neuroalpha 0.2.0 → 0.3.12

package/server/notify/index.js

@@ -1,168 +1,304 @@
-import { db, kvGet, kvSet } from '../db.js';
-import { encryptSecret, decryptSecret, getUserById, runWithUser } from '../auth/index.js';
-import { round } from '../util.js';
-
-let actionHandlers = { execute: null, reject: null };
-export function registerBrokerHandlers(h) { actionHandlers = h; }
-
-export function getNotifyConfig() {
-  const saved = kvGet('notifyConfig') || {};
-  const tgToken = decryptSecret(saved.tgToken || '') || String(process.env.TELEGRAM_BOT_TOKEN || '').trim();
-  const tgBotName = String(saved.tgBotName || process.env.TELEGRAM_BOT_NAME || '').trim().replace(/^@/, '');
-  const maxToken = decryptSecret(saved.maxToken || '') || String(process.env.MAX_BOT_TOKEN || '').trim();
-  const maxBotName = String(saved.maxBotName || process.env.MAX_BOT_NAME || '').trim().replace(/^@/, '');
-  return { tgToken, tgBotName, maxToken, maxBotName, tgEnabled: Boolean(tgToken), maxEnabled: Boolean(maxToken) };
-}
-
-export function publicNotifyConfig() {
-  const c = getNotifyConfig();
-  return { tgBotName: c.tgBotName, maxBotName: c.maxBotName, hasTgToken: c.tgEnabled, hasMaxToken: c.maxEnabled };
-}
-
-export function saveNotifyConfig(input = {}) {
-  const prev = kvGet('notifyConfig') || {};
-  const next = {
-    tgBotName: String(input.tgBotName ?? prev.tgBotName ?? '').trim().replace(/^@/, ''),
-    tgToken: input.clearTg ? '' : (input.tgToken && String(input.tgToken).trim() ? encryptSecret(input.tgToken) : (prev.tgToken || '')),
-    maxBotName: String(input.maxBotName ?? prev.maxBotName ?? '').trim().replace(/^@/, ''),
-    maxToken: input.clearMax ? '' : (input.maxToken && String(input.maxToken).trim() ? encryptSecret(input.maxToken) : (prev.maxToken || '')),
-  };
-  kvSet('notifyConfig', next);
-  return publicNotifyConfig();
-}
-
-// ---------- отправка сообщений в Telegram и MAX ----------
-export async function sendTelegram(chatId, text, buttons = null) {
-  const { tgToken } = getNotifyConfig();
-  if (!tgToken || !chatId) return false;
-  const body = {
-    chat_id: chatId,
-    text,
-    ...(buttons?.length ? { reply_markup: { inline_keyboard: [buttons.map((b) => ({ text: b.label, callback_data: b.data }))] } } : {}),
-  };
-  const r = await fetch(`https://api.telegram.org/bot${tgToken}/sendMessage`, {
-    method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify(body), signal: AbortSignal.timeout(12000),
-  }).catch(() => null);
-  return Boolean(r?.ok);
-}
-
-export async function sendMax(chatId, text, buttons = null) {
-  const { maxToken } = getNotifyConfig();
-  if (!maxToken || !chatId) return false;
-  const attachments = buttons?.length ? [{
-    type: 'inline_keyboard',
-    payload: {
-      buttons: [buttons.map((b) => ({ type: 'callback', text: b.label, payload: b.data }))],
-    },
-  }] : undefined;
-  const r = await fetch(`https://botapi.max.ru/messages?access_token=${encodeURIComponent(maxToken)}&chat_id=${encodeURIComponent(chatId)}`, {
-    method: 'POST',
-    headers: { 'Content-Type': 'application/json' },
-    body: JSON.stringify({ text, ...(attachments ? { attachments } : {}) }),
-    signal: AbortSignal.timeout(12000),
-  }).catch(() => null);
-  return Boolean(r?.ok);
-}
-
-export async function notifyUser(userId, text, buttons = null) {
-  const u = getUserById(userId);
-  if (!u) return { tg: false, max: false };
-  const [tg, max] = await Promise.all([
-    u.tg_chat_id ? sendTelegram(u.tg_chat_id, text, buttons) : false,
-    u.max_chat_id ? sendMax(u.max_chat_id, text, buttons) : false,
-  ]);
-  return { tg, max };
-}
-
-export async function notifyBrokerBatch(userId, acc, batch) {
-  if (!batch?.orders?.length) return;
-  const lines = batch.orders.map((o) => `• ${o.action === 'buy' ? 'Купить' : 'Продать'} ${o.symbol}: ${o.lots} л. (${o.shares} шт.) по ${o.limitPrice} ₽ ≈ ${round(o.amountRub, 0)} ₽`);
-  const text = `НейроАльфа · Счёт «${acc.name}»\nСформирован пакет лимитных заявок (свеча ${batch.bar || '—'}):\n${lines.join('\n')}`;
-  const buttons = acc.mode === 'confirm' ? [
-    { label: `✓ Исполнить (${batch.orders.length})`, data: `exec:${userId}:${acc.id}` },
-    { label: '✕ Отклонить', data: `rej:${userId}:${acc.id}` },
-  ] : null;
-  await notifyUser(userId, text, buttons);
-}
-
-// ---------- обработка команд привязки и кнопок подтверждения в Telegram и MAX ----------
-function tryLinkByCode(text, channel, chatId) {
-  const m = String(text || '').toUpperCase().match(/NA-[A-Z0-9]{6}/);
-  if (!m) return null;
-  const u = db.prepare('SELECT * FROM users WHERE UPPER(notify_code) = ?').get(m[0]);
-  if (!u) return null;
-  const col = channel === 'tg' ? 'tg_chat_id' : 'max_chat_id';
-  db.prepare(`UPDATE users SET ${col} = ? WHERE id = ?`).run(String(chatId), u.id);
-  return u;
-}
-
-async function handleCallbackAction(data, replyFn) {
-  const [act, uidStr, accId] = String(data || '').split(':');
-  const u = getUserById(Number(uidStr));
-  if (!u || !accId) return;
-  try {
-    if (act === 'exec' && actionHandlers.execute) {
-      await runWithUser(u, () => actionHandlers.execute(accId));
-      await replyFn(`✓ Заявки по счёту отправлены брокеру.`);
-    } else if (act === 'rej' && actionHandlers.reject) {
-      await runWithUser(u, () => actionHandlers.reject(accId));
-      await replyFn(`✕ Пакет заявок отклонён.`);
-    }
-  } catch (e) {
-    await replyFn(`Ошибка: ${e.message}`);
-  }
-}
-
-let tgOffset = 0;
-let maxMarker = null;
-
-async function pollTelegram() {
-  const { tgToken } = getNotifyConfig();
-  if (!tgToken) return;
-  try {
-    const r = await fetch(`https://api.telegram.org/bot${tgToken}/getUpdates?offset=${tgOffset}&timeout=1`, { signal: AbortSignal.timeout(8000) });
-    if (!r.ok) return;
-    const j = await r.json();
-    for (const upd of j.result || []) {
-      tgOffset = Math.max(tgOffset, upd.update_id + 1);
-      if (upd.message?.text) {
-        const chatId = upd.message.chat.id;
-        const u = tryLinkByCode(upd.message.text, 'tg', chatId);
-        if (u) await sendTelegram(chatId, `✓ Telegram успешно привязан к аккаунту НейроАльфа (${u.email}). Сюда будут приходить сигналы и кнопки подтверждения брокерских заявок.`);
-      } else if (upd.callback_query?.data) {
-        const chatId = upd.callback_query.message?.chat?.id;
-        await handleCallbackAction(upd.callback_query.data, (msg) => sendTelegram(chatId, msg));
-      }
-    }
-  } catch { /* ignore */ }
-}
-
-async function pollMax() {
-  const { maxToken } = getNotifyConfig();
-  if (!maxToken) return;
-  try {
-    const url = `https://botapi.max.ru/updates?access_token=${encodeURIComponent(maxToken)}&timeout=1${maxMarker ? `&marker=${maxMarker}` : ''}`;
-    const r = await fetch(url, { signal: AbortSignal.timeout(8000) });
-    if (!r.ok) return;
-    const j = await r.json();
-    if (j.marker) maxMarker = j.marker;
-    for (const upd of j.updates || []) {
-      if (upd.message?.body?.text) {
-        const chatId = upd.message.recipient?.chat_id || upd.message.sender?.user_id;
-        const u = tryLinkByCode(upd.message.body.text, 'max', chatId);
-        if (u) await sendMax(chatId, `✓ Мессенджер MAX успешно привязан к аккаунту НейроАльфа (${u.email}). Сюда будут приходить сигналы и кнопки подтверждения заявок.`);
-      } else if (upd.callback?.payload) {
-        const chatId = upd.message?.recipient?.chat_id || upd.callback?.user?.user_id;
-        await handleCallbackAction(upd.callback.payload, (msg) => sendMax(chatId, msg));
-      }
-    }
-  } catch { /* ignore */ }
-}
-
-export function startNotifyPolling() {
-  const timer = setInterval(() => {
-    pollTelegram();
-    pollMax();
-  }, 6000);
-  timer.unref?.();
-}
+// Copyright (c) 2026 Roman A. Perepelkin. Licensed under the MIT License.
+import crypto from 'node:crypto';
+import https from 'node:https';
+import fs from 'node:fs';
+import path from 'node:path';
+import tls from 'node:tls';
+import { ROOT } from '../config.js';
+import { db, kvGet, kvSet } from '../db.js';
+import { encryptSecret, decryptSecret, getUserById, runWithUser, generateApiKey, hashPassword, ensureApiKey } from '../auth/index.js';
+import { round } from '../util.js';
+
+let actionHandlers = { execute: null, reject: null };
+export function registerBrokerHandlers(h) { actionHandlers = h; }
+
+// Надёжный HTTP-клиент для platform-api2.max.ru (поддерживает сертификат НУЦ Минцифры РФ)
+let maxCa = undefined;
+try {
+  const certPath = process.env.GIGACHAT_CA_FILE || path.resolve(ROOT, '../work/#system/certs/russian_trusted_root_ca.pem');
+  if (fs.existsSync(certPath)) maxCa = [...tls.rootCertificates, fs.readFileSync(certPath, 'utf8')];
+} catch { /* ignore */ }
+
+function maxRequest(urlPath, { method = 'GET', token = '', body = null, timeoutMs = 12000 } = {}) {
+  return new Promise((resolve, reject) => {
+    const u = new URL(urlPath, 'https://platform-api2.max.ru');
+    const payload = body ? Buffer.from(typeof body === 'string' ? body : JSON.stringify(body)) : null;
+    const req = https.request({
+      hostname: u.hostname,
+      port: u.port || 443,
+      path: u.pathname + u.search,
+      method,
+      ca: maxCa,
+      rejectUnauthorized: Boolean(maxCa),
+      headers: {
+        Authorization: token,
+        Accept: 'application/json',
+        ...(payload ? { 'Content-Type': 'application/json', 'Content-Length': payload.length } : {}),
+      },
+      timeout: timeoutMs,
+    }, (res) => {
+      let raw = '';
+      res.setEncoding('utf8');
+      res.on('data', (chunk) => { raw += chunk; });
+      res.on('end', () => {
+        let json = null;
+        try { json = JSON.parse(raw); } catch { /* ignore */ }
+        resolve({ ok: res.statusCode >= 200 && res.statusCode < 300, status: res.statusCode, json, text: raw });
+      });
+    });
+    req.on('timeout', () => req.destroy(new Error('MAX API timeout')));
+    req.on('error', reject);
+    if (payload) req.write(payload);
+    req.end();
+  });
+}
+
+// Одноразовые токены входа через Telegram-бота (t.me/bot?start=LOGIN_xxx)
+const tgLoginChallenges = new Map(); // code -> { status: 'pending' | 'done', userId: null | number, createdAt }
+
+export function createTelegramLoginChallenge() {
+  const now = Date.now();
+  for (const [k, v] of tgLoginChallenges) if (now - v.createdAt > 10 * 60000) tgLoginChallenges.delete(k);
+  const code = `LOGIN_${crypto.randomBytes(6).toString('hex').toUpperCase()}`;
+  tgLoginChallenges.set(code, { status: 'pending', userId: null, createdAt: now });
+  return code;
+}
+
+export function checkTelegramLoginChallenge(code) {
+  const ch = tgLoginChallenges.get(String(code || '').trim());
+  if (!ch) return { status: 'expired' };
+  if (ch.status === 'done' && ch.userId) {
+    tgLoginChallenges.delete(code);
+    return { status: 'done', userId: ch.userId };
+  }
+  return { status: 'pending' };
+}
+
+function handleBotLogin(text, channel, chatId, senderName = '', senderUsername = '') {
+  const m = String(text || '').toUpperCase().match(/LOGIN_[A-Z0-9]{12}/);
+  if (!m) return null;
+  const ch = tgLoginChallenges.get(m[0]);
+  if (!ch || ch.status !== 'pending') return null;
+  const cid = String(chatId);
+  const col = channel === 'max' ? 'max_chat_id' : 'tg_chat_id';
+  const dom = channel === 'max' ? 'max.neuroalpha.org' : 'tg.neuroalpha.org';
+  const name = String(senderName || '').trim() || senderUsername || `${channel.toUpperCase()} ${cid}`;
+  const email = senderUsername ? `${String(senderUsername).toLowerCase()}@${dom}` : `${channel}_${cid}@${dom}`;
+
+  let user = db.prepare(`SELECT * FROM users WHERE ${col} = ? OR email = ?`).get(cid, email);
+  if (!user) {
+    const notifyCode = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
+    const apiKey = generateApiKey();
+    const rndPass = hashPassword(crypto.randomBytes(16).toString('hex'));
+    const r = db.prepare(`INSERT INTO users (email, name, pass_hash, role, plan, plan_until, ${col}, notify_code, api_key, created_at)
+      VALUES (?, ?, ?, 'user', 'free', 0, ?, ?, ?, ?)`).run(email, name, rndPass, cid, notifyCode, apiKey, Date.now());
+    user = getUserById(Number(r.lastInsertRowid));
+  } else {
+    if (!user[col]) db.prepare(`UPDATE users SET ${col} = ? WHERE id = ?`).run(cid, user.id);
+    if (!user.api_key) ensureApiKey(user.id);
+    user = getUserById(user.id);
+  }
+  ch.status = 'done';
+  ch.userId = user.id;
+  return user;
+}
+
+export function getNotifyConfig() {
+  const saved = kvGet('notifyConfig') || {};
+  const tgToken = decryptSecret(saved.tgToken || '') || String(process.env.TELEGRAM_BOT_TOKEN || '').trim();
+  const tgBotName = String(saved.tgBotName || process.env.TELEGRAM_BOT_NAME || 'neuroalpha_trade_bot').trim().replace(/^@/, '');
+  const maxToken = decryptSecret(saved.maxToken || '') || String(process.env.MAX_BOT_TOKEN || '').trim();
+  const maxBotName = String(saved.maxBotName || process.env.MAX_BOT_NAME || 'id6234049193_bot').trim().replace(/^@/, '');
+  return { tgToken, tgBotName, maxToken, maxBotName, tgEnabled: Boolean(tgToken), maxEnabled: Boolean(maxToken) };
+}
+
+export function publicNotifyConfig() {
+  const c = getNotifyConfig();
+  return { tgBotName: c.tgBotName, maxBotName: c.maxBotName, hasTgToken: c.tgEnabled, hasMaxToken: c.maxEnabled };
+}
+
+export async function saveNotifyConfig(input = {}) {
+  const prev = kvGet('notifyConfig') || {};
+  const rawMaxToken = input.clearMax ? '' : (input.maxToken && String(input.maxToken).trim() ? String(input.maxToken).trim() : decryptSecret(prev.maxToken || ''));
+  let maxBotName = String(input.maxBotName ?? prev.maxBotName ?? '').trim().replace(/^@/, '');
+  if (rawMaxToken && !maxBotName) {
+    try {
+      const me = await maxRequest('/me', { token: rawMaxToken, timeoutMs: 8000 });
+      if (me.ok && me.json?.username) maxBotName = String(me.json.username).trim().replace(/^@/, '');
+    } catch { /* ignore */ }
+  }
+  const next = {
+    tgBotName: String(input.tgBotName ?? prev.tgBotName ?? '').trim().replace(/^@/, ''),
+    tgToken: input.clearTg ? '' : (input.tgToken && String(input.tgToken).trim() ? encryptSecret(input.tgToken) : (prev.tgToken || '')),
+    maxBotName,
+    maxToken: input.clearMax ? '' : (input.maxToken && String(input.maxToken).trim() ? encryptSecret(input.maxToken) : (prev.maxToken || '')),
+  };
+  kvSet('notifyConfig', next);
+  return publicNotifyConfig();
+}
+
+// ---------- отправка сообщений в Telegram и MAX ----------
+export async function sendTelegram(chatId, text, buttons = null) {
+  const { tgToken } = getNotifyConfig();
+  if (!tgToken || !chatId) return false;
+  const body = {
+    chat_id: chatId,
+    text,
+    ...(buttons?.length ? { reply_markup: { inline_keyboard: [buttons.map((b) => ({ text: b.label, callback_data: b.data }))] } } : {}),
+  };
+  const r = await fetch(`https://api.telegram.org/bot${tgToken}/sendMessage`, {
+    method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify(body), signal: AbortSignal.timeout(12000),
+  }).catch(() => null);
+  return Boolean(r?.ok);
+}
+
+export async function sendMax(chatId, text, buttons = null) {
+  const { maxToken } = getNotifyConfig();
+  if (!maxToken || !chatId) return false;
+  const attachments = buttons?.length ? [{
+    type: 'inline_keyboard',
+    payload: {
+      buttons: [buttons.map((b) => ({ type: 'callback', text: b.label, payload: b.data }))],
+    },
+  }] : undefined;
+  const r = await maxRequest(`/messages?chat_id=${encodeURIComponent(chatId)}`, {
+    method: 'POST',
+    token: maxToken,
+    body: { text, ...(attachments ? { attachments } : {}) },
+    timeoutMs: 12000,
+  }).catch(() => null);
+  return Boolean(r?.ok);
+}
+
+export async function notifyUser(userId, text, buttons = null) {
+  const u = getUserById(userId);
+  if (!u) return { tg: false, max: false };
+  const [tg, max] = await Promise.all([
+    u.tg_chat_id ? sendTelegram(u.tg_chat_id, text, buttons) : false,
+    u.max_chat_id ? sendMax(u.max_chat_id, text, buttons) : false,
+  ]);
+  return { tg, max };
+}
+
+export async function notifyBrokerBatch(userId, acc, batch) {
+  if (!batch?.orders?.length) return;
+  const lines = batch.orders.map((o) => `• ${o.action === 'buy' ? 'Купить' : 'Продать'} ${o.symbol}: ${o.lots} л. (${o.shares} шт.) по ${o.limitPrice} ₽ ≈ ${round(o.amountRub, 0)} ₽`);
+  const text = `НейроАльфа · Счёт «${acc.name}»\nСформирован пакет лимитных заявок (свеча ${batch.bar || '—'}):\n${lines.join('\n')}`;
+  const buttons = acc.mode === 'confirm' ? [
+    { label: `✓ Исполнить (${batch.orders.length})`, data: `exec:${userId}:${acc.id}` },
+    { label: '✕ Отклонить', data: `rej:${userId}:${acc.id}` },
+  ] : null;
+  await notifyUser(userId, text, buttons);
+}
+
+// ---------- обработка команд привязки и кнопок подтверждения в Telegram и MAX ----------
+function tryLinkByCode(text, channel, chatId) {
+  const m = String(text || '').toUpperCase().match(/NA-[A-Z0-9]{6}/);
+  if (!m) return null;
+  const u = db.prepare('SELECT * FROM users WHERE UPPER(notify_code) = ?').get(m[0]);
+  if (!u) return null;
+  const col = channel === 'tg' ? 'tg_chat_id' : 'max_chat_id';
+  db.prepare(`UPDATE users SET ${col} = ? WHERE id = ?`).run(String(chatId), u.id);
+  return u;
+}
+
+async function handleCallbackAction(data, replyFn) {
+  const [act, uidStr, accId] = String(data || '').split(':');
+  const u = getUserById(Number(uidStr));
+  if (!u || !accId) return;
+  try {
+    if (act === 'exec' && actionHandlers.execute) {
+      await runWithUser(u, () => actionHandlers.execute(accId));
+      await replyFn(`✓ Заявки по счёту отправлены брокеру.`);
+    } else if (act === 'rej' && actionHandlers.reject) {
+      await runWithUser(u, () => actionHandlers.reject(accId));
+      await replyFn(`✕ Пакет заявок отклонён.`);
+    }
+  } catch (e) {
+    await replyFn(`Ошибка: ${e.message}`);
+  }
+}
+
+let tgOffset = 0;
+let maxMarker = null;
+
+async function pollTelegram() {
+  const { tgToken } = getNotifyConfig();
+  if (!tgToken) return;
+  try {
+    const r = await fetch(`https://api.telegram.org/bot${tgToken}/getUpdates?offset=${tgOffset}&timeout=1`, { signal: AbortSignal.timeout(8000) });
+    if (!r.ok) return;
+    const j = await r.json();
+    for (const upd of j.result || []) {
+      tgOffset = Math.max(tgOffset, upd.update_id + 1);
+      if (upd.message?.text) {
+        const chatId = upd.message.chat.id;
+        const txt = upd.message.text.trim();
+        const from = upd.message.from || {};
+        const loginUser = handleBotLogin(txt, 'tg', chatId, `${from.first_name || ''} ${from.last_name || ''}`.trim(), from.username || '');
+        if (loginUser) {
+          await sendTelegram(chatId, `✓ Вход в НейроАльфа выполнен (${loginUser.name})!\n\nВаш персональный API-ключ:\n${loginUser.api_key}\n\nЗапуск на компьютере:\nnpx neuroalpha --key ${loginUser.api_key}\n\nВернитесь в браузер — личный кабинет уже открыт.`);
+          continue;
+        }
+        const u = tryLinkByCode(txt, 'tg', chatId);
+        if (u) {
+          await sendTelegram(chatId, `✓ Telegram успешно привязан к аккаунту НейроАльфа (${u.email}). Сюда будут приходить сигналы и кнопки подтверждения брокерских заявок.`);
+          continue;
+        }
+        if (/^\/start$/i.test(txt)) {
+          await sendTelegram(chatId, `◈ НейроАльфа — ИИ-автопилот для рынка акций Мосбиржи.\n\n• Для входа на сайте нажмите «Войти через Telegram» на https://neuroalpha.odant.org\n• Для привязки уведомлений отправьте сюда ваш код привязки (вида NA-XXXXXX) из раздела «Настройки → Профиль, тариф и боты».`);
+        }
+      } else if (upd.callback_query?.data) {
+        const chatId = upd.callback_query.message?.chat?.id;
+        await handleCallbackAction(upd.callback_query.data, (msg) => sendTelegram(chatId, msg));
+      }
+    }
+  } catch { /* ignore */ }
+}
+
+async function processMaxUpdate(upd) {
+  const chatId = upd.chat_id || upd.message?.recipient?.chat_id || upd.message?.sender?.user_id || upd.user?.user_id;
+  const sender = upd.message?.sender || upd.user || {};
+  const txt = String(upd.message?.body?.text || upd.payload || '').trim();
+  if (txt && chatId) {
+    const loginUser = handleBotLogin(txt, 'max', chatId, sender.name || '', sender.username || '');
+    if (loginUser) {
+      await sendMax(chatId, `✓ Вход в НейроАльфа выполнен (${loginUser.name})!\n\nВаш персональный API-ключ:\n${loginUser.api_key}\n\nЗапуск на компьютере:\nnpx neuroalpha --key ${loginUser.api_key}\n\nВернитесь в браузер — личный кабинет уже открыт.`);
+      return;
+    }
+    const u = tryLinkByCode(txt, 'max', chatId);
+    if (u) {
+      await sendMax(chatId, `✓ Мессенджер MAX успешно привязан к аккаунту НейроАльфа (${u.email}). Сюда будут приходить сигналы и кнопки подтверждения заявок.`);
+      return;
+    }
+  }
+  if (upd.callback?.payload) {
+    const cbChatId = upd.chat_id || upd.message?.recipient?.chat_id || upd.callback?.user?.user_id;
+    await handleCallbackAction(upd.callback.payload, (msg) => sendMax(cbChatId, msg));
+  }
+}
+
+export async function handleMaxWebhook(body = {}) {
+  const list = Array.isArray(body.updates) ? body.updates : (body.update_type ? [body] : []);
+  for (const upd of list) await processMaxUpdate(upd);
+  return { ok: true };
+}
+
+async function pollMax() {
+  const { maxToken } = getNotifyConfig();
+  if (!maxToken) return;
+  try {
+    const r = await maxRequest(`/updates?timeout=1${maxMarker ? `&marker=${maxMarker}` : ''}`, { token: maxToken, timeoutMs: 8000 });
+    if (!r.ok || !r.json) return;
+    if (r.json.marker) maxMarker = r.json.marker;
+    for (const upd of r.json.updates || []) await processMaxUpdate(upd);
+  } catch { /* ignore */ }
+}
+
+export function startNotifyPolling() {
+  const timer = setInterval(() => {
+    pollTelegram();
+    pollMax();
+  }, 6000);
+  timer.unref?.();
+}

package/server/params-meta.js

@@ -1,35 +1,30 @@
+// Copyright (c) 2026 Roman A. Perepelkin. Licensed under the MIT License.
 // Описание всех настроек: для формы в интерфейсе, для ИИ-стратега и для проверки значений.
 // hidden — не показывать в интерфейсе; ai:false — ИИ менять запрещено (честность проверки).
 export const PARAMS = [
-  { key: 'modelAutoAdapt', label: 'Самообучение правил торговли (Авто)', hint: 'Включено: стратегия сама подбирает порог выхода под вашу комиссию, вовремя закрывает угасающие сделки и автоматически ставит на карантин убыточные «акции-убийцы». Ручная настройка порогов не требуется.', type: 'checkbox' },
-  { key: 'modelHorizon', label: 'Горизонт прогноза, часов', hint: 'На сколько часов вперёд стратегия предсказывает движение и примерно столько держит купленные акции. Можно дробно, с точностью до 10 минут (например, 1,5).', min: 0.5, max: 8 },
-  { key: 'modelMinEdge', label: 'Порог выгоды на вход', hint: 'Покупать (или продавать), только если ожидаемое движение больше стоимости покупки и продажи, умноженной на это число. Больше — реже, но выгоднее сделки. 0 — без порога.', min: 0, max: 10 },
-  { key: 'modelExitRatio', label: 'Порог на выход (доля от входа)', hint: 'До какой доли от порога входа может ослабнуть прогноз, прежде чем закрыть позицию (0,5 — закрывать ниже половины порога входа; 0 — держать, пока прогноз остаётся в нашу сторону).', min: 0, max: 1, step: 0.05 },
-  { key: 'modelMinHoldHours', label: 'Минимальное удержание, часов', hint: 'Не закрывать позицию раньше этого времени при обычном ослаблении прогноза (0 — без ограничения). Снижает число сделок и расходы на комиссию.', min: 0, max: 48, step: 0.5 },
+  { key: 'modelAutoAdapt', label: 'Самообучение правил торговли (Авто)', hint: 'Полный автомат: стратегия сама учится на мульти-горизонте (1,5–3,5 ч), автоматически управляет порогами входа и выхода под вашу комиссию, масштабирует слоты по силе сигнала и временно ставит на карантин убыточные акции. Ручная настройка горизонта и порогов не требуется.', type: 'checkbox' },
   { key: 'modelTopK', label: 'Сколько акций держать', hint: 'Сколько акций с лучшим прогнозом можно держать одновременно (при продажах — и столько же акций на продажу).', min: 1, max: 20 },
-  { key: 'modelAllocMode', label: 'Распределение суммы между акциями', hint: '«Поровну» — одинаковая сумма на каждую позицию; «Обратно размаху акции» — спокойным бумагам больше, волатильным — меньше (снижает просадку).', type: 'select', options: [['equal', 'Поровну'], ['invvol', 'Обратно размаху акции']] },
-  { key: 'modelDirection', label: 'Направление торговли', hint: 'Продажа без покупки (шорт) — заработок на падении акции относительно рынка. «Нейтрально к рынку» — покупаем сильные акции и продаём слабые на равные суммы: общий рост или падение рынка почти не влияет на результат. При продажах сумма на одну акцию вдвое меньше.', type: 'select', options: [['long', 'Только покупки'], ['longshort', 'Покупки и продажи'], ['neutral', 'Нейтрально к рынку']] },
-  { key: 'modelMarketFilter', label: 'Фильтр падающего рынка', hint: 'Не открывать новые покупки, когда индекс Мосбиржи одновременно ниже уровня 2 часов назад и ниже уровня торгового дня назад.', type: 'select', options: [['off', 'Выключен'], ['ma', 'Не покупать при падении индекса']] },
-  { key: 'modelShortFeePct', label: 'Плата за заём акций, % годовых', hint: 'Сколько брокер берёт за заём акций для продажи без покупки. Начисляется за всё время, пока продажа открыта (например, 20% годовых — около 0,05% за сутки).', min: 0, max: 100 },
-  { key: 'modelTrainDays', label: 'Окно обучения, торговых дней', hint: 'На скольких последних днях стратегия учится перед каждым месяцем прогноза.', min: 30, max: 400 },
-  { key: 'modelHistoryDays', label: 'Период исследования, дней', hint: 'За сколько последних календарных дней проверять стратегию.', min: 120, max: 1100 },
-  { key: 'modelEmbedDim', label: 'Размер эмбеддинга', hint: 'Сколько «скрытых свойств» описывают каждую акцию на карте рынка. Больше — тоньше различия, но больше шума.', min: 2, max: 20 },
-  { key: 'modelUseMacro', label: 'Учитывать нефть, валюту, облигации', hint: 'Стратегия дополнительно смотрит на движение нефти Brent, юаня, доллара, золота и индекса гособлигаций: акции, чувствительные к ним, получают поправку к прогнозу.', type: 'checkbox' },
-  { key: 'modelTextWeight', label: 'Вес описаний компаний на карте', hint: '0 — карта рынка строится только по поведению акций (как они двигались вместе); 1 — только по устойчивым описаниям бизнеса (экспортёр, банк, дивиденды и т.д.); значения между — смесь того и другого. Описания заранее составляет ИИ.', min: 0, max: 1, step: 0.1 },
-  { key: 'modelType', label: 'Какая стратегия торгует', hint: 'Три стратегии всегда сравниваются (трансформер — если включён); эта торгует в результатах и в живой проверке. Если выбран трансформер, он обучается и без галочки ниже.', type: 'select', options: [['attention', 'Внимание через карту'], ['leadlag', 'Кто за кем ходит'], ['inertia', 'Своя инерция'], ['transformer', 'Трансформер']] },
-  { key: 'modelUseTransformer', label: 'Добавить трансформер (медленно)', hint: 'Нейросеть с вниманием между акциями: добавляет в сравнение четвёртую стратегию. Учится заново в каждом окне, поэтому исследование идёт заметно дольше.', type: 'checkbox' },
-  { key: 'transformerEpochs', label: 'Эпох обучения трансформера', hint: 'Сколько раз трансформер проходит по данным окна обучения. Больше — дольше учится и может найти больше закономерностей (обучение само останавливается, если становится хуже).', min: 2, max: 40, step: 1, int: true },
-  { key: 'transformerStride', label: 'Шаг свечей при обучении трансформера', hint: 'В каждый проход берётся каждая N-я свеча (со сдвигом от прохода к проходу).', min: 1, max: 24, step: 1, int: true, hidden: true, fixed: true },
-  { key: 'transformerParallel', label: 'Обучать окна параллельно', hint: 'Месяцы проверки трансформера обучаются одновременно на нескольких ядрах процессора.', type: 'checkbox', hidden: true, fixed: true },
-  { key: 'transformerGpu', label: 'Обучать трансформер на видеокарте', hint: 'Экспериментально. Через встроенный в браузер (Chrome, Edge) движок. Если видеокарта недоступна — обучение пойдёт на процессоре. Результат может чуть отличаться в последних знаках.', type: 'checkbox' },
+  { key: 'modelDirection', label: 'Направление торговли', hint: '«Только в рост (без шорта)» — классическая покупка акций и их продажа при фиксации прибыли (работает на любом счёте и ИИС). «В рост и в падение (с шортом)» — дополнительно зарабатывает на падающих акциях за счёт коротких продаж (требуется включённая маржинальная торговля у брокера; на брокерских счетах без маржиналки шорты отключаются автоматически). «Хедж 50/50 (рост + падение)» — держит позиции в рост и в падение на равные суммы, чтобы не зависеть от обвалов индекса.', type: 'select', options: [['long', 'Только в рост (без шорта)'], ['longshort', 'В рост и в падение (с шортом)'], ['neutral', 'Хедж 50/50 (рост + падение)']] },
+  { key: 'modelHorizon', label: 'Горизонт прогноза, часов (ручной режим)', hint: 'При включённом Авто-режиме управляется автоматически (мульти-горизонт 1,5–3,5 ч). При выключенном Авто — на сколько часов вперёд предсказывать движение.', min: 0.5, max: 8 },
+  { key: 'modelMinEdge', label: 'Порог выгоды на вход (ручной режим)', hint: 'При включённом Авто-режиме управляется автоматически (2,5× издержек). При выключенном Авто — во сколько раз ожидаемое движение должно превышать стоимость сделки.', min: 0, max: 10 },
+  { key: 'modelExitRatio', label: 'Порог на выход (ручной режим)', hint: 'При включённом Авто-режиме управляется автоматически (двухступенчатый выход 0,35 / 0,95). При выключенном Авто — до какой доли от порога входа держать позицию.', min: 0, max: 1, step: 0.05 },
+  { key: 'modelAllocMode', label: 'Распределение суммы между акциями', hint: '«Поровну» — одинаковая доля на каждую позицию; «Обратно размаху акции» — спокойным бумагам больше, волатильным — меньше.', type: 'select', options: [['equal', 'Поровну'], ['invvol', 'Обратно размаху акции']] },
+  { key: 'modelMarketFilter', label: 'Фильтр падающего рынка', hint: 'Не открывать новые покупки, когда индекс Мосбиржи находится в среднесрочном нисходящем тренде.', type: 'select', options: [['off', 'Выключен'], ['ma', 'Не покупать при падении индекса']] },
+  { key: 'modelTrainDays', label: 'Окно обучения, торговых дней', hint: 'На скольких последних торговых днях стратегия строит карту рынка и учится перед каждым месяцем прогноза.', min: 30, max: 400 },
+  { key: 'modelHistoryDays', label: 'Период исследования, дней', hint: 'За сколько последних календарных дней проверять стратегию на истории.', min: 120, max: 1100 },
+  { key: 'modelEmbedDim', label: 'Размерность карты рынка (эмбеддинг)', hint: 'Сколько скрытых факторов совместного движения описывают каждую акцию на карте рынка.', min: 2, max: 20 },
+  { key: 'modelTextWeight', label: 'Вес бизнес-профилей компаний на карте', hint: '0 — карта рынка строится только по совместному поведению цен; 0,1…0,3 — примешивает фундаментальное сходство бизнеса компаний от ИИ.', min: 0, max: 1, step: 0.1 },
+  { key: 'modelUseMacro', label: 'Учитывать нефть, валюту, облигации', hint: 'Дополнительно учитывает чувствительность акций к Brent, юаню, доллару, золоту и RGBI.', type: 'checkbox', hidden: true },
+  { key: 'modelType', label: 'Какая стратегия торгует', hint: 'Внимание через карту.', type: 'select', options: [['attention', 'Внимание через карту'], ['leadlag', 'Кто за кем ходит'], ['inertia', 'Своя инерция']], hidden: true, fixed: true },
   { key: 'modelUseDividends', label: 'Учитывать дивиденды', hint: 'Цены до даты отсечки уменьшаются на размер дивиденда со сверкой по реальному падению цены.', type: 'checkbox', hidden: true, fixed: true },
   { key: 'capital', label: 'Стартовая сумма, ₽', hint: 'С какой суммой начинает виртуальный счёт.', min: 10000, max: 1e9, hidden: true },
-  { key: 'commissionPct', label: 'Комиссия, % за сделку', hint: 'Сколько берут брокер и биржа за покупку и отдельно за продажу.', min: 0, max: 1, ai: false },
-  { key: 'slippagePct', label: 'Потери при исполнении, %', hint: 'На сколько реальная цена сделки обычно хуже ожидаемой.', min: 0, max: 1, ai: false },
-  { key: 'paperDailyReview', label: 'ИИ разбирает каждый торговый день живой проверки', hint: 'После окончания торгового дня Стратег сам разбирает сделки и пишет короткую сводку в чат.', type: 'checkbox' },
-  { key: 'autopilotBudget', label: 'Лимит исследований автопилота за задание', hint: 'Сколько исследований Стратег может провести подряд за одно задание в режиме «Автопилот».', min: 1, max: 30, step: 1, int: true, ai: false },
+  { key: 'commissionPct', label: 'Комиссия брокера и биржи, % за сделку', hint: 'Сколько берут брокер и биржа за покупку и отдельно за продажу.', min: 0, max: 1, ai: false },
+  { key: 'slippagePct', label: 'Проскальзывание при исполнении, %', hint: 'На сколько реальная цена сделки в стакане обычно хуже ожидаемой.', min: 0, max: 1, ai: false },
+  { key: 'modelShortFeePct', label: 'Плата брокеру за заём акций (шорт), % годовых', hint: 'Ставка брокера за удержание коротких позиций (начисляется пропорционально времени удержания сделки).', min: 0, max: 100 },
+  { key: 'autopilotBudget', label: 'Лимит исследований автопилота за задание', hint: 'Сколько экспериментов Стратег может провести подряд за одно задание в режиме «⚡ Авто».', min: 1, max: 30, step: 1, int: true, ai: false },
+  { key: 'paperDailyReview', label: 'ИИ разбирает каждый торговый день', hint: 'После окончания торгового дня Стратег сам разбирает сделки виртуального счёта и пишет сводку в чат.', type: 'checkbox' },
   { key: 'newsEnabled', label: 'Следить за новостями', hint: 'Раз в 10 минут собирает новости и раскрытия компаний.', type: 'checkbox', hidden: true, fixed: true },
-  { key: 'newsFilter', label: 'Учитывать новости в торговле', hint: 'Раз в 10 минут собирает новости компаний (ИИ определяет затронутые акции и тон) и в живой проверке не открывает сделки против важной свежей новости.', type: 'checkbox' },
+  { key: 'newsFilter', label: 'Блокировать сделки против важных свежих новостей', hint: 'В живой торговле и брокерских заявках не покупать бумагу на сильном негативе и не шортить на сильном позитиве за последние 6 часов.', type: 'checkbox' },
   { key: 'oosPct', label: 'Контрольная часть, %', hint: 'Доля периода в конце, не используемая для подбора настроек.', min: 0, max: 60, ai: false, hidden: true },
   { key: 'paperPollSec', label: 'Проверять биржу раз в, сек', hint: 'Как часто живая проверка смотрит, не закрылась ли новая свеча.', min: 15, max: 3600, hidden: true },
 ];

package/server/settings.js

@@ -1,3 +1,4 @@
+// Copyright (c) 2026 Roman A. Perepelkin. Licensed under the MIT License.
 import { strategyDefaults } from './config.js';
 import { userKvGet, userKvSet, addSettingsHistory, getSettingsHistory } from './db.js';
 import { validateParam, normalizeKey, PARAM_MAP } from './params-meta.js';

package/server/strategist/analytics.js

@@ -1,3 +1,4 @@
+// Copyright (c) 2026 Roman A. Perepelkin. Licensed under the MIT License.
 import { strategyDefaults } from '../config.js';
 import { getRun, getTrades, listRuns } from '../db.js';
 import { round, MSK } from '../util.js';