perf: prepared statements, CSP, digest pin, вырезание design-preview, нагрузочные бюджеты, jsdom-тесты web, composite CI, SBOM/Trivy

apps/api/test/deploy-config.test.ts

@@ -36,6 +36,18 @@ describe('Dockerfile', () => {
     expect(dockerfile).not.toMatch(/gzip -k/)
   })
 
+  it('preview-маршруты дизайна вырезаются до сборки web', () => {
+    const rm = dockerfile.indexOf('rm -f apps/web/src/routes/design-preview*.tsx')
+    const build = dockerfile.indexOf('pnpm turbo build')
+    expect(rm).toBeGreaterThan(0)
+    expect(rm).toBeLessThan(build)
+  })
+
+  it('базовый образ закреплён по digest', () => {
+    expect(dockerfile).toMatch(/ARG BASE_NODE=\S+@sha256:[0-9a-f]{64}/)
+    expect(read('deploy/docker/docker-bake.hcl')).toMatch(/node:22-alpine@sha256:[0-9a-f]{64}/)
+  })
+
   it('нативные модули проверяются при сборке', () => {
     expect(dockerfile).toContain('native modules ok')
   })
@@ -59,6 +71,13 @@ describe.each(Object.entries(composes))('%s', (_name, text) => {
 })
 
 describe('traefik', () => {
+  it('app ждёт healthy traefik, у traefik есть healthcheck', () => {
+    const t = composes['deploy/docker-compose.traefik.yml']
+    expect(t).toMatch(/condition: service_healthy/)
+    expect(t).toContain('traefik", "healthcheck", "--ping')
+    expect(t).toContain('--ping=true')
+  })
+
   it('включено сжатие ответов', () => {
     expect(composes['deploy/docker-compose.traefik.yml']).toContain(
       'middlewares.auth-portal-compress.compress=true',