npm - @webnumseoagent/next - Versions diffs - 0.4.1 → 0.6.0 - Mend

@webnumseoagent/next 0.4.1 → 0.6.0

This diff represents the content of publicly available package versions that have been released to one of the supported registries. The information contained in this diff is provided for informational purposes only and reflects changes between package versions as they appear in their respective public registries.

Files changed (17) hide show

package/README.md CHANGED Viewed

@@ -56,6 +56,13 @@ Vercel и `git push`. **Проверь `git diff`** перед коммитом
    ```
    Для страниц с сегментами (`/[slug]`) передавай реальный `route` (напр. `/projects/${slug}`).
+   **Аналитика (GA4 / Google Tag Manager / Яндекс.Метрика) — с версии 0.5.0 включается автоматически:**
+   `<SeoJsonLd/>` заодно рендерит счётчики, ID которых заданы на платформе (вкладка «Аналитика»).
+   Отдельно ничего монтировать не нужно — обновил пакет, передеплоил, и счётчики включаются/выключаются
+   прямо с платформы. Скрипты идемпотентны (несколько `<SeoJsonLd/>` на странице безопасны).
+   Если Schema не используешь и `<SeoJsonLd/>` не смонтирован — можно смонтировать только аналитику:
+   `import { SeoAnalytics } from "@/seoagent/analytics"` → `<SeoAnalytics />` внутри `<body>`.
 4. Создай карту сайта и robots (если их ещё нет):
    ```ts
    // app/sitemap.ts

package/analytics.tsx CHANGED Viewed

@@ -27,7 +27,7 @@ export async function SeoAnalytics({ route, locale }: { route?: string; locale?:
           <script
             // eslint-disable-next-line react/no-danger
             dangerouslySetInnerHTML={{
-              __html: `(function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start':new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src='https://www.googletagmanager.com/gtm.js?id='+i+dl;f.parentNode.insertBefore(j,f);})(window,document,'script','dataLayer','${gtm}');`,
+              __html: `(function(w,d,s,l,i){var g=w.__saGtm=w.__saGtm||{};if(g[i])return;g[i]=1;w[l]=w[l]||[];w[l].push({'gtm.start':new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src='https://www.googletagmanager.com/gtm.js?id='+i+dl;f.parentNode.insertBefore(j,f);})(window,document,'script','dataLayer','${gtm}');`,
             }}
           />
           <noscript>
@@ -47,7 +47,7 @@ export async function SeoAnalytics({ route, locale }: { route?: string; locale?:
           <script
             // eslint-disable-next-line react/no-danger
             dangerouslySetInnerHTML={{
-              __html: `window.dataLayer=window.dataLayer||[];function gtag(){dataLayer.push(arguments);}gtag('js',new Date());gtag('config','${ga4}');`,
+              __html: `window.dataLayer=window.dataLayer||[];function gtag(){dataLayer.push(arguments);}var _g=window.__saGa4=window.__saGa4||{};if(!_g['${ga4}']){_g['${ga4}']=1;gtag('js',new Date());gtag('config','${ga4}');}`,
             }}
           />
         </>
@@ -58,7 +58,7 @@ export async function SeoAnalytics({ route, locale }: { route?: string; locale?:
           <script
             // eslint-disable-next-line react/no-danger
             dangerouslySetInnerHTML={{
-              __html: `(function(m,e,t,r,i,k,a){m[i]=m[i]||function(){(m[i].a=m[i].a||[]).push(arguments)};m[i].l=1*new Date();for(var j=0;j<document.scripts.length;j++){if(document.scripts[j].src===r){return;}}k=e.createElement(t),a=e.getElementsByTagName(t)[0],k.async=1,k.src=r,a.parentNode.insertBefore(k,a)})(window,document,"script","https://mc.yandex.ru/metrika/tag.js","ym");ym(${ym},"init",{clickmap:true,trackLinks:true,accurateTrackBounce:true,webvisor:true});`,
+              __html: `var _ym=window.__saYm=window.__saYm||{};if(!_ym[${ym}]){_ym[${ym}]=1;(function(m,e,t,r,i,k,a){m[i]=m[i]||function(){(m[i].a=m[i].a||[]).push(arguments)};m[i].l=1*new Date();for(var j=0;j<document.scripts.length;j++){if(document.scripts[j].src===r){return;}}k=e.createElement(t),a=e.getElementsByTagName(t)[0],k.async=1,k.src=r,a.parentNode.insertBefore(k,a)})(window,document,"script","https://mc.yandex.ru/metrika/tag.js","ym");ym(${ym},"init",{clickmap:true,trackLinks:true,accurateTrackBounce:true,webvisor:true});}`,
             }}
           />
           <noscript>

package/bin/cli.mjs CHANGED Viewed

@@ -131,7 +131,7 @@ async function init() {
     // Вендор-файлы адаптера — генерируемые (их не правят руками): при повторном init ОБНОВЛЯЕМ,
     // если содержимое изменилось. Иначе апгрейд оставит старый client.ts без новых экспортов
     // (напр. seoMerchantFeedXml), а свежесозданный роут импортнёт несуществующий символ → build падёт.
-    for (const f of ["client.ts", "jsonld.tsx", "sitemap-xsl.ts", "sitemap-build.ts", "redirects.ts", "blog.tsx"]) {
+    for (const f of ["client.ts", "jsonld.tsx", "sitemap-xsl.ts", "sitemap-build.ts", "redirects.ts", "blog.tsx", "blog-fs.ts", "sanitize.ts"]) {
       const dest = path.join(vendor, f);
       const src = await fs.readFile(path.join(pkgRoot, f));
       const cur = await fs.readFile(dest).catch(() => null);
@@ -426,7 +426,7 @@ async function init() {
     } else {
       madeArticle = await ensureFile(
         path.join(root, appDir, `blog/[slug]/page.${jsxExt}`),
-        `import { notFound } from "next/navigation";\nimport { seoBlogPost, SeoBlogArticle } from "${blogFor("blog/[slug]/page.tsx")}";\nexport const revalidate = 300;\n\nexport async function generateMetadata(${mdParam}) {\n  const post = await seoBlogPost(params.slug);\n  if (!post) return {};\n  return { title: post.title, description: post.excerpt, openGraph: { images: post.cover ? [post.cover] : [] } };\n}\n\nexport default async function BlogPostPage(${mdParam}) {\n  const post = await seoBlogPost(params.slug);\n  if (!post) notFound();\n  return <SeoBlogArticle post={post} />;\n}\n`,
+        `import { notFound } from "next/navigation";\nimport { seoBlogPost, seoBlogStaticParams, SeoBlogArticle } from "${blogFor("blog/[slug]/page.tsx")}";\nexport const revalidate = 300;\n\n// Пре-рендер всех статей на сборке (SSG для файлового источника; для supabase — известные статьи, новые добираются ISR).\nexport async function generateStaticParams() {\n  return seoBlogStaticParams();\n}\n\nexport async function generateMetadata(${mdParam}) {\n  const post = await seoBlogPost(params.slug);\n  if (!post) return {};\n  return { title: post.title, description: post.excerpt, openGraph: { images: post.cover ? [post.cover] : [] } };\n}\n\nexport default async function BlogPostPage(${mdParam}) {\n  const post = await seoBlogPost(params.slug);\n  if (!post) notFound();\n  return <SeoBlogArticle post={post} />;\n}\n`,
       );
     }
     if (madeIndex || madeArticle) {
@@ -713,7 +713,7 @@ async function blogPage() {
     const localeProp = param ? ` locale={params.${param}}` : "";
     await writeOurRoute(
       path.join(root, appDir, under, `blog/[slug]/page.${jsxExt}`),
-      `import { notFound } from "next/navigation";\nimport { seoBlogPost, SeoBlogArticle } from "${blogFor(`${under}blog/[slug]/page.tsx`)}";\nexport const revalidate = 300;\n\nexport async function generateMetadata(${artSig}) {\n  const post = await seoBlogPost(params.slug${localeArg});\n  if (!post) return {};\n  return { title: post.title, description: post.excerpt, openGraph: { images: post.cover ? [post.cover] : [] } };\n}\n\nexport default async function BlogPostPage(${artSig}) {\n  const post = await seoBlogPost(params.slug${localeArg});\n  if (!post) notFound();\n  return <SeoBlogArticle post={post}${localeProp} />;\n}\n`,
+      `import { notFound } from "next/navigation";\nimport { seoBlogPost, seoBlogStaticParams, SeoBlogArticle } from "${blogFor(`${under}blog/[slug]/page.tsx`)}";\nexport const revalidate = 300;\n\n// Пре-рендер статей на сборке (SSG для файлового источника). Слаги не зависят от локали; непокрытые\n// комбинации добираются ISR (dynamicParams по умолчанию true).\nexport async function generateStaticParams() {\n  return seoBlogStaticParams();\n}\n\nexport async function generateMetadata(${artSig}) {\n  const post = await seoBlogPost(params.slug${localeArg});\n  if (!post) return {};\n  return { title: post.title, description: post.excerpt, openGraph: { images: post.cover ? [post.cover] : [] } };\n}\n\nexport default async function BlogPostPage(${artSig}) {\n  const post = await seoBlogPost(params.slug${localeArg});\n  if (!post) notFound();\n  return <SeoBlogArticle post={post}${localeProp} />;\n}\n`,
     );
   }

package/blog-fs.ts ADDED Viewed

@@ -0,0 +1,125 @@
+// Файловый источник блога (Фаза 4 blogfs): читает статьи из репозитория сайта (папка content/blog,
+// формат blogfs v1 — см. docs/blog-git-delivery/FORMAT.md) на СБОРКЕ, без сети и без Supabase.
+// Отдаёт те же формы, что и supabase-источник (SeoBlogSummary / SeoBlogPostFull) — blog.tsx роутит.
+// FAIL-SAFE: любая ошибка/битый файл → пропуск, сборка НИКОГДА не падает.
+import { readdirSync, readFileSync, existsSync } from "node:fs";
+import { join } from "node:path";
+import { sanitizeDeliveryHtml } from "./sanitize";
+import type { SeoBlogSummary, SeoBlogPostFull } from "./blog";
+const BLOG_DIR = process.env.SEOAGENT_BLOG_DIR ?? "content/blog";
+const SUPPORTED_MAJOR = 1; // schema "seoagent.blog/v1"
+function root(): string {
+  return join(process.cwd(), BLOG_DIR);
+}
+interface LocaleEntry { title?: string; excerpt?: string | null; metaTitle?: string | null; body?: string }
+interface Meta {
+  schema?: string; slug?: string; status?: string; defaultLocale?: string; bodyFormat?: string;
+  coverImage?: string; publishedAt?: string | null; locales?: Record<string, LocaleEntry>; features?: string[];
+}
+// Возможности формата, которые НЕ меняют рендер тела (ридер v1 их спокойно поддерживает). Любую иную
+// запись в features[] версия-пиннутый ридер трактует как «не умею» → пропуск статьи (forward-compat).
+// source = лишь игнорируемый .tiptap.json сайдкар; local-assets = картинки лежат в public/ и уже
+// указаны в теле локальным URL — ридеру ничего делать не нужно (тоже body-нейтрально).
+const KNOWN_FEATURES = new Set(["source", "local-assets"]);
+// Мажор схемы из строки "seoagent.blog/vN" (или число). null — не наш формат.
+function schemaMajor(schema: unknown): number | null {
+  if (typeof schema === "number") return schema;
+  if (typeof schema === "string") { const m = schema.match(/\/v(\d+)$/); if (m) return parseInt(m[1], 10); }
+  return null;
+}
+function readDescriptor(): { defaultLocale?: string; locales?: string[]; schema?: string } | null {
+  try { return JSON.parse(readFileSync(join(root(), ".blogfs.json"), "utf8")); } catch { return null; }
+}
+// Есть ли файловый блог в репо (наличие .blogfs.json = git-сайт с ≥1 доставкой). Сигнал авто-детекта.
+export function fsAvailable(): boolean {
+  return readDescriptor() !== null;
+}
+export function fsDefaultLocale(): string {
+  const d = readDescriptor()?.defaultLocale;
+  return typeof d === "string" ? d : ""; // битый дескриптор мог дать не-строку → не роняем split ниже
+}
+// Собрать meta.json всех статей (glob по папкам). Пропускает битые/незнакомые версии/черновики.
+function listMetas(): { dir: string; meta: Meta }[] {
+  const r = root();
+  let names: string[];
+  try { names = readdirSync(r, { withFileTypes: true }).filter((d) => d.isDirectory()).map((d) => d.name); }
+  catch { return []; }
+  const out: { dir: string; meta: Meta }[] = [];
+  for (const name of names) {
+    if (name.startsWith(".") || name.startsWith("_")) continue; // служебные (assets и т.п.)
+    let meta: Meta;
+    try { meta = JSON.parse(readFileSync(join(r, name, "meta.json"), "utf8")); }
+    catch { continue; } // нет meta.json / битый JSON → пропуск (не роняем сборку)
+    // Валидный JSON может быть null/массивом/примитивом — доступ к полям тогда бросит. Пропускаем.
+    if (!meta || typeof meta !== "object" || Array.isArray(meta)) continue;
+    const major = schemaMajor(meta.schema);
+    if (major === null || major > SUPPORTED_MAJOR) { // незнакомая/будущая версия → пропуск с предупреждением
+      try { console.warn(`[seoagent blogfs] пропуск ${name}: несовместимая версия схемы (${String(meta.schema)})`); } catch { /* noop */ }
+      continue;
+    }
+    // Незнакомая body-возможность (mdx/frontmatter/…) в том же мажоре → ридер её не умеет → пропуск.
+    if (Array.isArray(meta.features) && meta.features.some((f) => !KNOWN_FEATURES.has(f))) {
+      try { console.warn(`[seoagent blogfs] пропуск ${name}: неподдерживаемая возможность (${meta.features.join(",")})`); } catch { /* noop */ }
+      continue;
+    }
+    if (meta.status !== "published" || !meta.slug || !meta.locales) continue;
+    out.push({ dir: name, meta });
+  }
+  return out;
+}
+// Запись локали: точная → без региона (en-US→en) → defaultLocale → первая доступная.
+function pickLocale(meta: Meta, locale: string): LocaleEntry {
+  const locs = meta.locales ?? {};
+  const loc = typeof locale === "string" ? locale : ""; // на всякий случай — locale мог прийти не строкой
+  const base = loc ? loc.split("-")[0] : "";
+  return locs[loc] || (base && locs[base]) || (meta.defaultLocale ? locs[meta.defaultLocale] : undefined) || locs[Object.keys(locs)[0]] || {};
+}
+function summary(meta: Meta, locale: string): SeoBlogSummary {
+  const e = pickLocale(meta, locale);
+  return {
+    slug: meta.slug ?? "",
+    title: e.title ?? "",
+    excerpt: e.excerpt ?? "",
+    cover: meta.coverImage ?? null,
+    date: meta.publishedAt ?? null,
+  };
+}
+// Список статей для локали, по publishedAt убыв., до limit.
+export function fsBlogList(locale: string, limit: number): SeoBlogSummary[] {
+  const rows = listMetas().map(({ meta }) => summary(meta, locale)).filter((p) => p.slug && p.title);
+  rows.sort((a, b) => (b.date ?? "").localeCompare(a.date ?? "")); // publishedAt desc (ISO — код-юнит ок)
+  return rows.slice(0, Math.max(0, limit));
+}
+// Одна статья по slug (ищем по meta.slug — папка может быть по id при pathStrategy=id).
+export function fsBlogPost(slug: string, locale: string): SeoBlogPostFull | null {
+  const hit = listMetas().find((x) => x.meta.slug === slug);
+  if (!hit) return null;
+  const e = pickLocale(hit.meta, locale);
+  let bodyRaw = "";
+  // Имя файла тела берётся из meta.json репо — только безопасное имя (без "/" и ".."), защита от traversal.
+  if (e.body && /^[A-Za-z0-9._-]+$/.test(e.body)) { try { bodyRaw = readFileSync(join(root(), hit.dir, e.body), "utf8"); } catch { bodyRaw = ""; } }
+  const s = summary(hit.meta, locale);
+  return {
+    ...s,
+    // Тело уже санитайзено при доставке; чистим повторно (защита-в-глубину). bodyFormat="mdx" появится позже.
+    bodyHtml: sanitizeDeliveryHtml(bodyRaw),
+    theme: undefined, // файловый источник не несёт тему платформы (используются --sa-* дефолты)
+  };
+}
+// Есть ли вообще папка блога (для мягких проверок).
+export function fsDirExists(): boolean {
+  try { return existsSync(root()); } catch { return false; }
+}

package/blog.tsx CHANGED Viewed

@@ -15,11 +15,24 @@
 //                                 return <SeoBlogArticle post={post} />
 import type { CSSProperties } from "react";
+import { sanitizeDeliveryHtml } from "./sanitize";
 const API = process.env.SEOAGENT_API_BASE ?? "";
 const SITE = process.env.SEOAGENT_SITE_ID ?? "";
 const TOKEN = process.env.SEOAGENT_TOKEN ?? "";
 const REVALIDATE = 300;
+// Источник блога: "git"/"fs" — читать файлы content/blog из репо (Фаза 4); "supabase" — REST API сайта;
+// не задан → авто (файлы, если в репо есть .blogfs.json, иначе supabase). Файловый источник грузим
+// динамически (node:fs только когда он реально нужен — supabase-сайты его не тянут).
+const BLOG_SOURCE = (process.env.SEOAGENT_BLOG_SOURCE ?? "").toLowerCase();
+async function fsActive(): Promise<typeof import("./blog-fs") | null> {
+  if (BLOG_SOURCE === "supabase") return null;
+  try {
+    const m = await import("./blog-fs");
+    if (BLOG_SOURCE === "git" || BLOG_SOURCE === "fs" || m.fsAvailable()) return m;
+  } catch { /* нет модуля/fs недоступен → supabase */ }
+  return null;
+}
 export interface SeoBlogMapping {
   title: string; excerpt?: string; body: string;
@@ -134,17 +147,29 @@ async function fetchPost(cfg: SeoBlogConfig, slug: string, locale: string): Prom
 }
 // ── Публичные data-функции (для generateMetadata / generateStaticParams) ──
+// Роутинг источника: файловый (репо) при наличии, иначе supabase (REST API сайта).
 export async function seoBlogList(opts?: { locale?: string; limit?: number }): Promise<SeoBlogSummary[]> {
+  const fs = await fsActive();
+  if (fs) return fs.fsBlogList(opts?.locale ?? fs.fsDefaultLocale(), opts?.limit ?? 100);
   const cfg = await fetchBlogConfig();
   if (!cfg) return [];
   return fetchPosts(cfg, opts?.locale ?? firstLocale(cfg), opts?.limit ?? 100);
 }
 export async function seoBlogPost(slug: string, opts?: { locale?: string }): Promise<SeoBlogPostFull | null> {
+  const fs = await fsActive();
+  if (fs) return fs.fsBlogPost(slug, opts?.locale ?? fs.fsDefaultLocale());
   const cfg = await fetchBlogConfig();
   if (!cfg) return null;
   return fetchPost(cfg, slug, opts?.locale ?? firstLocale(cfg));
 }
+// Параметры для generateStaticParams роута /blog/[slug]: пре-рендер всех статей на сборке (SSG для
+// файлового источника; для supabase — пре-рендер известных статей, новые добираются ISR по revalidate).
+export async function seoBlogStaticParams(opts?: { locale?: string }): Promise<{ slug: string }[]> {
+  const list = await seoBlogList({ locale: opts?.locale, limit: 100000 });
+  return list.map((p) => ({ slug: p.slug }));
+}
 // ── Мини-разметка (## / - / **) → HTML (для legacy-формата; текст экранируем). ──
 function esc(s: string): string {
   return s.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;");
@@ -169,62 +194,6 @@ function miniMarkupToHtml(src: string): string {
   return out.join("");
 }
-// ── Санитайзер HTML (защита-в-глубину перед dangerouslySetInnerHTML) — ЗЕРКАЛО доставки
-// (src/lib/blog/blog-delivery.ts + Edge blog-autopilot). Тело уже санитайзено при доставке, но
-// если у сайта не настроен RLS (провиженинг опционален) — это последний рубеж. ──
-const SANITIZE_ALLOWED_TAGS = new Set([
-  "h1", "h2", "h3", "h4", "h5", "h6", "p", "br", "hr", "strong", "b", "em", "i", "u", "s",
-  "ul", "ol", "li", "blockquote", "a", "img", "figure", "figcaption",
-  "table", "thead", "tbody", "tfoot", "tr", "th", "td", "caption", "code", "pre", "span", "div",
-]);
-const SANITIZE_ALLOWED_ATTRS = /^(href|src|alt|title|target|rel|width|height|loading|colspan|rowspan|scope|start|type)$/;
-const SANITIZE_VOID = new Set(["br", "hr", "img"]);
-function decodeSchemeEntities(v: string): string {
-  return v
-    .replace(/&#x([0-9a-fA-F]+);?/g, (_m, h) => { try { return String.fromCodePoint(parseInt(h, 16)); } catch { return ""; } })
-    .replace(/&#(\d+);?/g, (_m, d) => { try { return String.fromCodePoint(parseInt(d, 10)); } catch { return ""; } })
-    .replace(/&(colon|tab|newline|lf|cr|sol|amp);?/gi, (m) => {
-      const k = m.replace(/[&;]/g, "").toLowerCase();
-      return ({ colon: ":", sol: "/", amp: "&", tab: " ", newline: " ", lf: " ", cr: " " } as Record<string, string>)[k] ?? " ";
-    });
-}
-function safeUrl(val: string): boolean {
-  const v = decodeSchemeEntities(val).toLowerCase().replace(/\s/g, "");
-  if (!/^[a-z][a-z0-9+.-]*:/.test(v)) return true;
-  return /^(https?:|mailto:|tel:)/.test(v);
-}
-function sanitizeAttrs(tag: string, attrsRaw: string): string {
-  const out: string[] = [];
-  const re = /([a-zA-Z_:][-a-zA-Z0-9_:.]*)\s*=\s*("([^"]*)"|'([^']*)'|([^\s"'>]+))/g;
-  let m: RegExpExecArray | null;
-  let href = "";
-  while ((m = re.exec(attrsRaw))) {
-    const name = m[1].toLowerCase();
-    const val = m[3] ?? m[4] ?? m[5] ?? "";
-    if (name.startsWith("on") || name === "style" || name === "srcset") continue;
-    if ((name === "href" || name === "src") && !safeUrl(val)) continue;
-    if (!SANITIZE_ALLOWED_ATTRS.test(name)) continue;
-    if (name === "href") href = val;
-    out.push(`${name}="${val.replace(/"/g, "&quot;")}"`);
-  }
-  if (tag === "a" && !out.some((a) => a.startsWith("rel="))) {
-    if (/^(https?:)?\/\//i.test(href.trim())) out.push('rel="noopener nofollow"');
-  }
-  return out.length ? " " + out.join(" ") : "";
-}
-function sanitizeDeliveryHtml(html: string): string {
-  let s = html || "";
-  s = s.replace(/<(script|style|iframe|object|embed|form|noscript|template|svg|math)\b[\s\S]*?<\/\1\s*>/gi, "");
-  s = s.replace(/<!--[\s\S]*?-->/g, "");
-  s = s.replace(/<(\/?)([a-zA-Z][a-zA-Z0-9]*)\b((?:"[^"]*"|'[^']*'|[^>])*)>/g, (_full, slash, tag, attrs) => {
-    const t = tag.toLowerCase();
-    if (!SANITIZE_ALLOWED_TAGS.has(t)) return "";
-    if (slash) return `</${t}>`;
-    return `<${t}${sanitizeAttrs(t, attrs)}${SANITIZE_VOID.has(t) ? " /" : ""}>`;
-  });
-  return s.trim();
-}
 // ── Компоненты (серверные) ──────────────────────────────────────────────────────────────────
 // Цвета/рамки/скругления — через СОБСТВЕННЫЕ переменные пакета (--sa-*) с нейтральным дефолтом.
 // НЕ ссылаемся на токены сайта напрямую: shadcn/Tailwind хранят их как сырые HSL-компоненты
@@ -286,14 +255,15 @@ const L = (map: Record<string, string>, locale: string, fb: string) => map[local
 // через ?show=, серверно — без клиентского JS, дружелюбно к SEO). Всегда рендерит H1 (даже пустой блог),
 // чтобы страница не была пустой. perPage — размер «страницы» (дефолт 20), show — сколько показать сейчас.
 export async function SeoBlogIndex(props: { locale?: string; basePath?: string; title?: string; show?: number; perPage?: number }) {
-  const cfg = await fetchBlogConfig();
-  const locale = props.locale ?? (cfg ? firstLocale(cfg) : "");
+  const fs = await fsActive();
+  const cfg = fs ? null : await fetchBlogConfig();
+  const locale = props.locale ?? (fs ? fs.fsDefaultLocale() : (cfg ? firstLocale(cfg) : ""));
   const title = props.title ?? L(BLOG_TITLE, locale, "Blog");
   const per = Math.max(1, Math.floor(props.perPage ?? 20));
   const show = Math.max(per, Math.floor(Number(props.show) || per));
   const basePath = (props.basePath ?? "/blog").replace(/\/+$/, "");
   // Тянем show+1, чтобы понять, есть ли ещё (для кнопки «Показать больше»).
-  const posts = cfg ? await fetchPosts(cfg, locale, show + 1) : [];
+  const posts = fs ? fs.fsBlogList(locale, show + 1) : (cfg ? await fetchPosts(cfg, locale, show + 1) : []);
   const hasMore = posts.length > show;
   const visible = posts.slice(0, show);
   return (

package/dist/analytics.js CHANGED Viewed

@@ -25,14 +25,14 @@ async function SeoAnalytics({ route, locale } = {}) {
     return ((0, jsx_runtime_1.jsxs)(jsx_runtime_1.Fragment, { children: [gtm && ((0, jsx_runtime_1.jsxs)(jsx_runtime_1.Fragment, { children: [(0, jsx_runtime_1.jsx)("script", {
                         // eslint-disable-next-line react/no-danger
                         dangerouslySetInnerHTML: {
-                            __html: `(function(w,d,s,l,i){w[l]=w[l]||[];w[l].push({'gtm.start':new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src='https://www.googletagmanager.com/gtm.js?id='+i+dl;f.parentNode.insertBefore(j,f);})(window,document,'script','dataLayer','${gtm}');`,
+                            __html: `(function(w,d,s,l,i){var g=w.__saGtm=w.__saGtm||{};if(g[i])return;g[i]=1;w[l]=w[l]||[];w[l].push({'gtm.start':new Date().getTime(),event:'gtm.js'});var f=d.getElementsByTagName(s)[0],j=d.createElement(s),dl=l!='dataLayer'?'&l='+l:'';j.async=true;j.src='https://www.googletagmanager.com/gtm.js?id='+i+dl;f.parentNode.insertBefore(j,f);})(window,document,'script','dataLayer','${gtm}');`,
                         } }), (0, jsx_runtime_1.jsx)("noscript", { children: (0, jsx_runtime_1.jsx)("iframe", { src: `https://www.googletagmanager.com/ns.html?id=${gtm}`, height: "0", width: "0", style: { display: "none", visibility: "hidden" } }) })] })), ga4 && ((0, jsx_runtime_1.jsxs)(jsx_runtime_1.Fragment, { children: [(0, jsx_runtime_1.jsx)("script", { async: true, src: `https://www.googletagmanager.com/gtag/js?id=${ga4}` }), (0, jsx_runtime_1.jsx)("script", {
                         // eslint-disable-next-line react/no-danger
                         dangerouslySetInnerHTML: {
-                            __html: `window.dataLayer=window.dataLayer||[];function gtag(){dataLayer.push(arguments);}gtag('js',new Date());gtag('config','${ga4}');`,
+                            __html: `window.dataLayer=window.dataLayer||[];function gtag(){dataLayer.push(arguments);}var _g=window.__saGa4=window.__saGa4||{};if(!_g['${ga4}']){_g['${ga4}']=1;gtag('js',new Date());gtag('config','${ga4}');}`,
                         } })] })), ym && ((0, jsx_runtime_1.jsxs)(jsx_runtime_1.Fragment, { children: [(0, jsx_runtime_1.jsx)("script", {
                         // eslint-disable-next-line react/no-danger
                         dangerouslySetInnerHTML: {
-                            __html: `(function(m,e,t,r,i,k,a){m[i]=m[i]||function(){(m[i].a=m[i].a||[]).push(arguments)};m[i].l=1*new Date();for(var j=0;j<document.scripts.length;j++){if(document.scripts[j].src===r){return;}}k=e.createElement(t),a=e.getElementsByTagName(t)[0],k.async=1,k.src=r,a.parentNode.insertBefore(k,a)})(window,document,"script","https://mc.yandex.ru/metrika/tag.js","ym");ym(${ym},"init",{clickmap:true,trackLinks:true,accurateTrackBounce:true,webvisor:true});`,
+                            __html: `var _ym=window.__saYm=window.__saYm||{};if(!_ym[${ym}]){_ym[${ym}]=1;(function(m,e,t,r,i,k,a){m[i]=m[i]||function(){(m[i].a=m[i].a||[]).push(arguments)};m[i].l=1*new Date();for(var j=0;j<document.scripts.length;j++){if(document.scripts[j].src===r){return;}}k=e.createElement(t),a=e.getElementsByTagName(t)[0],k.async=1,k.src=r,a.parentNode.insertBefore(k,a)})(window,document,"script","https://mc.yandex.ru/metrika/tag.js","ym");ym(${ym},"init",{clickmap:true,trackLinks:true,accurateTrackBounce:true,webvisor:true});}`,
                         } }), (0, jsx_runtime_1.jsx)("noscript", { children: (0, jsx_runtime_1.jsx)("div", { children: (0, jsx_runtime_1.jsx)("img", { src: `https://mc.yandex.ru/watch/${ym}`, style: { position: "absolute", left: "-9999px" }, alt: "" }) }) })] }))] }));
 }

package/dist/blog-fs.d.ts ADDED Viewed

@@ -0,0 +1,6 @@
+import type { SeoBlogSummary, SeoBlogPostFull } from "./blog";
+export declare function fsAvailable(): boolean;
+export declare function fsDefaultLocale(): string;
+export declare function fsBlogList(locale: string, limit: number): SeoBlogSummary[];
+export declare function fsBlogPost(slug: string, locale: string): SeoBlogPostFull | null;
+export declare function fsDirExists(): boolean;

package/dist/blog-fs.js ADDED Viewed

@@ -0,0 +1,153 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.fsAvailable = fsAvailable;
+exports.fsDefaultLocale = fsDefaultLocale;
+exports.fsBlogList = fsBlogList;
+exports.fsBlogPost = fsBlogPost;
+exports.fsDirExists = fsDirExists;
+// Файловый источник блога (Фаза 4 blogfs): читает статьи из репозитория сайта (папка content/blog,
+// формат blogfs v1 — см. docs/blog-git-delivery/FORMAT.md) на СБОРКЕ, без сети и без Supabase.
+// Отдаёт те же формы, что и supabase-источник (SeoBlogSummary / SeoBlogPostFull) — blog.tsx роутит.
+// FAIL-SAFE: любая ошибка/битый файл → пропуск, сборка НИКОГДА не падает.
+const node_fs_1 = require("node:fs");
+const node_path_1 = require("node:path");
+const sanitize_1 = require("./sanitize");
+const BLOG_DIR = process.env.SEOAGENT_BLOG_DIR ?? "content/blog";
+const SUPPORTED_MAJOR = 1; // schema "seoagent.blog/v1"
+function root() {
+    return (0, node_path_1.join)(process.cwd(), BLOG_DIR);
+}
+// Возможности формата, которые НЕ меняют рендер тела (ридер v1 их спокойно поддерживает). Любую иную
+// запись в features[] версия-пиннутый ридер трактует как «не умею» → пропуск статьи (forward-compat).
+// source = лишь игнорируемый .tiptap.json сайдкар; local-assets = картинки лежат в public/ и уже
+// указаны в теле локальным URL — ридеру ничего делать не нужно (тоже body-нейтрально).
+const KNOWN_FEATURES = new Set(["source", "local-assets"]);
+// Мажор схемы из строки "seoagent.blog/vN" (или число). null — не наш формат.
+function schemaMajor(schema) {
+    if (typeof schema === "number")
+        return schema;
+    if (typeof schema === "string") {
+        const m = schema.match(/\/v(\d+)$/);
+        if (m)
+            return parseInt(m[1], 10);
+    }
+    return null;
+}
+function readDescriptor() {
+    try {
+        return JSON.parse((0, node_fs_1.readFileSync)((0, node_path_1.join)(root(), ".blogfs.json"), "utf8"));
+    }
+    catch {
+        return null;
+    }
+}
+// Есть ли файловый блог в репо (наличие .blogfs.json = git-сайт с ≥1 доставкой). Сигнал авто-детекта.
+function fsAvailable() {
+    return readDescriptor() !== null;
+}
+function fsDefaultLocale() {
+    const d = readDescriptor()?.defaultLocale;
+    return typeof d === "string" ? d : ""; // битый дескриптор мог дать не-строку → не роняем split ниже
+}
+// Собрать meta.json всех статей (glob по папкам). Пропускает битые/незнакомые версии/черновики.
+function listMetas() {
+    const r = root();
+    let names;
+    try {
+        names = (0, node_fs_1.readdirSync)(r, { withFileTypes: true }).filter((d) => d.isDirectory()).map((d) => d.name);
+    }
+    catch {
+        return [];
+    }
+    const out = [];
+    for (const name of names) {
+        if (name.startsWith(".") || name.startsWith("_"))
+            continue; // служебные (assets и т.п.)
+        let meta;
+        try {
+            meta = JSON.parse((0, node_fs_1.readFileSync)((0, node_path_1.join)(r, name, "meta.json"), "utf8"));
+        }
+        catch {
+            continue;
+        } // нет meta.json / битый JSON → пропуск (не роняем сборку)
+        // Валидный JSON может быть null/массивом/примитивом — доступ к полям тогда бросит. Пропускаем.
+        if (!meta || typeof meta !== "object" || Array.isArray(meta))
+            continue;
+        const major = schemaMajor(meta.schema);
+        if (major === null || major > SUPPORTED_MAJOR) { // незнакомая/будущая версия → пропуск с предупреждением
+            try {
+                console.warn(`[seoagent blogfs] пропуск ${name}: несовместимая версия схемы (${String(meta.schema)})`);
+            }
+            catch { /* noop */ }
+            continue;
+        }
+        // Незнакомая body-возможность (mdx/frontmatter/…) в том же мажоре → ридер её не умеет → пропуск.
+        if (Array.isArray(meta.features) && meta.features.some((f) => !KNOWN_FEATURES.has(f))) {
+            try {
+                console.warn(`[seoagent blogfs] пропуск ${name}: неподдерживаемая возможность (${meta.features.join(",")})`);
+            }
+            catch { /* noop */ }
+            continue;
+        }
+        if (meta.status !== "published" || !meta.slug || !meta.locales)
+            continue;
+        out.push({ dir: name, meta });
+    }
+    return out;
+}
+// Запись локали: точная → без региона (en-US→en) → defaultLocale → первая доступная.
+function pickLocale(meta, locale) {
+    const locs = meta.locales ?? {};
+    const loc = typeof locale === "string" ? locale : ""; // на всякий случай — locale мог прийти не строкой
+    const base = loc ? loc.split("-")[0] : "";
+    return locs[loc] || (base && locs[base]) || (meta.defaultLocale ? locs[meta.defaultLocale] : undefined) || locs[Object.keys(locs)[0]] || {};
+}
+function summary(meta, locale) {
+    const e = pickLocale(meta, locale);
+    return {
+        slug: meta.slug ?? "",
+        title: e.title ?? "",
+        excerpt: e.excerpt ?? "",
+        cover: meta.coverImage ?? null,
+        date: meta.publishedAt ?? null,
+    };
+}
+// Список статей для локали, по publishedAt убыв., до limit.
+function fsBlogList(locale, limit) {
+    const rows = listMetas().map(({ meta }) => summary(meta, locale)).filter((p) => p.slug && p.title);
+    rows.sort((a, b) => (b.date ?? "").localeCompare(a.date ?? "")); // publishedAt desc (ISO — код-юнит ок)
+    return rows.slice(0, Math.max(0, limit));
+}
+// Одна статья по slug (ищем по meta.slug — папка может быть по id при pathStrategy=id).
+function fsBlogPost(slug, locale) {
+    const hit = listMetas().find((x) => x.meta.slug === slug);
+    if (!hit)
+        return null;
+    const e = pickLocale(hit.meta, locale);
+    let bodyRaw = "";
+    // Имя файла тела берётся из meta.json репо — только безопасное имя (без "/" и ".."), защита от traversal.
+    if (e.body && /^[A-Za-z0-9._-]+$/.test(e.body)) {
+        try {
+            bodyRaw = (0, node_fs_1.readFileSync)((0, node_path_1.join)(root(), hit.dir, e.body), "utf8");
+        }
+        catch {
+            bodyRaw = "";
+        }
+    }
+    const s = summary(hit.meta, locale);
+    return {
+        ...s,
+        // Тело уже санитайзено при доставке; чистим повторно (защита-в-глубину). bodyFormat="mdx" появится позже.
+        bodyHtml: (0, sanitize_1.sanitizeDeliveryHtml)(bodyRaw),
+        theme: undefined, // файловый источник не несёт тему платформы (используются --sa-* дефолты)
+    };
+}
+// Есть ли вообще папка блога (для мягких проверок).
+function fsDirExists() {
+    try {
+        return (0, node_fs_1.existsSync)(root());
+    }
+    catch {
+        return false;
+    }
+}

package/dist/blog.d.ts CHANGED Viewed

@@ -42,6 +42,11 @@ export declare function seoBlogList(opts?: {
 export declare function seoBlogPost(slug: string, opts?: {
     locale?: string;
 }): Promise<SeoBlogPostFull | null>;
+export declare function seoBlogStaticParams(opts?: {
+    locale?: string;
+}): Promise<{
+    slug: string;
+}[]>;
 export declare function SeoBlogIndex(props: {
     locale?: string;
     basePath?: string;

package/dist/blog.js CHANGED Viewed

@@ -1,14 +1,64 @@
 "use strict";
+var __createBinding = (this && this.__createBinding) || (Object.create ? (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    var desc = Object.getOwnPropertyDescriptor(m, k);
+    if (!desc || ("get" in desc ? !m.__esModule : desc.writable || desc.configurable)) {
+      desc = { enumerable: true, get: function() { return m[k]; } };
+    }
+    Object.defineProperty(o, k2, desc);
+}) : (function(o, m, k, k2) {
+    if (k2 === undefined) k2 = k;
+    o[k2] = m[k];
+}));
+var __setModuleDefault = (this && this.__setModuleDefault) || (Object.create ? (function(o, v) {
+    Object.defineProperty(o, "default", { enumerable: true, value: v });
+}) : function(o, v) {
+    o["default"] = v;
+});
+var __importStar = (this && this.__importStar) || (function () {
+    var ownKeys = function(o) {
+        ownKeys = Object.getOwnPropertyNames || function (o) {
+            var ar = [];
+            for (var k in o) if (Object.prototype.hasOwnProperty.call(o, k)) ar[ar.length] = k;
+            return ar;
+        };
+        return ownKeys(o);
+    };
+    return function (mod) {
+        if (mod && mod.__esModule) return mod;
+        var result = {};
+        if (mod != null) for (var k = ownKeys(mod), i = 0; i < k.length; i++) if (k[i] !== "default") __createBinding(result, mod, k[i]);
+        __setModuleDefault(result, mod);
+        return result;
+    };
+})();
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.seoBlogList = seoBlogList;
 exports.seoBlogPost = seoBlogPost;
+exports.seoBlogStaticParams = seoBlogStaticParams;
 exports.SeoBlogIndex = SeoBlogIndex;
 exports.SeoBlogArticle = SeoBlogArticle;
 const jsx_runtime_1 = require("react/jsx-runtime");
+const sanitize_1 = require("./sanitize");
 const API = process.env.SEOAGENT_API_BASE ?? "";
 const SITE = process.env.SEOAGENT_SITE_ID ?? "";
 const TOKEN = process.env.SEOAGENT_TOKEN ?? "";
 const REVALIDATE = 300;
+// Источник блога: "git"/"fs" — читать файлы content/blog из репо (Фаза 4); "supabase" — REST API сайта;
+// не задан → авто (файлы, если в репо есть .blogfs.json, иначе supabase). Файловый источник грузим
+// динамически (node:fs только когда он реально нужен — supabase-сайты его не тянут).
+const BLOG_SOURCE = (process.env.SEOAGENT_BLOG_SOURCE ?? "").toLowerCase();
+async function fsActive() {
+    if (BLOG_SOURCE === "supabase")
+        return null;
+    try {
+        const m = await Promise.resolve().then(() => __importStar(require("./blog-fs")));
+        if (BLOG_SOURCE === "git" || BLOG_SOURCE === "fs" || m.fsAvailable())
+            return m;
+    }
+    catch { /* нет модуля/fs недоступен → supabase */ }
+    return null;
+}
 function firstLocale(cfg) {
     return (cfg.locales ?? []).filter(Boolean)[0] ?? "";
 }
@@ -111,23 +161,36 @@ async function fetchPost(cfg, slug, locale) {
         excerpt: m.excerpt ? val(m.excerpt) : "",
         cover: m.image ? r[m.image] ?? null : null,
         date: m.publishedAt ? r[m.publishedAt] ?? null : null,
-        bodyHtml: cfg.format === "minimarkup" ? miniMarkupToHtml(rawBody) : sanitizeDeliveryHtml(rawBody),
+        bodyHtml: cfg.format === "minimarkup" ? miniMarkupToHtml(rawBody) : (0, sanitize_1.sanitizeDeliveryHtml)(rawBody),
         theme: cfg.theme, // тему тащим с постом — чтобы SeoBlogArticle применил её без отдельного запроса
     };
 }
 // ── Публичные data-функции (для generateMetadata / generateStaticParams) ──
+// Роутинг источника: файловый (репо) при наличии, иначе supabase (REST API сайта).
 async function seoBlogList(opts) {
+    const fs = await fsActive();
+    if (fs)
+        return fs.fsBlogList(opts?.locale ?? fs.fsDefaultLocale(), opts?.limit ?? 100);
     const cfg = await fetchBlogConfig();
     if (!cfg)
         return [];
     return fetchPosts(cfg, opts?.locale ?? firstLocale(cfg), opts?.limit ?? 100);
 }
 async function seoBlogPost(slug, opts) {
+    const fs = await fsActive();
+    if (fs)
+        return fs.fsBlogPost(slug, opts?.locale ?? fs.fsDefaultLocale());
     const cfg = await fetchBlogConfig();
     if (!cfg)
         return null;
     return fetchPost(cfg, slug, opts?.locale ?? firstLocale(cfg));
 }
+// Параметры для generateStaticParams роута /blog/[slug]: пре-рендер всех статей на сборке (SSG для
+// файлового источника; для supabase — пре-рендер известных статей, новые добираются ISR по revalidate).
+async function seoBlogStaticParams(opts) {
+    const list = await seoBlogList({ locale: opts?.locale, limit: 100000 });
+    return list.map((p) => ({ slug: p.slug }));
+}
 // ── Мини-разметка (## / - / **) → HTML (для legacy-формата; текст экранируем). ──
 function esc(s) {
     return s.replace(/&/g, "&amp;").replace(/</g, "&lt;").replace(/>/g, "&gt;");
@@ -154,79 +217,6 @@ function miniMarkupToHtml(src) {
     }
     return out.join("");
 }
-// ── Санитайзер HTML (защита-в-глубину перед dangerouslySetInnerHTML) — ЗЕРКАЛО доставки
-// (src/lib/blog/blog-delivery.ts + Edge blog-autopilot). Тело уже санитайзено при доставке, но
-// если у сайта не настроен RLS (провиженинг опционален) — это последний рубеж. ──
-const SANITIZE_ALLOWED_TAGS = new Set([
-    "h1", "h2", "h3", "h4", "h5", "h6", "p", "br", "hr", "strong", "b", "em", "i", "u", "s",
-    "ul", "ol", "li", "blockquote", "a", "img", "figure", "figcaption",
-    "table", "thead", "tbody", "tfoot", "tr", "th", "td", "caption", "code", "pre", "span", "div",
-]);
-const SANITIZE_ALLOWED_ATTRS = /^(href|src|alt|title|target|rel|width|height|loading|colspan|rowspan|scope|start|type)$/;
-const SANITIZE_VOID = new Set(["br", "hr", "img"]);
-function decodeSchemeEntities(v) {
-    return v
-        .replace(/&#x([0-9a-fA-F]+);?/g, (_m, h) => { try {
-        return String.fromCodePoint(parseInt(h, 16));
-    }
-    catch {
-        return "";
-    } })
-        .replace(/&#(\d+);?/g, (_m, d) => { try {
-        return String.fromCodePoint(parseInt(d, 10));
-    }
-    catch {
-        return "";
-    } })
-        .replace(/&(colon|tab|newline|lf|cr|sol|amp);?/gi, (m) => {
-        const k = m.replace(/[&;]/g, "").toLowerCase();
-        return { colon: ":", sol: "/", amp: "&", tab: " ", newline: " ", lf: " ", cr: " " }[k] ?? " ";
-    });
-}
-function safeUrl(val) {
-    const v = decodeSchemeEntities(val).toLowerCase().replace(/\s/g, "");
-    if (!/^[a-z][a-z0-9+.-]*:/.test(v))
-        return true;
-    return /^(https?:|mailto:|tel:)/.test(v);
-}
-function sanitizeAttrs(tag, attrsRaw) {
-    const out = [];
-    const re = /([a-zA-Z_:][-a-zA-Z0-9_:.]*)\s*=\s*("([^"]*)"|'([^']*)'|([^\s"'>]+))/g;
-    let m;
-    let href = "";
-    while ((m = re.exec(attrsRaw))) {
-        const name = m[1].toLowerCase();
-        const val = m[3] ?? m[4] ?? m[5] ?? "";
-        if (name.startsWith("on") || name === "style" || name === "srcset")
-            continue;
-        if ((name === "href" || name === "src") && !safeUrl(val))
-            continue;
-        if (!SANITIZE_ALLOWED_ATTRS.test(name))
-            continue;
-        if (name === "href")
-            href = val;
-        out.push(`${name}="${val.replace(/"/g, "&quot;")}"`);
-    }
-    if (tag === "a" && !out.some((a) => a.startsWith("rel="))) {
-        if (/^(https?:)?\/\//i.test(href.trim()))
-            out.push('rel="noopener nofollow"');
-    }
-    return out.length ? " " + out.join(" ") : "";
-}
-function sanitizeDeliveryHtml(html) {
-    let s = html || "";
-    s = s.replace(/<(script|style|iframe|object|embed|form|noscript|template|svg|math)\b[\s\S]*?<\/\1\s*>/gi, "");
-    s = s.replace(/<!--[\s\S]*?-->/g, "");
-    s = s.replace(/<(\/?)([a-zA-Z][a-zA-Z0-9]*)\b((?:"[^"]*"|'[^']*'|[^>])*)>/g, (_full, slash, tag, attrs) => {
-        const t = tag.toLowerCase();
-        if (!SANITIZE_ALLOWED_TAGS.has(t))
-            return "";
-        if (slash)
-            return `</${t}>`;
-        return `<${t}${sanitizeAttrs(t, attrs)}${SANITIZE_VOID.has(t) ? " /" : ""}>`;
-    });
-    return s.trim();
-}
 // ── Компоненты (серверные) ──────────────────────────────────────────────────────────────────
 // Цвета/рамки/скругления — через СОБСТВЕННЫЕ переменные пакета (--sa-*) с нейтральным дефолтом.
 // НЕ ссылаемся на токены сайта напрямую: shadcn/Tailwind хранят их как сырые HSL-компоненты
@@ -290,14 +280,15 @@ const L = (map, locale, fb) => map[locale] || map[locale?.split("-")[0]] || fb;
 // через ?show=, серверно — без клиентского JS, дружелюбно к SEO). Всегда рендерит H1 (даже пустой блог),
 // чтобы страница не была пустой. perPage — размер «страницы» (дефолт 20), show — сколько показать сейчас.
 async function SeoBlogIndex(props) {
-    const cfg = await fetchBlogConfig();
-    const locale = props.locale ?? (cfg ? firstLocale(cfg) : "");
+    const fs = await fsActive();
+    const cfg = fs ? null : await fetchBlogConfig();
+    const locale = props.locale ?? (fs ? fs.fsDefaultLocale() : (cfg ? firstLocale(cfg) : ""));
     const title = props.title ?? L(BLOG_TITLE, locale, "Blog");
     const per = Math.max(1, Math.floor(props.perPage ?? 20));
     const show = Math.max(per, Math.floor(Number(props.show) || per));
     const basePath = (props.basePath ?? "/blog").replace(/\/+$/, "");
     // Тянем show+1, чтобы понять, есть ли ещё (для кнопки «Показать больше»).
-    const posts = cfg ? await fetchPosts(cfg, locale, show + 1) : [];
+    const posts = fs ? fs.fsBlogList(locale, show + 1) : (cfg ? await fetchPosts(cfg, locale, show + 1) : []);
     const hasMore = posts.length > show;
     const visible = posts.slice(0, show);
     return ((0, jsx_runtime_1.jsxs)("div", { className: "sa-blog-wrap", style: themeStyle(cfg?.theme), children: [(0, jsx_runtime_1.jsx)("style", { dangerouslySetInnerHTML: { __html: GRID_CSS } }), (0, jsx_runtime_1.jsx)("h1", { className: "sa-blog-h1", children: title }), visible.length ? ((0, jsx_runtime_1.jsxs)(jsx_runtime_1.Fragment, { children: [(0, jsx_runtime_1.jsx)("div", { className: "sa-blog-grid", children: visible.map((p) => ((0, jsx_runtime_1.jsxs)("a", { className: "sa-blog-card", href: `${basePath}/${p.slug}`, children: [p.cover ? (0, jsx_runtime_1.jsx)("img", { src: p.cover, alt: p.title, loading: "lazy" }) : null, (0, jsx_runtime_1.jsxs)("div", { className: "sa-cb", children: [(0, jsx_runtime_1.jsx)("h2", { children: p.title }), p.excerpt ? (0, jsx_runtime_1.jsx)("p", { children: p.excerpt }) : null] })] }, p.slug))) }), hasMore ? ((0, jsx_runtime_1.jsx)("div", { className: "sa-blog-more", children: (0, jsx_runtime_1.jsx)("a", { href: `${basePath}?show=${show + per}`, rel: "nofollow", children: L(MORE_LABEL, locale, "Show more") }) })) : null] })) : ((0, jsx_runtime_1.jsx)("p", { className: "sa-blog-empty", children: L(EMPTY_LABEL, locale, "No posts yet.") }))] }));

package/dist/jsonld.d.ts CHANGED Viewed

@@ -1,4 +1,4 @@
 export declare function SeoJsonLd({ route, locale }: {
     route: string;
     locale?: string;
-}): Promise<import("react").JSX.Element | null>;
+}): Promise<import("react").JSX.Element>;

package/dist/jsonld.js CHANGED Viewed

@@ -5,7 +5,11 @@ const jsx_runtime_1 = require("react/jsx-runtime");
 // Серверный компонент для инъекции JSON-LD. XSS-безопасно: экранируем '<' → <
 // и не даём закрыть тег </script>. Смонтируй в layout и/или на страницах:
 //   <SeoJsonLd route="/" locale={locale} />
+// Заодно рендерит счётчики аналитики (GA4/GTM/Метрика) через <SeoAnalytics/> — чтобы их можно было
+// включать С ПЛАТФОРМЫ без правки layout сайта (аналитика монтируется вместе со Schema, которая уже стоит).
+// Скрипты аналитики идемпотентны, поэтому несколько <SeoJsonLd/> на странице безопасны.
 const client_1 = require("./client");
+const analytics_1 = require("./analytics");
 function safeJson(nodes) {
     // Один граф Schema.org; экранируем опасные последовательности.
     const graph = nodes.length === 1 ? nodes[0] : { "@context": "https://schema.org", "@graph": nodes };
@@ -15,10 +19,9 @@ function safeJson(nodes) {
         .replace(/&/g, "\\u0026");
 }
 async function SeoJsonLd({ route, locale }) {
-    const nodes = await (0, client_1.seoJsonLd)(route, locale);
-    if (!nodes.length)
-        return null;
-    return ((0, jsx_runtime_1.jsx)("script", { type: "application/ld+json",
-        // eslint-disable-next-line react/no-danger
-        dangerouslySetInnerHTML: { __html: safeJson(nodes) } }));
+    // Параллельно: узлы JSON-LD + элемент аналитики (сам вернёт null, если ID не заданы на платформе).
+    const [nodes, analytics] = await Promise.all([(0, client_1.seoJsonLd)(route, locale), (0, analytics_1.SeoAnalytics)({ route, locale })]);
+    return ((0, jsx_runtime_1.jsxs)(jsx_runtime_1.Fragment, { children: [nodes.length > 0 && ((0, jsx_runtime_1.jsx)("script", { type: "application/ld+json",
+                // eslint-disable-next-line react/no-danger
+                dangerouslySetInnerHTML: { __html: safeJson(nodes) } })), analytics] }));
 }

package/dist/sanitize.d.ts ADDED Viewed

	@@ -0,0 +1 @@
1	+ export declare function sanitizeDeliveryHtml(html: string): string;

package/dist/sanitize.js ADDED Viewed

@@ -0,0 +1,76 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.sanitizeDeliveryHtml = sanitizeDeliveryHtml;
+// Санитайзер HTML тела статьи (защита-в-глубину перед dangerouslySetInnerHTML) — ЗЕРКАЛО доставки
+// (src/lib/blog/blog-delivery.ts + Edge blog-autopilot). Тело уже санитайзено при доставке, но это
+// последний рубеж на рендере (общий для supabase- и файлового источников блога).
+const SANITIZE_ALLOWED_TAGS = new Set([
+    "h1", "h2", "h3", "h4", "h5", "h6", "p", "br", "hr", "strong", "b", "em", "i", "u", "s",
+    "ul", "ol", "li", "blockquote", "a", "img", "figure", "figcaption",
+    "table", "thead", "tbody", "tfoot", "tr", "th", "td", "caption", "code", "pre", "span", "div",
+]);
+const SANITIZE_ALLOWED_ATTRS = /^(href|src|alt|title|target|rel|width|height|loading|colspan|rowspan|scope|start|type)$/;
+const SANITIZE_VOID = new Set(["br", "hr", "img"]);
+function decodeSchemeEntities(v) {
+    return v
+        .replace(/&#x([0-9a-fA-F]+);?/g, (_m, h) => { try {
+        return String.fromCodePoint(parseInt(h, 16));
+    }
+    catch {
+        return "";
+    } })
+        .replace(/&#(\d+);?/g, (_m, d) => { try {
+        return String.fromCodePoint(parseInt(d, 10));
+    }
+    catch {
+        return "";
+    } })
+        .replace(/&(colon|tab|newline|lf|cr|sol|amp);?/gi, (m) => {
+        const k = m.replace(/[&;]/g, "").toLowerCase();
+        return { colon: ":", sol: "/", amp: "&", tab: " ", newline: " ", lf: " ", cr: " " }[k] ?? " ";
+    });
+}
+function safeUrl(val) {
+    const v = decodeSchemeEntities(val).toLowerCase().replace(/\s/g, "");
+    if (!/^[a-z][a-z0-9+.-]*:/.test(v))
+        return true;
+    return /^(https?:|mailto:|tel:)/.test(v);
+}
+function sanitizeAttrs(tag, attrsRaw) {
+    const out = [];
+    const re = /([a-zA-Z_:][-a-zA-Z0-9_:.]*)\s*=\s*("([^"]*)"|'([^']*)'|([^\s"'>]+))/g;
+    let m;
+    let href = "";
+    while ((m = re.exec(attrsRaw))) {
+        const name = m[1].toLowerCase();
+        const val = m[3] ?? m[4] ?? m[5] ?? "";
+        if (name.startsWith("on") || name === "style" || name === "srcset")
+            continue;
+        if ((name === "href" || name === "src") && !safeUrl(val))
+            continue;
+        if (!SANITIZE_ALLOWED_ATTRS.test(name))
+            continue;
+        if (name === "href")
+            href = val;
+        out.push(`${name}="${val.replace(/"/g, "&quot;")}"`);
+    }
+    if (tag === "a" && !out.some((a) => a.startsWith("rel="))) {
+        if (/^(https?:)?\/\//i.test(href.trim()))
+            out.push('rel="noopener nofollow"');
+    }
+    return out.length ? " " + out.join(" ") : "";
+}
+function sanitizeDeliveryHtml(html) {
+    let s = html || "";
+    s = s.replace(/<(script|style|iframe|object|embed|form|noscript|template|svg|math)\b[\s\S]*?<\/\1\s*>/gi, "");
+    s = s.replace(/<!--[\s\S]*?-->/g, "");
+    s = s.replace(/<(\/?)([a-zA-Z][a-zA-Z0-9]*)\b((?:"[^"]*"|'[^']*'|[^>])*)>/g, (_full, slash, tag, attrs) => {
+        const t = tag.toLowerCase();
+        if (!SANITIZE_ALLOWED_TAGS.has(t))
+            return "";
+        if (slash)
+            return `</${t}>`;
+        return `<${t}${sanitizeAttrs(t, attrs)}${SANITIZE_VOID.has(t) ? " /" : ""}>`;
+    });
+    return s.trim();
+}

package/jsonld.tsx CHANGED Viewed

@@ -1,7 +1,11 @@
 // Серверный компонент для инъекции JSON-LD. XSS-безопасно: экранируем '<' → <
 // и не даём закрыть тег </script>. Смонтируй в layout и/или на страницах:
 //   <SeoJsonLd route="/" locale={locale} />
+// Заодно рендерит счётчики аналитики (GA4/GTM/Метрика) через <SeoAnalytics/> — чтобы их можно было
+// включать С ПЛАТФОРМЫ без правки layout сайта (аналитика монтируется вместе со Schema, которая уже стоит).
+// Скрипты аналитики идемпотентны, поэтому несколько <SeoJsonLd/> на странице безопасны.
 import { seoJsonLd } from "./client";
+import { SeoAnalytics } from "./analytics";
 function safeJson(nodes: unknown[]): string {
   // Один граф Schema.org; экранируем опасные последовательности.
@@ -13,13 +17,18 @@ function safeJson(nodes: unknown[]): string {
 }
 export async function SeoJsonLd({ route, locale }: { route: string; locale?: string }) {
-  const nodes = await seoJsonLd(route, locale);
-  if (!nodes.length) return null;
+  // Параллельно: узлы JSON-LD + элемент аналитики (сам вернёт null, если ID не заданы на платформе).
+  const [nodes, analytics] = await Promise.all([seoJsonLd(route, locale), SeoAnalytics({ route, locale })]);
   return (
-    <script
-      type="application/ld+json"
-      // eslint-disable-next-line react/no-danger
-      dangerouslySetInnerHTML={{ __html: safeJson(nodes) }}
-    />
+    <>
+      {nodes.length > 0 && (
+        <script
+          type="application/ld+json"
+          // eslint-disable-next-line react/no-danger
+          dangerouslySetInnerHTML={{ __html: safeJson(nodes) }}
+        />
+      )}
+      {analytics}
+    </>
   );
 }

package/package.json CHANGED Viewed

@@ -1,6 +1,6 @@
 {
   "name": "@webnumseoagent/next",
-  "version": "0.4.1",
+  "version": "0.6.0",
   "description": "Runtime SEO adapter + installer for Next.js App Router sites (SEO Agent platform)",
   "main": "dist/client.js",
   "types": "dist/client.d.ts",
@@ -35,6 +35,8 @@
     "jsonld.tsx",
     "analytics.tsx",
     "blog.tsx",
+    "blog-fs.ts",
+    "sanitize.ts",
     "sitemap-xsl.ts",
     "sitemap-build.ts",
     "redirects.ts",

package/sanitize.ts ADDED Viewed

@@ -0,0 +1,56 @@
+// Санитайзер HTML тела статьи (защита-в-глубину перед dangerouslySetInnerHTML) — ЗЕРКАЛО доставки
+// (src/lib/blog/blog-delivery.ts + Edge blog-autopilot). Тело уже санитайзено при доставке, но это
+// последний рубеж на рендере (общий для supabase- и файлового источников блога).
+const SANITIZE_ALLOWED_TAGS = new Set([
+  "h1", "h2", "h3", "h4", "h5", "h6", "p", "br", "hr", "strong", "b", "em", "i", "u", "s",
+  "ul", "ol", "li", "blockquote", "a", "img", "figure", "figcaption",
+  "table", "thead", "tbody", "tfoot", "tr", "th", "td", "caption", "code", "pre", "span", "div",
+]);
+const SANITIZE_ALLOWED_ATTRS = /^(href|src|alt|title|target|rel|width|height|loading|colspan|rowspan|scope|start|type)$/;
+const SANITIZE_VOID = new Set(["br", "hr", "img"]);
+function decodeSchemeEntities(v: string): string {
+  return v
+    .replace(/&#x([0-9a-fA-F]+);?/g, (_m, h) => { try { return String.fromCodePoint(parseInt(h, 16)); } catch { return ""; } })
+    .replace(/&#(\d+);?/g, (_m, d) => { try { return String.fromCodePoint(parseInt(d, 10)); } catch { return ""; } })
+    .replace(/&(colon|tab|newline|lf|cr|sol|amp);?/gi, (m) => {
+      const k = m.replace(/[&;]/g, "").toLowerCase();
+      return ({ colon: ":", sol: "/", amp: "&", tab: " ", newline: " ", lf: " ", cr: " " } as Record<string, string>)[k] ?? " ";
+    });
+}
+function safeUrl(val: string): boolean {
+  const v = decodeSchemeEntities(val).toLowerCase().replace(/\s/g, "");
+  if (!/^[a-z][a-z0-9+.-]*:/.test(v)) return true;
+  return /^(https?:|mailto:|tel:)/.test(v);
+}
+function sanitizeAttrs(tag: string, attrsRaw: string): string {
+  const out: string[] = [];
+  const re = /([a-zA-Z_:][-a-zA-Z0-9_:.]*)\s*=\s*("([^"]*)"|'([^']*)'|([^\s"'>]+))/g;
+  let m: RegExpExecArray | null;
+  let href = "";
+  while ((m = re.exec(attrsRaw))) {
+    const name = m[1].toLowerCase();
+    const val = m[3] ?? m[4] ?? m[5] ?? "";
+    if (name.startsWith("on") || name === "style" || name === "srcset") continue;
+    if ((name === "href" || name === "src") && !safeUrl(val)) continue;
+    if (!SANITIZE_ALLOWED_ATTRS.test(name)) continue;
+    if (name === "href") href = val;
+    out.push(`${name}="${val.replace(/"/g, "&quot;")}"`);
+  }
+  if (tag === "a" && !out.some((a) => a.startsWith("rel="))) {
+    if (/^(https?:)?\/\//i.test(href.trim())) out.push('rel="noopener nofollow"');
+  }
+  return out.length ? " " + out.join(" ") : "";
+}
+export function sanitizeDeliveryHtml(html: string): string {
+  let s = html || "";
+  s = s.replace(/<(script|style|iframe|object|embed|form|noscript|template|svg|math)\b[\s\S]*?<\/\1\s*>/gi, "");
+  s = s.replace(/<!--[\s\S]*?-->/g, "");
+  s = s.replace(/<(\/?)([a-zA-Z][a-zA-Z0-9]*)\b((?:"[^"]*"|'[^']*'|[^>])*)>/g, (_full, slash, tag, attrs) => {
+    const t = tag.toLowerCase();
+    if (!SANITIZE_ALLOWED_TAGS.has(t)) return "";
+    if (slash) return `</${t}>`;
+    return `<${t}${sanitizeAttrs(t, attrs)}${SANITIZE_VOID.has(t) ? " /" : ""}>`;
+  });
+  return s.trim();
+}