neuroalpha 0.3.16 → 0.5.1

package/server/role.js

@@ -0,0 +1,44 @@
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Режим работы сервера:
+//   central  — центральный сервер платформы: лендинг, кабинеты, оплата, админка, ИИ-прокси, реестр машин клиентов и выпуск лицензий
+//   instance — машина клиента с лицензией центра. Вид машины (INSTANCE_KIND):
+//                cloud   — арендованная машина в Kubernetes (поддомен naXXXXXX.odant.org), вход через центр
+//                desktop — установка на компьютер клиента (VIP по договору), активация кодом из кабинета
+//   dev      — локальный запуск разработчика/владельца (прежнее поведение)
+import './config.js';
+import { BUILD } from './build-info.js';
+
+// Защищённая сборка для компьютера клиента — всегда instance/desktop, без возможности переопределения
+const raw = BUILD ? 'instance' : String(process.env.NEUROALPHA_ROLE || (process.env.CLOUD_MODE === '1' ? 'central' : 'dev')).trim().toLowerCase();
+export const ROLE = ['central', 'instance', 'dev'].includes(raw) ? raw : 'dev';
+export const IS_CENTRAL = ROLE === 'central';
+export const IS_INSTANCE = ROLE === 'instance';
+export const IS_DEV = ROLE === 'dev';
+export const INSTANCE_KIND = BUILD ? 'desktop' : (IS_INSTANCE && String(process.env.INSTANCE_KIND || 'cloud').trim().toLowerCase() === 'desktop' ? 'desktop' : 'cloud');
+export const IS_DESKTOP = IS_INSTANCE && INSTANCE_KIND === 'desktop';
+
+if (IS_CENTRAL) process.env.CLOUD_MODE = '1';
+if (BUILD) {
+  delete process.env.CLOUD_MODE;
+  // провайдер ИИ «НейроАльфа Облако» и проверка лицензии ходят только в вшитый центр
+  process.env.CLOUD_URL = BUILD.centralUrl;
+}
+
+export const INSTANCE_DOMAIN = String(process.env.INSTANCE_DOMAIN || 'odant.org').trim().replace(/^\.+/, '');
+export const CENTRAL_URL = (BUILD ? BUILD.centralUrl : String(process.env.CENTRAL_URL || process.env.CLOUD_URL || 'https://neuroalpha.odant.org')).trim().replace(/\/+$/, '');
+
+// Адрес прослушивания: установка на компьютер по умолчанию доступна только с этого компьютера
+export const LISTEN_HOST = String(process.env.HOST || (IS_DESKTOP ? '127.0.0.1' : '')).trim() || undefined;
+
+// IP клиента: за ingress/прокси (central, cloud-машина или TRUST_PROXY=1) берётся последний адрес из X-Forwarded-For,
+// который добавил наш прокси; первые значения цепочки клиент может подделать
+export function clientIp(req) {
+  const behindProxy = IS_CENTRAL || (IS_INSTANCE && !IS_DESKTOP) || process.env.TRUST_PROXY === '1';
+  const xff = String(req?.headers?.['x-forwarded-for'] || '').split(',').map((s) => s.trim()).filter(Boolean);
+  if (behindProxy && xff.length) return xff[xff.length - 1];
+  return String(req?.socket?.remoteAddress || '');
+}
+
+export function isHttpsRequest(req) {
+  return Boolean(req?.secure || String(req?.headers?.['x-forwarded-proto'] || '').split(',')[0].trim() === 'https');
+}

package/server/security.js

@@ -0,0 +1,40 @@
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Защитные HTTP-заголовки, CSP для терминала и защита от межсайтовых запросов (CSRF / Cross-Site WebSocket)
+
+const APP_CSP = [
+  "default-src 'self'",
+  "script-src 'self' https://unpkg.com",
+  "style-src 'self' 'unsafe-inline'",
+  "img-src 'self' data: https:",
+  "font-src 'self' data:",
+  "connect-src 'self' ws: wss:",
+  "object-src 'none'",
+  "base-uri 'self'",
+  "form-action 'self'",
+  "frame-ancestors 'none'",
+].join('; ');
+
+export function securityHeaders(req, res, next) {
+  res.setHeader('X-Content-Type-Options', 'nosniff');
+  res.setHeader('Referrer-Policy', 'same-origin');
+  res.setHeader('X-Frame-Options', 'DENY');
+  if (req.path === '/index.html') res.setHeader('Content-Security-Policy', APP_CSP);
+  next();
+}
+
+// CSP торгового терминала (index.html). На лендинге и в админке есть встроенные скрипты — им CSP не ставится.
+export function setAppCsp(res) {
+  res.setHeader('Content-Security-Policy', APP_CSP);
+}
+
+// Запрос из браузера с чужого сайта: Origin есть и не совпадает с Host.
+// Запросы без Origin (curl, боты, серверные клиенты API) не браузерные — их защищает авторизация.
+export function isCrossOrigin(req) {
+  const origin = req.headers?.origin;
+  if (!origin || origin === 'null') return Boolean(origin);
+  try {
+    return new URL(origin).host.toLowerCase() !== String(req.headers?.host || '').toLowerCase();
+  } catch {
+    return true;
+  }
+}