fix(api): CORS через isReturnToAllowed, мягкая проверка JWT_SECRET, 404 для /assets, better-sqlite3 в api, healthcheck на /ready

apps/api/src/config.ts

@@ -65,12 +65,18 @@ const WEAK_JWT_SECRETS = new Set([
   'changeme',
 ])
 
-/** В production запрещены известные/слабые значения JWT_SECRET. */
+/** В production запрещены известные дефолты JWT_SECRET; короткий секрет — только предупреждение. */
 function assertProductionSecrets(config: AppConfig): void {
   if (!config.isProd) return
-  if (WEAK_JWT_SECRETS.has(config.jwtSecret) || config.jwtSecret.length < 16) {
+  if (WEAK_JWT_SECRETS.has(config.jwtSecret)) {
     throw new Error(
-      'JWT_SECRET: в production нужен уникальный секрет длиной не менее 16 символов',
+      'JWT_SECRET: в production нельзя использовать значение по умолчанию — задайте уникальный секрет',
+    )
+  }
+  if (config.jwtSecret.length < 16) {
+    // Не роняем старые установки с коротким, но уникальным секретом.
+    process.emitWarning(
+      'JWT_SECRET короче 16 символов — смените на более длинный (смена разлогинит пользователей)',
     )
   }
 }