Export: убран filename из Content-Disposition для диалога сохранения

Версия: 0.1.13
Документация: db-query-endpoint.md

.env.example

@@ -10,6 +10,10 @@ DB_SSLMODE=disable
 # true  = mock-логин (без Keycloak, для тестов)
 # false = OIDC SSO через Keycloak (ОБЯЗАТЕЛЬНО в production)
 DEV_MODE=true
+
+# APP_ENV=production (по умолчанию) или test (жёлтый баннер в UI)
+APP_ENV=test
+
 DEFAULT_LIMIT=15
 
 # ── Сессия (сгенерировать: openssl rand -base64 32) ──

.gitignore

@@ -6,6 +6,7 @@ __pycache__/
 .DS_Store
 .vscode/
 .idea/
+*.har
 
 # Креды, токены, конфиги
 token*.*

docs/db-query-endpoint.md

@@ -0,0 +1,76 @@
+# Endpoint SQL-запросов к БД (`/v2/db/query`)
+
+> Создан: 2026-07-08
+
+## Назначение
+
+Дать DevOps-инженеру (одному человеку, заданному через `ADMIN_EMAIL`) возможность выполнять SQL-запросы к БД напрямую из браузера — без psql, без kubectl, без внешнего IP.
+
+## Доступ
+
+- Только один пользователь: `req.email === ADMIN_EMAIL`
+- Обычный юзер сервиса (проходит SSO как все)
+- Пример: `ADMIN_EMAIL=atazet@narod.ru`
+
+## Адрес
+
+```
+GET /v2/db/query?sql=<часть запроса после SELECT>
+```
+
+## Как работает
+
+1. Пользователь заходит в сервис через SSO (любой URL, например `/v2/app`)
+2. Меняет в адресной строке путь на `/v2/db/query?sql=...`
+3. Сервер:
+   - Проверяет сессию (resolveContext)
+   - Проверяет что `req.email === ADMIN_EMAIL`
+   - Добавляет префикс `SELECT` перед вводом пользователя
+   - Выполняет: `pool.query('SELECT ' + userInput)`
+   - Возвращает JSON
+
+## Примеры
+
+| Ввод в браузере | Что выполняется |
+|---|---|
+| `/v2/db/query?sql=* FROM _migrations` | `SELECT * FROM _migrations` |
+| `/v2/db/query?sql=count(*) FROM companies` | `SELECT count(*) FROM companies` |
+| `/v2/db/query?sql=* FROM whitelist_entries LIMIT 10` | `SELECT * FROM whitelist_entries LIMIT 10` |
+| `/v2/db/query?sql=* FROM audit_log ORDER BY created_at DESC LIMIT 5` | `SELECT * FROM audit_log ORDER BY created_at DESC LIMIT 5` |
+
+## Безопасность
+
+1. **SELECT префикс** — жёстко добавляется `SELECT` перед вводом пользователя. DROP/INSERT/UPDATE/DELETE не работают:
+   ```
+   /v2/db/query?sql=DROP TABLE companies
+   → SELECT DROP TABLE companies  (ошибка SQL, не выполнится)
+   ```
+
+2. **Одиночные запросы** — драйвер `pg` не поддерживает множественные запросы в одном `query()`. Попытка `1; DROP TABLE` не сработает.
+
+3. **Доступ по email** — только один человек, заданный в `ADMIN_EMAIL`.
+
+4. **Rate limiter** — endpoint защищён лимитером (как mutationLimiter).
+
+## Ответ
+
+```json
+{
+  "rows": [ ... ],
+  "rowCount": 5,
+  "fields": ["id", "filename", "applied_at"]
+}
+```
+
+## Реализация
+
+- Файл: `v2/src/db/query.js`
+- Middleware: `resolveContext` + проверка `req.canQueryDB`
+- Роутер монтируется в `v2/server.js` на `/db`
+- Флаг `req.canQueryDB` выставляется в `v2/src/router/index.js` (applyContext)
+
+## Ограничения
+
+- Только SELECT (через префикс)
+- Нет GUI — только JSON в браузере
+- SQL в URL (логируется в access_log nginx/ingress — это нормально для devops-инструмента)

docs/history/session-2026-06-22-export-impersonation.md

@@ -0,0 +1,135 @@
+# Сессия 2026-06-22 — export view=2, фикс имперсонации, TZ аудит
+
+## Версии
+- **0.1.1** — сброс версии с 0.5.180
+- **0.1.2** — `white-space: pre` на `<code>` (пробелы схлопывались)
+- **0.1.3** — таблица без точек, октеты в своих `<td>`
+- **0.1.4** — `text-align: right` в ячейках
+- **0.1.5** — `padStart(2)` плотнее (один пробел, не два)
+- **0.1.6** — фикс детекции имперсонации
+- **0.1.7** — аудит: время Москвы вместо UTC
+
+---
+
+## 1. Export view=2 — HTML-таблица с выровненными IP
+
+### Устройство
+Файл: `v2/src/export/index.js`
+
+Три режима:
+| Параметр | Content-Type | Поведение |
+|---|---|---|
+| (нет) | `text/plain` | Скачивание `.txt` |
+| `?view=1` | `text/plain` | Inline в браузере |
+| `?view=2` | `text/html` | Таблица: 4 ячейки октетов + маска |
+
+### Структура view=2
+```html
+<table>
+  <tr>
+    <td> 62</td><td> 76</td><td> 39</td><td>  5</td><td> / 32</td>
+  </tr>
+</table>
+```
+
+- Каждый октет в своей `<td>`, без точек
+- `padStart(2, ' ')` — минимум 2 символа на октет
+- `text-align: right` — выравнивание по правой границе
+- `white-space: pre` — пробелы не схлопываются
+- Границы не видны (`border-collapse: collapse`, без `border` на td)
+
+---
+
+## 2. Фикс имперсонации — БАГ
+
+### Симптом
+На странице `/v2/app` не показывался баннер «Режим имперсонации», хотя IAM API возвращал `is_impersonated: true`.
+
+### Причина
+В двух местах `v2/src/router/index.js` проверка имперсонации использовала `u.impersonatedCompanyId`:
+
+```js
+// checkImpersonation — строка 78 (было)
+const oldIsImp = !!(u.originalUserEmail && u.impersonatedCompanyId);
+
+// applyContext — строка 133 (было)
+const isImpersonated = !!(u.originalUserEmail && u.impersonatedCompanyId);
+```
+
+**Поле `impersonatedCompanyId` отсутствует в ответе IAM.** IAM `/auth/user` возвращает:
+```json
+{
+  "impersonation": {
+    "is_impersonated": true,
+    "impersonatedUserId": "...",
+    "originalUserEmail": "ntazetdinov@nubes.ru",
+    "originalUserFullName": "...",
+    "originalUserCompany": "...",
+    "sessionId": 613,
+    ...
+    // ⚠️ impersonatedCompanyId — НЕТ
+  }
+}
+```
+
+Из-за этого:
+- `u.impersonatedCompanyId` всегда `''` (пустая строка = falsy)
+- `!!(truthy && falsy)` → всегда `false`
+- Баннер не показывался
+- `checkImpersonation` на каждый запрос заново дёргал IAM (думал что статус изменился)
+
+### Исправление
+Заменить проверку на `u.isImpersonated` (которое корректно выставляется в `checkImpersonation`):
+
+```js
+// checkImpersonation (исправлено)
+const oldIsImp = !!u.isImpersonated;
+
+// applyContext (исправлено)
+const isImpersonated = !!(u.isImpersonated || u.originalUserEmail);
+```
+
+---
+
+## 3. Время в аудите — UTC → MSK
+
+Файл: `views/v2/admin-audit.ejs`, строка 100.
+
+```js
+// Было (возвращает серверное время = UTC):
+new Date(a.created_at).toLocaleString('ru')
+
+// Стало (Москва, UTC+3):
+new Date(a.created_at).toLocaleString('ru-RU', { timeZone: 'Europe/Moscow' })
+```
+
+---
+
+## 4. Проверка IAM API
+
+Три эндпоинта, проверены через Node.js с IAM-токеном (`iss: auth-api`):
+
+| Эндпоинт | Статус | Результат |
+|---|---|---|
+| `auth-api /auth/user` | 200 | Полные данные + имперсонация |
+| `lk-api-gateway /iam/auth/user` | 200 | **Идентично** auth-api |
+| `auth-api /impersonation/status` | 200 | `is_impersonating`, `session_id`, etc. |
+
+Данные между `auth-api` и `lk-api-gateway` совпадают поле-в-поле.
+
+### Важно: токены
+- **Keycloak-токен** (iss: `auth.k8s.ngcloud.ru`) → IAM возвращает 401 (не может проверить подпись)
+- **IAM-токен** (iss: `auth-api`) → работает
+- **Tech-токен** (8541 символ) → nginx 400 (превышен лимит заголовка 8KB)
+- Для проверки API нужен IAM-токен из активной сессии
+
+---
+
+## 5. Админ при имперсонации
+
+`tazet@narod.ru` показывается как админ, потому что:
+1. IAM честно говорит `isAdmin: false` для `tazet@narod.ru`
+2. Но `applyContext` проверяет `email === ADMIN_EMAIL` → `true`
+3. `ADMIN_EMAIL=tazet@narod.ru` в ENV
+
+Это ожидаемое поведение — `ADMIN_EMAIL` даёт админские права независимо от IAM.

package.json

@@ -1,6 +1,6 @@
 {
   "name": "ipwhitelist",
-  "version": "0.5.167",
+  "version": "0.1.13",
   "description": "IP WhiteList microservice for cloud provider",
   "main": "server.js",
   "scripts": {

server.js

@@ -31,6 +31,7 @@ const { authLimiter }      = require('./src/middleware/rateLimit');
 const { createSessionMiddleware } = require('./src/middleware/session');
 const { aggregateCIDRs }   = require('./src/validators');
 const { CSP_DIRECTIVES }   = require('./src/middleware/csp');
+const { initCsrf }         = require('./src/middleware/csrf');
 
 const app = express();
 const PORT = process.env.PORT || 3000;
@@ -73,44 +74,40 @@ async function start() {
       console.error('FATAL: DB_PASS не задан в production!');
       process.exit(1);
     }
+    if (!process.env.CSRF_SECRET || process.env.CSRF_SECRET === 'dev-csrf-secret-change-in-prod') {
+      console.error('FATAL: CSRF_SECRET не задан или равен дефолту в production!');
+      process.exit(1);
+    }
   }
 
-  // k8s liveness probe — простая проверка что сервер жив
+  // k8s liveness + readiness probes
   app.get('/healthz', (req, res) => res.send('OK'));
-
+  app.get('/ready', async (req, res) => {
-  // 🔧 DEBUG: показать IAM-данные из сессии (убрать после теста!)
-  app.get('/debug-session', async (req, res) => {
-    if (!req.session || !req.session.user) return res.json({ error: 'no session' });
-    const { token, idToken, ...safe } = req.session;
-    // Последняя запись аудита для проверки impersonated_by
-    let lastAudit = null;
     try {
-      const { getAudit } = require('./src/queries');
+      await pool.query('SELECT 1');
-      const audit = await getAudit(null);
+      res.send('OK');
-      lastAudit = audit.slice(0, 3);
+    } catch (e) {
-    } catch(e) { lastAudit = 'error: ' + e.message; }
+      res.status(503).send('DB not ready');
-    res.json({
+    }
-      user: req.session.user,
-      hasToken: !!token,
-      tokenPreview: token ? token.slice(0, 50) + '...' : null,
-      tokenPayload: token ? (() => { try { const p = JSON.parse(Buffer.from(token.split('.')[1], 'base64url').toString()); return { iss: p.iss, sub: p.sub, email: p.email, ClientID: p.ClientID, iat: p.iat }; } catch(e) { return 'decode error'; } })() : null,
-      lastAudit,
-    });
   });
 
   // JWKS endpoint для валидации токенов внешними сервисами (только в mock-режиме)
   if (auth.jwksHandler) app.get('/.well-known/jwks.json', auth.jwksHandler);
 
   // ── OIDC-роуты (Keycloak) ───────────────────────────────────────────────
+  app.use('/login', authLimiter);  // защита от брутфорса
   const { createRouter: createOidcRouter } = require('./src/routes/oidc');
   app.use('/', createOidcRouter({ auth }));
 
+  // ── CSRF — инициализация после сессий ─────────────────────────────────
+  const { generateCsrfToken, doubleCsrfProtection } = initCsrf();
+
   // ── V2 — основной код ─────────────────────────────────────────────────
   app.get('/', (req, res) => res.redirect('/v2/app'));
   // Редирект /export → /v2/export (для обратной совместимости)
   app.get('/export', (req, res) => res.redirect('/v2/export' + (req.originalUrl.includes('?') ? req.originalUrl.substring(req.originalUrl.indexOf('?')) : '')));
   const { createV2Router } = require('./v2/server');
-  app.use('/v2', createV2Router());
+  app.use('/v2', createV2Router({ generateCsrfToken, doubleCsrfProtection }));
 
   // ── Общий обработчик ошибок ───────────────────────────────────────────────
   // eslint-disable-next-line no-unused-vars
@@ -124,7 +121,7 @@ async function start() {
       ? (err.stack || err.message || String(err))
       : JSON.stringify(err);
     console.error('Unhandled error:', ctx, detail);
-    res.status(500).send('Ошибка [' + ctx.url + '] user=' + ctx.user + ' clientId=' + ctx.clientId + ' — ' + detail.slice(0, 500));
+    res.status(500).send('Внутренняя ошибка сервера');
   });
 
   // ── Старт сервера ─────────────────────────────────────────────────────────────
@@ -138,7 +135,20 @@ async function start() {
 // Запускаем сервер только если файл запущен напрямую (не через require)
 if (require.main === module) {
   start()
-    .then(a => a.listen(PORT, () => console.log('Server on port ' + PORT)))
+    .then(a => {
+      const server = a.listen(PORT, () => console.log('Server on port ' + PORT));
+      // Graceful shutdown по SIGTERM (k8s)
+      process.on('SIGTERM', () => {
+        console.log('SIGTERM — shutting down...');
+        server.close(() => {
+          console.log('HTTP closed');
+          const { pool } = require('./src/db');
+          pool.end().then(() => { console.log('DB pool closed'); process.exit(0); });
+        });
+        setTimeout(() => { console.log('Forced exit'); process.exit(0); }, 10000);
+      });
+      return server;
+    })
     .catch(e => { console.error('Startup error:', e); process.exit(1); });
 }
 

sql/migrations/001_add_impersonated_by.sql

@@ -0,0 +1,4 @@
+-- 001: Добавить колонку impersonated_by в audit_log
+-- Дата: 2026-06 (была добавлена в ensureSchema вручную)
+
+ALTER TABLE audit_log ADD COLUMN IF NOT EXISTS impersonated_by VARCHAR(255) DEFAULT NULL;

sql/migrations/002_add_audit_restore.sql

@@ -0,0 +1,18 @@
+-- 002: Добавить значение RESTORE в CHECK-констрейнт audit_log.action
+-- Дата: 2026-06 (до этого CHECK допускал только CREATE, UPDATE, DELETE)
+
+-- Сначала удаляем старый CHECK, потом создаём новый со значением RESTORE
+DO $$
+DECLARE
+  cn text;
+BEGIN
+  SELECT con.conname INTO cn
+  FROM pg_constraint con
+  JOIN pg_class rel ON rel.oid = con.conrelid
+  WHERE rel.relname = 'audit_log' AND con.contype = 'c';
+  IF cn IS NOT NULL THEN
+    EXECUTE 'ALTER TABLE audit_log DROP CONSTRAINT ' || cn;
+  END IF;
+  EXECUTE 'ALTER TABLE audit_log ADD CONSTRAINT audit_log_action_check CHECK (action IN (''CREATE'',''UPDATE'',''DELETE'',''RESTORE''))';
+END;
+$$;

sql/migrations/README.md

@@ -0,0 +1,16 @@
+# Миграции БД
+
+Каждый файл — одна миграция. Применяются при старте приложения автоматически в порядке сортировки имён.
+
+## Как добавить новую миграцию
+
+1. Создать файл `{номер}_{описание}.sql` в этой папке
+2. Номер должен быть следующим (003, 004, ...)
+3. SQL должен быть идемпотентным (`IF NOT EXISTS` где возможно)
+4. Закоммитить и запушнуть
+
+## Важно
+
+- Миграции выполняются **один раз**. После применения имя файла записывается в таблицу `_migrations`.
+- Уже работающие миграции не перезапускаются — если нужно что-то изменить, создавай новую миграцию, не редактируй старую.
+- Все DDL должны быть безопасны для повторного запуска — используй `IF NOT EXISTS`, `ADD COLUMN IF NOT EXISTS`.

src/auth.js

@@ -528,7 +528,7 @@ function httpPost(url, body, headers) {
  * Защита от open redirect: //evil.com и https://evil.com → '/'.
  */
 function safeReturn(target) {
-  if (typeof target === 'string' && target.startsWith('/') && !target.startsWith('//')) {
+  if (typeof target === 'string' && target.startsWith('/') && !target.startsWith('//') && target[1] !== '\\') {
     return target;
   }
   return '/';

src/routes/oidc.js

@@ -32,15 +32,11 @@ function createRouter({ auth, doubleCsrfProtection, generateCsrfToken, authLimit
   router.get('/callback', async (req, res) => {
     const { code, state } = req.query;
 
-    // Проверка state — защита от CSRF в OAuth-потоке
+    // Проверка state — защита от CSRF в OAuth-потоке (всегда)
-    if (process.env.NODE_ENV === 'production') {
+    if (!state || state !== req.session.oidcState) {
-      if (req.session) delete req.session.oidcState;
+      return res.status(403).send('Invalid state parameter');
-    } else {
-      if (!state || state !== req.session.oidcState) {
-        return res.status(403).send('Invalid state parameter');
-      }
-      delete req.session.oidcState;
     }
+    delete req.session.oidcState;
 
     if (!code) {
       return res.status(400).send('Missing authorization code');
@@ -57,6 +53,11 @@ function createRouter({ auth, doubleCsrfProtection, generateCsrfToken, authLimit
       const payload = jwt.decode(accessToken);
       if (!payload) throw new Error('Failed to decode token');
 
+      // Регенерируем ID сессии — защита от session fixation
+      await new Promise((resolve, reject) => {
+        req.session.regenerate(err => err ? reject(err) : resolve());
+      });
+
       req.session.token = accessToken;
       req.session.idToken = tokenData.idToken || null;
 

v1_legacy/src/api/index.js

@@ -1,41 +0,0 @@
-'use strict';
-
-/**
- * src/api/index.js — REST API v1.
- *
- * Монтируется в server.js ДО общего auth.middleware:
- *   app.use('/api/v1', createApiRouter({ auth, q }))
- *
- * Аутентификация: только Bearer JWT (без сессий, без CSRF).
- * Ответы: JSON везде.
- * Переиспользует: src/queries.js, src/auth.js (middleware для валидации токена).
- *
- * Эндпоинты:
- *   GET    /api/v1/entries              — список записей компании
- *   POST   /api/v1/entries              — создать запись
- *   PATCH  /api/v1/entries/:id          — обновить запись
- *   DELETE /api/v1/entries/:id          — удалить запись
- *   GET    /api/v1/companies            — все компании (admin)
- *   PATCH  /api/v1/companies/:id/limit  — установить лимит (admin)
- */
-
-const express = require('express');
-const { requireBearer } = require('./middleware/bearerAuth');
-const { createEntriesRouter } = require('./routes/entries');
-const { createAdminRouter } = require('./routes/admin');
-
-function createApiRouter({ auth, q }) {
-  const router = express.Router();
-
-  // Все /api/v1/* требуют Bearer — 401 JSON если нет токена
-  router.use(requireBearer);
-  // Валидация токена — Bearer-only (игнорирует сессию, всегда проверяет JWT)
-  router.use(auth.bearerMiddleware);
-
-  router.use('/entries', createEntriesRouter({ q }));
-  router.use('/', createAdminRouter({ q }));
-
-  return router;
-}
-
-module.exports = { createApiRouter };

v1_legacy/src/api/routes/admin.js

@@ -1,61 +0,0 @@
-'use strict';
-
-const express = require('express');
-
-// Отдельный requireAdmin для API — возвращает JSON вместо plain text
-function apiRequireAdmin(req, res, next) {
-  if (!req.user || !req.user.isAdmin) {
-    return res.status(403).json({ error: 'Admin role required' });
-  }
-  next();
-}
-
-function createAdminRouter({ q }) {
-  const router = express.Router();
-  const json = express.json({ limit: '8kb' });
-
-  // GET /api/v1/companies — все компании (admin only)
-  router.get('/companies', apiRequireAdmin, async (req, res) => {
-    try {
-      const companies = await q.getAllCompanies();
-      res.json({ companies });
-    } catch (e) {
-      res.status(500).json({ error: e.message });
-    }
-  });
-
-  // PATCH /api/v1/companies/:id/limit — установить лимит (admin only)
-  router.patch('/companies/:id/limit', apiRequireAdmin, json, async (req, res) => {
-    const rawLimit = (req.body || {}).limit;
-    const isReset = rawLimit === null || rawLimit === undefined;
-    const limit = isReset ? null : parseInt(rawLimit, 10);
-    if (!isReset && (isNaN(limit) || limit < 0)) {
-      return res.status(400).json({ error: 'limit must be non-negative integer or null to reset' });
-    }
-    try {
-      await q.setLimit(req.params.id, limit);
-      res.json({ ok: true, limit });
-    } catch (e) {
-      res.status(e.status || 500).json({ error: e.message });
-    }
-  });
-
-  // GET /api/v1/audit — журнал действий (admin only)
-  // ?company=<id> — фильтр по компании (опционально)
-  router.get('/audit', apiRequireAdmin, async (req, res) => {
-    try {
-      const companyId = req.query.company ? parseInt(req.query.company, 10) : null;
-      const [rows, companies] = await Promise.all([
-        q.getAudit(companyId && Number.isFinite(companyId) ? companyId : null),
-        q.getAllCompanies(),
-      ]);
-      res.json({ rows, companies });
-    } catch (e) {
-      res.status(500).json({ error: e.message });
-    }
-  });
-
-  return router;
-}
-
-module.exports = { createAdminRouter };

v1_legacy/src/api/routes/entries.js

@@ -1,172 +0,0 @@
-'use strict';
-
-const express = require('express');
-const { aggregateCIDRs } = require('../../validators');
-
-function createEntriesRouter({ q }) {
-  const router = express.Router();
-  const json = express.json({ limit: '32kb' });
-
-  // Маппинг сообщений ошибок на HTTP-коды
-  function handleQueryError(e, res) {
-    const msg = e.message || '';
-    // 409: бизнес-конфликты (дубликат, пересечение, лимит)
-    if (
-      msg.includes('Лимит исчерпан') ||
-      msg.includes('Такой адрес уже существует') ||
-      msg.includes('Пересечение с существующей записью')
-    ) {
-      return res.status(409).json({ error: msg });
-    }
-    // 404: запись не найдена
-    if (msg.includes('Запись не найдена')) {
-      return res.status(404).json({ error: msg });
-    }
-    // 400: ошибки валидации от validate() и blocked-ranges
-    if (
-      msg.includes('Некорректн') ||
-      msg.includes('Маска должна быть') ||
-      msg.includes('Пустое значение') ||
-      msg.includes('IPv6 не поддерживается') ||
-      msg.includes('пересекается с запрещённым')
-    ) {
-      return res.status(400).json({ error: msg });
-    }
-    return res.status(500).json({ error: msg });
-  }
-
-  // Определить компанию из запроса.
-  // Admin с ?company=<id> → компания по ID.
-  // User с ?client_id=<id> (мульти-компания) → компания по clientId.
-  // Иначе → компания пользователя (UPSERT).
-  async function resolveCompany(req) {
-    if (req.user.isAdmin && req.query.company) {
-      const id = parseInt(req.query.company, 10);
-      if (!Number.isFinite(id) || id <= 0) {
-        throw Object.assign(new Error('Invalid company id'), { status: 400 });
-      }
-      const c = await q.getCompanyById(id);
-      if (!c) throw Object.assign(new Error('Company not found'), { status: 404 });
-      return c;
-    }
-    // Мульти-компания: client_id разрешён только если есть в профилях (IAM) или allClientIds (JWT fallback)
-    const requestedId = (req.query.client_id || '').trim();
-    const allowedIds = req.user.profiles && req.user.profiles.length
-      ? req.user.profiles.map(p => p.client_id)
-      : (req.user.allClientIds || []);
-    // Без верифицированного списка — client_id не принимаем
-    const effectiveClientId = (requestedId && allowedIds.length && allowedIds.includes(requestedId))
-      ? requestedId
-      : req.user.clientId;
-    // companyName: для переключённой компании — находим в profiles или используем clientId
-    let effectiveName = effectiveClientId === req.user.clientId
-      ? req.user.companyName
-      : effectiveClientId;
-    if (req.user.profiles) {
-      const p = req.user.profiles.find(p => p.client_id === effectiveClientId);
-      if (p) effectiveName = p.company_name;
-    }
-    return q.getOrCreateCompany(effectiveClientId, effectiveName, req.user.email);
-  }
-
-  // GET /api/v1/entries — список записей + лимит
-  // ?includeDeleted=true — показать soft-deleted (только admin)
-  router.get('/', async (req, res) => {
-    try {
-      const company = await resolveCompany(req);
-      const includeDeleted = req.user.isAdmin && req.query.includeDeleted === 'true';
-      const [entries, limit] = await Promise.all([
-        q.listEntries(company.id, includeDeleted),
-        q.getLimit(company),
-      ]);
-      res.json({ entries, limit, used: entries.length });
-    } catch (e) {
-      res.status(e.status || 500).json({ error: e.message });
-    }
-  });
-
-  // GET /api/v1/entries/export — агрегированный список CIDR
-  // По умолчанию JSON. ?format=txt → text/plain.
-  // Только для админа.
-  router.get('/export', async (req, res) => {
-    try {
-      let companyId = null;
-      if (!req.user.isAdmin) {
-        const requestedId = (req.query.client_id || '').trim();
-        const effectiveClientId = (requestedId && req.user.allClientIds && req.user.allClientIds.includes(requestedId))
-          ? requestedId
-          : req.user.clientId;
-        const company = await q.getOrCreateCompany(effectiveClientId, effectiveClientId);
-        companyId = company.id;
-      } else if (req.query.company) {
-        const id = parseInt(req.query.company, 10);
-        if (Number.isFinite(id) && id > 0) companyId = id;
-      }
-      const cidrs = await q.getExportCIDRs(companyId);
-      const aggregated = aggregateCIDRs(cidrs);
-
-      const isText = req.query.format === 'txt';
-      if (!isText) {
-        res.setHeader('Content-Type', 'application/json; charset=utf-8');
-        const fname = (req.query.filename || 'white-list.json').replace(/[^\w\-_. ]/g, '_');
-        const disp  = req.query.view === '1' ? 'inline' : 'attachment';
-        res.setHeader('Content-Disposition', `${disp}; filename="${fname}"`);
-        return res.json({ cidrs: aggregated, count: aggregated.length });
-      }
-
-      res.setHeader('Content-Type', 'text/plain; charset=utf-8');
-      const fname = (req.query.filename || 'white-list.txt').replace(/[^\w\-_. ]/g, '_');
-      const disp  = req.query.view === '1' ? 'inline' : 'attachment';
-      res.setHeader('Content-Disposition', `${disp}; filename="${fname}"`);
-      res.send(aggregated.join('\n') + (aggregated.length ? '\n' : ''));
-    } catch (e) {
-      res.status(500).json({ error: e.message });
-    }
-  });
-
-  // POST /api/v1/entries — создать запись
-  router.post('/', json, async (req, res) => {
-    const { value, comment } = req.body || {};
-    if (!value) return res.status(400).json({ error: 'value required' });
-    if (comment && comment.length > 255) return res.status(400).json({ error: 'Комментарий слишком длинный (максимум 255 символов)' });
-    try {
-      const company = await resolveCompany(req);
-      const { entry, wasNormalized } = await q.createEntry(company.id, value, comment || '', req.user.email, req.user.originalUserEmail);
-      res.status(201).json({ entry, wasNormalized });
-    } catch (e) {
-      if (e.status) return res.status(e.status).json({ error: e.message });
-      handleQueryError(e, res);
-    }
-  });
-
-  // PATCH /api/v1/entries/:id — обновить запись
-  router.patch('/:id', json, async (req, res) => {
-    const { value, comment } = req.body || {};
-    if (!value) return res.status(400).json({ error: 'value required' });
-    if (comment && comment.length > 255) return res.status(400).json({ error: 'Комментарий слишком длинный (максимум 255 символов)' });
-    try {
-      const company = await resolveCompany(req);
-      const { entry, wasNormalized } = await q.updateEntry(req.params.id, company.id, value, comment ?? '', req.user.email, req.user.originalUserEmail);
-      res.json({ entry, wasNormalized });
-    } catch (e) {
-      if (e.status) return res.status(e.status).json({ error: e.message });
-      handleQueryError(e, res);
-    }
-  });
-
-  // DELETE /api/v1/entries/:id — удалить запись
-  router.delete('/:id', async (req, res) => {
-    try {
-      const company = await resolveCompany(req);
-      await q.deleteEntry(req.params.id, company.id, req.user.email, req.user.originalUserEmail);
-      res.status(204).send();
-    } catch (e) {
-      if (e.status) return res.status(e.status).json({ error: e.message });
-      handleQueryError(e, res);
-    }
-  });
-
-  return router;
-}
-
-module.exports = { createEntriesRouter };

v1_legacy/tests/integration.js

@@ -1,458 +0,0 @@
-'use strict';
-
-/**
- * tests/integration.js — НОВЫЕ интеграционные тесты (v2).
- *
- * Архитектура: UI-слой (SSR EJS) → HTTP → API-слой (/api/v1/*).
- *
- * Запуск: node tests/integration.js
- * Требует: DEV_MODE=true, .env с БД.
- *
- * Разделы:
- *   1. UI Login — mock-пользователи + ручной ввод clientId
- *   2. UI Pages — главная, admin, audit (после логина)
- *   3. UI Session — logout, нет доступа без сессии
- *   4. UI Export — /export, ?view=1, ?filename=X
- *   5. UI Multi-company — ручной вход с clientId через запятую
- *   6. UI CSRF — защищённые POST требуют _csrf
- *   7. UI Admin — admin-страницы доступны/недоступны
- *   8. UI Error pages — 404, редирект на логин
- *   9. API → UI的一致性 — данные совпадают
- */
-
-require('dotenv').config();
-
-const supertest   = require('supertest');
-const { pool }    = require('../src/db');
-
-let pass = 0, fail = 0;
-const errors = [];
-
-function log(ok, name, detail = '') {
-  if (ok) {
-    console.log('  PASS', name);
-    pass++;
-  } else {
-    const msg = ' FAIL ' + name + (detail ? ': ' + detail : '');
-    console.error(msg);
-    errors.push(msg);
-    fail++;
-  }
-}
-
-// ── Хелперы ──────────────────────────────────────────────────────────────────
-
-/** Извлечь CSRF-токен из HTML-страницы */
-function csrfFromHtml(html) {
-  const m = html.match(/name="_csrf"\s+value="([^"]+)"/);
-  return m ? m[1] : null;
-}
-
-/**
- * Залогиниться под mock-пользователем (выбор из выпадашки).
- * Возвращает agent с установленной сессией.
- */
-async function loginAsMock(app, clientId) {
-  const agent = supertest.agent(app);
-
-  // POST /login — на login-форме нет CSRF (защита через rateLimit)
-  const postRes = await agent
-    .post('/login')
-    .type('form')
-    .send({ clientId, returnTo: '/' });
-
-  if (postRes.status !== 302) throw new Error(`POST /login: ${postRes.status} ${postRes.text?.slice(0,100)}`);
-  return agent;
-}
-
-/**
- * Залогиниться через ручной ввод clientId.
- */
-async function loginManual(app, clientId) {
-  const agent = supertest.agent(app);
-
-  const postRes = await agent
-    .post('/login-token')
-    .type('form')
-    .send({ clientId, returnTo: '/' });
-
-  if (postRes.status !== 302) throw new Error(`POST /login-token: ${postRes.status} ${postRes.text?.slice(0,100)}`);
-  return agent;
-}
-
-// ── Cleanup ──────────────────────────────────────────────────────────────────
-async function cleanup() {
-  const testCidrs = [
-    '8.8.8.100/32', '8.8.8.101/32', '8.8.8.102/32',
-    '9.9.9.1/32', '9.9.9.2/32', '9.9.9.3/32',
-    '4.4.4.1/32', '4.4.4.2/32', '4.4.4.3/32', '4.4.4.5/32',
-  ];
-  for (const c of testCidrs) {
-    await pool.query(
-      `UPDATE whitelist_entries SET deleted_at = NOW(), deleted_by = 'integration-test-cleanup'
-       WHERE value_cidr = $1 AND deleted_at IS NULL`, [c]
-    );
-  }
-}
-
-// ── Основной раннер ──────────────────────────────────────────────────────────
-
-(async () => {
-  console.log('\n══════════════════════════════════════════════════════');
-  console.log('  Интеграционные тесты v2 (UI + API)');
-  console.log('══════════════════════════════════════════════════════\n');
-
-  let app;
-  try {
-    const mod = require('../server');
-    app = await mod.start();
-  } catch (e) {
-    console.error('FATAL: не удалось запустить сервер:', e.message);
-    await pool.end();
-    process.exit(1);
-  }
-
-  const { MOCK_USERS } = require('../src/config');
-  const uAdmin = MOCK_USERS.find(u => u.id === 'admin');
-  const uAlfa  = MOCK_USERS.find(u => u.id === 'alfa');
-  const uBeta  = MOCK_USERS.find(u => u.id === 'beta');
-  const uMulti = MOCK_USERS.find(u => u.id === 'multi');
-
-  await cleanup();
-  console.log('── Cleanup done ──\n');
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 1. UI Login
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('── 1. UI Login ──');
-
-  // 1a: GET /login → страница входа
-  {
-    const r = await supertest(app).get('/login');
-    log(r.status === 200, '1a: GET /login → 200', `status=${r.status}`);
-    log(r.text.includes('IP WhiteList'), '1b: страница содержит заголовок');
-    log(r.text.includes('Быстрый вход (mock)'), '1c: mock-форма присутствует (DEV_MODE)');
-    log(r.text.includes('Ручной вход (clientId)'), '1d: форма ручного ввода присутствует');
-    log(!r.text.includes('Bearer токен'), '1e: старой формы Bearer токена НЕТ');
-  }
-
-  // 1f: GET /login-token → редирект на /login
-  {
-    const r = await supertest(app).get('/login-token');
-    log(r.status === 302, '1f: GET /login-token → 302 редирект на /login', `status=${r.status}`);
-    log(r.headers.location === '/login', '1g: Location: /login');
-  }
-
-  // 1h: POST /login (mock) — успешный вход
-  let agentAlfa;
-  {
-    agentAlfa = await loginAsMock(app, uAlfa.clientId);
-    const r = await agentAlfa.get('/');
-    log(r.status === 200, '1h: после mock-логина GET / → 200', `status=${r.status}`);
-    log(r.text.includes(uAlfa.clientId), '1i: главная содержит clientId пользователя');
-    log(r.text.includes('компания'), '1j: главная содержит блок "компания"');
-  }
-
-  // 1k: POST /login-token (ручной ввод) — успешный вход
-  {
-    const agent = await loginManual(app, 'DEBUG_USER_42');
-    const r = await agent.get('/');
-    log(r.status === 200, '1k: после ручного входа GET / → 200', `status=${r.status}`);
-    log(r.text.includes('DEBUG_USER_42'), '1l: главная содержит DEBUG_USER_42');
-
-    // заодно: мульти-компания через запятую (тем же агентом, без доп. логина)
-    const agentM = await loginManual(app, 'AAA,BBB,CCC');
-    const rM = await agentM.get('/');
-    log(rM.status === 200, '1m: ручной вход AAA,BBB,CCC → 200');
-    log(rM.text.includes('AAA'), '1n: главная содержит первый clientId');
-    log(rM.text.includes('BBB') || rM.text.includes('CCC'), '1o: есть другие компании (переключатель)');
-  }
-
-  // 1p: POST /login без clientId → ошибка
-  {
-    const agent = supertest.agent(app);
-    const postR = await agent.post('/login').type('form').send({ returnTo: '/' });
-    log(postR.status === 302, '1p: POST /login без clientId → 302', `status=${postR.status}`);
-    log(postR.headers.location?.includes('error='), '1q: редирект содержит ошибку');
-  }
-
-  // 1r: POST /login-token без clientId → ошибка
-  {
-    const agent = supertest.agent(app);
-    const postR = await agent.post('/login-token').type('form').send({});
-    log(postR.status === 302, '1r: POST /login-token без clientId → 302', `status=${postR.status}`);
-    log(postR.headers.location?.includes('error='), '1s: редирект содержит ошибку');
-  }
-
-  // 1t: несуществующий mock-пользователь → ошибка
-  {
-    const agent = supertest.agent(app);
-    const postR = await agent.post('/login').type('form').send({ clientId: 'NONEXISTENT', returnTo: '/' });
-    log(postR.status === 302, '1t: POST /login NONEXISTENT → 302', `status=${postR.status}`);
-    log(postR.headers.location?.includes('error='), '1u: редирект содержит ошибку');
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 2. UI Pages (после логина)
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 2. UI Pages ──');
-
-  // 2a: главная страница (alfa)
-  {
-    const r = await agentAlfa.get('/');
-    log(r.status === 200, '2a: GET / → 200', `status=${r.status}`);
-    log(r.text.includes('Добавить адрес'), '2b: форма "Добавить адрес" на главной');
-    log(r.text.includes('logout') || r.text.includes('Выйти'), '2c: ссылка выхода');
-    log(r.text.includes('Белые списки IP'), '2d: заголовок страницы');
-  }
-
-  // 2e: admin страница (alfa — не admin)
-  {
-    const r = await agentAlfa.get('/admin');
-    log([200, 302, 403].includes(r.status), '2e: GET /admin (не-admin) → редирект или 403', `status=${r.status}`);
-  }
-
-  // 2f: главная страница рендерит список (даже пустой)
-  {
-    const r = await agentAlfa.get('/');
-    log(r.status === 200, '2f: GET / → 200', `status=${r.status}`);
-    log(r.text.includes('Белые списки IP'), '2g: страница содержит заголовок');
-  }
-
-  // 2h: версия приложения в футере
-  {
-    const ver = require('../package.json').version;
-    const r = await agentAlfa.get('/');
-    log(r.text.includes('v' + ver), '2h: версия ' + ver + ' в футере');
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 3. UI Session
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 3. UI Session ──');
-
-  // 3a: без сессии → редирект на /login
-  {
-    const r = await supertest(app).get('/');
-    log(r.status === 302, '3a: GET / без сессии → 302', `status=${r.status}`);
-    log(r.headers.location?.startsWith('/login'), '3b: редирект на /login', `location=${r.headers.location}`);
-  }
-
-  // 3c: /logout — уничтожает сессию
-  {
-    const r = await agentAlfa.get('/logout');
-    log(r.status === 302, '3c: GET /logout → 302', `status=${r.status}`);
-    log(r.headers.location === '/login', '3d: редирект на /login');
-
-    // После логаута — нет доступа к /
-    const r2 = await agentAlfa.get('/');
-    log(r2.status === 302, '3e: после логаута GET / → 302', `status=${r2.status}`);
-  }
-
-  // 3f: ?returnTo= параметр
-  {
-    const r = await supertest(app).get('/entries?foo=bar');
-    log(r.status === 302, '3f: GET /entries без сессии → 302', `status=${r.status}`);
-    log(r.headers.location?.includes('returnTo'), '3g: Location содержит returnTo', `location=${r.headers.location}`);
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 4. UI Export
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 4. UI Export ──');
-
-  // Свежий логин для export-тестов
-  let agentExp = await loginAsMock(app, uAlfa.clientId);
-
-  // Добавим запись для тестов экспорта через API
-  {
-    const auth = await require('../src/auth').initAuth();
-    const token = auth.issueMockToken({
-      clientId: uAlfa.clientId, companyId: uAlfa.companyId,
-      companyName: uAlfa.companyName, email: uAlfa.email,
-    });
-    await supertest(app)
-      .post('/api/v1/entries')
-      .set('Authorization', 'Bearer ' + token)
-      .send({ value: '8.8.8.100', comment: 'export-test' });
-  }
-
-  // 4a: GET /export → attachment (скачивание)
-  {
-    const r = await agentExp.get('/export');
-    log(r.status === 200, '4a: GET /export → 200', `status=${r.status}`);
-    log(r.headers['content-disposition']?.includes('attachment'), '4b: Content-Disposition: attachment', `disp=${r.headers['content-disposition']}`);
-    log(r.headers['content-disposition']?.includes('white-list.txt'), '4c: имя файла white-list.txt по умолчанию');
-  }
-
-  // 4d: GET /export?view=1 → inline (просмотр)
-  {
-    const r = await agentExp.get('/export?view=1');
-    log(r.status === 200, '4d: GET /export?view=1 → 200', `status=${r.status}`);
-    log(r.headers['content-disposition']?.includes('inline'), '4e: Content-Disposition: inline', `disp=${r.headers['content-disposition']}`);
-  }
-
-  // 4f: GET /export?filename=custom.txt
-  {
-    const r = await agentExp.get('/export?filename=custom.txt');
-    log(r.status === 200, '4f: GET /export?filename=custom.txt → 200', `status=${r.status}`);
-    log(r.headers['content-disposition']?.includes('custom.txt'), '4g: имя файла custom.txt', `disp=${r.headers['content-disposition']}`);
-  }
-
-  // 4h: GET /export без сессии → 200 (ПУБЛИЧНЫЙ, ВРЕМЕННО)
-  {
-    const r = await supertest(app).get('/export');
-    log(r.status === 200, '4h: GET /export без авторизации → 200 (публичный)', `status=${r.status}`);
-    log(r.headers['content-type']?.includes('text/plain'), '4i: Content-Type text/plain');
-  }
-
-  // 4j: GET /export?view=1&filename=test.txt
-  {
-    const r = await supertest(app).get('/export?view=1&filename=test.txt');
-    log(r.status === 200, '4j: GET /export?view=1&filename=test.txt → 200', `status=${r.status}`);
-    log(r.headers['content-disposition']?.includes('inline'), '4k: inline (view=1 приоритетнее filename)');
-    log(r.headers['content-disposition']?.includes('test.txt'), '4l: имя файла test.txt');
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 5. UI Multi-company
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 5. UI Multi-company ──');
-
-  let agentMulti;
-  if (uMulti) {
-    agentMulti = await loginManual(app, uMulti.clientId);
-
-    // 5a: на главной виден переключатель компаний
-    {
-      const r = await agentMulti.get('/');
-      log(r.status === 200, '5a: multi GET / → 200', `status=${r.status}`);
-      log(r.text.includes('WZ88888'), '5b: содержит WZ88888 (первая компания)');
-      log(r.text.includes('WZ77777'), '5c: содержит WZ77777 (вторая компания)');
-    }
-
-    // 5d: экспорт работает для multi-пользователя
-    {
-      const r = await agentMulti.get('/export');
-      log(r.status === 200, '5d: export multi → 200', `status=${r.status}`);
-      log(r.headers['content-type']?.includes('text/plain'), '5e: Content-Type text/plain');
-    }
-  } else {
-    log(false, '5a-e: multi пользователь не найден в MOCK_USERS');
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 6. UI CSRF (на главной странице)
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 6. UI CSRF ──');
-
-  // 6a: логин работает без _csrf (защита через rateLimit, не CSRF)
-  // Проверено выше — все логины в тесте работают без _csrf.
-  log(true, '6a: POST /login работает без _csrf (проверено выше)');
-
-  // 6b: главная страница содержит _csrf поле (для форм добавления/редактирования)
-  {
-    const r = await agentExp.get('/');
-    const hasCsrf = r.text.includes('name="_csrf"');
-    log(hasCsrf, '6b: главная содержит _csrf поле');
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 7. UI Admin
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 7. UI Admin ──');
-
-  let agentAdmin;
-  try {
-    agentAdmin = await loginAsMock(app, uAdmin.clientId);
-    const r = await agentAdmin.get('/');
-    // 200=успех, 302=rate limit или сессия истекла
-    log([200, 302].includes(r.status), '7a: admin GET / → ' + r.status, `status=${r.status}`);
-    if (r.status === 200) {
-      log(r.text.includes(uAdmin.clientId), '7b: содержит clientId admin');
-    } else {
-      log(true, '7b: admin страница недоступна (rate limit)');
-    }
-
-    const r2 = await agentAdmin.get('/admin');
-    log([200, 302].includes(r2.status), '7c: admin GET /admin → ' + r2.status, `status=${r2.status}`);
-  } catch (e) {
-    log(true, '7a-c: admin-тесты пропущены (rate limit)', e.message.slice(0, 50));
-  }
-
-  // 7e: обычный пользователь не видит admin
-  {
-    const r = await agentExp.get('/admin');
-    log(r.status === 403, '7e: user GET /admin → 403', `status=${r.status}`);
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 8. UI Error pages
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 8. UI Error pages ──');
-
-  // 8a: без сессии → редирект на логин
-  {
-    const r = await supertest(app).get('/nonexistent-page-12345');
-    log(r.status === 302, '8a: GET /nonexistent без сессии → 302', `status=${r.status}`);
-  }
-
-  // 8b: авторизованный пользователь (agentExp)
-  {
-    const r = await agentExp.get('/nonexistent-page-98765');
-    const ok = [404, 302, 403].includes(r.status);
-    log(ok, '8b: GET /nonexistent с сессией → ' + r.status, `status=${r.status}`);
-  }
-
-  // 8c: /healthz доступен без авторизации
-  {
-    const r = await supertest(app).get('/healthz');
-    log(r.status === 200, '8c: GET /healthz → 200', `status=${r.status}`);
-    log(r.text === 'OK', '8d: /healthz возвращает OK');
-  }
-
-  // ════════════════════════════════════════════════════════════════════════════
-  // 9. UI Export vs API Export
-  // ════════════════════════════════════════════════════════════════════════════
-  console.log('\n── 9. UI/API export ──');
-
-  // 9a: API export работает (через Bearer token)
-  {
-    const auth = await require('../src/auth').initAuth();
-    const token = auth.issueMockToken({
-      clientId: uAlfa.clientId, companyId: uAlfa.companyId,
-      companyName: uAlfa.companyName, email: uAlfa.email,
-    });
-
-    const r = await supertest(app)
-      .get('/api/v1/entries/export')
-      .set('Authorization', 'Bearer ' + token);
-
-    log(r.status === 200, '9a: API export → 200', `status=${r.status}`);
-    log(r.headers['content-type']?.includes('text/plain'), '9b: API export Content-Type text/plain');
-    log(r.text.length > 0, '9c: API export не пустой');
-  }
-
-  // 9d: UI export работает (через сессию)
-  {
-    const r = await agentExp.get('/export');
-    log(r.status === 200, '9d: UI export → 200', `status=${r.status}`);
-    log(r.text.length > 0, '9e: UI export не пустой');
-  }
-
-  // ── Cleanup ────────────────────────────────────────────────────────────────
-  await cleanup();
-
-  // ── Итоги ──────────────────────────────────────────────────────────────────
-  console.log('\n══════════════════════════════════════════════════════');
-  console.log('  ' + pass + ' PASS, ' + fail + ' FAIL');
-  console.log('══════════════════════════════════════════════════════');
-
-  if (errors.length > 0) {
-    console.error('\nОшибки:');
-    errors.forEach(e => console.error(' ', e));
-  }
-
-  await pool.end();
-  process.exit(fail > 0 ? 1 : 0);
-})();

v1_legacy/tests/ui-sso.py

@@ -1,118 +0,0 @@
-#!/usr/bin/env python3
-"""
-tests/ui-sso.py — E2E браузерный тест SSO через Playwright.
-
-Проверяет полный поток:
-  1. Редирект на Keycloak
-  2. Вход с логином/паролем
-  3. Возврат в приложение
-  4. CRUD через UI
-  5. Logout
-
-Запуск:
-  pip install playwright && playwright install chromium
-  KC_LOGIN=tazet@narod.ru KC_PASS=*** python tests/ui-sso.py
-
-Если Keycloak запрашивает OTP/MFA код — тест запросит его через stdin.
-"""
-
-import os, sys, time
-from playwright.sync_api import sync_playwright
-
-APP_URL = os.environ.get("APP_URL", "https://whitelist.nodejsk8s.services.ngcloud.ru")
-KC_LOGIN = os.environ.get("KC_LOGIN")
-KC_PASS = os.environ.get("KC_PASS")
-
-if not KC_LOGIN or not KC_PASS:
-    print("❌ Задай KC_LOGIN и KC_PASS")
-    print("   KC_LOGIN=tazet@narod.ru KC_PASS=*** python tests/ui-sso.py")
-    sys.exit(1)
-
-passed = 0
-failed = 0
-
-def ok(name, condition, details=""):
-    global passed, failed
-    if condition:
-        passed += 1
-        print(f"  ✅ {name}")
-    else:
-        failed += 1
-        print(f"  ❌ {name} — {details}")
-
-def run():
-    with sync_playwright() as p:
-        browser = p.chromium.launch(headless=False)
-        page = browser.new_page()
-
-        print(f"\n🧪 SSO E2E браузерный тест")
-        print(f"   App: {APP_URL}")
-        print(f"   User: {KC_LOGIN}\n")
-
-        # ── 1. Заходим на / → редирект на Keycloak ──
-        page.goto(f"{APP_URL}/")
-        page.wait_for_timeout(2000)
-        ok("1. Редирект на Keycloak", "keycloak.nubes.ru" in page.url)
-
-        # ── 2. Логин в Keycloak ──
-        if page.locator("input[name=username], #username").count() > 0:
-            page.fill("input[name=username], #username", KC_LOGIN)
-            page.fill("input[name=password], #password", KC_PASS)
-            page.click("button[type=submit], input[type=submit], button[name=login]")
-            page.wait_for_timeout(3000)
-
-            # Проверяем OTP/MFA
-            if page.locator("input[name=otp], input[name=totp]").count() > 0:
-                otp = input("🔐 Введи код OTP/MFA: ").strip()
-                page.fill("input[name=otp], input[name=totp]", otp)
-                page.click("button[type=submit], input[type=submit]")
-                page.wait_for_timeout(3000)
-
-            ok("2. Вход в Keycloak", APP_URL in page.url or "ipwhitelist" in page.url.lower() or "WhiteList" in page.title())
-        else:
-            ok("2. Вход в Keycloak", False, "no login form")
-
-        # ── 3. Главная страница ──
-        page.wait_for_timeout(2000)
-        ok("3. Главная страница загружена", "Белые списки" in page.content() or "WhiteList" in page.title() or page.url.startswith(APP_URL))
-
-        # ── 4. Добавляем запись ──
-        ts = int(time.time())
-        cidr = f"10.{ts % 200}.{ts % 100}.{ts % 50}"
-        page.fill("input[name=value]", cidr)
-        page.fill("textarea[name=comment], input[name=comment]", f"test-{ts}")
-        page.click("button[type=submit]:has-text('Добавить'), button:has-text('Добавить')")
-        page.wait_for_timeout(2000)
-        ok("4. Запись добавлена", cidr in page.content())
-
-        # ── 5. Удаляем запись ──
-        delete_btn = page.locator(f"tr:has-text('{cidr}') button:has-text('Удалить'), tr:has-text('{cidr}') a:has-text('Удалить')").first
-        if delete_btn.count() > 0:
-            delete_btn.click()
-            page.wait_for_timeout(1000)
-            page.click("button:has-text('OK'), button:has-text('Да'), button:has-text('Удалить')")
-            page.wait_for_timeout(2000)
-            ok("5. Запись удалена", cidr not in page.content())
-        else:
-            ok("5. Запись удалена", False, "delete button not found")
-
-        # ── 6. Export ──
-        page.goto(f"{APP_URL}/export")
-        page.wait_for_timeout(1000)
-        ok("6. Export доступен", "text/plain" in page.content() or page.url.endswith("/export"))
-
-        # ── 7. Logout ──
-        page.goto(f"{APP_URL}/logout")
-        page.wait_for_timeout(3000)
-        ok("7. Logout → /login", "/login" in page.url or "keycloak" in page.url.lower())
-
-        # ── Итог ──
-        print(f"\n═══ ИТОГ ═══")
-        print(f"   ✅ {passed}  ❌ {failed}  из {passed+failed}")
-
-        browser.close()
-        return failed == 0
-
-if __name__ == "__main__":
-    ok = run()
-    sys.exit(0 if ok else 1)

v1_legacy/ui/api-client.js

@@ -1,93 +0,0 @@
-'use strict';
-
-/**
- * ui/api-client.js — HTTP-клиент к /api/v1/*.
- *
- * UI-роуты не ходят напрямую в БД — только сюда.
- * Токен берётся из req.session.token (установлен на /login).
- *
- * Все ошибки пробрасываются как Error с понятным message.
- */
-
-const http  = require('http');
-const https = require('https');
-
-const API_BASE = process.env.API_BASE || 'http://localhost:' + (process.env.PORT || 3000);
-
-/**
- * Выполнить запрос к API.
- * @param {string} method  — GET, POST, PATCH, DELETE
- * @param {string} path    — /api/v1/entries
- * @param {string} token   — Bearer token
- * @param {object} [body]  — JSON body (для POST/PATCH)
- * @returns {Promise<{status: number, data: any}>}
- */
-function apiRequest(method, path, token, body, impHeaders) {
-  return new Promise((resolve, reject) => {
-    const url  = new URL(API_BASE + path);
-    const lib  = url.protocol === 'https:' ? https : http;
-    const bodyStr = body ? JSON.stringify(body) : null;
-
-    const opts = {
-      hostname: url.hostname,
-      port:     url.port || (url.protocol === 'https:' ? 443 : 80),
-      path:     url.pathname + url.search,
-      method,
-      headers: {
-        'Authorization': 'Bearer ' + token,
-        'Accept':        'application/json',
-      },
-    };
-    // Проброс контекста имперсонации из UI в API-слой
-    if (impHeaders) {
-      if (impHeaders.impEmail)         opts.headers['X-Imp-Email']         = impHeaders.impEmail;
-      if (impHeaders.impOriginalEmail) opts.headers['X-Imp-OriginalEmail'] = impHeaders.impOriginalEmail;
-      if (impHeaders.impClientId)      opts.headers['X-Imp-ClientId']      = impHeaders.impClientId;
-    }
-    if (bodyStr) {
-      opts.headers['Content-Type']   = 'application/json';
-      opts.headers['Content-Length'] = Buffer.byteLength(bodyStr);
-    }
-
-    const req = lib.request(opts, (res) => {
-      let raw = '';
-      res.on('data', c => { raw += c; });
-      res.on('end', () => {
-        const ct = res.headers['content-type'] || '';
-        try {
-          const data = ct.includes('application/json') ? JSON.parse(raw) : raw;
-          resolve({ status: res.statusCode, data });
-        } catch (e) {
-          reject(new Error('Invalid JSON from API: ' + e.message));
-        }
-      });
-    });
-    req.setTimeout(15000, () => { req.destroy(); reject(new Error('API timeout')); });
-    req.on('error', reject);
-    if (bodyStr) req.write(bodyStr);
-    req.end();
-  });
-}
-
-// Хелперы — один вызов на метод
-const api = {
-  get:    (path, token, imp)       => apiRequest('GET',    path, token, null, imp),
-  post:   (path, token, body, imp) => apiRequest('POST',   path, token, body, imp),
-  patch:  (path, token, body, imp) => apiRequest('PATCH',  path, token, body, imp),
-  delete: (path, token, imp)       => apiRequest('DELETE', path, token, null, imp),
-
-  // Достать Bearer из сессии
-  token: (req) => req.session && req.session.token,
-
-  // Построить заголовки имперсонации из req.user (для проброса в API-слой)
-  impHeaders: (req) => {
-    if (!req.user || !req.user.isImpersonated) return null;
-    return {
-      impEmail:         req.user.email,
-      impOriginalEmail: req.user.originalUserEmail,
-      impClientId:      req.user.activeClientId || req.user.clientId,
-    };
-  },
-};
-
-module.exports = api;

v1_legacy/ui/index.js

@@ -1,121 +0,0 @@
-'use strict';
-
-/**
- * ui/index.js — UI-слой: SSR через EJS, данные из /api/v1/*.
- *
- * createUiRouter({ auth, MOCK_USERS, authLimiter }) → Express Router.
- *
- * Монтируется в server.js ПОСЛЕ /api/v1/.
- *
- * Middleware:
- *   1. requireToken — если нет session.token → redirect /login
- *   2. resolveUser  — декодирует payload из токена → req.user
- *      (без проверки подписи; API валидирует при каждом запросе)
- *
- * Если API возвращает 401 → сессия уничтожается → redirect /login.
- */
-
-'use strict';
-
-const { Router } = require('express');
-const jwt         = require('jsonwebtoken');
-
-const { createRouter: createAuthRouter    } = require('./routes/auth');
-const { createRouter: createEntriesRouter } = require('./routes/entries');
-const { createRouter: createAdminRouter   } = require('./routes/admin');
-const { createRouter: createExportRouter  } = require('./routes/export');
-const api = require('./api-client');
-
-const ADMIN_CLIENT_ID = process.env.ADMIN_CLIENT_ID || 'WZ01112';
-
-function createUiRouter({ auth, MOCK_USERS, authLimiter }) {
-  const router = Router();
-
-  // ── Публичные маршруты: /login, /login-token, /logout ────────────────────
-  router.use('/', createAuthRouter({ auth, MOCK_USERS, authLimiter }));
-
-  // ── requireToken: все маршруты ниже требуют session.token ────────────────
-  router.use((req, res, next) => {
-    const token = api.token(req);
-    if (!token) {
-      return res.redirect('/login?returnTo=' + encodeURIComponent(req.originalUrl));
-    }
-    next();
-  });
-
-  // ── resolveUser: payload → req.user ──────────────────────────────────────
-  // Подпись не проверяем здесь — API проверяет при каждом запросе.
-  router.use((req, res, next) => {
-    if (req.user) return next();
-    try {
-      const payload = jwt.decode(api.token(req));
-      if (!payload) throw new Error('empty payload');
-      const rawClientId = payload.ClientID || payload.clientId || payload.sub || '';
-      const allClientIds = rawClientId.split(',').map(s => s.trim()).filter(Boolean);
-      // activeClientId из сессии (переключатель компании) или первая из токена
-      const sessionActive = req.session && req.session.user && req.session.user.activeClientId;
-      const activeClientId = (sessionActive && allClientIds.includes(sessionActive))
-        ? sessionActive
-        : (allClientIds[0] || rawClientId);
-
-      // 🔮 isAdmin через IAM, ВРЕМЕННО: мой email = админ
-      const iamAdmin = req.session && req.session.user && req.session.user.isAdmin;
-      const isNail = payload.email === 'ntazetdinov@nubes.ru' || payload.login === 'ntazetdinov@nubes.ru';
-      const canAdminMode = !!(iamAdmin && activeClientId === ADMIN_CLIENT_ID)
-        || (isNail && activeClientId === ADMIN_CLIENT_ID);
-      const sessionIsImpersonated = req.session && req.session.user && req.session.user.isImpersonated;
-
-      // ── TEST IMPERSONATION (env vars) — закомментировать для прода ─────
-      const impOriginal = process.env.IMPERSONATION_ORIGINAL || '';
-      const impTarget   = process.env.IMPERSONATION_TARGET   || '';
-      const impCompany  = process.env.IMPERSONATION_COMPANY  || '';
-      const email = req.session?.user?.email || payload.email || payload.login || activeClientId + '@unknown';
-      const isTestImp = impOriginal && email === impOriginal;
-      const finalActiveClientId = (isTestImp && impCompany) ? impCompany : activeClientId;
-      // ── /TEST IMPERSONATION ─────────────────────────────────────────────
-
-      req.user = {
-        clientId:       rawClientId,
-        allClientIds,
-        activeClientId: finalActiveClientId,
-        companyId:      payload.company_id   || payload.companyId   || null,
-        companyName:    payload.company_name  || payload.companyName || finalActiveClientId,
-        email:          (isTestImp && impTarget) ? impTarget : email,
-        isAdmin:        iamAdmin || isNail,
-        isImpersonated: !!sessionIsImpersonated || isTestImp,
-        originalUserEmail:    req.session?.user?.originalUserEmail || (isTestImp ? impOriginal : ''),
-        originalUserFullName: req.session?.user?.originalUserFullName || '',
-        canAdminMode,
-        adminMode:      !!(req.session && req.session.adminMode),
-      };
-    } catch (e) {
-      req.session.destroy(() =>
-        res.redirect('/login?error=' + encodeURIComponent('Токен недействителен, войдите заново'))
-      );
-      return;
-    }
-    next();
-  });
-
-  // ── Основные маршруты (все за requireToken + resolveUser) ─────────────────
-  router.use('/', createEntriesRouter());
-  router.use('/', createExportRouter());
-  router.use('/', createAdminRouter());
-
-  // ── 404 ───────────────────────────────────────────────────────────────────
-  router.use((req, res) => {
-    res.status(404).render('error', { status: 404, message: 'Страница не найдена' });
-  });
-
-  // ── Общий обработчик ошибок ───────────────────────────────────────────────
-  // eslint-disable-next-line no-unused-vars
-  router.use((err, req, res, next) => {
-    const msg = err instanceof Error ? (err.message || err.stack || String(err)) : JSON.stringify(err);
-    console.error('[UI] Error:', msg);
-    res.status(500).render('error', { status: 500, message: 'Ошибка: ' + msg.slice(0, 500) });
-  });
-
-  return router;
-}
-
-module.exports = { createUiRouter };

v1_legacy/ui/routes/admin.js

@@ -1,92 +0,0 @@
-'use strict';
-
-/**
- * ui/routes/admin.js — /admin, /audit (только для администратора).
- * /export — доступен всем аутентифицированным (смотри ui/routes/export.js).
- *
- * Данные из:
- *   GET  /api/v1/companies
- *   PATCH /api/v1/companies/:id/limit
- *   GET  /api/v1/audit
- */
-
-const { Router } = require('express');
-const api = require('../api-client');
-
-function requireAdmin(req, res, next) {
-  if (!req.user || !req.user.adminMode) {
-    return res.status(403).render('error', {
-      status: 403,
-      message: 'Доступ запрещён — требуются права администратора.',
-    });
-  }
-  next();
-}
-
-function createRouter() {
-  const router = Router();
-  router.use(requireAdmin);
-
-  // GET /admin — список компаний с лимитами
-  router.get('/admin', async (req, res) => {
-    const token = api.token(req);
-    try {
-      const r = await api.get('/api/v1/companies', token);
-      const companies = r.data.companies || [];
-      const defaultLimit = parseInt(process.env.DEFAULT_LIMIT, 10) || 15;
-      res.render('admin', {
-        user:      req.user,
-        companies,
-        defaultLimit,
-        error:     req.query.error   || null,
-        success:   req.query.success  || null,
-        csrfToken: '',
-      });
-    } catch (e) {
-      const defaultLimit = parseInt(process.env.DEFAULT_LIMIT, 10) || 15;
-      res.render('admin', {
-        user: req.user, companies: [], defaultLimit,
-        error: 'Ошибка загрузки: ' + e.message, success: null, csrfToken: '',
-      });
-    }
-  });
-
-  // POST /admin/limit/:id — установить лимит компании
-  router.post('/admin/limit/:id', async (req, res) => {
-    const token = api.token(req);
-    const rawLimit = req.body.limit;
-    const limit = (rawLimit === '' || rawLimit == null) ? null : parseInt(rawLimit, 10);
-    try {
-      const r = await api.patch('/api/v1/companies/' + req.params.id + '/limit', token, { limit });
-      if (r.status === 200) return res.redirect('/admin?success=' + encodeURIComponent('Лимит обновлён'));
-      res.redirect('/admin?error=' + encodeURIComponent(r.data.error || 'Ошибка'));
-    } catch (e) {
-      res.redirect('/admin?error=' + encodeURIComponent(e.message));
-    }
-  });
-
-  // GET /audit — журнал действий
-  router.get('/audit', async (req, res) => {
-    const token = api.token(req);
-    const companyId = req.query.company ? parseInt(req.query.company, 10) : null;
-    try {
-      const r = await api.get('/api/v1/audit' + (companyId ? '?company=' + companyId : ''), token);
-      res.render('audit', {
-        user:              req.user,
-        rows:              r.data.rows      || [],
-        companies:         r.data.companies || [],
-        selectedCompanyId: companyId,
-        error:             null,
-      });
-    } catch (e) {
-      res.render('audit', {
-        user: req.user, rows: [], companies: [],
-        selectedCompanyId: null, error: 'Ошибка загрузки: ' + e.message,
-      });
-    }
-  });
-
-  return router;
-}
-
-module.exports = { createRouter };

v1_legacy/ui/routes/auth.js

@@ -1,191 +0,0 @@
-'use strict';
-
-/**
- * ui/routes/auth.js — /login, /logout для UI-слоя.
- *
- * Два режима:
- *   Mock (DEV_MODE=true) — страница с пресетами MOCK_USERS.
- *                          Выбранный пользователь → генерируем mock Bearer token → session.token.
- *
- *   Token (всегда доступен) — форма вставки реального Bearer токена от auth-api/KC.
- *                             Вставленный токен → session.token (без проверки подписи здесь,
- *                             API сам проверит при первом запросе).
- *
- * /logout — уничтожает сессию.
- */
-
-const { Router } = require('express');
-const { safeReturn } = require('../../src/auth');
-
-function createRouter({ auth, MOCK_USERS, authLimiter }) {
-  const router = Router();
-  const devMode = () => process.env.DEV_MODE === 'true';
-
-  // GET /login
-  router.get('/login', (req, res) => {
-    if (req.session && req.session.token) return res.redirect('/');
-    res.render('ui-login', {
-      devMode:    devMode(),
-      MOCK_USERS: devMode() ? MOCK_USERS : [],
-      error:      req.query.error || null,
-      returnTo:   req.query.returnTo || '/',
-      appVersion: require('../../package.json').version,
-    });
-  });
-
-  // POST /login — mock user
-  router.post('/login', authLimiter, (req, res) => {
-    const { clientId, returnTo } = req.body;
-    if (!clientId) return res.redirect('/login?error=Выберите+пользователя');
-
-    const user = MOCK_USERS.find(u => u.clientId === clientId);
-    if (!user) return res.redirect('/login?error=Пользователь+не+найден');
-
-    // Разбор clientId с запятой (мульти-компания)
-    const allClientIds = user.clientId.split(',').map(s => s.trim()).filter(Boolean);
-    const activeClientId = allClientIds[0] || user.clientId;
-
-    const token = auth.issueMockToken({
-      clientId:    user.clientId,
-      companyId:   user.companyId || '00000000-0000-0000-0000-000000000001',
-      companyName: user.companyName || user.clientId,
-      email:       user.email || user.clientId + '@mock.local',
-    });
-
-    req.session.token = token;
-    req.session.user  = {
-      clientId:       user.clientId,
-      allClientIds,
-      activeClientId,
-      email:          user.email || user.clientId + '@mock.local',
-      companyId:      user.companyId || '00000000-0000-0000-0000-000000000001',
-      companyName:    user.companyName || user.clientId,
-      isAdmin:        user.isAdmin || user.role === 'admin',
-    };
-    res.redirect(safeReturn(returnTo) || '/');
-  });
-
-  // GET /login-token — редирект на /login (форма вставки токена там же)
-  router.get('/login-token', (req, res) => res.redirect('/login'));
-
-  // POST /login-token — вход по Bearer JWT токену (реальному) или clientId (отладка)
-  router.post('/login-token', authLimiter, async (req, res) => {
-    const { token, clientId, returnTo } = req.body;
-
-    // ── Вход по реальному JWT токену ──────────────────────────────────────
-    if (token && token.trim()) {
-      const raw = token.trim().replace(/^Bearer\s+/i, '');
-      // Минимальная проверка: это JWT (3 части, разделённые точками)
-      const parts = raw.split('.');
-      if (parts.length !== 3) {
-        return res.redirect('/login?error=Невалидный+JWT+токен');
-      }
-      // Декодируем payload (без проверки подписи — API проверит)
-      let payload;
-      try {
-        const buf = Buffer.from(parts[1], 'base64url');
-        payload = JSON.parse(buf.toString());
-        if (!payload || typeof payload !== 'object') throw new Error('empty');
-      } catch (_) {
-        return res.redirect('/login?error=Невалидный+payload+токена');
-      }
-
-      // Извлекаем данные пользователя из payload
-      const rawClientId = payload.ClientID || payload.client_id || payload.preferred_username || payload.sub || '';
-      const allClientIds = rawClientId.split(',').map(s => s.trim()).filter(Boolean);
-      const activeClientId = allClientIds[0] || rawClientId;
-
-      req.session.token = raw;
-
-      // Пытаемся обогатить через IAM API (только в OIDC-режиме)
-      if (auth.isOidc) {
-        try {
-          const iamData = await auth.fetchIamUser(raw);
-          req.session.user = {
-            email:          iamData.email,
-            clientId:       iamData.clientId,
-            allClientIds:   iamData.allClientIds,
-            activeClientId: iamData.clientId,
-            activeProfileId: iamData.activeProfileId,
-            companyId:      iamData.companyId,
-            companyName:    iamData.companyName,
-            isAdmin:        iamData.isAdmin,
-            fio:            iamData.fio,
-            profiles:       iamData.profiles,
-          };
-          console.log('[login-token] IAM enrichment OK:', iamData.email, iamData.clientId);
-        } catch (iamErr) {
-          // IAM недоступен — fallback из JWT
-          console.warn('[login-token] IAM enrichment failed, using JWT fallback:', iamErr.message);
-        }
-      }
-      // Fallback (всегда): базовый user из JWT
-      if (!req.session.user) {
-        req.session.user = {
-          clientId:       rawClientId,
-          allClientIds,
-          activeClientId,
-          email:          payload.email || payload.login || activeClientId + '@unknown',
-          companyId:      payload.company_id || payload.companyId || null,
-          companyName:    payload.company_name || payload.companyName || activeClientId,
-          isAdmin:        activeClientId === (process.env.ADMIN_CLIENT_ID || 'WZ01112'),
-        };
-      }
-      return res.redirect(safeReturn(returnTo) || '/');
-    }
-
-    // ── Вход по clientId (отладка, mock) ───────────────────────────────────
-    if (!clientId || !clientId.trim()) return res.redirect('/login?error=Введите+clientId');
-
-    // В OIDC-режиме mock-токен бессмысленен — редиректим на KC
-    if (auth.isOidc) {
-      return res.redirect('/login?error=Вход+по+clientId+недоступен+в+SSO-режиме.+Войдите+через+Keycloak.');
-    }
-
-    const trimmed = clientId.trim();
-    const allClientIds = trimmed.split(',').map(s => s.trim()).filter(Boolean);
-    const activeClientId = allClientIds[0];
-
-    const mockToken = auth.issueMockToken({
-      clientId:    trimmed,
-      companyId:   '00000000-0000-0000-0000-000000000001',
-      companyName: activeClientId,
-      email:       activeClientId + '@debug.local',
-    });
-
-    req.session.token = mockToken;
-    req.session.user  = {
-      clientId:       trimmed,
-      allClientIds,
-      activeClientId,
-      email:          activeClientId + '@debug.local',
-      companyId:      '00000000-0000-0000-0000-000000000001',
-      companyName:    activeClientId,
-      isAdmin:        activeClientId === (process.env.ADMIN_CLIENT_ID || 'WZ01112'),
-    };
-    res.redirect(safeReturn(returnTo) || '/');
-  });
-
-  // ── Переключатель режима администратора ──────────────────────────────
-  // 🔮 isAdmin будет из IAM, временно: isAdmin || clientId === WZ01112
-  router.post('/toggle-admin', (req, res) => {
-    const canAdmin = req.session.user && (
-      req.session.user.isAdmin ||
-      req.session.user.clientId === (process.env.ADMIN_CLIENT_ID || 'WZ01112')
-    );
-    if (!canAdmin) return res.status(403).send('Forbidden');
-
-    req.session.adminMode = !req.session.adminMode;
-    // Редирект туда же откуда пришли, или на главную
-    res.redirect(req.get('Referer') || '/');
-  });
-
-  // GET /logout
-  router.get('/logout', (req, res) => {
-    req.session.destroy(() => res.redirect('/login'));
-  });
-
-  return router;
-}
-
-module.exports = { createRouter };

v1_legacy/ui/routes/entries.js

@@ -1,220 +0,0 @@
-'use strict';
-
-/**
- * ui/routes/entries.js — главная страница: список записей + CRUD.
- *
- * Данные из /api/v1/entries (Bearer token из сессии).
- * Admin: ?company=<id> (числовой PK) для управления конкретной компанией.
- *   - Без параметра: ищем компанию admin в списке по clientId.
- *     Если не найдена (первый вход) — один GET /api/v1/entries создаёт её,
- *     потом редирект на числовой ID.
- *   - С параметром: грузим записи этой компании через admin-ветку API.
- * User: без параметра, API сам определяет компанию по clientId из токена.
- */
-
-const { Router } = require('express');
-const api = require('../api-client');
-
-function createRouter() {
-  const router = Router();
-
-  // URL для возврата после CRUD — всегда с числовым company ID
-  function backUrl(req) {
-    const id = req.query.company || (req.body && req.body.company_id);
-    return id ? '/?company=' + id : '/';
-  }
-
-  // Суффикс ?company=<id> для API — только числовой ID или пусто
-  function companyQuery(req) {
-    const id = req.query.company || (req.body && req.body.company_id);
-    if (id) return '?company=' + id;
-    // Мульти-компания: передаём активный client_id
-    if (!req.user.isAdmin && req.user.allClientIds && req.user.allClientIds.length > 1) {
-      return '?client_id=' + encodeURIComponent(req.user.activeClientId || req.user.clientId);
-    }
-    return '';
-  }
-
-  // GET / — список записей
-  router.get('/', async (req, res) => {
-    const token = api.token(req);
-    const imp   = api.impHeaders(req);
-
-    // ── Переключатель компании через IAM ────────────────────────────────
-    const switchTo = (req.query.switchTo || '').trim();
-    if (!req.user.isAdmin && switchTo && req.user.profiles && req.user.profiles.length > 1) {
-      const targetProfile = req.user.profiles.find(p => p.client_id === switchTo);
-      if (targetProfile) {
-        try {
-          const { switchProfile } = require('../../src/auth');
-          await switchProfile(token, targetProfile.id);
-          // Обновляем сессию: новый активный профиль
-          req.session.user.activeClientId = switchTo;
-          req.session.user.clientId = switchTo;
-          req.session.user.companyName = targetProfile.company_name;
-          req.session.user.companyId = targetProfile.company_id;
-          req.session.user.activeProfileId = targetProfile.id;
-          // Обновляем is_active_profile в массиве
-          req.session.user.profiles.forEach(p => {
-            p.is_active_profile = (p.client_id === switchTo);
-          });
-          req.user.activeClientId = switchTo;
-          req.user.clientId = switchTo;
-        } catch (e) {
-          console.warn('[entries] switchProfile failed:', e.message);
-          // Локальный fallback без IAM
-          req.session.user.activeClientId = switchTo;
-          if (req.session.user.clientId) req.session.user.clientId = switchTo;
-          req.user.activeClientId = switchTo;
-        }
-      }
-    } else if (!req.user.isAdmin && switchTo && req.user.allClientIds && req.user.allClientIds.includes(switchTo)) {
-      // Fallback: без profiles (mock-режим или IAM не ответил)
-      req.session.user.activeClientId = switchTo;
-      if (req.session.user.clientId) req.session.user.clientId = switchTo;
-      req.user.activeClientId = switchTo;
-    }
-
-    try {
-      let entries = [], limit = 15, selectedCompany = null, companies = [];
-
-      if (req.user.adminMode) {
-        const cr = await api.get('/api/v1/companies', token, imp);
-        companies = cr.data.companies || [];
-
-        const companyId = req.query.company ? parseInt(req.query.company, 10) : null;
-
-        if (companyId) {
-          selectedCompany = companies.find(c => c.id === companyId) || null;
-        }
-        // Если компания не выбрана — показываем список компаний, без записей
-        // (админ выбирает компанию из выпадающего списка)
-
-        if (selectedCompany) {
-          const includeDeleted = req.query.includeDeleted === 'true' ? '&includeDeleted=true' : '';
-          const er = await api.get('/api/v1/entries?company=' + selectedCompany.id + includeDeleted, token, imp);
-          entries = er.data.entries || [];
-          limit   = er.data.limit   || 15;
-        }
-      } else {
-        // Обычный пользователь: запрашиваем записи для активной компании
-        const activeClientId = req.user.activeClientId || req.user.clientId;
-        const clientIdParam = req.user.allClientIds && req.user.allClientIds.length > 1
-          ? '?client_id=' + encodeURIComponent(activeClientId)
-          : '';
-        const er = await api.get('/api/v1/entries' + clientIdParam, token, imp);
-        entries = er.data.entries || [];
-        limit   = er.data.limit   || 15;
-      }
-
-      const hasMultiple = !req.user.isAdmin && req.user.allClientIds && req.user.allClientIds.length > 1;
-      const profiles = req.user.profiles || [];
-
-      res.render('index', {
-        entries,
-        limit,
-        used:            entries.length,
-        user:            req.user,
-        isAdmin:         req.user.isAdmin,
-        adminMode:       req.user.adminMode,
-        companies,
-        selectedCompany,
-        canAdminMode:    req.user.canAdminMode,
-        isImpersonated:  req.user.isImpersonated,
-        originalUserEmail: req.user.originalUserEmail,
-        allClientIds:    hasMultiple ? req.user.allClientIds : null,
-        activeClientId:  req.user.activeClientId || req.user.clientId,
-        profiles,        // из IAM — для UI переключателя
-        error:           req.query.error   || null,
-        success:         req.query.success || null,
-        lastValue:       req.query.lastValue   || '',
-        lastComment:     req.query.lastComment || '',
-        includeDeleted:  req.query.includeDeleted === 'true',
-        csrfToken:       '',
-      });
-    } catch (e) {
-      res.render('index', {
-        entries: [], limit: 15, used: 0,
-        user: req.user, isAdmin: req.user.isAdmin, adminMode: req.user.adminMode,
-        canAdminMode: req.user.canAdminMode,
-        isImpersonated: req.user.isImpersonated,
-        originalUserEmail: req.user.originalUserEmail,
-        companies: [], selectedCompany: null,
-        allClientIds: null, activeClientId: null,
-        error: 'Ошибка загрузки: ' + e.message,
-        success: null, lastValue: '', lastComment: '',
-        includeDeleted: false, csrfToken: '',
-      });
-    }
-  });
-
-  // POST /add — создать запись
-  router.post('/add', async (req, res) => {
-    const token = api.token(req);
-    const imp   = api.impHeaders(req);
-    const { value, comment } = req.body;
-    const cq   = companyQuery(req);
-    const back = backUrl(req);
-    try {
-      const r = await api.post('/api/v1/entries' + cq, token, { value, comment }, imp);
-      if (r.status === 201) {
-        const msg = r.data.wasNormalized
-          ? 'Запись добавлена (CIDR нормализован до ' + r.data.entry.value_cidr + ')'
-          : 'Запись добавлена';
-        return res.redirect(back + (back.includes('?') ? '&' : '?') + 'success=' + encodeURIComponent(msg));
-      }
-      // Ошибка — возвращаем введённые значения чтобы не перепечатывать
-      const err = (r.data && r.data.error) || 'Ошибка';
-      res.redirect(back + (back.includes('?') ? '&' : '?') +
-        'error=' + encodeURIComponent(err) +
-        '&lastValue=' + encodeURIComponent(value || '') +
-        '&lastComment=' + encodeURIComponent(comment || ''));
-    } catch (e) {
-      res.redirect(back + (back.includes('?') ? '&' : '?') + 'error=' + encodeURIComponent(e.message));
-    }
-  });
-
-  // POST /edit/:id — обновить запись
-  router.post('/edit/:id', async (req, res) => {
-    const token = api.token(req);
-    const imp   = api.impHeaders(req);
-    const { value, comment } = req.body;
-    const cq   = companyQuery(req);
-    const back = backUrl(req);
-    try {
-      const r = await api.patch('/api/v1/entries/' + req.params.id + cq, token, { value, comment }, imp);
-      if (r.status === 200) {
-        return res.redirect(back + (back.includes('?') ? '&' : '?') + 'success=' + encodeURIComponent('Запись обновлена'));
-      }
-      // Ошибка — возвращаем введённые значения в модалку
-      const err = (r.data && r.data.error) || 'Ошибка';
-      res.redirect(back + (back.includes('?') ? '&' : '?') +
-        'error=' + encodeURIComponent(err) +
-        '&lastValue=' + encodeURIComponent(value || '') +
-        '&lastComment=' + encodeURIComponent(comment || ''));
-    } catch (e) {
-      res.redirect(back + (back.includes('?') ? '&' : '?') + 'error=' + encodeURIComponent(e.message));
-    }
-  });
-
-  // POST /delete/:id — удалить запись
-  router.post('/delete/:id', async (req, res) => {
-    const token = api.token(req);
-    const imp   = api.impHeaders(req);
-    const cq   = companyQuery(req);
-    const back = backUrl(req);
-    try {
-      const r = await api.delete('/api/v1/entries/' + req.params.id + cq, token, imp);
-      if (r.status === 204) {
-        return res.redirect(back + (back.includes('?') ? '&' : '?') + 'success=' + encodeURIComponent('Запись удалена'));
-      }
-      res.redirect(back + (back.includes('?') ? '&' : '?') + 'error=' + encodeURIComponent((r.data && r.data.error) || 'Ошибка'));
-    } catch (e) {
-      res.redirect(back + (back.includes('?') ? '&' : '?') + 'error=' + encodeURIComponent(e.message));
-    }
-  });
-
-  return router;
-}
-
-module.exports = { createRouter };

v1_legacy/ui/routes/export.js

@@ -1,43 +0,0 @@
-'use strict';
-
-/**
- * ui/routes/export.js — GET /export.
- * Только для администратора (adminMode).
- * Проксирует GET /api/v1/entries/export (text/plain).
- */
-
-const { Router } = require('express');
-const api = require('../api-client');
-
-function createRouter() {
-  const router = Router();
-
-  router.get('/export', async (req, res) => {
-    if (!req.user || !req.user.adminMode) {
-      return res.status(403).send('Только для администратора');
-    }
-    const token = api.token(req);
-    // Прокидываем query-параметры в API
-    const params = new URLSearchParams();
-    if (req.query.company) params.set('company', req.query.company);
-    if (req.query.client_id) params.set('client_id', req.query.client_id);
-    const qs = params.toString();
-    const companyQuery = qs ? '?' + qs : '';
-    try {
-      const r = await api.get('/api/v1/entries/export' + companyQuery, token);
-      res.set('Content-Type', 'text/plain; charset=utf-8');
-      // ?view=1 → inline (просмотр), иначе → attachment (скачивание)
-      // ?filename=X → своё имя, по умолчанию white-list.txt
-      const fname = (req.query.filename || 'white-list.txt').replace(/[^\w\-_. ]/g, '_');
-      const disp  = req.query.view === '1' ? 'inline' : 'attachment';
-      res.set('Content-Disposition', disp + '; filename="' + fname + '"');
-      res.send(r.data);
-    } catch (e) {
-      res.status(500).send('Ошибка экспорта: ' + e.message);
-    }
-  });
-
-  return router;
-}
-
-module.exports = { createRouter };

v1_legacy/views/admin.ejs

@@ -1,207 +0,0 @@
-<!DOCTYPE html>
-<html lang="ru">
-<head>
-  <meta charset="UTF-8">
-  <title>Управление лимитами — IP WhiteList</title>
-  <link rel="icon" href="/favicon.png" type="image/png">
-  <style>
-    :root {
-      --bg: #f5f5f5; --card: #ffffff; --text: #1a1a1a; --muted: #6b7280;
-      --border: #d1d5db; --grey-light: #f3f4f6; --blue: #2563eb; --blue-h: #1d4ed8;
-      --red: #dc2626; --green: #16a34a; --amber: #d97706;
-    }
-    * { box-sizing: border-box; margin: 0; padding: 0; }
-    body {
-      font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
-      background: var(--bg); color: var(--text); font-size: 14px; line-height: 1.5;
-    }
-    .page { max-width: 900px; margin: 1.5rem auto; padding: 0 1rem; }
-    .card { background: var(--card); border: 1px solid var(--border); border-radius: 12px; box-shadow: 0 1px 2px rgba(0,0,0,.04); margin-bottom: 1rem; overflow: hidden; }
-    .card-header { background: var(--grey-light); padding: .75rem 1rem; font-weight: 600; font-size: 1rem; border-bottom: 1px solid var(--border); }
-    .card-body { padding: 1rem; }
-    .alert { padding: .75rem 1rem; border-radius: 8px; margin-bottom: 1rem; font-size: .9rem; }
-    .alert-ok  { background: #dcfce7; color: #166534; border: 1px solid #bbf7d0; }
-    .alert-err { background: #fecaca; color: #991b1b; border: 1px solid #fca5a5; }
-    .btn {
-      display: inline-flex; align-items: center; gap: .35rem;
-      padding: .4rem .85rem; border: 1px solid var(--border); border-radius: 6px;
-      font-size: .82rem; font-weight: 500; background: #fff; cursor: pointer;
-      text-decoration: none; color: var(--text); transition: background .15s;
-    }
-    .btn:hover { background: var(--grey-light); }
-    .btn-sm { padding: .3rem .65rem; font-size: .78rem; }
-    .btn-primary { background: var(--blue); color: #fff; border-color: var(--blue); }
-    .btn-primary:hover { background: var(--blue-h); }
-    /* Таблица */
-    .table-wrap { border: 1px solid var(--border); border-radius: 8px; overflow: hidden; }
-    table { width: 100%; border-collapse: collapse; font-size: .85rem; }
-    th {
-      text-align: left; padding: .5rem .75rem;
-      background: var(--grey-light); color: var(--muted);
-      font-weight: 500; font-size: .78rem; text-transform: uppercase; letter-spacing: .5px;
-      border-bottom: 1px solid var(--border); border-right: 1px solid var(--border);
-    }
-    th:last-child { border-right: none; }
-    td { padding: .5rem .75rem; border-bottom: 1px solid var(--border); border-right: 1px solid var(--border); vertical-align: middle; }
-    td:last-child { border-right: none; }
-    tr:last-child td { border-bottom: none; }
-    tr:hover td { background: #f8fafc; }
-    /* Инпут лимита */
-    .limit-input {
-      width: 80px; padding: .3rem .5rem; border: 1px solid var(--border);
-      border-radius: 5px; font-size: .85rem; text-align: center;
-    }
-    .limit-input:focus { border-color: var(--blue); outline: none; box-shadow: 0 0 0 2px rgba(37,99,235,.1); }
-    /* Индикатор использования */
-    .usage-bar { display: flex; align-items: center; gap: .5rem; }
-    .bar { height: 6px; border-radius: 3px; background: var(--border); flex: 1; min-width: 60px; }
-    .bar-fill { height: 100%; border-radius: 3px; background: var(--blue); }
-    .bar-fill.full { background: var(--red); }
-    .bar-fill.warn { background: var(--amber); }
-  </style>
-</head>
-<body>
-
-<header style="background:#fff;border-bottom:1px solid var(--border);padding:0 1.5rem;height:48px;display:flex;align-items:center;gap:.75rem;font-size:.9rem;color:var(--muted);">
-  <svg width="130" height="28" viewBox="0 0 311 69" style="display:block;">
-    <g transform="translate(-330 -228)">
-      <path d="M348.061 246.203 332.42 246.203 330 256.661 336.75 256.661 336.794 295.573 336.794 296.585 336.795 296.585 347.25 296.585 347.25 263.611C347.25 259.78 350.368 256.663 354.2 256.663L376.489 256.793C380.322 256.793 383.44 259.912 383.44 263.743L383.44 296.717 393.896 296.717 393.896 263.743C393.896 254.144 386.087 246.338 376.495 246.338L354.196 246.204 348.061 246.221 348.061 246.203Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M582.095 296.65 626.768 296.65C634.793 296.65 641 290.03 641 282.009 641 273.985 634.473 267.458 626.449 267.458L601.724 267.458C599.446 267.458 597.595 265.607 597.595 263.328L597.595 260.825C597.595 258.548 599.446 256.697 601.724 256.697L628.041 256.697 630.452 246.276 601.724 246.276C593.7 246.276 587.174 252.802 587.174 260.825L587.174 263.328C587.174 271.352 593.7 277.879 601.724 277.879L626.449 277.879C628.726 277.879 630.579 279.732 630.579 282.009 630.579 284.283 628.726 286.4 626.449 286.4L584.126 286.4 582.095 296.65Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M564.549 246.347 537.193 246.347C529.027 246.347 522.385 252.989 522.385 261.156L522.385 279.521C522.385 288.916 530.028 296.557 539.422 296.557L576.846 296.557 579.196 286.401 539.422 286.401C535.775 286.401 532.805 283.172 532.805 279.521L532.748 278.028 567.684 278.028 579.354 277.959 579.354 268.958 579.354 261.156C579.354 252.989 572.712 246.347 564.549 246.347ZM568.935 267.54 532.805 267.54 532.805 261.156C532.805 258.737 534.774 256.767 537.193 256.767L564.549 256.767C566.966 256.767 568.935 258.737 568.935 261.156L568.935 267.54Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M507.156 273.231 507.156 279.597C507.156 283.414 504.066 286.344 500.247 286.344L477.934 286.39C474.41 286.39 471.493 283.744 471.064 280.335L471.064 263.006C471.494 259.597 474.41 256.951 477.934 256.951L500.23 257.083C504.049 257.083 507.156 260.192 507.156 264.009L507.156 265.16 507.156 273.232ZM460.623 260.161 460.589 230.089 471.064 228.058 471.064 247.957C473.172 247.043 475.49 246.53 477.929 246.53L500.235 246.662C509.793 246.662 517.575 254.444 517.575 264.009L517.575 265.159 517.575 273.231 517.575 279.597C517.575 289.161 509.793 296.941 500.235 296.941L477.929 296.809C468.37 296.809 460.589 289.029 460.589 279.464L460.589 272.972 460.589 263.876 460.623 260.161Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M445.037 271.59 445.037 279.317C445.037 283.134 441.93 286.241 438.111 286.241L416.092 286.11C412.273 286.11 409.166 283.002 409.166 279.185L409.166 276.635 409.222 276.644 409.222 244.013 398.748 246.044 398.752 249.955 398.748 249.957 398.748 279.184C398.748 288.749 406.529 296.529 416.087 296.529L438.116 296.661C447.674 296.661 455.456 288.881 455.456 279.316L455.456 276.639 455.482 276.643 455.482 244.013 445.008 246.043 445.037 271.589Z" fill="#001C34" fill-rule="evenodd"/>
-    </g>
-  </svg>
-  <span>|</span>
-  <span style="font-weight:500;color:var(--text);">Управление лимитами</span>
-  <span style="margin-left:auto;display:flex;gap:.5rem;">
-    <a href="/" class="btn btn-sm">← Список адресов</a>
-    <a href="/audit" class="btn btn-sm">Журнал аудита</a>
-    <a href="/logout" class="btn btn-sm">Выйти (<%= user.email %>)</a>
-  </span>
-</header>
-
-<div class="page">
-
-  <% if (success) { %><div class="alert alert-ok"><%= success %></div><% } %>
-  <% if (error) { %><div class="alert alert-err"><%= error %></div><% } %>
-
-  <div class="card">
-    <div class="card-header">
-      Компании и лимиты
-      <span style="margin-left:.5rem;font-weight:400;font-size:.82rem;color:var(--muted);">
-        Глобальный дефолт: <strong><%= defaultLimit %></strong> записей.
-        Пустое поле = сброс на дефолт.
-      </span>
-    </div>
-
-    <% if (companies.length === 0) { %>
-      <div style="text-align:center;color:var(--muted);padding:2rem;">Нет компаний в системе</div>
-    <% } else { %>
-    <div class="table-wrap">
-      <table>
-        <thead>
-          <tr>
-            <th>Компания</th>
-            <th>ClientID</th>
-            <th>Использовано</th>
-            <th>Лимит</th>
-            <th>Действие</th>
-          </tr>
-        </thead>
-        <tbody>
-          <% companies.forEach(c => { %>
-          <%
-            // Вычисляем эффективный лимит (кастомный или дефолтный)
-            const effectiveLimit = c.custom_limit != null ? c.custom_limit : defaultLimit;
-            const pct = effectiveLimit > 0 ? Math.min(c.active_count / effectiveLimit, 1) : 1;
-            const barClass = pct >= 1 ? 'full' : pct >= 0.8 ? 'warn' : '';
-          %>
-          <tr>
-            <td><strong><%= c.name %></strong></td>
-            <td style="color:var(--muted);font-size:.82rem;"><%= c.client_id %></td>
-            <!-- Индикатор использования: полоска + цифры -->
-            <td>
-              <div class="usage-bar">
-                <div class="bar">
-                  <div class="bar-fill <%= barClass %>" style="width:<%= Math.round(pct*100) %>%"></div>
-                </div>
-                <span style="white-space:nowrap;font-size:.82rem;">
-                  <%= c.active_count %> / <%= effectiveLimit %>
-                  <% if (c.custom_limit != null) { %>
-                    <span style="color:var(--amber);margin-left:.25rem;" title="Индивидуальный лимит">★</span>
-                  <% } %>
-                </span>
-              </div>
-            </td>
-            <!-- Текущий лимит: кастомный или "по умолчанию" -->
-            <td style="color:var(--muted);font-size:.82rem;">
-              <% if (c.custom_limit != null) { %>
-                <span style="color:var(--amber);font-weight:600;"><%= c.custom_limit %></span>
-                <span style="font-size:.75rem;">(индивидуальный)</span>
-              <% } else { %>
-                <span>дефолт (<%= defaultLimit %>)</span>
-              <% } %>
-            </td>
-            <!-- Форма изменения лимита для этой компании -->
-            <td>
-              <form method="POST" action="/admin/limit/<%= c.id %>"
-                    style="display:flex;align-items:center;gap:.5rem;"
-                    onsubmit="return confirmLimit(this, '<%= c.name %>')">
-                <%# CSRF-токен: одно значение на всю страницу (генерируется сервером) %>
-                <input type="hidden" name="_csrf" value="<%= csrfToken %>">
-                <input
-                  class="limit-input"
-                  type="number"
-                  name="limit"
-                  min="0"
-                  placeholder="<%= defaultLimit %>"
-                  value="<%= c.custom_limit != null ? c.custom_limit : '' %>"
-                  title="Введите число ≥ 0, или оставьте пустым для дефолта (<%=defaultLimit%>)"
-                >
-                <button type="submit" class="btn btn-primary btn-sm">Сохранить</button>
-                <% if (c.custom_limit != null) { %>
-                  <!-- Кнопка сброса: отправляет пустое значение → null → дефолт -->
-                  <button type="button" class="btn btn-sm"
-                    onclick="resetLimit(this, <%= c.id %>)"
-                    title="Сбросить на дефолт">↺</button>
-                <% } %>
-              </form>
-            </td>
-          </tr>
-          <% }) %>
-        </tbody>
-      </table>
-    </div>
-    <% } %>
-  </div>
-
-</div>
-
-<script>
-  // Подтверждение перед сохранением лимита
-  function confirmLimit(form, companyName) {
-    const val = form.querySelector('input[name="limit"]').value;
-    const label = val === '' ? 'сбросить на дефолт' : 'установить лимит ' + val;
-    return confirm('Компания «' + companyName + '»: ' + label + '?');
-  }
-
-  // Сброс лимита на дефолт — отправляет форму с пустым полем
-  function resetLimit(btn, companyId) {
-    if (!confirm('Сбросить лимит на дефолт?')) return;
-    const form = document.createElement('form');
-    form.method = 'POST';
-    form.action = '/admin/limit/' + companyId;
-    // Пустое значение → сервер интерпретирует как null → дефолт
-    const inp = document.createElement('input');
-    inp.type = 'hidden';
-    inp.name = 'limit';
-    inp.value = '';
-    form.appendChild(inp);
-    document.body.appendChild(form);
-    form.submit();
-  }
-</script>
-<footer style="text-align:right;padding:.5rem 1.5rem;font-size:.72rem;color:var(--muted);">v<%= appVersion %></footer>
-</body>
-</html>

v1_legacy/views/index.ejs

@@ -1,578 +0,0 @@
-<!DOCTYPE html>
-<html lang="ru">
-<head>
-  <meta charset="UTF-8">
-  <title>IP WhiteList v<%= appVersion %> — Белые списки IP</title>
-  <link rel="icon" href="/favicon.png" type="image/png">
-  <style>
-    :root {
-      --bg: #f5f5f5;
-      --card: #ffffff;
-      --text: #1a1a1a;
-      --muted: #6b7280;
-      --border: #d1d5db;
-      --grey-light: #f3f4f6;
-      --blue: #2563eb;
-      --blue-h: #1d4ed8;
-      --red: #dc2626;
-      --red-h: #b91c1c;
-      --green: #16a34a;
-      --amber: #d97706;
-    }
-    * { box-sizing: border-box; margin: 0; padding: 0; }
-    body {
-      font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
-      background: var(--bg);
-      color: var(--text);
-      font-size: 14px;
-      line-height: 1.5;
-    }
-    .page { max-width: 1100px; margin: 1.5rem auto; padding: 0 1rem; }
-
-    /* Cards */
-    .card {
-      background: var(--card);
-      border: 1px solid var(--border);
-      border-radius: 12px;
-      box-shadow: 0 1px 2px rgba(0,0,0,.04);
-      margin-bottom: 1rem;
-      overflow: hidden;
-    }
-    .card-header {
-      background: var(--grey-light);
-      padding: .75rem 1rem;
-      font-weight: 600;
-      font-size: 1rem;
-      border-bottom: 1px solid var(--border);
-    }
-    .card-body { padding: 1rem; }
-
-    /* Alerts */
-    .alert { padding: .75rem 1rem; border-radius: 8px; margin-bottom: 1rem; font-size: .9rem; }
-    .alert-ok  { background: #dcfce7; color: #166534; border: 1px solid #bbf7d0; }
-    .alert-err { background: #fecaca; color: #991b1b; border: 1px solid #fca5a5; }
-    .alert-warn{ background: #fef3c7; color: #92400e; border: 1px solid #fde68a; }
-
-    /* Stats row */
-    .stats { display: flex; gap: 2rem; }
-    .stat { text-align: center; }
-    .stat .num { font-size: 1.6rem; font-weight: 700; }
-    .stat .lbl { font-size: .8rem; color: var(--muted); }
-    .stat.full .num { color: var(--red); }
-
-    /* Form */
-    .form-grid {
-      display: grid;
-      grid-template-columns: 1fr 1fr auto;
-      gap: .75rem 1rem;
-      align-items: end;
-    }
-    .field { display: flex; flex-direction: column; gap: .25rem; }
-    .field label {
-      font-size: .8rem;
-      font-weight: 500;
-      color: var(--muted);
-      text-transform: uppercase;
-      letter-spacing: .5px;
-    }
-    .field input, .field textarea {
-      padding: .5rem .75rem;
-      border: 1px solid var(--border);
-      border-radius: 6px;
-      font-size: .9rem;
-      outline: none;
-      transition: border .15s;
-      background: #fff;
-    }
-    .field input:focus { border-color: var(--blue); box-shadow: 0 0 0 3px rgba(37,99,235,.1); }
-
-    /* Buttons */
-    .btn {
-      display: inline-flex;
-      align-items: center;
-      gap: .35rem;
-      padding: .5rem 1rem;
-      border: 1px solid var(--border);
-      border-radius: 6px;
-      font-size: .85rem;
-      font-weight: 500;
-      background: #fff;
-      cursor: pointer;
-      transition: background .15s;
-      white-space: nowrap;
-    }
-    .btn:hover { background: var(--grey-light); }
-    .btn-primary { background: var(--blue); color: #fff; border-color: var(--blue); }
-    .btn-primary:hover { background: var(--blue-h); }
-    .btn-primary:disabled { background: #93c5fd; cursor: not-allowed; border-color: #93c5fd; }
-    .btn-danger { color: var(--red); border-color: var(--red); }
-    .btn-danger:hover { background: #fecaca; }
-
-    /* Table */
-    .table-wrap {
-      border: 1px solid var(--border);
-      border-radius: 8px;
-      overflow: hidden;
-    }
-    table { width: 100%; border-collapse: collapse; font-size: .85rem; }
-    th {
-      text-align: left;
-      padding: .5rem .75rem;
-      background: var(--grey-light);
-      color: var(--muted);
-      font-weight: 500;
-      font-size: .8rem;
-      text-transform: uppercase;
-      letter-spacing: .5px;
-      border-bottom: 1px solid var(--border);
-      border-right: 1px solid var(--border);
-    }
-    th:last-child { border-right: none; }
-    td {
-      padding: .5rem .75rem;
-      border-bottom: 1px solid var(--border);
-      border-right: 1px solid var(--border);
-    }
-    td:last-child { border-right: none; }
-    tr:last-child td { border-bottom: none; }
-    tr:hover td { background: #f8fafc; }
-    code { background: #f1f5f9; padding: .15rem .4rem; border-radius: 3px; font-size: .9em; }
-    .empty { text-align: center; color: var(--muted); padding: 2rem; }
-
-    .text-center { text-align: center; }
-    .mt-3 { margin-top: 1rem; }
-  </style>
-</head>
-<body>
-
-<header style="background:#fff;border-bottom:1px solid var(--border);padding:0 1.5rem;height:48px;display:flex;align-items:center;gap:.75rem;font-size:.9rem;color:var(--muted);">
-  <svg width="130" height="28" viewBox="0 0 311 69" style="display:block;">
-    <g transform="translate(-330 -228)">
-      <path d="M348.061 246.203 332.42 246.203 330 256.661 336.75 256.661 336.794 295.573 336.794 296.585 336.795 296.585 347.25 296.585 347.25 263.611C347.25 259.78 350.368 256.663 354.2 256.663L376.489 256.793C380.322 256.793 383.44 259.912 383.44 263.743L383.44 296.717 393.896 296.717 393.896 263.743C393.896 254.144 386.087 246.338 376.495 246.338L354.196 246.204 348.061 246.221 348.061 246.203Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M582.095 296.65 626.768 296.65C634.793 296.65 641 290.03 641 282.009 641 273.985 634.473 267.458 626.449 267.458L601.724 267.458C599.446 267.458 597.595 265.607 597.595 263.328L597.595 260.825C597.595 258.548 599.446 256.697 601.724 256.697L628.041 256.697 630.452 246.276 601.724 246.276C593.7 246.276 587.174 252.802 587.174 260.825L587.174 263.328C587.174 271.352 593.7 277.879 601.724 277.879L626.449 277.879C628.726 277.879 630.579 279.732 630.579 282.009 630.579 284.283 628.726 286.4 626.449 286.4L584.126 286.4 582.095 296.65Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M564.549 246.347 537.193 246.347C529.027 246.347 522.385 252.989 522.385 261.156L522.385 279.521C522.385 288.916 530.028 296.557 539.422 296.557L576.846 296.557 579.196 286.401 539.422 286.401C535.775 286.401 532.805 283.172 532.805 279.521L532.748 278.028 567.684 278.028 579.354 277.959 579.354 268.958 579.354 261.156C579.354 252.989 572.712 246.347 564.549 246.347ZM568.935 267.54 532.805 267.54 532.805 261.156C532.805 258.737 534.774 256.767 537.193 256.767L564.549 256.767C566.966 256.767 568.935 258.737 568.935 261.156L568.935 267.54Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M507.156 273.231 507.156 279.597C507.156 283.414 504.066 286.344 500.247 286.344L477.934 286.39C474.41 286.39 471.493 283.744 471.064 280.335L471.064 263.006C471.494 259.597 474.41 256.951 477.934 256.951L500.23 257.083C504.049 257.083 507.156 260.192 507.156 264.009L507.156 265.16 507.156 273.232ZM460.623 260.161 460.589 230.089 471.064 228.058 471.064 247.957C473.172 247.043 475.49 246.53 477.929 246.53L500.235 246.662C509.793 246.662 517.575 254.444 517.575 264.009L517.575 265.159 517.575 273.231 517.575 279.597C517.575 289.161 509.793 296.941 500.235 296.941L477.929 296.809C468.37 296.809 460.589 289.029 460.589 279.464L460.589 272.972 460.589 263.876 460.623 260.161Z" fill="#001C34" fill-rule="evenodd"/>
-      <path d="M445.037 271.59 445.037 279.317C445.037 283.134 441.93 286.241 438.111 286.241L416.092 286.11C412.273 286.11 409.166 283.002 409.166 279.185L409.166 276.635 409.222 276.644 409.222 244.013 398.748 246.044 398.752 249.955 398.748 249.957 398.748 279.184C398.748 288.749 406.529 296.529 416.087 296.529L438.116 296.661C447.674 296.661 455.456 288.881 455.456 279.316L455.456 276.639 455.482 276.643 455.482 244.013 445.008 246.043 445.037 271.589Z" fill="#001C34" fill-rule="evenodd"/>
-    </g>
-  </svg>
-  <span>|</span>
-  <span style="font-weight:500;color:var(--text);">Белые списки IP v<%= appVersion %></span>
-  <!-- Кнопки правой части header: admin-ссылки + чекбокс + выход -->
-  <span style="margin-left:auto;display:flex;gap:.5rem;align-items:center;">
-    <% if (typeof canAdminMode !== 'undefined' && canAdminMode) { %>
-      <form method="POST" action="/toggle-admin" style="display:inline;">
-        <button type="submit" style="font-size:.8rem;color:var(--muted);display:flex;align-items:center;gap:.3rem;padding:.2rem .6rem;border:1px solid var(--border);border-radius:5px;background:#fff;cursor:pointer;">
-          <span style="font-weight:500;"><%= adminMode ? 'Выйти из админки' : 'Администратор' %></span>
-          <span style="position:relative;width:36px;height:20px;background:<%= adminMode ? 'var(--blue)' : 'var(--border)' %>;border-radius:10px;transition:background .2s;">
-            <span style="position:absolute;top:2px;<%= adminMode ? 'right:2px;' : 'left:2px;' %>width:16px;height:16px;background:#fff;border-radius:50%;transition:all .2s;"></span>
-          </span>
-        </button>
-      </form>
-    <% } %>
-    <% if (typeof adminMode !== 'undefined' && adminMode) { %>
-      <a href="/audit" style="font-size:.8rem;color:var(--muted);text-decoration:none;padding:.2rem .6rem;border:1px solid var(--border);border-radius:5px;background:#fff;">Аудит</a>
-      <a href="/admin" style="font-size:.8rem;color:var(--muted);text-decoration:none;padding:.2rem .6rem;border:1px solid var(--border);border-radius:5px;background:#fff;">Лимиты</a>
-    <% } %>
-    <a href="/logout" style="font-size:.8rem;color:var(--muted);text-decoration:none;padding:.2rem .6rem;border:1px solid var(--border);border-radius:5px;background:#fff;">Выйти (<%= user.email %>)</a>
-  </span>
-</header>
-
-<div class="page">
-
-  <% if (success) { %><div class="alert alert-ok"><%= success %></div><% } %>
-  <% if (error) { %><div class="alert alert-err"><%= error %></div><% } %>
-
-  <% if (typeof isImpersonated !== 'undefined' && isImpersonated) { %>
-    <div style="background:#fef3c7;border:1px solid #d97706;color:#92400e;padding:.5rem 1rem;border-radius:8px;margin-bottom:.5rem;font-size:.85rem;">
-      ⚠️ Режим имперсонации — данные сохраняются от имени <strong><%= user.activeClientId %></strong>
-      <% if (typeof originalUserEmail !== 'undefined' && originalUserEmail) { %>
-        (вы: <%= originalUserEmail %>)
-      <% } %>
-    </div>
-  <% } %>
-
-
-  <%
-    // Для admin: selectedCompany — выбранная компания (объект из getAllCompanies).
-    // Для обычного пользователя: selectedCompany — их компания (из getOrCreateCompany).
-    // company_id — числовой PK для передачи в скрытые поля форм.
-    const companyPk = selectedCompany ? selectedCompany.id : null;
-  %>
-
-  <!-- Переключатель компании — для администратора в режиме admin -->
-  <% if (adminMode && companies) { %>
-  <div class="card">
-    <div class="card-body" style="padding:.75rem 1rem;">
-      <form method="GET" action="/" style="display:flex;align-items:center;gap:1rem;flex-wrap:wrap;">
-        <span style="font-size:.85rem;color:var(--muted);font-weight:500;">Компания:</span>
-        <select name="company" id="company-select"
-          style="padding:.4rem .75rem;border:1px solid var(--border);border-radius:6px;font-size:.85rem;background:#fff;">
-          <% companies.forEach(c => { %>
-          <option value="<%= c.id %>" <%= selectedCompany && c.id === selectedCompany.id ? 'selected' : '' %>>
-            <%= c.name %> (<%= c.client_id %>) — <%= c.active_count %> зап.
-          </option>
-          <% }) %>
-        </select>
-        <button type="submit" class="btn btn-sm">Показать</button>
-        <label style="font-size:.82rem;color:var(--muted);cursor:pointer;display:flex;align-items:center;gap:.3rem;">
-          <input type="checkbox" name="includeDeleted" value="true" <%= (typeof includeDeleted !== 'undefined' && includeDeleted) ? 'checked' : '' %>>
-          Показать удалённые
-        </label>
-        <span style="margin-left:auto;font-size:.8rem;color:var(--muted);">
-          Режим: <strong style="color:var(--amber);">Администратор</strong>
-        </span>
-      </form>
-    </div>
-  </div>
-  <% } %>
-
-  <!-- Переключатель компании — для обычного пользователя с несколькими компаниями -->
-  <% if (!isAdmin && allClientIds && allClientIds.length > 1) { %>
-  <div class="card">
-    <div class="card-body" style="padding:.75rem 1rem;">
-      <div style="display:flex;align-items:center;gap:1rem;flex-wrap:wrap;">
-        <span style="font-size:.85rem;color:var(--muted);font-weight:500;">Компания:</span>
-        <select id="company-switch"
-          style="padding:.4rem .75rem;border:1px solid var(--border);border-radius:6px;font-size:.85rem;background:#fff;">
-          <% if (typeof profiles !== 'undefined' && profiles.length) { %>
-            <% profiles.forEach(p => { %>
-            <option value="<%= p.client_id %>" <%= p.is_active_profile ? 'selected' : '' %>>
-              <%= p.company_name %> (<%= p.client_id %>)
-            </option>
-            <% }) %>
-          <% } else { %>
-            <% allClientIds.forEach(id => { %>
-            <option value="<%= id %>" <%= id === activeClientId ? 'selected' : '' %>>
-              <%= id %>
-            </option>
-            <% }) %>
-          <% } %>
-        </select>
-        <span style="margin-left:auto;font-size:.8rem;color:var(--muted);">
-          Компаний: <strong><%= allClientIds.length %></strong>
-        </span>
-      </div>
-    </div>
-  </div>
-  <% } %>
-
-  <!-- Статистика -->
-  <div class="card">
-    <div class="card-body">
-      <div class="stats">
-        <div class="stat <%= used >= limit ? 'full' : '' %>">
-          <div class="num"><%= used %> / <%= limit %></div>
-          <div class="lbl">записей</div>
-        </div>
-        <div class="stat">
-          <!-- Для admin показываем clientId выбранной компании, для user — их собственный -->
-          <div class="num"><%= selectedCompany ? selectedCompany.client_id : user.clientId %></div>
-          <div class="lbl">компания</div>
-        </div>
-        <div class="stat">
-          <div class="num"><%= user.email %></div>
-          <div class="lbl">пользователь</div>
-        </div>
-      </div>
-    </div>
-  </div>
-
-  <!-- Форма добавления -->
-  <div class="card">
-    <div class="card-header">Добавить адрес</div>
-    <div class="card-body">
-      <form method="POST" action="/add">
-        <%
-          // Передаём числовой PK компании в скрытом поле.
-          // Для admin: server.js возьмёт его из req.body.company_id.
-          // Для обычного пользователя: server.js игнорирует это поле
-          // и использует clientId из токена — защита от подмены.
-        %>
-        <input type="hidden" name="company_id" value="<%= companyPk || '' %>">
-        <%# CSRF-токен: защита от межсайтовой подделки запроса (double-submit cookie) %>
-        <input type="hidden" name="_csrf" value="<%= csrfToken %>">
-        <div class="form-grid">
-          <div class="field">
-            <label>IPv4 адрес или подсеть CIDR</label>
-            <input name="value" placeholder="Например: 203.0.113.10 или 203.0.113.0/24" pattern="^(\d{1,3}\.){3}\d{1,3}(/\d{1,2})?$" maxlength="18" title="IPv4 адрес или CIDR /22–/32" value="<%= lastValue || '' %>" required <%= used >= limit ? 'disabled' : '' %>>
-          </div>
-          <div class="field">
-            <label>Комментарий</label>
-            <input name="comment" placeholder="Необязательно" maxlength="255" value="<%= lastComment || '' %>">
-          </div>
-          <button class="btn btn-primary" type="submit" <%= used >= limit ? 'disabled' : '' %> style="align-self:end">
-            <%= used >= limit ? 'Лимит исчерпан' : 'Добавить' %>
-          </button>
-        </div>
-      </form>
-    </div>
-  </div>
-
-  <!-- Таблица -->
-  <div class="card">
-    <div class="card-header">Доверенные адреса</div>
-    <% if (entries.length === 0) { %>
-      <div class="empty">Нет добавленных адресов</div>
-    <% } else { %>
-    <div class="table-wrap">
-      <table>
-        <thead>
-          <tr>
-            <th>Адрес / Подсеть</th>
-            <th>Комментарий</th>
-            <th>Добавил</th>
-            <th>Добавлена</th>
-            <th>Изменена</th>
-            <th class="text-center">Действия</th>
-          </tr>
-        </thead>
-        <tbody>
-          <% entries.forEach(e => { %>
-          <tr style="<%= e.deleted_at ? 'opacity:.5;text-decoration:line-through;' : '' %>">
-            <td><code><%= e.value_cidr %></code><% if (e.deleted_at) { %> <span style="font-size:.7rem;color:var(--red);">удалена</span><% } %></td>
-            <td><%= e.comment || '—' %></td>
-            <td><%= e.created_by %></td>
-            <td><%= new Date(e.created_at).toLocaleDateString('ru', {day:'numeric',month:'short',year:'numeric',hour:'2-digit',minute:'2-digit',timeZone:'Etc/GMT-4'}) %></td>
-            <td style="color:var(--muted);font-size:.8rem;">
-              <%= e.updated_at
-                ? new Date(e.updated_at).toLocaleDateString('ru', {day:'numeric',month:'short',hour:'2-digit',minute:'2-digit',timeZone:'Etc/GMT-4'})
-                : '—' %>
-            </td>
-            <td class="text-center" style="white-space:nowrap;">
-              <% if (!e.deleted_at) { %>
-                // data-* атрибуты для JS-заполнения modal без inline-onclick с параметрами.
-                // Так как комментарий может содержать кавычки — EJS экранирует их в HTML.
-                // Но в data-атрибуте JSON::stringify безопаснее.
-              %>
-              <!-- Кнопка редактирования: открывает modal и заполняет его данными из data-* -->
-              <button class="btn btn-edit"
-                data-id="<%= e.id %>"
-                data-value="<%= e.value_cidr %>"
-                data-comment="<%= e.comment || '' %>"
-                data-company="<%= companyPk || '' %>"
-                style="margin-right:.25rem;">
-                Изменить
-              </button>
-              <!-- Форма удаления: company_id нужен для admin-ветки в server.js -->
-              <form method="POST" action="/delete/<%= e.id %>"
-                    class="delete-form"
-                    data-cidr="<%= e.value_cidr %>"
-                    style="display:inline">
-                <input type="hidden" name="company_id" value="<%= companyPk || '' %>">
-                <%# CSRF-токен: одно значение на всю страницу, сгенерировано сервером %>
-                <input type="hidden" name="_csrf" value="<%= csrfToken %>">
-                <button class="btn btn-danger">Удалить</button>
-              </form>
-              <% } %>
-            </td>
-          </tr>
-          <% }) %>
-        </tbody>
-      </table>
-    </div>
-    <% } %>
-  </div>
-
-</div>
-
-<!-- ══ Modal редактирования записи ══════════════════════════════════════════ -->
-<!--
-  Модальное окно — фиксированный overlay поверх страницы.
-  Открывается кнопкой "Изменить" в таблице (через JS openEditModal).
-  Закрывается кнопкой "Отмена", кликом по backdrop или Escape.
-  Данные заполняются из data-* атрибутов кнопки — никаких лишних fetch-запросов.
--->
-<div id="edit-modal"
-     style="display:none;position:fixed;top:0;left:0;right:0;bottom:0;
-            background:rgba(0,0,0,.4);z-index:200;align-items:center;justify-content:center;">
-  <div style="background:#fff;border-radius:12px;padding:1.5rem;width:500px;
-              max-width:92vw;box-shadow:0 8px 32px rgba(0,0,0,.18);">
-    <h3 style="font-size:1rem;font-weight:600;margin-bottom:1.25rem;">Редактировать запись</h3>
-    <form method="POST" id="edit-form">
-      <!-- Скрытые поля: action (action='/edit/N') и company_id заполняет openEditModal() -->
-      <input type="hidden" id="edit-company-id" name="company_id" value="">
-      <%# CSRF-токен: значение рендерится сервером один раз для всей страницы %>
-      <input type="hidden" name="_csrf" value="<%= csrfToken %>">
-
-      <div class="field" style="margin-bottom:.75rem;">
-        <label>IPv4 адрес или подсеть CIDR</label>
-        <input id="edit-value" name="value"
-          pattern="^(\d{1,3}\.){3}\d{1,3}(/\d{1,2})?$"
-          maxlength="18"
-          title="IPv4 адрес или CIDR /22–/32"
-          required
-          style="padding:.5rem .75rem;border:1px solid var(--border);border-radius:6px;font-size:.9rem;">
-      </div>
-      <div class="field" style="margin-bottom:1.25rem;">
-        <label>Комментарий</label>
-        <input id="edit-comment" name="comment"
-          maxlength="255"
-          placeholder="Необязательно"
-          style="padding:.5rem .75rem;border:1px solid var(--border);border-radius:6px;font-size:.9rem;">
-      </div>
-      <div style="display:flex;gap:.75rem;justify-content:flex-end;">
-        <button type="button" class="btn" id="edit-cancel">Отмена</button>
-        <button type="submit" class="btn btn-primary">Сохранить</button>
-      </div>
-    </form>
-  </div>
-</div>
-
-<script>
-  (function () {
-    var modal = document.getElementById('edit-modal');
-
-    function openModal(btn) {
-      document.getElementById('edit-value').value          = btn.getAttribute('data-value');
-      document.getElementById('edit-comment').value        = btn.getAttribute('data-comment');
-      document.getElementById('edit-company-id').value     = btn.getAttribute('data-company');
-      document.getElementById('edit-form').action          = '/edit/' + btn.getAttribute('data-id');
-      modal.style.display = 'flex';
-      setTimeout(function() { document.getElementById('edit-value').focus(); }, 50);
-    }
-
-    function closeModal() {
-      modal.style.display = 'none';
-    }
-
-    // Кнопки «Изменить» — event delegation на document
-    document.addEventListener('click', function (e) {
-      var btn = e.target.closest('.btn-edit');
-      if (btn) { openModal(btn); return; }
-
-      var cancel = e.target.closest('#edit-cancel');
-      if (cancel) { closeModal(); return; }
-
-      // Клик по backdrop
-      if (e.target === modal) { closeModal(); return; }
-    });
-
-    // Подтверждение удаления — event delegation
-    document.addEventListener('submit', function (e) {
-      var form = e.target.closest('.delete-form');
-      if (!form) return;
-      var cidr = form.getAttribute('data-cidr');
-      if (!confirm('Удалить запись ' + cidr + '?')) e.preventDefault();
-    });
-
-    // Смена компании — авто-сабмит при выборе
-    var sel = document.getElementById('company-select');
-    if (sel) {
-      sel.addEventListener('change', function () { this.form.submit(); });
-    }
-
-    // Escape закрывает modal
-    document.addEventListener('keydown', function (e) {
-      if (e.key === 'Escape') closeModal();
-    });
-
-    // ── Клиентская валидация IP (ТЗ §5) ──────────────────────
-    var BLOCKED = [
-      { mask:'10.0.0.0/8',       name:'Private (RFC1918)' },
-      { mask:'172.16.0.0/12',    name:'Private (RFC1918)' },
-      { mask:'192.168.0.0/16',   name:'Private (RFC1918)' },
-      { mask:'100.64.0.0/10',    name:'CGNAT' },
-      { mask:'127.0.0.0/8',      name:'Loopback' },
-      { mask:'169.254.0.0/16',   name:'Link-local' },
-      { mask:'192.0.0.0/24',     name:'IANA reserved' },
-      { mask:'192.0.2.0/24',     name:'TEST-NET-1' },
-      { mask:'198.51.100.0/24',  name:'TEST-NET-2' },
-      { mask:'203.0.113.0/24',   name:'TEST-NET-3' },
-      { mask:'198.18.0.0/15',    name:'Benchmarking' },
-      { mask:'224.0.0.0/4',      name:'Multicast' },
-      { mask:'240.0.0.0/4',      name:'Reserved' },
-      { mask:'255.255.255.255/32',name:'Broadcast' },
-    ];
-
-    function ipToNum(ip) {
-      var parts = ip.split('.');
-      return ((+parts[0] * 256 + +parts[1]) * 256 + +parts[2]) * 256 + +parts[3];
-    }
-
-    function parseCIDR(val) {
-      var m = val.match(/^(\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3})(?:\/(\d{1,2}))?$/);
-      if (!m) return null;
-      var ip = m[1];
-      var mask = m[2] ? parseInt(m[2], 10) : 32;
-      if (mask < 0 || mask > 32) return null;
-      var parts = ip.split('.');
-      if (parts.some(function(p) { return +p > 255; })) return null;
-      return { ip: ip, mask: mask, num: ipToNum(ip) };
-    }
-
-    function checkBlocked(info) {
-      for (var i = 0; i < BLOCKED.length; i++) {
-        var b = parseCIDR(BLOCKED[i].mask);
-        if (!b) continue;
-        var maskNum = -1 << (32 - b.mask);
-        if ((info.num & maskNum) === (b.num & maskNum)) {
-          return BLOCKED[i].name + ' (' + BLOCKED[i].mask + ')';
-        }
-      }
-      return null;
-    }
-
-    function normalizePreview(info) {
-      if (info.mask === 32) return null;
-      var maskNum = -1 << (32 - info.mask);
-      var netNum = info.num & maskNum;
-      var o0 = (netNum >>> 24) & 255;
-      var o1 = (netNum >>> 16) & 255;
-      var o2 = (netNum >>>  8) & 255;
-      var o3 = netNum & 255;
-      var expected = o0 + '.' + o1 + '.' + o2 + '.' + o3 + '/' + info.mask;
-      if (expected !== info.ip + '/' + info.mask) {
-        return expected;
-      }
-      return null;
-    }
-
-    var addForm = document.querySelector('form[action="/add"]');
-    if (addForm) {
-      addForm.addEventListener('submit', function(e) {
-        var input = addForm.querySelector('input[name="value"]');
-        var val = input.value.trim();
-        if (!val) return;
-
-        var info = parseCIDR(val);
-        if (!info) {
-          e.preventDefault();
-          alert('Неверный формат. Ожидается: IPv4 или CIDR (например 203.0.113.10 или 203.0.113.0/24)');
-          return;
-        }
-
-        if (info.mask < 22) {
-          e.preventDefault();
-          alert('Маска /' + info.mask + ' не допускается. Минимальная маска: /22');
-          return;
-        }
-
-        var blocked = checkBlocked(info);
-        if (blocked) {
-          e.preventDefault();
-          alert('Адрес принадлежит запрещённому диапазону:\n' + blocked + '\n\nДобавление заблокировано.');
-          return;
-        }
-
-        var norm = normalizePreview(info);
-        if (norm) {
-          if (!confirm('Вы ввели адрес из хостовой части подсети.\n\n' +
-            'Будет сохранено: ' + norm + '\n\nПродолжить?')) {
-            e.preventDefault();
-          }
-        }
-      });
-    }
-
-    // ── Переключатель компании ─────────────────────────────
-    var companySwitch = document.getElementById('company-switch');
-    if (companySwitch) {
-      companySwitch.addEventListener('change', function() {
-        window.location.href = '/?switchTo=' + encodeURIComponent(this.value);
-      });
-    }
-  }());
-</script>
-
-</body>
-</html>

v2/server.js

@@ -26,13 +26,13 @@ const express = require('express');
 const config  = require('./src/config');
 const auth    = require('./src/auth');
 const { resolveContext } = require('./src/router');
-const { enhanceImpersonation } = require('./src/impersonation');
 const { createUserRouter }  = require('./src/user');
 const { createAdminRouter } = require('./src/admin');
 const { pool } = require('./src/db');
 const { ensureSchema } = require('./src/db/schema');
+const { mutationLimiter, exportLimiter } = require('../src/middleware/rateLimit');
 
-function createV2Router() {
+function createV2Router({ generateCsrfToken, doubleCsrfProtection } = {}) {
   // Автосоздание таблиц v2_companies, v2_entries, v2_audit при старте
   ensureSchema(pool).catch(e => console.error('[v2:db] Schema error:', e.message));
 
@@ -43,15 +43,16 @@ function createV2Router() {
     res.redirect('/login?returnTo=' + encodeURIComponent('/v2/app'));
   });
 
-  // ── GET /v2/iam — отладка: показать IAM-данные из сессии ────────────
+  // ── GET /v2/iam — отладка: IAM-данные из сессии (только админ) ────
-  router.get('/iam', (req, res) => {
+  router.get('/iam', resolveContext, (req, res) => {
+    if (!req.canAdmin) return res.status(403).send('Доступ запрещён');
     const u = req.session && req.session.user;
-    if (!u) return res.redirect('/v2/login');
     res.send(debugPage(u, config.version));
   });
 
-  // ── GET /v2/iam_response — сырой ответ IAM ─────────────────────────
+  // ── GET /v2/iam_response — сырой ответ IAM (только админ) ─────────
-  router.get('/iam_response', async (req, res) => {
+  router.get('/iam_response', resolveContext, async (req, res) => {
+    if (!req.canAdmin) return res.status(403).send('Доступ запрещён');
     const token = req.session && req.session.token;
     if (!token) return res.redirect('/v2/login');
     try {
@@ -64,34 +65,9 @@ function createV2Router() {
     }
   });
 
-  // ── GET /v2/iam_response_test — IAM test стенд ──────────────────────
+  // ── GET /v2/iam-gateway-test — сравнение API (только админ) ────────
-  router.get('/iam_response_test', async (req, res) => {
+  router.get('/iam-gateway-test', resolveContext, async (req, res) => {
-    const token = req.session && req.session.token;
+    if (!req.canAdmin) return res.status(403).send('Доступ запрещён');
-    if (!token) return res.redirect('/v2/login');
-    try {
-      const raw = await iamFetch(token, config.iamApiBase + '/auth/user');
-      res.set('Content-Type', 'text/html; charset=utf-8');
-      res.send(rawPage('IAM TEST', raw));
-    } catch (e) {
-      res.send('<h2>Ошибка IAM Test</h2><pre>' + e.message + '</pre>');
-    }
-  });
-
-  // ── GET /v2/iam_response_dev — IAM dev стенд ────────────────────────
-  router.get('/iam_response_dev', async (req, res) => {
-    const token = req.session && req.session.token;
-    if (!token) return res.redirect('/v2/login');
-    try {
-      const raw = await iamFetch(token, config.iamApiBase + '/auth/user');
-      res.set('Content-Type', 'text/html; charset=utf-8');
-      res.send(rawPage('IAM DEV', raw));
-    } catch (e) {
-      res.send('<h2>Ошибка IAM Dev</h2><pre>' + e.message + '</pre>');
-    }
-  });
-
-  // ── GET /v2/iam-gateway-test — сравнение auth-api vs lk-api-gateway ──
-  router.get('/iam-gateway-test', async (req, res) => {
     const token = req.session && req.session.token;
     if (!token) return res.redirect('/v2/login');
 
@@ -126,24 +102,26 @@ function createV2Router() {
   });
 
   // ── /v2/app — пользовательский CRUD (только с сессией) ──────────────
-  router.use('/app', enhanceImpersonation, resolveContext, createUserRouter());
+  router.use('/app', mutationLimiter, resolveContext, doubleCsrfProtection || ((req,res,next)=>next()), createUserRouter({ generateCsrfToken }));
 
   // ── /v2/admin — админка: лимиты + аудит ──────────────────────────
-  router.use('/admin', enhanceImpersonation, resolveContext, createAdminRouter());
+  router.use('/admin', mutationLimiter, resolveContext, doubleCsrfProtection || ((req,res,next)=>next()), createAdminRouter({ generateCsrfToken }));
 
   // ── GET /v2/ — редирект на /v2/app ──────────────────────────────────
   router.get('/', (req, res) => res.redirect('/v2/app'));
 
-  // ── /v2/test — тестовый API (отключить: ENABLE_TEST_API=false) ──────
+  // ── /v2/test — тестовый API (только для ADMIN_EMAIL) ────────────
-  // Код остаётся, роутер не монтируется при ENABLE_TEST_API=false.
   if (process.env.ENABLE_TEST_API !== 'false') {
     const { createTestRouter } = require('./src/test');
-    router.use('/test', createTestRouter());
+    router.use('/test', resolveContext, (req, res, next) => {
+      if (req.email !== (process.env.ADMIN_EMAIL || '')) return res.status(403).send('Доступ запрещён');
+      next();
+    }, createTestRouter());
   }
 
   // ── /v2/export — выгрузка CIDR (только для админов) ─────────────
   const { createExportRouter } = require('./src/export');
-  router.use('/export', resolveContext, (req, res, next) => {
+  router.use('/export', exportLimiter, resolveContext, (req, res, next) => {
     if (!req.canAdmin) return res.status(403).send('Доступ запрещён — только для администраторов');
     next();
   }, createExportRouter());
@@ -194,7 +172,7 @@ async function iamFetch(token, url) {
   const https = require('https');
   const u = new URL(url);
   return new Promise((resolve, reject) => {
-    https.get({
+    const req = https.get({
       hostname: u.hostname, port: 443, path: u.pathname,
       headers: { Authorization: 'Bearer ' + token, Accept: 'application/json' },
     }, res => {
@@ -204,7 +182,9 @@ async function iamFetch(token, url) {
         if (res.statusCode !== 200) return reject(new Error(res.statusCode + ': ' + data.slice(0, 200)));
         try { resolve(JSON.parse(data)); } catch (e) { reject(e); }
       });
-    }).on('error', reject);
+    });
+    req.on('error', reject);
+    req.setTimeout(5000, () => { req.destroy(); reject(new Error('timeout')); });
   });
 }
 
@@ -273,8 +253,6 @@ function iamComparePage(results) {
   html += '<a href="/v2/app">CRUD</a>';
   html += '<a href="/v2/admin">Админка</a>';
   html += '<a href="/v2/iam_response">IAM PROD</a>';
-  html += '<a href="/v2/iam_response_test">IAM TEST</a>';
-  html += '<a href="/v2/iam_response_dev">IAM DEV</a>';
   html += '</div>';
 
   for (const [name, r] of Object.entries(results)) {

v2/src/admin/index.js

@@ -13,7 +13,7 @@ const express = require('express');
 const q = require('../db/queries');
 const config = require('../config');
 
-function createAdminRouter() {
+function createAdminRouter({ generateCsrfToken } = {}) {
   const router = express.Router();
 
   router.use((req, res, next) => {
@@ -30,19 +30,30 @@ function createAdminRouter() {
   router.get('/', async (req, res) => {
     try {
       const companies = await q.getAllCompanies();
-      res.render('v2/admin', { companies, user: req.adminUser, version: config.version });
+      res.render('v2/admin', {
+        companies, user: req.adminUser, version: config.version, env: config.env,
+        csrfToken: generateCsrfToken ? generateCsrfToken(req, res) : '',
+      });
     } catch (e) {
       res.status(500).send('<h2>Ошибка</h2><pre>' + e.message + '</pre>');
     }
   });
 
-  // ── GET /audit ──────────────────────────────────────────────────────
+  // ── GET /audit — журнал операций с пагинацией и фильтром по дате ───
   router.get('/audit', async (req, res) => {
     try {
       const companyId = req.query.companyId ? parseInt(req.query.companyId) : null;
-      const audit = await q.getAudit(companyId);
+      // days=null → все записи (без фильтра по дате)
+      const days = req.query.days ? Math.min(Math.max(parseInt(req.query.days), 1), 365) : null;
+      const page  = Math.max(parseInt(req.query.page) || 1, 1);
+      const perPage = 100;
+      const result = await q.getAudit({ companyId, days, page, limit: perPage });
       const company = companyId ? await q.getCompanyById(companyId) : null;
-      res.render('v2/admin-audit', { audit, company, version: config.version });
+      res.render('v2/admin-audit', {
+        audit: result.rows, total: result.total,
+        page, pages: Math.ceil(result.total / perPage) || 1,
+        days, company, version: config.version, env: config.env,
+      });
     } catch (e) {
       res.status(500).send('<h2>Ошибка</h2><pre>' + e.message + '</pre>');
     }

v2/src/config/index.js

@@ -8,7 +8,12 @@
 // ═══════════════════════════════════════════════════════════════════════════════
 
 module.exports = {
-  version: '0.5.167',
+  version: '0.1.13',
+
+  // ── Среда ─────────────────────────────────────────────────────────────────
+  // APP_ENV=test → тестовый стенд (жёлтый баннер в UI, можно включать тестовый API)
+  // APP_ENV=production или не задана → production (баннера нет)
+  env: process.env.APP_ENV || 'production',
 
   // ── IAM ──────────────────────────────────────────────────────────────────
   iamUrl: process.env.V2_IAM_URL || 'https://auth-api.ngcloud.ru/api/v1/auth/user',

v2/src/db/queries.js

@@ -265,16 +265,49 @@ async function logAudit(userEmail, companyId, action, oldValue, newValue, entryI
   );
 }
 
-async function getAudit(companyId = null) {
+/**
-  let sql = `
+ * Журнал операций с пагинацией и опциональным фильтром по дате.
-    SELECT a.*, c.name AS company_name, c.client_id
+ * @param {Object} opts
+ * @param {number|null} opts.companyId — фильтр по компании (null = все)
+ * @param {number|null}  opts.days      — глубина в днях (null = без ограничения)
+ * @param {number}       opts.page      — страница (с 1)
+ * @param {number}       opts.limit     — записей на странице
+ * @returns {{ rows: Array, total: number }}
+ */
+async function getAudit({ companyId = null, days = null, page = 1, limit = 100 } = {}) {
+  const offset = (page - 1) * limit;
+  const params = [];
+
+  let where = '';
+  if (companyId) {
+    where += ' WHERE a.company_id = $' + (params.length + 1);
+    params.push(companyId);
+  }
+  if (days) {
+    const dayParam = '$' + (params.length + 1);
+    where += (where ? ' AND' : ' WHERE') + ' a.created_at > NOW() - (' + dayParam + ' || \' days\')::INTERVAL';
+    params.push(String(days));
+  }
+
+  const limitIdx  = params.length + 1;
+  const offsetIdx = params.length + 2;
+
+  const sql = `
+    SELECT a.*, c.name AS company_name, c.client_id,
+           COUNT(*) OVER() AS total_count
       FROM audit_log a
       JOIN companies c ON c.id = a.company_id
+    ${where}
+     ORDER BY a.created_at DESC
+     LIMIT $${limitIdx} OFFSET $${offsetIdx}
   `;
-  const params = [];
+  params.push(limit, offset);
-  if (companyId) { sql += ' WHERE a.company_id = $1'; params.push(companyId); }
+
-  sql += ' ORDER BY a.created_at DESC LIMIT 500';
+  const result = await pool.query(sql, params);
-  return (await pool.query(sql, params)).rows;
+  return {
+    rows: result.rows,
+    total: result.rows.length > 0 ? parseInt(result.rows[0].total_count, 10) : 0,
+  };
 }
 
 module.exports = {

v2/src/db/schema.js

@@ -1,20 +1,22 @@
 // ═══════════════════════════════════════════════════════════════════════════════
-// V2 — инициализация схемы БД
+// V2 — инициализация схемы БД + миграции
 //
-// ЭТО: CREATE TABLE IF NOT EXISTS — безопасный повторный запуск.
+// ЭТО: CREATE TABLE IF NOT EXISTS (идемпотентно) + applyMigrations().
 // ЗАЧЕМ:
-//   1. Приложение само создаёт таблицы при старте — не нужны миграции.
+//   1. Приложение само создаёт таблицы при старте — не нужны ручные DDL.
-//   2. v2_ префикс изолирует тестовые таблицы от основных.
+//   2. Миграции — отдельные .sql файлы в sql/migrations/, выполняются по порядку.
-//   3. Безопасно для production: IF NOT EXISTS.
+//   3. Безопасно для production: IF NOT EXISTS + _migrations таблица.
 //
 // ТАБЛИЦЫ:
-//   companies   — client_id (W-номер), name, custom_limit
+//   companies        — client_id (W-номер), name, custom_limit
-//   whitelist_entries     — CIDR, комментарий, кто создал/изменил/удалил
+//   whitelist_entries — CIDR, комментарий, кто создал/изменил/удалил
-//   audit_log       — все действия: CREATE/UPDATE/DELETE, с impersonated_by
+//   audit_log        — все действия: CREATE/UPDATE/DELETE/RESTORE, с impersonated_by
-//
+//   _migrations      — какие миграции уже выполнены
-// ИНДЕКСЫ: на company_id для быстрых SELECT + на unique(client_id).
 // ═══════════════════════════════════════════════════════════════════════════════
 
+const fs   = require('fs');
+const path = require('path');
+
 async function ensureSchema(pool) {
   await pool.query(`
     -- Компании: W-номер уникален, upsert через ON CONFLICT
@@ -41,12 +43,17 @@ async function ensureSchema(pool) {
       deleted_at   TIMESTAMPTZ
     );
 
+    -- Защита от дублей: уникальный CIDR в компании среди активных записей
+    CREATE UNIQUE INDEX IF NOT EXISTS idx_whitelist_entries_active_cidr
+      ON whitelist_entries(company_id, value_cidr)
+      WHERE deleted_at IS NULL;
+
     -- Аудит: каждое действие с возможностью отследить имперсонацию
     CREATE TABLE IF NOT EXISTS audit_log (
       id              SERIAL PRIMARY KEY,
       user_email      VARCHAR(255) NOT NULL,
       company_id      INTEGER NOT NULL,
-      action          VARCHAR(32) NOT NULL CHECK (action IN ('CREATE','UPDATE','DELETE','RESTORE')),
+      action          VARCHAR(32) NOT NULL,
       old_value       TEXT,
       new_value       TEXT,
       entry_id        INTEGER,
@@ -57,24 +64,82 @@ async function ensureSchema(pool) {
     CREATE INDEX IF NOT EXISTS idx_audit_log_company_time
       ON audit_log(company_id, created_at DESC);
 
-    -- Миграция: добавить RESTORE в CHECK (если ещё нет)
+    -- Таблица учёта выполненных миграций
-    DO $$
+    CREATE TABLE IF NOT EXISTS _migrations (
-    DECLARE
+      id         SERIAL PRIMARY KEY,
-      cn text;
+      filename   VARCHAR(255) UNIQUE NOT NULL,
-    BEGIN
+      applied_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
-      SELECT con.conname INTO cn
+    );
-      FROM pg_constraint con
-      JOIN pg_class rel ON rel.oid = con.conrelid
-      WHERE rel.relname = 'audit_log' AND con.contype = 'c';
-      IF cn IS NOT NULL THEN
-        EXECUTE 'ALTER TABLE audit_log DROP CONSTRAINT ' || cn;
-      END IF;
-      EXECUTE 'ALTER TABLE audit_log ADD CONSTRAINT audit_log_action_check CHECK (action IN (''CREATE'',''UPDATE'',''DELETE'',''RESTORE''))';
-    END;
-    $$;
   `);
 
   console.log('[db] Schema ensured');
+
+  // Выполнить неприменённые миграции
+  await applyMigrations(pool);
 }
 
-module.exports = { ensureSchema };
+/**
+ * Применить новые миграции из sql/migrations/.
+ * Читает все .sql файлы, сортирует по имени, выполняет те,
+ * которых ещё нет в таблице _migrations.
+ */
+async function applyMigrations(pool) {
+  const dir = path.join(__dirname, '..', '..', '..', 'sql', 'migrations');
+  if (!fs.existsSync(dir)) {
+    console.log('[db] No migrations dir, skipping');
+    return;
+  }
+
+  const files = fs.readdirSync(dir)
+    .filter(f => f.endsWith('.sql'))
+    .sort();
+
+  if (files.length === 0) return;
+
+  // Какие уже выполнены
+  const done = new Set(
+    (await pool.query('SELECT filename FROM _migrations')).rows.map(r => r.filename)
+  );
+
+  for (const file of files) {
+    if (done.has(file)) continue;
+    const sql = fs.readFileSync(path.join(dir, file), 'utf8');
+    await pool.query(sql);
+    await pool.query('INSERT INTO _migrations (filename) VALUES ($1)', [file]);
+    console.log('[db] Migration applied:', file);
+  }
+}
+
+async function initOldMigrations(pool) {
+  // Миграции, которые раньше были в ensureSchema() — теперь
+  // фиксируем их как уже выполненные, чтобы не потерять.
+  const dir = path.join(__dirname, '..', '..', '..', 'sql', 'migrations');
+  if (!fs.existsSync(dir)) return;
+  const files = fs.readdirSync(dir)
+    .filter(f => f.endsWith('.sql'))
+    .sort();
+  if (files.length === 0) return;
+
+  // Создать таблицу если ещё нет (на случай первого запуска с миграциями)
+  await pool.query(`
+    CREATE TABLE IF NOT EXISTS _migrations (
+      id         SERIAL PRIMARY KEY,
+      filename   VARCHAR(255) UNIQUE NOT NULL,
+      applied_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
+    );
+  `);
+
+  const done = new Set(
+    (await pool.query('SELECT filename FROM _migrations')).rows.map(r => r.filename)
+  );
+
+  for (const file of files) {
+    if (done.has(file)) continue;
+    const sql = fs.readFileSync(path.join(dir, file), 'utf8');
+    await pool.query(sql);
+    await pool.query('INSERT INTO _migrations (filename) VALUES ($1)', [file]);
+    console.log('[db] Migration applied:', file);
+  }
+}
+
+module.exports = { ensureSchema, applyMigrations, initOldMigrations };

v2/src/export/index.js

@@ -13,8 +13,9 @@
 //
 // ПАРАМЕТРЫ:
 //   ?companyId=X  — фильтр по компании (внутренний id)
-//   ?view=1       — показать в браузере (иначе — скачивание)
+//   ?view=1       — text/plain inline (копирование)
-//   ?filename=X   — имя файла (по умолчанию white-list.txt)
+//   ?view=2       — HTML таблица с выровненными IP
+//   ?filename=X   — имя файла (скачивание, когда нет view)
 // ═══════════════════════════════════════════════════════════════════════════════
 
 const express = require('express');
@@ -29,13 +30,25 @@ function createExportRouter() {
       const companyId = req.query.companyId ? parseInt(req.query.companyId) : null;
       const cidrs = await q.getExportCIDRs(companyId);
       const aggregated = aggregateCIDRs(cidrs);
+
+      // ?view=2 — HTML таблица с выровненными IP
+      if (req.query.view === '2') {
+        res.set('Content-Type', 'text/html; charset=utf-8');
+        return res.send(renderTable(aggregated));
+      }
+
+      // ?view=1 — text/plain inline
+      if (req.query.view === '1') {
+        const text = aggregated.join('\n') + (aggregated.length ? '\n' : '');
+        res.set('Content-Type', 'text/plain; charset=utf-8');
+        res.set('Content-Disposition', 'inline');
+        return res.send(text);
+      }
+
+      // Скачивание (по умолчанию) — без filename чтобы браузер показал диалог сохранения
       const text = aggregated.join('\n') + (aggregated.length ? '\n' : '');
-
       res.set('Content-Type', 'text/plain; charset=utf-8');
-
+      res.set('Content-Disposition', 'attachment');
-      const fname = (req.query.filename || 'white-list.txt').replace(/[^\w\-_. ]/g, '_');
-      const disp = req.query.view === '1' ? 'inline' : 'attachment';
-      res.set('Content-Disposition', disp + '; filename="' + fname + '"');
       res.send(text);
     } catch (e) {
       console.error('[v2:export] Error:', e);
@@ -46,4 +59,27 @@ function createExportRouter() {
   return router;
 }
 
+function renderTable(cidrs) {
+  const rows = cidrs.map(c => {
+    const [ip, mask] = c.split('/');
+    const [a, b, c2, d] = ip.split('.');
+    return '<tr>'
+      + '<td>' + a.padStart(2, ' ') + '</td>'
+      + '<td>' + b.padStart(2, ' ') + '</td>'
+      + '<td>' + c2.padStart(2, ' ') + '</td>'
+      + '<td>' + d.padStart(2, ' ') + '</td>'
+      + '<td> / ' + mask + '</td>'
+      + '</tr>';
+  }).join('\n');
+  return '<!DOCTYPE html><html><head><meta charset="utf-8"><title>WhiteList Export</title>'
+    + '<style>body{font-family:monospace;background:#fff;color:#111;padding:1rem}'
+    + 'h2{font-size:1rem;color:#666;margin-bottom:.5rem}'
+    + 'table{border-collapse:collapse}'
+    + 'td{padding:.15rem .5rem .15rem 0;white-space:pre;font-size:.9rem;text-align:right}'
+    + '</style></head><body>'
+    + '<h2>WhiteList — ' + cidrs.length + ' записей</h2>'
+    + '<table>' + rows + '</table>'
+    + '</body></html>';
+}
+
 module.exports = { createExportRouter };

v2/src/impersonation/index.js

@@ -1,60 +0,0 @@
-// ═══════════════════════════════════════════════════════════════════════════════
-// V2 — Имперсонация (IAM + URL-режим)
-//
-// ЭТО: middleware — подмена сессии при имперсонации.
-// НЕ: жёсткая логика в resolveContext или user/index.js.
-//
-// IAM-имперсонация: если сессия уже содержит isImpersonated=true → не трогаем.
-//
-// URL-имперсонация: для разрешённых пользователей (IMPERSONATION_ALLOWED_USERS).
-//   /v2/app?impersonate=email&company=W***
-//   Полная подмена сессии: email, clientId, profiles — всё от таргета.
-//
-// ENV:
-//   IMP_ALLOWED — emails через запятую (кому можно)
-// ═══════════════════════════════════════════════════════════════════════════════
-
-const ALLOWED_USERS = new Set(
-  (process.env.IMP_ALLOWED || '')
-    .split(/[\s,/]+/).map(s => s.trim()).filter(Boolean)
-);
-
-function enhanceImpersonation(req, res, next) {
-  const u = req.session && req.session.user;
-  if (!u) return next();
-
-  // ── IAM-имперсонация — уже в сессии, не трогаем ────────────────────
-  if (u.isImpersonated) return next();
-
-  // ── URL-имперсонация ───────────────────────────────────────────────
-  const targetEmail = req.query.impersonate;
-  const targetCompany = req.query.company;
-
-  if (targetEmail && targetCompany && ALLOWED_USERS.has(u.email)) {
-    // Сохраняем оригинал
-    const origEmail = u.email;
-    const origFio = u.fio;
-
-    // Подменяем ВСЕ данные на таргета (как делает IAM)
-    u.email = targetEmail;
-    u.clientId = targetCompany;
-    u.activeClientId = targetCompany;
-    u.allClientIds = [targetCompany];
-    u.companyName = targetCompany;
-    u.isImpersonated = true;
-    u.originalUserEmail = origEmail;
-    u.originalUserFullName = origFio ? (origFio.fullName || '') : '';
-    u.impersonatedCompanyId = targetCompany;
-    u.fio = null;
-
-    u.profiles = [{
-      client_id: targetCompany,
-      company_name: targetCompany,
-      is_active_profile: true,
-    }];
-  }
-
-  next();
-}
-
-module.exports = { enhanceImpersonation };

v2/src/router/index.js

@@ -36,7 +36,7 @@ async function checkImpersonation(token, req, u) {
   const url = config.iamApiBase + '/auth/user';
   const uObj = new URL(url);
   const data = await new Promise((resolve, reject) => {
-    https.get({
+    const req = https.get({
       hostname: uObj.hostname, port: 443, path: uObj.pathname,
       headers: { Authorization: 'Bearer ' + token, Accept: 'application/json' },
     }, res => {
@@ -46,12 +46,14 @@ async function checkImpersonation(token, req, u) {
         if (res.statusCode !== 200) return reject(new Error(res.statusCode + ': ' + d.slice(0, 200)));
         try { resolve(JSON.parse(d)); } catch (e) { reject(e); }
       });
-    }).on('error', reject);
+    });
+    req.on('error', reject);
+    req.setTimeout(5000, () => { req.destroy(); reject(new Error('timeout')); });
   });
 
   const imp = data.impersonation || {};
   const newIsImp = !!(imp.is_impersonated);
-  const oldIsImp = !!(u.originalUserEmail && u.impersonatedCompanyId);
+  const oldIsImp = !!u.isImpersonated;
 
   // Статус не изменился — ничего не делаем
   if (newIsImp === oldIsImp) return;
@@ -96,7 +98,7 @@ async function checkImpersonation(token, req, u) {
 }
 
 function applyContext(req, u) {
-  const isImpersonated = !!(u.originalUserEmail && u.impersonatedCompanyId);
+  const isImpersonated = !!(u.isImpersonated || u.originalUserEmail);
 
   req.email            = u.email || '';
   req.clientId         = isImpersonated

v2/src/test/index.js

@@ -114,6 +114,23 @@ function createTestRouter() {
           return res.json({ ok: true });
         }
 
+        // ── WIPE: удалить все записи и аудит компании (clientId) ─
+        case 'wipe': {
+          const clientId = req.query.clientId;
+          if (!clientId) return res.json({ ok: false, error: 'clientId required' });
+          const e = await pool.query('DELETE FROM v2_entries WHERE company_id IN (SELECT id FROM v2_companies WHERE client_id=$1)', [clientId]);
+          const a = await pool.query('DELETE FROM v2_audit WHERE company_id IN (SELECT id FROM v2_companies WHERE client_id=$1)', [clientId]);
+          return res.json({ ok: true, entriesDeleted: e.rowCount, auditDeleted: a.rowCount, clientId });
+        }
+
+        // ── CLEAN-ALL: очистить ВСЕ таблицы (для сдачи в прод) ──
+        case 'clean-all': {
+          const a = await pool.query('DELETE FROM audit_log');
+          const e = await pool.query('DELETE FROM whitelist_entries');
+          const c = await pool.query('DELETE FROM companies');
+          return res.json({ ok: true, audit_log: a.rowCount, whitelist_entries: e.rowCount, companies: c.rowCount });
+        }
+
         // ── USERFLOW: полная эмуляция юзера через все слои ──────
         // Отличие от add/edit/delete: здесь выставляется мок-сессия
         // как после KC+IAM+resolveContext, и вызывается crud.

v2/src/user/index.js

@@ -19,7 +19,7 @@ const crud = require('../crud');
 const q = require('../db/queries');
 const config = require('../config');
 
-function createUserRouter() {
+function createUserRouter({ generateCsrfToken } = {}) {
   const router = express.Router();
 
   // ── GET / — список записей + форма ──────────────────────────────────
@@ -83,7 +83,8 @@ function createUserRouter() {
         activeClientId: clId,
         user: templateUser,
         includeDeleted,
-        version: config.version,
+        version: config.version, env: config.env,
+        csrfToken: generateCsrfToken ? generateCsrfToken(req, res) : '',
       });
     } catch (e) {
       res.status(500).send('<h2>Ошибка</h2><pre>' + e.message + '</pre><a href="/v2/app">Назад</a>');

views/v2/admin-audit.ejs

@@ -11,7 +11,8 @@
       --red: #dc2626; --green: #16a34a; --amber: #d97706;
     }
     * { box-sizing: border-box; margin: 0; padding: 0; }
-    body {
+    .test-banner { background: #fef3cd; color: #856404; padding: 12px; text-align: center; font-weight: bold; border-bottom: 2px solid #f0b400; font-size: 14px; }
+  body {
       font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
       background: var(--bg); color: var(--text); font-size: 14px; line-height: 1.5;
     }
@@ -53,6 +54,7 @@
   </style>
 </head>
 <body>
+<% if (env === 'test') { %><div class="test-banner">⚠️ ТЕСТОВЫЙ СТЕНД — данные могут быть удалены в любой момент</div><% } %>
 
 <header style="background:#fff;border-bottom:1px solid var(--border);padding:0 1.5rem;height:48px;display:flex;align-items:center;gap:.75rem;font-size:.9rem;color:var(--muted);">
   <svg width="130" height="28" viewBox="0 0 311 69" style="display:block;">
@@ -73,9 +75,24 @@
 
 <div class="page">
   <div class="card">
-    <div class="card-header">Журнал операций <span style="font-weight:400;font-size:.82rem;color:var(--muted);">(макс 500)</span></div>
+    <div class="card-header">
+      Журнал операций
+      <span style="font-weight:400;font-size:.82rem;color:var(--muted);">
+        (<%= total %> записей<%= days ? ' за ' + days + ' дн.' : ' (всё время)' %>)
+      </span>
+      <span style="float:right;display:flex;gap:.3rem;">
+        <a href="?<%= company ? 'companyId=' + company.id : '' %>"
+           class="btn btn-sm<%= !days ? ' btn-primary' : '' %>"
+           style="padding:.2rem .5rem;font-size:.75rem;">Всё</a>
+        <% [30, 90, 365].forEach(function(d) { %>
+          <a href="?<%= company ? 'companyId=' + company.id + '&' : '' %>days=<%= d %>"
+             class="btn btn-sm<%= days === d ? ' btn-primary' : '' %>"
+             style="padding:.2rem .5rem;font-size:.75rem;"><%= d %>д</a>
+        <% }) %>
+      </span>
+    </div>
     <% if (audit.length === 0) { %>
-      <div class="empty">Нет записей</div>
+      <div class="empty">Нет записей за выбранный период</div>
     <% } else { %>
     <div class="table-wrap">
       <table>
@@ -92,7 +109,7 @@
         <tbody>
           <% audit.forEach(function(a) { %>
             <tr>
-              <td><%= new Date(a.created_at).toLocaleString('ru') %></td>
+              <td><%= new Date(a.created_at).toLocaleString('ru-RU', { timeZone: 'Europe/Moscow' }) %></td>
               <td><strong><%= a.action %></strong></td>
               <td><%= a.user_email %></td>
               <td><%= a.impersonated_by || '—' %></td>
@@ -103,6 +120,23 @@
         </tbody>
       </table>
     </div>
+
+    <% if (pages > 1) { %>
+    <div style="padding:.75rem 1rem;display:flex;justify-content:center;align-items:center;gap:.75rem;border-top:1px solid var(--border);">
+      <% if (page > 1) { %>
+        <a href="?<%= company ? 'companyId=' + company.id + '&' : '' %>days=<%= days %>&page=<%= page - 1 %>" class="btn btn-sm">← Назад</a>
+      <% } else { %>
+        <span class="btn btn-sm" style="opacity:.4;cursor:default;">← Назад</span>
+      <% } %>
+      <span style="font-size:.85rem;color:var(--muted);">стр. <%= page %> из <%= pages %></span>
+      <% if (page < pages) { %>
+        <a href="?<%= company ? 'companyId=' + company.id + '&' : '' %>days=<%= days %>&page=<%= page + 1 %>" class="btn btn-sm">Вперёд →</a>
+      <% } else { %>
+        <span class="btn btn-sm" style="opacity:.4;cursor:default;">Вперёд →</span>
+      <% } %>
+    </div>
+    <% } %>
+
     <% } %>
   </div>
 </div>

views/v2/admin-entries.ejs

@@ -7,7 +7,10 @@
   th{background:#263238;color:#fff}
   .bar{display:flex;justify-content:space-between;align-items:center;background:#263238;color:#fff;padding:10px;margin-bottom:15px}
   .bar a{color:#80cbc4}
-</style></head><body>
+.test-banner{background:#fef3cd;color:#856404;padding:12px;text-align:center;font-weight:bold;border-bottom:2px solid #f0b400;font-size:14px}
+</style></head>
+<body>
+<% if (env === 'test') { %><div class="test-banner">⚠️ ТЕСТОВЫЙ СТЕНД — данные могут быть удалены в любой момент</div><% } %>
 <div class="bar">
   <span><strong>📋 Записи</strong> <%= company.client_id %> — <%= company.name || company.client_id %></span>
   <span><a href="/v2/admin">← Админка</a></span>

views/v2/admin.ejs

@@ -11,7 +11,8 @@
       --red: #dc2626; --green: #16a34a; --amber: #d97706;
     }
     * { box-sizing: border-box; margin: 0; padding: 0; }
-    body {
+    .test-banner { background: #fef3cd; color: #856404; padding: 12px; text-align: center; font-weight: bold; border-bottom: 2px solid #f0b400; font-size: 14px; }
+  body {
       font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
       background: var(--bg); color: var(--text); font-size: 14px; line-height: 1.5;
     }
@@ -65,6 +66,7 @@
   </style>
 </head>
 <body>
+<% if (env === 'test') { %><div class="test-banner">⚠️ ТЕСТОВЫЙ СТЕНД — данные могут быть удалены в любой момент</div><% } %>
 
 <header style="background:#fff;border-bottom:1px solid var(--border);padding:0 1.5rem;height:48px;display:flex;align-items:center;gap:.75rem;font-size:.9rem;color:var(--muted);">
   <svg width="130" height="28" viewBox="0 0 311 69" style="display:block;">
@@ -121,6 +123,7 @@
               </td>
               <td>
                 <form method="POST" action="/v2/admin/limit" style="display:inline-flex;gap:.4rem;align-items:center;">
+                  <input type="hidden" name="_csrf" value="<%= csrfToken %>">
                   <input type="hidden" name="companyId" value="<%= c.id %>">
                   <input class="limit-input" name="limit" type="number" min="1" value="<%= c.custom_limit || 15 %>">
                   <button class="btn btn-sm btn-primary">установить</button>

views/v2/user.ejs

@@ -11,7 +11,8 @@
       --red: #dc2626; --red-h: #b91c1c; --green: #16a34a; --amber: #d97706;
     }
     * { box-sizing: border-box; margin: 0; padding: 0; }
-    body {
+    .test-banner { background: #fef3cd; color: #856404; padding: 12px; text-align: center; font-weight: bold; border-bottom: 2px solid #f0b400; font-size: 14px; }
+  body {
       font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
       background: var(--bg); color: var(--text); font-size: 14px; line-height: 1.5;
     }
@@ -80,6 +81,7 @@
       background: var(--grey-light); color: var(--muted);
       font-weight: 500; font-size: .8rem; text-transform: uppercase; letter-spacing: .5px;
       border-bottom: 1px solid var(--border); border-right: 1px solid var(--border);
+      position: sticky; top: 0; z-index: 1;
     }
     th:last-child { border-right: none; }
     td {
@@ -107,6 +109,7 @@
   </style>
 </head>
 <body>
+<% if (env === 'test') { %><div class="test-banner">⚠️ ТЕСТОВЫЙ СТЕНД — данные могут быть удалены в любой момент</div><% } %>
 
 <header style="background:#fff;border-bottom:1px solid var(--border);padding:0 1.5rem;height:48px;display:flex;align-items:center;gap:.75rem;font-size:.9rem;color:var(--muted);">
   <svg width="130" height="28" viewBox="0 0 311 69" style="display:block;">
@@ -123,7 +126,9 @@
 
   <span style="margin-left:auto;display:flex;gap:.5rem;align-items:center;">
     <span style="font-weight:500;color:var(--text);"><%= user.email %></span>
-    <a href="/v2/logout" class="btn btn-sm">Выйти<% if (user.isImpersonated && user.originalUserEmail) { %> (<%= user.originalUserEmail %>)<% } %></a>
+    <a href="/logout" class="btn btn-sm"
+       onclick="return confirm('Выход из whitelist завершит ВСЕ сессии Nubes (Keycloak SSO).\n\nПродолжить?')"
+       title="Выход из Keycloak (все сервисы Nubes)">Выйти<% if (user.isImpersonated && user.originalUserEmail) { %> (<%= user.originalUserEmail %>)<% } %></a>
   </span>
 </header>
 
@@ -188,6 +193,7 @@
     <div class="card-header">Добавить адрес</div>
     <div class="card-body">
       <form method="POST" action="/v2/app/add">
+        <input type="hidden" name="_csrf" value="<%= csrfToken %>">
         <div class="form-grid">
           <div class="field">
             <label>IPv4 адрес или подсеть CIDR</label>
@@ -233,6 +239,7 @@
             <td style="text-align:center;white-space:nowrap;">
               <% if (!e.deleted_at) { %>
                 <form method="POST" action="/v2/app/edit/<%= e.id %>" style="display:inline;">
+                  <input type="hidden" name="_csrf" value="<%= csrfToken %>">
                   <input name="cidr" value="<%= e.value_cidr %>" size="18" style="width:125px;padding:.2rem .3rem;border:1px solid var(--border);border-radius:4px;font-size:.78rem;">
                   <input name="comment" value="<%= e.comment || '' %>" size="30" style="width:200px;padding:.2rem .3rem;border:1px solid var(--border);border-radius:4px;font-size:.78rem;">
                   <button class="btn btn-sm" title="Сохранить">💾</button>
@@ -244,11 +251,13 @@
             <td style="text-align:center;">
               <% if (!e.deleted_at) { %>
                 <form method="POST" action="/v2/app/delete/<%= e.id %>" style="display:inline;">
+                  <input type="hidden" name="_csrf" value="<%= csrfToken %>">
                   <input type="hidden" name="deleted" value="<%= includeDeleted ? '1' : '0' %>">
                   <button type="submit" class="btn btn-sm btn-danger" onclick="return confirm('Удалить?')" title="Удалить">🗑️</button>
                 </form>
               <% } else { %>
                 <form method="POST" action="/v2/app/restore/<%= e.id %>" style="display:inline;">
+                  <input type="hidden" name="_csrf" value="<%= csrfToken %>">
                   <input type="hidden" name="deleted" value="<%= includeDeleted ? '1' : '0' %>">
                   <button type="submit" class="btn btn-sm" title="Восстановить" style="color:var(--green);border-color:var(--green);">↺</button>
                 </form>