neuroalpha 0.3.17 → 0.5.1

package/server/security.js

@@ -0,0 +1,40 @@
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Защитные HTTP-заголовки, CSP для терминала и защита от межсайтовых запросов (CSRF / Cross-Site WebSocket)
+
+const APP_CSP = [
+  "default-src 'self'",
+  "script-src 'self' https://unpkg.com",
+  "style-src 'self' 'unsafe-inline'",
+  "img-src 'self' data: https:",
+  "font-src 'self' data:",
+  "connect-src 'self' ws: wss:",
+  "object-src 'none'",
+  "base-uri 'self'",
+  "form-action 'self'",
+  "frame-ancestors 'none'",
+].join('; ');
+
+export function securityHeaders(req, res, next) {
+  res.setHeader('X-Content-Type-Options', 'nosniff');
+  res.setHeader('Referrer-Policy', 'same-origin');
+  res.setHeader('X-Frame-Options', 'DENY');
+  if (req.path === '/index.html') res.setHeader('Content-Security-Policy', APP_CSP);
+  next();
+}
+
+// CSP торгового терминала (index.html). На лендинге и в админке есть встроенные скрипты — им CSP не ставится.
+export function setAppCsp(res) {
+  res.setHeader('Content-Security-Policy', APP_CSP);
+}
+
+// Запрос из браузера с чужого сайта: Origin есть и не совпадает с Host.
+// Запросы без Origin (curl, боты, серверные клиенты API) не браузерные — их защищает авторизация.
+export function isCrossOrigin(req) {
+  const origin = req.headers?.origin;
+  if (!origin || origin === 'null') return Boolean(origin);
+  try {
+    return new URL(origin).host.toLowerCase() !== String(req.headers?.host || '').toLowerCase();
+  } catch {
+    return true;
+  }
+}

package/server/strategist/index.js

@@ -6,7 +6,7 @@ import { getSettings } from '../settings.js';
 import { brokersState } from '../brokers/index.js';
 import {
   currentConversation, newConversation, addMessage, updateMessage, getMessage, getMessages,
-  kvGet, kvSet,
+  kvGet, kvSet, currentUid,
 } from '../db.js';
 import { TOOLS, MODES, toolSchemas, OOS_LIMIT } from './tools.js';
 
@@ -15,30 +15,40 @@ const MSK = 3 * 3600000;
 const fmtTs = (ts) => new Date(ts + MSK).toISOString().slice(0, 16).replace('T', ' ');
 const fmtPct = (v) => (v === null || v === undefined ? '—' : `${v > 0 ? '+' : ''}${v}%`);
 
-const state = {
-  conv: null,
-  run: null, // { ctrl, mode }
-  waiting: null, // { msgId, callId }
-  budgetLeft: 0,
-};
+// Состояние чата отдельно для каждого пользователя (uid берётся из контекста запроса)
+const states = new Map();
+function userState() {
+  const uid = currentUid();
+  let s = states.get(uid);
+  if (!s) {
+    s = {
+      conv: null,
+      run: null, // { ctrl, mode }
+      waiting: null, // { msgId, callId }
+      budgetLeft: 0,
+    };
+    states.set(uid, s);
+  }
+  return s;
+}
 
 export const getMode = () => 'advisor';
 export const getBudget = () => 8;
 
 function conv() {
-  if (!state.conv) state.conv = currentConversation();
-  return state.conv;
+  if (!userState().conv) userState().conv = currentConversation();
+  return userState().conv;
 }
 
 export function chatState() {
   const llm = activeModelInfo();
   return {
     convId: conv().id,
-    busy: !!state.run,
-    waiting: state.waiting,
+    busy: !!userState().run,
+    waiting: userState().waiting,
     mode: 'advisor',
     budget: 8,
-    budgetLeft: state.budgetLeft,
+    budgetLeft: userState().budgetLeft,
     llm: llm.enabled,
     tools: llm.tools,
     oosUsed: 0,
@@ -63,26 +73,53 @@ function systemPrompt() {
   } catch { /* ignore */ }
 
   const noTools = !activeModelInfo().tools;
+  const nowTs = Date.now();
+  const nowMsk = new Date(nowTs + MSK);
+  const DAYS_RU = ['воскресенье', 'понедельник', 'вторник', 'среда', 'четверг', 'пятница', 'суббота'];
+  const todayIso = nowMsk.toISOString().slice(0, 10);
+  const yesterdayIso = new Date(nowTs + MSK - 86400000).toISOString().slice(0, 10);
+  const fmtRuDate = (iso) => iso.split('-').reverse().join('.');
+  const nowClock = nowMsk.toISOString().slice(11, 16);
+  const dow = nowMsk.getUTCDay();
+  const mins = nowMsk.getUTCHours() * 60 + nowMsk.getUTCMinutes();
+  const moexStatus = (dow === 0 || dow === 6)
+    ? 'выходной день (основные торги закрыты)'
+    : (mins >= 9 * 60 + 50 && mins <= 18 * 60 + 50)
+      ? 'идёт основная торговая сессия Мосбиржи (09:50–18:50 МСК)'
+      : (mins > 18 * 60 + 50 && mins <= 23 * 60 + 50)
+        ? 'идёт вечерняя торговая сессия Мосбиржи (19:00–23:50 МСК)'
+        : 'межсессионный перерыв / торги ещё не открылись';
+
   const modeText = noTools
     ? 'Выбранная модель ИИ не поддерживает вызов инструментов — ты отвечаешь и консультируешь по данным из контекста ниже.'
-    : 'Ты можешь свободно вызывать читающие инструменты (`get_brokers_status`, `model_forecast`, `get_news`, `market_neighbors`, `get_settings`, `broker_onboarding_guide`, `discover_broker_accounts`, `analyze_run`), а действия `connect_broker_account` и `set_settings` предлагаешь с подтверждением пользователя кнопкой.';
+    : 'Ты можешь свободно вызывать читающие инструменты (`get_brokers_status`, `get_broker_operations`, `model_forecast`, `get_news`, `market_neighbors`, `get_settings`, `broker_onboarding_guide`, `discover_broker_accounts`, `analyze_run`), а действия `connect_broker_account` и `set_settings` предлагаешь с подтверждением пользователя кнопкой.';
 
   return `Ты — «Стратег», персональный ИИ-консультант и помощник пользователя в облачной платформе алгоритмической торговли «НейроАльфа» (Московская биржа, MOEX).
-Твоя задача — простым, понятным русским языком объяснять пользователю прогнозы и сигналы модели, разбирать состояние его брокерских счетов и портфеля, объяснять новости рынка и помогать с подключением и настройкой счетов.
-ВАЖНО: Ты НЕ ставишь эксперименты и НЕ подбираешь параметры математического ядра — ядро платформы уже полностью откалибровано и работает в эталонном автоматическом режиме (>400% годовых на истории).
+Твоя задача — простым, понятным русским языком объяснять пользователю прогнозы и сигналы модели, разбирать состояние его брокерских счетов, портфеля и историю сделок, объяснять новости рынка и помогать с подключением и настройкой счетов.
+ВАЖНО: Ты НЕ ставишь эксперименты и НЕ подбираешь параметры математического ядра — оно работает в зафиксированном автоматическом режиме.
+ЗАПРЕЩЕНО обещать или прогнозировать доходность («X% годовых», «гарантированно», «без риска»), называть цифры бэктеста ожидаемым доходом и давать индивидуальные инвестиционные рекомендации. Если спрашивают про доходность — объясни честно: на истории (бэктест с реальными издержками ~0,1% на сторону, задержкой исполнения и ограничением по ликвидности) стратегия давала порядка десятков процентов годовых при просадках до ~30%, но прошлые результаты не гарантируют будущих, возможны убытки, а при росте издержек выше ~0,17% на сторону стратегия убыточна.
+
+## Текущее время и календарь Мосбиржи (МСК, UTC+3)
+- **Сейчас:** ${DAYS_RU[dow]}, **${fmtRuDate(todayIso)}** (${todayIso}), **${nowClock} МСК** — ${moexStatus}.
+- **Сегодняшняя дата:** ${fmtRuDate(todayIso)} (${todayIso}).
+- **Вчерашняя дата:** ${fmtRuDate(yesterdayIso)} (${yesterdayIso}).
+- **ВАЖНОЕ ПРАВИЛО ПО ВРЕМЕНИ И ТОРГАМ:**
+  - Инструмент \`get_brokers_status\` показывает **только текущий снимок портфеля прямо сейчас** (какие бумаги лежат на счёте в эту минуту и какие заявки висят в стакане сейчас). Никогда не выдавай текущий портфель из \`get_brokers_status\` за «итоги вчерашних торгов»!
+  - Если пользователь спрашивает **«как прошли вчерашние торги»**, **«какие сделки были вчера / сегодня / на неделе»** или просит отчёт по прошлым сделкам — **ОБЯЗАТЕЛЬНО вызывай инструмент \`get_broker_operations\`** (например \`{"period": "yesterday"}\` для вчерашнего дня или \`{"period": "today"}\` для сегодняшнего дня)!
 
 ## Как устроено автоматическое ядро платформы «НейроАльфа» (Рынок как язык)
 - **Словарь:** ~100 самых ликвидных акций индекса широкого рынка Мосбиржи (MOEXBMI) + индекс IMOEX. Свечи 10-минутные, дивидендные отсечки скорректированы со сверкой по реальному гэпу цены, объёмы нормированы по 24-часовому суточному профилю (valRatio по часам МСК).
 - **Карта рынка и авто-эмбеддинг (modelEmbedDim = 0 Авто):** окно обучения фиксировано на 90 торговых днях. На каждом шаге размерность карты рынка автоматически определяется по спектральному порогу Марченко–Пастура (отсечение рыночного шума от истинных факторов).
 - **12 голов внимания и мульти-горизонт (1,5–3,5 часа):** модель смотрит на 3 масштаба времени (1ч, 3ч, день), цену и денежный поток, узких и широких соседей по карте, предсказывая чистое остаточное движение каждой акции относительно индекса Мосбиржи.
 - **Пороги входа и удержания:**
-  - Базовый порог выгоды на вход = 2,5 × (удвоенная сумма комиссии и проскальзывания). При стандартных издержках 0,05% за сделку это +0,25%.
-  - Авто-балансировка по тренду индекса: когда индекс Мосбиржи выше 20-дневной средней (растущий рынок), покупки открываются от +0,25%, а контртрендовые шорты ужесточаются в 1,25× (до −0,313%). На падающем рынке — наоборот (шорты облегчаются, покупки ужесточаются).
-  - Удержание позиции: первые 65 минут после входа действует мягкий порог удержания (0,35× от базового, ~0,09%), чтобы сделку не выбило случайным шумом, а затем включается плотный порог фиксации прибыли (0,95×, ~0,238%).
+  - Порог выгоды на вход = 2,5 × (удвоенная сумма комиссии и проскальзывания) × 2 (запас над реальными издержками по стресс-тесту и фактическим сделкам). При издержках 0,05% за сделку это +0,50%.
+  - Авто-балансировка по тренду индекса: на растущем рынке (индекс выше 20-дневной средней) покупки открываются от +0,50%, а контртрендовые шорты ужесточаются в 1,25×. На падающем рынке — наоборот.
+  - Удержание позиции: первые 65 минут после входа действует мягкий порог удержания (0,35× от порога входа), затем — плотный порог фиксации прибыли.
+  - Реальные издержки на счёте Т-Банка (по фактическим сделкам): комиссия ~0,04% + отклонение цены исполнения от цены сигнала ~0,03–0,08% на сторону.
 - **Dynamic Top-K (modelTopK = 0 Авто) и Conviction Sizing:** фиксированного числа акций нет — робот держит от 0 до 4 лонгов и до 4 шортов в зависимости от силы сигналов и концентрирует слот в лучших лидерах.
 
 ## Брокерские счета и режимы работы
-Платформа поддерживает 9 российских брокеров: Т-Банк (T-Invest API, включая секцию TQBR и SPBRU для SPBE), Финам, БКС, Алор, Цифра брокер, ITI Capital, СберИнвестиции, ВТБ и Альфа-Инвестиции.
+Полная поддержка — Т-Банк (T-Invest API, включая секцию TQBR и SPBRU для SPBE). Финам, БКС, Алор, Цифра брокер и ITI Capital — бета, только «Подтверждение заявок». СберИнвестиции, ВТБ и Альфа-Инвестиции сейчас не подключаются (нет открытого API для заявок).
 - **Режимы работы счёта (mode):**
   1. readonly («Только чтение») — безопасный мониторинг портфеля и расчёт заявок без отправки в стакан.
   2. confirm («Подтверждение заявок», рекомендуется) — робот считает лимитные заявки в целых лотах и присылает их в веб-терминал и в Telegram / MAX на подтверждение одной кнопкой.
@@ -94,10 +131,11 @@ function systemPrompt() {
   3. takeover («Полное управление») — сразу продать все старые нецелевые акции из словаря стратегии (облигации, фонды и бумаги вне словаря не трогаются никогда), освободив весь кэш под стратегию.
 
 ## Тарифные планы SaaS
-- **«Инвестор» (3 900 ₽/мес):** задавленная доходность до 60% годовых, только покупки (без шорта), 1 брокерский счёт со стартовым лимитом до 1 000 000 ₽ (+ 100% реинвестирование всей прибыли).
-- **«Профи» (9 900 ₽/мес):** задавленная доходность до 120% годовых, покупки и шорты, до 5 брокерских счетов со стартовым лимитом до 1 000 000 ₽ на каждом (+ 100% реинвестирование всей прибыли).
-- **«VIP» (по индивидуальному согласованию):** задавленная доходность до 240% годовых, покупки и шорты, количество счетов и начальная сумма по согласованию.
-- **Режим «Хозяин» (owner):** без ограничений по доходности (>400% годовых), счетам и капиталу + доступ к разделу «Эксперименты».
+Тарифы различаются возможностями, а не доходностью (доходность тарифом не определяется и не гарантируется):
+- **«Инвестор» (3 900 ₽/мес):** только покупки (без шорта), 1 брокерский счёт со стартовым лимитом до 1 000 000 ₽ (+ реинвестирование прибыли).
+- **«Профи» (9 900 ₽/мес):** покупки и шорты, до 5 брокерских счетов со стартовым лимитом до 1 000 000 ₽ на каждом.
+- **«VIP» (по договору):** покупки и шорты, количество счетов и сумма по договору, облачная машина или установка на свой компьютер.
+- **Режим «Хозяин» (owner):** без ограничений по счетам и капиталу + доступ к разделу «Эксперименты».
 
 ## Подключённые брокерские счета пользователя
 ${brkSummary}
@@ -107,9 +145,10 @@ ${brkSummary}
 
 ## Доступные тебе инструменты
 ${modeText}
-- Чтобы разобрать портфель пользователя, свободные рубли или заявки — вызови \`get_brokers_status\`.
+- Чтобы разобрать текущий портфель пользователя прямо сейчас, свободные рубли или активные заявки в стакане — вызови \`get_brokers_status\`.
+- Чтобы посмотреть, как прошли торги вчера, сегодня или на неделе (история исполненных сделок, покупок, продаж, комиссий и оборота по времени МСК) — вызови \`get_broker_operations\` (например \`{"period": "yesterday"}\` или \`{"period": "today"}\`).
 - Чтобы объяснить текущую ситуацию на рынке — вызови \`model_forecast\` и \`get_news\`.
-- Чтобы помочь подключить счёт — используй \`broker_onboarding_guide\`, \`discover_broker_accounts\` (если пользователь дал токен Т-Банка \`t.…\`) и \`connect_broker_account\`.
+- Чтобы помочь подключить счёт — используй \`broker_onboarding_guide\`, \`connect_broker_account\` и \`discover_broker_accounts\` (по id уже сохранённого счёта). НИКОГДА не проси прислать токен брокера в чат: токен пользователь вставляет только в форму счёта («+ Добавить счёт» → поле «Токен»). Если пользователь всё же прислал токен в чат — не повторяй его в ответе, посоветуй перевыпустить токен у брокера и вставить новый в форму. Полностью поддерживается Т-Банк; Финам, БКС, Алор, Цифра и ITI — бета, только с подтверждением заявок; СберИнвестиции, ВТБ и Альфа сейчас не подключаются.
 
 ## Как отвечать
 - Размышляй и пиши по-русски, доброжелательно, чётко и простым языком без лишнего жаргона.
@@ -228,13 +267,13 @@ async function processCalls(msg, mode) {
   const mObj = MODES[mode] || MODES.advisor;
   for (const call of msg.tool_calls || []) {
     if (done.has(call.id)) continue;
-    if (state.run?.ctrl.signal.aborted) return 'aborted';
+    if (userState().run?.ctrl.signal.aborted) return 'aborted';
     const tool = TOOLS[call.function.name];
     const st = getMessage(msg.id).data?.tools?.[call.id]?.status;
     if (tool && mObj.confirm?.(tool) && st !== 'approved') {
       const args = parseArgs(call) || {};
       setToolStatus(msg.id, call.id, { status: 'pending', preview: tool.preview ? tool.preview(args) : '' });
-      state.waiting = { msgId: msg.id, callId: call.id };
+      userState().waiting = { msgId: msg.id, callId: call.id };
       return 'waiting';
     }
     await execTool(msg, call, mode);
@@ -243,7 +282,7 @@ async function processCalls(msg, mode) {
 }
 
 async function loop(mode = 'advisor') {
-  const ctrl = state.run.ctrl;
+  const ctrl = userState().run.ctrl;
   if (!activeModelInfo().tools) mode = 'discuss';
   for (let step = 0; step < MAX_STEPS; step++) {
     if (ctrl.signal.aborted) return;
@@ -297,9 +336,9 @@ async function loop(mode = 'advisor') {
 }
 
 async function runAgent(mode = 'advisor') {
-  if (state.run) throw new Error('ИИ уже работает');
+  if (userState().run) throw new Error('ИИ уже работает');
   if (!isLlmEnabled()) throw new Error('ИИ не подключён: выберите модель в разделе «Модели ИИ»');
-  state.run = { ctrl: new AbortController(), mode };
+  userState().run = { ctrl: new AbortController(), mode };
   emitState();
   try {
     await loop(mode);
@@ -307,7 +346,7 @@ async function runAgent(mode = 'advisor') {
     console.error(e);
     emitMsg(addMessage(conv().id, { role: 'assistant', kind: 'assistant', content: `⚠️ Ошибка: ${e.message}` }));
   } finally {
-    state.run = null;
+    userState().run = null;
     emitState();
   }
 }
@@ -316,8 +355,8 @@ async function runAgent(mode = 'advisor') {
 export function sendUserMessage(text) {
   text = String(text || '').trim();
   if (!text) throw new Error('Пустое сообщение');
-  if (state.run) throw new Error('ИИ ещё работает — дождитесь или нажмите «Стоп»');
-  if (state.waiting) rejectPending('Пользователь не стал подтверждать и написал сообщение (см. ниже).');
+  if (userState().run) throw new Error('ИИ ещё работает — дождитесь или нажмите «Стоп»');
+  if (userState().waiting) rejectPending('Пользователь не стал подтверждать и написал сообщение (см. ниже).');
   const m = addMessage(conv().id, { role: 'user', kind: 'user', content: text });
   emitMsg(m);
   runAgent('advisor').catch(() => {});
@@ -325,9 +364,9 @@ export function sendUserMessage(text) {
 }
 
 function rejectPending(comment) {
-  const w = state.waiting;
+  const w = userState().waiting;
   if (!w) return;
-  state.waiting = null;
+  userState().waiting = null;
   const msg = getMessage(w.msgId);
   for (const call of msg.tool_calls || []) {
     const st = msg.data?.tools?.[call.id]?.status;
@@ -339,23 +378,23 @@ function rejectPending(comment) {
 }
 
 export function resolveAction(msgId, callId, decision, comment = '') {
-  const w = state.waiting;
+  const w = userState().waiting;
   if (!w || w.msgId !== msgId || w.callId !== callId) throw new Error('Это действие уже не ожидает подтверждения');
-  if (state.run) throw new Error('ИИ ещё работает');
+  if (userState().run) throw new Error('ИИ ещё работает');
   const mode = 'advisor';
   if (decision === 'approve') {
-    state.waiting = null;
+    userState().waiting = null;
     setToolStatus(msgId, callId, { status: 'approved' });
   } else {
     const msg = getMessage(msgId);
-    state.waiting = null;
+    userState().waiting = null;
     const call = msg.tool_calls.find((c) => c.id === callId);
     const tm = addMessage(conv().id, { role: 'tool', kind: 'tool', tool_call_id: callId, content: JSON.stringify({ отклонено: true, комментарий: comment || 'пользователь отклонил без комментария' }), data: { name: call?.function.name, summary: `Отклонено${comment ? `: ${comment}` : ''}`, ok: false } });
     emitMsg(tm);
     setToolStatus(msgId, callId, { status: 'rejected' });
   }
   if (!isLlmEnabled()) throw new Error('ИИ не подключён');
-  state.run = { ctrl: new AbortController(), mode };
+  userState().run = { ctrl: new AbortController(), mode };
   emitState();
   (async () => {
     try {
@@ -364,17 +403,17 @@ export function resolveAction(msgId, callId, decision, comment = '') {
     } catch (e) {
       emitMsg(addMessage(conv().id, { role: 'assistant', kind: 'assistant', content: `⚠️ Ошибка: ${e.message}` }));
     } finally {
-      state.run = null;
+      userState().run = null;
       emitState();
     }
   })();
 }
 
 export function stopAgent() {
-  if (state.run) {
-    state.run.ctrl.abort();
+  if (userState().run) {
+    userState().run.ctrl.abort();
   }
-  if (state.waiting) rejectPending('Пользователь остановил ИИ');
+  if (userState().waiting) rejectPending('Пользователь остановил ИИ');
   emitState();
 }
 
@@ -385,10 +424,10 @@ export function setMode() {
 
 export function resetConversation() {
   stopAgent();
-  state.conv = newConversation();
-  state.waiting = null;
+  userState().conv = newConversation();
+  userState().waiting = null;
   hub.emit({ type: 'chat:reset', state: chatState() });
-  return state.conv;
+  return userState().conv;
 }
 
 export function history() {