bump 0.5.37 — debug /debug-session endpoint

server.js

@@ -79,6 +79,18 @@ async function start() {
   // k8s liveness probe — простая проверка что сервер жив
   app.get('/healthz', (req, res) => res.send('OK'));
 
+  // 🔧 DEBUG: показать IAM-данные из сессии (убрать после теста!)
+  app.get('/debug-session', (req, res) => {
+    if (!req.session || !req.session.user) return res.json({ error: 'no session' });
+    const { token, idToken, ...safe } = req.session;
+    res.json({
+      user: req.session.user,
+      hasToken: !!token,
+      tokenPreview: token ? token.slice(0, 50) + '...' : null,
+      tokenPayload: token ? (() => { try { const p = JSON.parse(Buffer.from(token.split('.')[1], 'base64url').toString()); return { iss: p.iss, sub: p.sub, email: p.email, ClientID: p.ClientID, iat: p.iat }; } catch(e) { return 'decode error'; } })() : null,
+    });
+  });
+
   // JWKS endpoint для валидации токенов внешними сервисами (только в mock-режиме)
   if (auth.jwksHandler) app.get('/.well-known/jwks.json', auth.jwksHandler);