v0.5.173: OIDC state всегда, CSRF смонтирован, session.regenerate

server.js

@@ -31,6 +31,7 @@ const { authLimiter }      = require('./src/middleware/rateLimit');
 const { createSessionMiddleware } = require('./src/middleware/session');
 const { aggregateCIDRs }   = require('./src/validators');
 const { CSP_DIRECTIVES }   = require('./src/middleware/csp');
+const { initCsrf }         = require('./src/middleware/csrf');
 
 const app = express();
 const PORT = process.env.PORT || 3000;
@@ -85,12 +86,15 @@ async function start() {
   const { createRouter: createOidcRouter } = require('./src/routes/oidc');
   app.use('/', createOidcRouter({ auth }));
 
+  // ── CSRF — инициализация после сессий ─────────────────────────────────
+  const { generateCsrfToken, doubleCsrfProtection } = initCsrf();
+
   // ── V2 — основной код ─────────────────────────────────────────────────
   app.get('/', (req, res) => res.redirect('/v2/app'));
   // Редирект /export → /v2/export (для обратной совместимости)
   app.get('/export', (req, res) => res.redirect('/v2/export' + (req.originalUrl.includes('?') ? req.originalUrl.substring(req.originalUrl.indexOf('?')) : '')));
   const { createV2Router } = require('./v2/server');
-  app.use('/v2', createV2Router());
+  app.use('/v2', createV2Router({ generateCsrfToken, doubleCsrfProtection }));
 
   // ── Общий обработчик ошибок ───────────────────────────────────────────────
   // eslint-disable-next-line no-unused-vars