From 8f9e0a96add8528616173c09251cf417b3d84261 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=E2=80=9CNaeel=E2=80=9D?= <tazet@narod.ru>
Date: Thu, 11 Jun 2026 20:18:55 +0400
Subject: [PATCH] fix: reject client_id when allowedIds list is empty (no IAM,
 no JWT claims)

---
 src/api/routes/entries.js | 4 ++--
 1 file changed, 2 insertions(+), 2 deletions(-)

diff --git a/src/api/routes/entries.js b/src/api/routes/entries.js
index 43d3d8e..625f0e4 100644
--- a/src/api/routes/entries.js
+++ b/src/api/routes/entries.js
@@ -54,8 +54,8 @@ function createEntriesRouter({ q }) {
     const allowedIds = req.user.profiles && req.user.profiles.length
       ? req.user.profiles.map(p => p.client_id)
       : (req.user.allClientIds || []);
-    // Если список компаний пуст (IAM не ответил, token без claims) — доверяем requestedId
-    const effectiveClientId = (requestedId && (!allowedIds.length || allowedIds.includes(requestedId)))
+    // Без верифицированного списка — client_id не принимаем
+    const effectiveClientId = (requestedId && allowedIds.length && allowedIds.includes(requestedId))
       ? requestedId
       : req.user.clientId;
     // companyName: для переключённой компании — находим в profiles или используем clientId