perf: prepared statements, CSP, digest pin, вырезание design-preview, нагрузочные бюджеты, jsdom-тесты web, composite CI, SBOM/Trivy

deploy/docker/authportal/Dockerfile

@@ -1,6 +1,8 @@
 # syntax=docker/dockerfile:1.7
 # All-in-one Auth Portal (Fastify + SPA + SQLite). Analog cfdm / evofw.
-ARG BASE_NODE=docker.io/library/node:22-alpine
+# Закреплён по digest (воспроизводимая сборка); обновляйте вместе с node:22-alpine
+# (digest: docker buildx imagetools inspect node:22-alpine).
+ARG BASE_NODE=docker.io/library/node:22-alpine@sha256:fe4f6d74e20370acb04ad889077d14d0f64a9c8ea6a42bc60cddf1e844699914
 
 FROM ${BASE_NODE} AS deps
 WORKDIR /repo
@@ -22,6 +24,9 @@ COPY apps/api apps/api
 COPY packages/ui packages/ui
 COPY packages/shared packages/shared
 COPY packages/db packages/db
+# Preview-маршруты дизайна (mock-данные) не нужны в проде: вырезаем до генерации routeTree
+# (-45% файлов и ~-10% gzip в бандле). Общие компоненты из src/design-preview остаются.
+RUN rm -f apps/web/src/routes/design-preview*.tsx
 # API собирается tsup в один файл (все зависимости внутри, кроме нативных).
 RUN --mount=type=cache,target=/root/.local/share/pnpm/store,sharing=locked \
     pnpm turbo build --filter=web --filter=@authportal/api

deploy/docker/docker-bake.hcl

@@ -30,8 +30,13 @@ variable "CACHE_REF_NODE" {
   default = ""
 }
 
+# provenance + SBOM; включается только при --push (docker exporter attestations не поддерживает).
+variable "ATTEST" {
+  default = "false"
+}
+
 variable "BASE_NODE" {
-  default = "docker.io/library/node:22-alpine"
+  default = "docker.io/library/node:22-alpine@sha256:fe4f6d74e20370acb04ad889077d14d0f64a9c8ea6a42bc60cddf1e844699914"
 }
 
 function "node-cache-from" {
@@ -113,5 +118,6 @@ target "authportal" {
     build = "target:node-build"
   }
   cache-from = node-cache-from()
+  attest     = equal(ATTEST, "true") ? ["type=provenance,mode=min", "type=sbom"] : []
   tags       = concat(image-tags("authportal"), image-tags("auth-portal"))
 }