From 3bc285dc93517e70a4cfe431cc0d372c549c535a Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E2=80=9CNaeel=E2=80=9D?= <tazet@narod.ru>
Date: Thu, 11 Jun 2026 16:28:15 +0400
Subject: [PATCH] fix: /export only for adminMode users, not public

---
 ui/routes/export.js | 5 ++++-
 1 file changed, 4 insertions(+), 1 deletion(-)

diff --git a/ui/routes/export.js b/ui/routes/export.js
index 2341f43..9cdc27a 100644
--- a/ui/routes/export.js
+++ b/ui/routes/export.js
@@ -2,7 +2,7 @@
 
 /**
  * ui/routes/export.js — GET /export.
- * Доступен всем аутентифицированным (не только admin).
+ * Только для администратора (adminMode).
  * Проксирует GET /api/v1/entries/export (text/plain).
  */
 
@@ -13,6 +13,9 @@ function createRouter() {
   const router = Router();
 
   router.get('/export', async (req, res) => {
+    if (!req.user || !req.user.adminMode) {
+      return res.status(403).send('Только для администратора');
+    }
     const token = api.token(req);
     // Прокидываем query-параметры в API
     const params = new URLSearchParams();