@andrey4emk/npm-app-back-b24 4.0.2 → 5.1.0

package/logs/maskPhones.ts

@@ -0,0 +1,63 @@
+/**
+ * Маскировка российских телефонных номеров в тексте error-лога перед отправкой
+ * в Телеграм через ретранслятор. Внутренний модуль: из `logs.ts` не реэкспортируется
+ * и подпути в `exports` не имеет. Побочных эффектов нет.
+ *
+ * Номер ищется по цифрам, а не по рисунку групп: между любыми двумя цифрами может
+ * стоять сколько угодно разделителей — пробел, табуляция, неразрывные и узкие пробелы,
+ * дефис и тире всех видов (U+2010–U+2015), точка, косая черта, скобки. Так ловятся
+ * `+7 916 123-45-67`, `8.916.123.45.67`, `+7 916 12 34 567`, `8 9161 234567`,
+ * `8–916–123–45–67`, а не только «правильная» запись 3-3-2-2.
+ *
+ * Что ловит:
+ * - префикс `+7`, `7`, `8` или `+8` и ещё десять цифр;
+ * - мобильный без префикса — десять цифр, первая `9`, можно с открывающей скобкой.
+ *
+ * Границы:
+ * - слева от номера не может стоять цифра, латинская буква, `_` или `+` — поэтому
+ *   не трогаются куски длинных чисел, `DEAL_9161234567`, `v8.9.16.123.45`.
+ *   Точка и кириллица слева допустимы: `тел.89161234567` маскируется;
+ * - справа от номера не может стоять цифра — 12+ цифр подряд (метки времени в мс,
+ *   длинные идентификаторы) не трогаются;
+ * - перевод строки разделителем не считается: соседние числа отформатированного
+ *   JSON (`JSON.stringify(..., 2)`) не склеиваются в номер.
+ *
+ * Известные границы (сознательно):
+ * - 10-значный городской номер без префикса (`4951234567`) не маскируется — иначе под
+ *   маску попали бы метки времени Unix в секундах (10 цифр, первая `1`);
+ * - 10-значное число на `9` (например, ИНН `9701234567`) маскируется. Это ошибка
+ *   в безопасную сторону: лог теряет число, но номер телефона не утекает;
+ * - цепочка мелких чисел через точки или пробелы, где после `7`/`8`/`9` набирается
+ *   нужное число цифр, тоже может попасть под маску.
+ *
+ * Скорость: разделители и цифры не пересекаются, поэтому каждый повтор однозначен
+ * и катастрофического перебора нет (строки в 30–50 тыс. символов — миллисекунды).
+ */
+
+/** Разделитель между цифрами номера (без перевода строки) */
+const SEP = "[ \\t\\u00a0\\u2007\\u202f\\-\\u2010-\\u2015./()]*";
+
+/**
+ * Шаблон номера. Группы: 1–2 — две последние цифры номера с префиксом,
+ * 3–4 — две последние цифры мобильного без префикса.
+ */
+const PHONE_RE = new RegExp(
+    "(?<![\\dA-Za-z_+])(?:" +
+        `(?:\\+7|\\+?8|7)(?:${SEP}\\d){8}${SEP}(\\d)${SEP}(\\d)` +
+        "|" +
+        `\\(?9(?:${SEP}\\d){7}${SEP}(\\d)${SEP}(\\d)` +
+        ")(?!\\d)",
+    "g",
+);
+
+/**
+ * Заменяет каждый найденный номер на `+7 ••• •••-••-NN`, где NN — две последние цифры.
+ * Хвост оставлен, чтобы по логу можно было отличить один номер от другого.
+ */
+export function maskPhones(text: string): string {
+    return text.replace(PHONE_RE, (...args: unknown[]) => {
+        // args: совпадение, группы 1–4, смещение, исходная строка
+        const tail = typeof args[1] === "string" ? `${args[1]}${String(args[2])}` : `${String(args[3])}${String(args[4])}`;
+        return `+7 ••• •••-••-${tail}`;
+    });
+}

package/package.json

@@ -1,6 +1,6 @@
 {
     "name": "@andrey4emk/npm-app-back-b24",
-    "version": "4.0.2",
+    "version": "5.1.0",
     "description": "Bitrix24 OAuth helpers for Node.js projects",
     "main": "index.ts",
     "type": "module",
@@ -20,7 +20,7 @@
     },
     "keywords": [],
     "engines": {
-        "node": ">=20.3.0"
+        "node": ">=22.0.0"
     },
     "author": "andrey4emk",
     "license": "MIT",
@@ -35,6 +35,7 @@
         "bitrix24/b24/config.ts",
         "bitrix24/b24/state.ts",
         "bitrix24/b24/retry.ts",
+        "bitrix24/b24/nonJsonResponse.ts",
         "bitrix24/b24/facade.ts",
         "bitrix24/b24/proxy.ts",
         "bitrix24/b24/instance.ts",
@@ -46,17 +47,18 @@
         "sendMessage/email.ts",
         "sendMessage/wappi.ts",
         "logs/logs.ts",
+        "logs/maskPhones.ts",
         "utils/fetchRetry.ts"
     ],
     "dependencies": {
-        "@bitrix24/b24jssdk": "2.2.0",
+        "@bitrix24/b24jssdk": "3.0.0",
         "conf": "15.1.0",
         "dotenv": "17.4.2",
         "luxon": "3.7.2"
     },
     "devDependencies": {
         "@types/express": "5.0.6",
-        "@types/luxon": "3.7.4",
+        "@types/luxon": "3.7.6",
         "@types/node": "25.9.5",
         "@types/nodemailer": "8.0.1",
         "nodemailer": "9.0.5"

package/sendMessage/chatApp.ts

@@ -215,7 +215,7 @@ export class ChatApp {
             // и вводим. Остальные ошибки летят наружу как раньше
             if (!isTimeoutError(error)) throw error;
 
-            // Уровень error — единственный, который уходит в чат B24. До появления
+            // Уровень error — единственный, который уходит в Телеграм через ретранслятор. До появления
             // таймаута зависание долетало исключением до потребителя и там порождало
             // задачу через errorB24(); перехватив ошибку здесь, мы обязаны сами оставить
             // след, иначе правка сделала бы отказ отправки тише, чем он был

package/sendMessage/email.ts

@@ -255,7 +255,7 @@ export class Email {
      * возвращался вызывающему как `error: false`.
      *
      * Отказ логируется не здесь: результат уходит вызывающему, а уровень `error`
-     * дублировался бы в чат B24. От таймаутов отправки в `Smsgold`/`Wappi` случай
+     * дублировался бы в Телеграм через ретранслятор. От таймаутов отправки в `Smsgold`/`Wappi` случай
      * отличается тем, что статус известен — сервер прямо сказал «не принял».
      */
     private checkDelivery(to: string, info: SendMailInfo): EmailResult {

package/sendMessage/smsgold.ts

@@ -59,8 +59,8 @@ interface SmsResult {
 export class Smsgold {
     private user: string;
     private pass: string;
-    // Структурный тип, а не B24OAuth: объявляет callMethod сам, поэтому переживёт
-    // удаление метода из SDK. Сигнатуру конструктора не сужает — она стала шире
+    // Структурный тип, а не B24OAuth: объявляет callMethod сам — метода в B24OAuth
+    // нет с SDK 3.0.0, поэтому передавать нужно $b24, а не голый B24OAuth
     private b24: B24MethodCaller | null;
     // ID папки на диске B24 для вложений SMS — параметр, а не константа модуля
     private uploadFolderId: number;
@@ -163,7 +163,7 @@ export class Smsgold {
         } catch (error: unknown) {
             // Ответа не дождались: запрос уже ушёл, сообщение могло быть доставлено.
             // Это не «ошибка отправки» — статус неизвестен, и решить это кодом нельзя.
-            // Единственное место в классе, где пишем в лог: уровень error уходит в чат B24,
+            // Единственное место в классе, где пишем в лог: уровень error уходит в Телеграм через ретранслятор,
             // потому что разбираться должен человек
             if (isTimeoutError(error)) {
                 logs.add(

package/sendMessage/wappi.ts

@@ -137,7 +137,7 @@ export class Wappi {
             // Остальные ошибки летят наружу как раньше
             if (!isTimeoutError(error)) throw error;
 
-            // Уровень error — единственный, который уходит в чат B24. До появления
+            // Уровень error — единственный, который уходит в Телеграм через ретранслятор. До появления
             // таймаута зависание долетало исключением до потребителя и там порождало
             // задачу через errorB24(); перехватив ошибку здесь, мы обязаны сами оставить
             // след, иначе правка сделала бы отказ отправки тише, чем он был

package/utils/fetchRetry.ts

@@ -52,7 +52,7 @@ const SUSPICIOUS_TIMEOUT_MAX_MS = 999;
  * Значение от 1 до 999 применяется как есть, но с записью `warn`: столько миллисекунд
  * не хватит ни одному живому запросу, и это типовая путаница секунд с миллисекундами.
  * Молча такое значение пропускать нельзя — на бюджетах отправки оно превращается
- * в массовую недоставку с «неизвестным статусом» и потоком `error` в чат портала.
+ * в массовую недоставку с «неизвестным статусом» и потоком `error` в Телеграм через ретранслятор.
  *
  * Экспортируется по двум причинам: одинаковая семантика для всех бюджетов пакета
  * (дефолт `fetchRetry` и каждый из `FETCH_TIMEOUTS` читаются одной и той же функцией)
@@ -228,8 +228,10 @@ export function isPreConnectionError(error: unknown): boolean {
  *
  * URL входящего вебхука B24 содержит секрет прямо в пути
  * (`https://портал.bitrix24.ru/rest/1/<секрет>/method.json`), а токен авторизации
- * может приходить в query-параметрах. Хост и имя метода сохраняются — они нужны
- * для диагностики, тело секрета заменяется на `***`.
+ * может приходить в query-параметрах. Bot API Телеграма тоже держит токен в пути:
+ * `https://api.telegram.org/bot<id>:<токен>/<метод>` и `/file/bot<id>:<токен>/<путь>`.
+ * Хост, id бота и имя метода сохраняются — они нужны для диагностики, тело секрета
+ * заменяется на `***`.
  *
  * @param url — адрес запроса в любом виде, принимаемом fetch
  * @returns строка URL, пригодная для логирования
@@ -241,6 +243,9 @@ export function maskUrl(url: string | URL | Request): string {
         raw
             // Секрет входящего вебхука: /rest/<id пользователя>/<секрет>/
             .replace(/(\/rest\/\d+\/)[^/?#]+/gi, "$1***")
+            // Токен бота Телеграма: /bot<id>:<токен>/ и /file/bot<id>:<токен>/.
+            // Двоеточие бывает закодировано как %3A — адрес мог пройти через кодирование
+            .replace(/(\/bot\d+(?::|%3A))[^/?#]+/gi, "$1***")
             // Токены и подписи в query-параметрах. signature и sessid нужны отдельно:
             // ссылка на файл B24-диска несёт секрет именно в signature
             .replace(/([?&](?:auth|access_token|refresh_token|token|signature|sessid)=)[^&#]+/gi, "$1***")