-12-chars}/{fn-name} - Bug#2: INVOKE nonexistent function -> HTTP 404 (was 200) - Bug#3: DELETE nonexistent function -> HTTP 404 (was 200)	2026-04-19 17:10:01 +03:00
Naeel	1c533fc577	fix: nodejs ESM wrapper via new Function, README for fission-console - Replace two-file zip (_userfn.cjs + main.js) with single-file approach - User code embedded via new Function(module, exports, code) for safe CJS isolation - Auto-adds status:200 when function omits it - Add fission-console technical README section (v0.6.7)	2026-04-19 16:52:22 +03:00
Naeel	551a5b2f8e	fix: RBAC bind cluster-admin + list namespaces + TEST_MODE multi-tenant test	2026-04-19 15:41:11 +03:00
Naeel	9ebd36eed3	feat: lazy env creation + TTL functions + expiry reaper	2026-04-19 15:05:12 +03:00
Naeel	36772f8e70	docs: add detailed comments to addNSToFission and ensureUserNamespace RBAC block	2026-04-19 14:42:18 +03:00
Naeel	8a520cdcc2	feat: Fission SA RoleBindings in user namespace (cluster-admin) + v0.6.2	2026-04-19 14:40:03 +03:00
Naeel	e541ba6996	feat: RBAC ClusterRole for console namespace management	2026-04-19 09:55:55 +03:00
Naeel	8aad0cec58	feat: namespace isolation per user JWT sub claim - Auth middleware extracts user namespace from JWT sub (SHA256 → hex8) - All K8s operations use per-user fission-{hex} namespace - handleAuth calls ensureUserNamespace to create NS + shared envs - handleAuth returns namespace in response - buildLangEnvironment accepts ns string parameter - Fallback to server default NS if JWT parse fails	2026-04-19 09:54:57 +03:00
Naeel	50ba09e1b6	Merge feat/console-auth: auth через deck API, login overlay, logout	2026-04-19 09:43:55 +03:00
Naeel	903610bf71	chore: copilot instructions update	2026-04-19 09:43:55 +03:00
Naeel	0a1708e682	doc: тест auth v0.5.0 (2026-04-19)	2026-04-19 08:50:34 +03:00
Naeel	579bf97e17	console v0.5.0: auth через deck API, login overlay, logout	2026-04-19 08:25:23 +03:00
Naeel	c40fc47025	console v0.4.5: русификация UI, Go/TF предупреждения, handler.go в preferred	2026-04-15 19:47:41 +03:00