@alizadefaig/pos-server 1.2.25 → 1.2.27

package/routes/server/api/platform.js

@@ -0,0 +1,31 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const InitService = require('../../../app/core/services/InitService');
+
+/**
+ * Облачные чтения POS (NODE-MIGRATION-PLAN, этап 1): AuthController::init и справочники, которые
+ * фронт перечитывает сам. Смены — `routes/server/api/shifts.js`. Только облако (`cloudOnly`) и только `routes/server`: на кассе те же
+ * имена обслуживают офлайн-обработчики из снапшота (`routes/desktop/api/offline.js`), а в режиме
+ * `cloud` синка — облако через прокси.
+ *
+ * Переключаются по одному через CORE_EVENTS, как и остальное ядро.
+ */
+const CLOUD_READ = {mutation: false, cloudOnly: true};
+
+const init = (services) => new InitService(services);
+
+registerOfflineRoutes(router, '/api', {
+    /** AuthController::init. `user` в ответ не входит: токен кладётся в модель и не выводится. */
+    'app.init': [CLOUD_READ, async (services) => init(services).init()],
+
+    /** ProductController::get / OrderProductController::get — оба ProductService::allProducts. */
+    'products.get': [CLOUD_READ, async (services) => init(services).products(services.context.teamId)],
+    'orderProducts.get': [CLOUD_READ, async (services) => init(services).products(services.context.teamId)],
+
+    /** ProductController::getExtraProducts / OrderProductController::getExtraProducts. */
+    'products.getExtraProducts': [CLOUD_READ, async (services) => init(services).extraProducts(services.context.teamId)],
+    'orderProducts.getExtraProducts': [CLOUD_READ, async (services) => init(services).extraProducts(services.context.teamId)],
+});
+
+module.exports = router;

package/routes/server/api/shifts.js

@@ -0,0 +1,25 @@
+const express = require('express');
+const router = express.Router();
+const {registerOfflineRoutes} = require('../../../app/core');
+const ShiftService = require('../../../app/core/services/ShiftService');
+
+/**
+ * Кассовая смена в облаке (NODE-MIGRATION-PLAN, этап 3): ShiftController. Только облако
+ * (`cloudOnly`): на кассе те же имена обслуживают офлайн-обработчики
+ * (`routes/desktop/api/offline.js`) тем же ShiftService.
+ *
+ * Закрытие смены в облаке отправляет отчёт в Telegram команды, как Laravel, но после ответа.
+ * Переключаются по одному через CORE_EVENTS, как и остальное ядро.
+ */
+const CLOUD_READ = {mutation: false, cloudOnly: true};
+const CLOUD_WRITE = {mutation: true, cloudOnly: true};
+
+const shifts = (services) => new ShiftService(services);
+
+registerOfflineRoutes(router, '/api', {
+    'shifts.getCashShifts': [CLOUD_READ, async (services) => shifts(services).cashShifts()],
+    'shifts.openCashShift': [CLOUD_WRITE, async (services, params) => shifts(services).openCashShift(params)],
+    'shifts.closeCashShift': [CLOUD_WRITE, async (services, params) => shifts(services).closeCashShift(params)],
+});
+
+module.exports = router;

package/routes/server/master.js

@@ -0,0 +1,24 @@
+const express = require('express');
+const syncConfig = require('../../app/sync/config');
+const {relayRequest} = require('../../app/relay/masters');
+
+const router = express.Router();
+
+/**
+ * Модель M: Laravel (LocalModeMiddleware) → мастер-касса заведения. Путь служебный:
+ * при заданном INTERNAL_API_KEY его закрывает internalGuard (app/security.js).
+ * Флаг MASTER_RELAY_ENABLED выключен → 404, Laravel отвечает клиенту 503 master_unavailable.
+ */
+router.post('/master/request', async (req, res) => {
+    if (!syncConfig.isMasterRelayEnabled()) {
+        return res.status(404).json({relayed: false, error_code: 'relay_disabled'});
+    }
+    const body = req.body || {};
+    if (!body.company_id || !body.master_terminal_id || !body.event) {
+        return res.status(422).json({relayed: false, error_code: 'invalid_request'});
+    }
+    const {status, body: response} = await relayRequest(body);
+    res.status(status).json(response);
+});
+
+module.exports = router;

package/server.js

@@ -7,16 +7,101 @@ const {join} = require("node:path");
 const {loadRoutes, streamToString, getIpAddress} = require("./utils");
 const {getConfig, setConfig} = require("./app/config");
 const {loadProxy} = require("./app/proxy");
+const {isOfflineRoute} = require("./app/core");
+const {httpGuard} = require("./app/sync/lan");
+const {internalGuard, originGuard} = require("./app/security");
+const {isSyncEnabled} = require("./app/sync/config");
 const multer = require('multer');
 const {getLogger} = require("./app/logger/Log");
 
 
 
 
-const upload = multer();
-app.use(express.json({limit: '500mb'}));
-app.use(express.urlencoded({extended: true, limit: '500mb'}));
-app.use(upload.any());
+// Тело парсится только у локальных путей (см. ниже), но и там 500 МБ в памяти — готовый DoS:
+// реальные тела (чек растром, пачка чеков) — единицы мегабайт. BODY_LIMIT переопределяет.
+const BODY_LIMIT = process.env.BODY_LIMIT || '50mb';
+const upload = multer({
+    limits: {
+        fileSize: Number(process.env.UPLOAD_FILE_LIMIT_BYTES) || 50 * 1024 * 1024,
+        files: Number(process.env.UPLOAD_MAX_FILES) || 20,
+    },
+});
+
+// Локальные роуты Node, которым нужно РАСПАРСЕННОЕ тело. Всё остальное проксируется в апстрим
+// и должно стримиться СЫРЫМ потоком: если буферизовать тело body-parser'ом, а затем пересобирать
+// его через fixRequestBody, то под chunked-трафиком Cloudflare/Traefik фрейминг ломается
+// (Transfer-Encoding: chunked + добавленный Content-Length одновременно) → nginx апстрима рубит
+// запрос голой 400 Bad Request. Сырой стрим проходит в апстрим как есть — без пересборки.
+const LOCAL_BODY_ROUTES = new Set([
+    '/health',
+    '/init',
+    '/socket',
+    '/socket/request',
+    '/api/printers.get',
+    '/api/printers.getUsbPrinters',
+    '/api/printers.print',
+    // офлайн-контур кассы (routes/desktop/local.js)
+    '/local/status',
+    '/local/session',
+    '/local/logout',
+    '/local/resume',
+    '/local/whoami',
+    '/local/lan',
+    // облачный Node, модель M: Laravel → мастер-касса (routes/server/master.js)
+    '/master/request',
+]);
+const isLocalBodyRoute = (req) => {
+    const p = req.path;
+    if (LOCAL_BODY_ROUTES.has(p)) return true;
+    // Офлайн-ядро: событие обслуживается локально ТОЛЬКО при включённом OFFLINE_CORE.
+    // Флаг выключен → путь остаётся проксируемым и тело не буферизуется, как раньше.
+    if (isOfflineRoute(p)) {
+        // Запоминаем решение: роут ядра обязан принять то же (см. registerOfflineRoutes).
+        req.coreLocal = true;
+        return true;
+    }
+    if (p.startsWith('/api/')) req.coreLocal = false;
+    // tax-прокси достаёт целевой URL из тела запроса (req.body.url) — ему тело нужно распарсенным
+    return p === '/tax' || p.startsWith('/tax/');
+};
+const bodyParsers = [
+    express.json({limit: BODY_LIMIT}),
+    express.urlencoded({extended: true, limit: BODY_LIMIT}),
+    upload.any(),
+];
+// Мастер раздаёт фронт телефонам зала (LAN_FRONT): страница и её файлы открыты без ключа и
+// токена — данных в них нет, а API за ними проверяется ниже. No-op без флага.
+app.use(require('./app/sync/lanFront').middleware());
+// Мастер зала слушает 0.0.0.0: чужой адрес без ключа зала отсекается до любой обработки.
+// No-op, пока синк выключен или ключ не задан.
+app.use(httpGuard);
+// Служебные пути Laravel → Node (/socket*, /master/*) — только с INTERNAL_API_KEY. No-op без ключа.
+app.use(internalGuard);
+// Касса: запросы из чужих страниц (Origin не из списка) — 403. No-op на облаке и без офлайна.
+app.use(originGuard);
+// Фронт открыт с https-домена, а ходит на localhost: Chromium спрашивает разрешение на запрос
+// в приватную сеть (Private Network Access). Отвечаем только при включённом офлайн-контуре.
+app.use((req, res, next) => {
+    if (req.headers['access-control-request-private-network'] && isSyncEnabled()) {
+        res.setHeader('Access-Control-Allow-Private-Network', 'true');
+    }
+    next();
+});
+app.use((req, res, next) => {
+    // Проксируемые запросы НЕ буферизуем — отдаём сырой поток дальше (в http-proxy-middleware).
+    if (!isLocalBodyRoute(req)) {
+        return next();
+    }
+    // Локальные роуты — прогоняем парсеры тела последовательно, как раньше.
+    let index = 0;
+    const run = (err) => {
+        if (err) return next(err);
+        const middleware = bodyParsers[index++];
+        if (!middleware) return next();
+        middleware(req, res, run);
+    };
+    run();
+});
 app.use(cors({
     origin: '*',
     allowedHeaders: '*',
@@ -80,6 +165,13 @@ const runExpress = (conf = null) => {
     // ==== Load Common Routes ====
     loadRoutes(app, join(__dirname, ('routes/common')));
 
+    // ==== Офлайн-ядро: тик повременных позиций (no-op при выключенном OFFLINE_CORE) ====
+    require('./app/core/timers').startTimerTicker();
+
+    // ==== Офлайн-контур (модель F): зеркало облака и досылка офлайн-правок ====
+    // No-op без OFFLINE_CORE + OFFLINE_SYNC + CORE_DB=sqlite.
+    require('./app/sync').start();
+
     // ==== Load Proxy ====
     loadProxy(app);
 
@@ -97,3 +189,18 @@ const runExpress = (conf = null) => {
 }
 
 module.exports = runExpress
+
+// `npm start` / `node server.js` — самостоятельный запуск (стенд облака из ветки, без npm-пакета).
+// Параметры из env — те же, что у обёртки cafepos-node-api. При require() ничего не запускается.
+if (require.main === module) {
+    const flag = (value) => value === 'true';
+    runExpress({
+        isServer: flag(process.env.IS_SERVER),
+        apiUrl: process.env.PROXY || 'https://admin.cafepos.az',
+        host: process.env.APP_HOST || '0.0.0.0',
+        proxyMode: process.env.PROXY_MODE || 'axios',
+        changeProxyOrigin: flag(process.env.CHANGE_PROXY_ORIGIN),
+        port: process.env.PORT || 3005,
+        logger: flag(process.env.ENABLE_LOGGER),
+    });
+}

package/utils.js

@@ -97,6 +97,12 @@ const socketSendByFilter = ({companyId, eventName, data, to, toId, excepts}, ser
         serverSocket = require('./app/socket/server')();
     }
 
+    // Суперадминка сменила режим заведения: облачное ядро держит его в кэше (POS_MODE_CACHE_TTL),
+    // сбрасываем сразу — через TCP и /socket этот бродкаст приходит только сюда.
+    if (eventName === 'pos:mode' && companyId) {
+        require('./app/core/auth/posMode').forget(companyId);
+    }
+
     if (!to) {
         serverSocket.to(companyId).emit(eventName, data);
     } else if (to === 'terminal' && toId) {

package/tests/usbPrinterTest.js

@@ -1,20 +0,0 @@
-const escpos = require("escpos");
-escpos.USB = require('@alizadefaig/cafetap-escpos-usb');
-device = new escpos.USB(8137, 8214);
-console.log(device);
-// console.log(base64Str);
-
-const printer = new escpos.Printer(device, {});
-
-
-
-
-device.open((err) => {
-    console.log('asd')
-    if (err) {
-        console.log(err)
-    }
-    printer.text('Hello World!');
-
-    printer.newLine().newLine().cut().close();
-});