fix(api): CORS через isReturnToAllowed, мягкая проверка JWT_SECRET, 404 для /assets, better-sqlite3 в api, healthcheck на /ready

apps/api/test/config.test.ts

@@ -1,4 +1,4 @@
-import { afterEach, describe, expect, it } from 'vitest'
+import { afterEach, describe, expect, it, vi } from 'vitest'
 import { Writable } from 'node:stream'
 import Fastify from 'fastify'
 import { assertBootstrapPassword, loadConfig } from '../src/config.js'
@@ -52,8 +52,8 @@ describe('loadConfig', () => {
 })
 
 describe('production guard', () => {
-  it.each(['change-me-in-production', 'dev-secret-change-me', 'short-secret'])(
-    'слабый JWT_SECRET "%s" отклоняется',
+  it.each(['change-me-in-production', 'dev-secret-change-me'])(
+    'известный дефолт JWT_SECRET "%s" отклоняется',
     (secret) => {
       expect(() =>
         loadConfig({ NODE_ENV: 'production', JWT_SECRET: secret }),
@@ -61,13 +61,25 @@ describe('production guard', () => {
     },
   )
 
-  it('нормальный секрет в production принимается; в test слабый разрешён', () => {
+  it('короткий, но уникальный секрет в production не роняет старт (только предупреждение)', () => {
+    const warn = vi.spyOn(process, 'emitWarning').mockImplementation(() => {})
+    expect(() =>
+      loadConfig({ NODE_ENV: 'production', JWT_SECRET: 'short-secret' }),
+    ).not.toThrow()
+    expect(warn).toHaveBeenCalledWith(expect.stringContaining('JWT_SECRET'))
+    warn.mockRestore()
+  })
+
+  it('нормальный секрет в production принимается без предупреждений; в test слабый разрешён', () => {
+    const warn = vi.spyOn(process, 'emitWarning').mockImplementation(() => {})
     expect(() =>
       loadConfig({ NODE_ENV: 'production', JWT_SECRET: base.JWT_SECRET }),
     ).not.toThrow()
+    expect(warn).not.toHaveBeenCalled()
     expect(() =>
       loadConfig({ NODE_ENV: 'test', JWT_SECRET: 'short-secret' }),
     ).not.toThrow()
+    warn.mockRestore()
   })
 
   it('пароль первого админа: слабый запрещён только в production', () => {

apps/api/test/http-layer.test.ts

@@ -35,11 +35,11 @@ describe('статика', () => {
     expect(spa.headers['cache-control']).toBe('no-cache')
   })
 
-  it('отсутствующий ассет → не отдаёт index.html как JS (404 JSON или html, но не 200 js)', async () => {
+  it('отсутствующий ассет → 404, а не index.html (иначе после деплоя чанк-JS = HTML)', async () => {
     app = await buildTestApp({ STATIC_DIR: staticDir() })
     const res = await app.inject({ method: 'GET', url: '/assets/missing.js' })
-    // SPA-fallback допустим только как html; кэшироваться как immutable он не должен
-    expect(res.headers['cache-control']).not.toContain('immutable')
+    expect(res.statusCode).toBe(404)
+    expect(res.body).not.toContain('<html>')
   })
 
   it('отдаёт предсжатый .br по Accept-Encoding', async () => {
@@ -57,10 +57,10 @@ describe('статика', () => {
 })
 
 describe('кэш-заголовки API', () => {
-  it('app-switcher и auth/config кэшируются коротко', async () => {
+  it('auth/config кэшируется, app-switcher — нет (админка должна видеть правки сразу)', async () => {
     app = await buildTestApp()
     const sw = await app.inject({ method: 'GET', url: '/api/v1/app-switcher' })
-    expect(sw.headers['cache-control']).toBe('public, max-age=30')
+    expect(sw.headers['cache-control']).toBeUndefined()
     const cfg = await app.inject({ method: 'GET', url: '/api/v1/auth/config' })
     expect(cfg.headers['cache-control']).toBe('public, max-age=60')
   })
@@ -122,6 +122,41 @@ describe('CORS', () => {
     expect(none.statusCode).toBe(200)
   })
 
+  it('боевой RETURN_TO_ALLOWLIST из env.traefik.example не теряет клиентов', () => {
+    const list =
+      '.shnt.top,https://vps.shnt.top,https://cfdm.shnt.top,https://bgp.shnt.top,https://fw.shnt.top,https://dns.shnt.top,https://cdn.shnt.top'
+    const check = createOriginChecker(
+      loadConfig({
+        JWT_SECRET: 'test-secret-at-least-8',
+        ISSUER: 'https://auth.shnt.top',
+        RETURN_TO_ALLOWLIST: list,
+      }),
+      () => [],
+    )
+    for (const o of [
+      'https://vps.shnt.top',
+      'https://dns.shnt.top',
+      'https://shnt.top',
+      'https://anything.shnt.top',
+    ]) {
+      expect(check(o)).toBe(true)
+    }
+    expect(check('https://evil.example')).toBe(false)
+  })
+
+  it('private в allowlist пускает LAN-хосты', () => {
+    const check = createOriginChecker(
+      loadConfig({
+        JWT_SECRET: 'test-secret-at-least-8',
+        RETURN_TO_ALLOWLIST: '.shnt.top,private',
+      }),
+      () => [],
+    )
+    expect(check('http://192.168.1.10:8080')).toBe(true)
+    expect(check('http://10.0.0.5')).toBe(true)
+    expect(check('https://8.8.8.8')).toBe(false)
+  })
+
   it('createOriginChecker: суффикс, localhost, switcher, *', () => {
     const base = {
       JWT_SECRET: 'test-secret-at-least-8',