neuroalpha 0.3.17 → 0.5.1

package/server/api/routes.js

@@ -5,24 +5,58 @@ import express from 'express';
 import { ROOT, strategyDefaults } from '../config.js';
 import { activeModelInfo } from '../llm/client.js';
 import { listProviders, getSelected, addProvider, updateProvider, deleteProvider, fetchRemoteModels, testProvider, selectModel, resolveUpstreamForProxy, providerFetch } from '../llm/providers.js';
-import { listRuns, allRuns, getRun, getTrades, deleteRun, updateRunTitle, setRunShowcase, listShowcaseRuns, countUserRunsToday, countUserChatToday, listJournal, deleteJournal, addJournal, listSettingsHistory, kvGet, kvSet } from '../db.js';
+import { listRuns, allRuns, getRun, getTrades, deleteRun, updateRunTitle, setRunShowcase, listShowcaseRuns, countUserRunsToday, countUserChatToday, listJournal, deleteJournal, addJournal, listSettingsHistory, kvGet, kvSet, db, loadCandles } from '../db.js';
 import { PLANS, effectivePlan, publicUser, getUserById, createSession, deleteSession, registerUser, loginUser, ensureNotifyCode, ensureApiKey, getUserByApiKey, activateLocalLicense, listAllUsers, setUserPlan, createPromoCode, listPromoCodes, redeemPromoCode, acceptUserOffer, createVipRequest, listVipRequests, parseCookies, publicOAuthConfig, saveOAuthConfig, startOAuthRedirect, completeOAuthCallback, verifyTelegramLoginWidget } from '../auth/index.js';
 import { publicBillingConfig, saveBillingConfig, createYookassaPayment, verifyYookassaPayment, verifyUserLatestPayment, listAllPayments } from '../billing/yookassa.js';
 import { publicNotifyConfig, getNotifyConfig, saveNotifyConfig, notifyUser, createTelegramLoginChallenge, checkTelegramLoginChallenge, handleMaxWebhook } from '../notify/index.js';
 import { PARAMS } from '../params-meta.js';
 import { getSettings, updateSettings, resetSettings, revertSettingsChange } from '../settings.js';
 import { startModelResearch, cancelModelResearch, startStabilityCheck, cancelStabilityCheck } from '../model/research.js';
-import { forecastNow } from '../model/forecast.js';
-import { profilesInfo, startProfilesRefresh } from '../model/profiles.js';
+import { forecastNow, TIER1_LIQUID_SYMBOLS } from '../model/forecast.js';
+import { profilesInfo, startProfilesRefresh, TRAITS, loadProfiles } from '../model/profiles.js';
+import { ensureDividends } from '../data/moex.js';
 import { live } from '../model/live.js';
-import { brokersState, saveBrokerAccount, deleteBrokerAccount, syncBrokerAccount, discoverBrokerAccounts, freezeBrokerBaseline, fetchBrokerHistory, prepareBrokerOrders, executeBrokerOrders, rejectBrokerOrders, cancelBrokerOrder } from '../brokers/index.js';
+import { brokersState, saveBrokerAccount, deleteBrokerAccount, syncBrokerAccount, discoverBrokerAccounts, freezeBrokerBaseline, fetchBrokerHistory, prepareBrokerOrders, executeBrokerOrders, rejectBrokerOrders, cancelBrokerOrder, triggerBrokerFastEntryCheck, ensureBoardSpecs, resetBrokerDailyStop, listBrokerEvents, stopAllBrokerTrading } from '../brokers/index.js';
 import { listNews } from '../news/index.js';
 import * as strategist from '../strategist/index.js';
+import { round, MSK, DAY } from '../util.js';
 import { hub } from '../hub.js';
+import { isCrossOrigin } from '../security.js';
+import { IS_CENTRAL, IS_INSTANCE, CENTRAL_URL, clientIp, isHttpsRequest } from '../role.js';
+import { consumeSsoToken } from '../instance/agent.js';
+import { IS_DESKTOP } from '../role.js';
+import { listInstances, createInstance, rotateInstanceKey, setInstanceTrading, setInstanceRevoked, deleteInstance, instanceByKey, instanceHeartbeat, cabinetInstances, ssoRedirectUrl, relayInstanceNotify, centralPublicKeyPem, createDesktopActivationCode, activateDesktopInstall, unbindInstall } from '../instance/central.js';
+import { activateDesktop, instanceInfo } from '../instance/agent.js';
+import { isActivated } from '../instance/identity.js';
 
 export function createRouter() {
   const r = express.Router();
-  const wrap = (fn) => (req, res) => Promise.resolve().then(() => fn(req, res)).catch((e) => res.status(400).json({ error: e.message }));
+  const wrap = (fn) => (req, res) => Promise.resolve().then(() => fn(req, res)).catch((e) => res.status(e.status || 400).json({ error: e.message }));
+
+  // ---------- общая защита API: вход обязателен везде, кроме публичных маршрутов ----------
+  const PUBLIC_API = [/^\/config$/, /^\/auth\//, /^\/license\/verify$/, /^\/billing\/yookassa\/webhook$/, /^\/notify\/max\/webhook$/, /^\/public\//, /^\/llm\/proxy\//, /^\/instance\//, /^\/instances\/open$/, /^\/local\//];
+  // внешние серверные вызовы без браузерного Origin-контроля
+  const MACHINE_API = [/^\/license\/verify$/, /^\/billing\/yookassa\/webhook$/, /^\/notify\/max\/webhook$/, /^\/llm\/proxy\//, /^\/instance\//];
+  // На машине клиента регистрация, вход по паролю, оплата, админка, боты и ИИ-прокси живут только в центре
+  const CENTRAL_ONLY_API = [/^\/auth\/(register|login|oauth|telegram|notify-code|notify-test|redeem-promo|vip-request|api-key|accept-offer)/, /^\/billing\//, /^\/admin\//, /^\/license\//, /^\/llm\/proxy\//, /^\/notify\//, /^\/public\/showcase$/, /^\/instance\//, /^\/instances\//];
+  r.use((req, res, next) => {
+    const p = req.path;
+    if (IS_INSTANCE && CENTRAL_ONLY_API.some((rx) => rx.test(p))) {
+      return res.status(404).json({ error: `Доступно в личном кабинете: ${CENTRAL_URL}` });
+    }
+    if (!IS_CENTRAL && (/^\/instance\//.test(p) || /^\/instances\//.test(p) || /^\/admin\/instances/.test(p))) {
+      return res.status(404).json({ error: 'Доступно только на центральном сервере' });
+    }
+    if (!IS_INSTANCE && /^\/local\//.test(p)) {
+      return res.status(404).json({ error: 'Доступно только на машине клиента' });
+    }
+    const isRead = req.method === 'GET' || req.method === 'HEAD' || req.method === 'OPTIONS';
+    if (!isRead && !MACHINE_API.some((rx) => rx.test(p)) && isCrossOrigin(req)) {
+      return res.status(403).json({ error: 'Запрос с чужого сайта отклонён' });
+    }
+    if (req.user || PUBLIC_API.some((rx) => rx.test(p))) return next();
+    return res.status(401).json({ error: 'Требуется вход в аккаунт' });
+  });
 
   r.get('/config', (req, res) => res.json({
     defaults: strategyDefaults, params: PARAMS,
@@ -36,10 +70,18 @@ export function createRouter() {
 
   // ---------- авторизация, профиль и тарифы ----------
   const setCookie = (res, sid, maxAgeSec = 30 * 86400) => {
-    res.setHeader('Set-Cookie', `sid=${encodeURIComponent(sid)}; Path=/; HttpOnly; SameSite=Lax; Max-Age=${maxAgeSec}`);
+    const secure = isHttpsRequest(res.req) ? '; Secure' : '';
+    res.setHeader('Set-Cookie', `sid=${encodeURIComponent(sid)}; Path=/; HttpOnly; SameSite=Lax; Max-Age=${maxAgeSec}${secure}`);
   };
   r.get('/auth/me', (req, res) => res.json({
-    user: publicUser(req.user),
+    user: req.user ? { ...publicUser(req.user), instances: IS_CENTRAL ? cabinetInstances(req.user.id) : [] } : null,
+    downloads: IS_CENTRAL ? {
+      windows: process.env.DESKTOP_DOWNLOAD_WINDOWS || '',
+      linux: process.env.DESKTOP_DOWNLOAD_LINUX || '',
+      docker: process.env.DESKTOP_DOCKER_IMAGE || '',
+    } : null,
+    role: IS_INSTANCE ? 'instance' : IS_CENTRAL ? 'central' : 'dev',
+    centralUrl: IS_INSTANCE ? CENTRAL_URL : '',
     cloudMode: process.env.CLOUD_MODE === '1',
     plans: PLANS,
     notify: publicNotifyConfig(),
@@ -105,8 +147,8 @@ export function createRouter() {
     setCookie(res, token);
     res.json({ user: publicUser(u), token });
   }));
-  r.post('/auth/login', wrap((req, res) => {
-    const u = loginUser(req.body || {});
+  r.post('/auth/login', wrap(async (req, res) => {
+    const u = await loginUser(req.body || {}, { ip: clientIp(req) });
     const token = createSession(u.id);
     setCookie(res, token);
     res.json({ user: publicUser(u), token });
@@ -115,7 +157,58 @@ export function createRouter() {
     const cookies = parseCookies(req.headers?.cookie);
     if (cookies.sid) deleteSession(cookies.sid);
     setCookie(res, 'logged_out', 365 * 86400);
-    res.json({ ok: true });
+    res.json({ ok: true, ...(IS_INSTANCE ? { redirect: CENTRAL_URL } : {}) });
+  });
+
+  // ---------- установка на компьютер: состояние и активация кодом (до активации входа ещё нет) ----------
+  r.get('/local/status', (req, res) => res.json({ ...instanceInfo(), loggedIn: Boolean(req.user) }));
+  r.post('/local/activate', wrap(async (req, res) => {
+    if (!IS_DESKTOP) throw new Error('Активация кодом доступна только для установки на компьютер');
+    if (isActivated() && !req.user) throw Object.assign(new Error('Программа уже активирована'), { status: 409 });
+    res.json(await activateDesktop(req.body?.code));
+  }));
+
+  // ---------- машина клиента: вход по одноразовой ссылке из кабинета центра ----------
+  r.get('/auth/sso', (req, res) => {
+    if (!IS_INSTANCE) return res.status(404).json({ error: 'Вход через центр доступен только на машине клиента' });
+    try {
+      consumeSsoToken(String(req.query.t || ''));
+      const token = createSession(1, 7);
+      setCookie(res, token, 7 * 86400);
+      res.redirect('/');
+    } catch (e) {
+      res.redirect(`${CENTRAL_URL}/landing?oauth_error=${encodeURIComponent(e.message)}`);
+    }
+  });
+
+  // ---------- центр: связь с машинами клиентов ----------
+  const machineAuth = (req) => {
+    const h = String(req.headers?.authorization || '');
+    const inst = instanceByKey(h.startsWith('Bearer ') ? h.slice(7).trim() : '');
+    if (!inst) throw Object.assign(new Error('Неизвестная машина или неверный ключ'), { status: 401 });
+    return inst;
+  };
+  r.post('/instance/heartbeat', wrap((req, res) => res.json(instanceHeartbeat(machineAuth(req), req.body || {}))));
+  // Активация установки на компьютер одноразовым кодом из кабинета (ключа у установки ещё нет)
+  r.post('/instance/activate', wrap((req, res) => res.json(activateDesktopInstall(req.body || {}, { ip: clientIp(req) }))));
+  // Кабинет клиента: код активации для установки на компьютер и отвязка компьютера
+  r.post('/instances/desktop-code', wrap((req, res) => res.json(createDesktopActivationCode(req.user))));
+  r.post('/instances/:id/unbind', wrap((req, res) => res.json({ instance: unbindInstall(req.params.id, { userId: req.user.id }) })));
+  r.post('/instance/notify', wrap(async (req, res) => {
+    const inst = machineAuth(req);
+    if (inst.revoked) throw Object.assign(new Error('Аренда машины завершена'), { status: 403 });
+    res.json(await relayInstanceNotify(inst, req.body?.text, req.body?.buttons));
+  }));
+  // Кнопка «Открыть терминал» в кабинете: одноразовая подписанная ссылка входа на машину клиента
+  r.get('/instances/open', (req, res) => {
+    if (!req.user) return res.redirect('/landing?login=1');
+    const url = ssoRedirectUrl(req.user, req.query.i || '');
+    if (!url) return res.redirect(`/landing?oauth_error=${encodeURIComponent('Для вашего аккаунта ещё не создана машина — обратитесь в поддержку')}`);
+    res.redirect(url);
+  });
+  r.get('/public/license-key', (req, res) => {
+    if (!IS_CENTRAL) return res.status(404).json({ error: 'Только на центральном сервере' });
+    res.type('text/plain').send(centralPublicKeyPem());
   });
   r.post('/auth/notify-code', wrap((req, res) => {
     if (!req.user) throw new Error('Войдите в аккаунт');
@@ -166,6 +259,7 @@ export function createRouter() {
   }));
   // Активация API-ключа облачной подписки на локальном npx-клиенте
   r.post('/license/activate', wrap(async (req, res) => {
+    requireAdmin(req);
     const lic = await activateLocalLicense(req.body?.apiKey, req.body?.cloudUrl);
     llmChanged();
     res.json({ ok: true, license: lic, user: publicUser(req.user) });
@@ -192,7 +286,7 @@ export function createRouter() {
     res.json({ ok: true });
   }));
   r.post('/notify/max/webhook', wrap(async (req, res) => {
-    res.json(await handleMaxWebhook(req.body || {}));
+    res.json(await handleMaxWebhook(req.body || {}, req.headers || {}));
   }));
 
   // ---------- публичная витрина для лендинга ----------
@@ -211,24 +305,20 @@ export function createRouter() {
 
       let tierBadge = 'Тариф «Инвестор»';
       let tierColor = 'blue';
-      let tierNote = 'Режим «Только в рост (без шорта)» · лимит до 50% годовых · до 1 млн ₽ на счёт';
+      // Тарифы различаются возможностями (шорты, число счетов, лимиты), а не доходностью
+      let tierNote = 'Только покупки (без шорта) · 1 счёт до 1 млн ₽';
       let autoTitle = p._title;
-      if (dir === 'long' || cagr <= 52) {
+      if (dir === 'long') {
         tierBadge = 'Для тарифа «Инвестор»';
         tierColor = 'blue';
-        tierNote = 'Торговля только от покупки (без шортов) · потолок тарифа до 50% годовых · до 1 млн ₽/счёт';
-        if (!autoTitle) autoTitle = 'Консервативный рост · Только покупки';
-      } else if (cagr <= 105) {
-        tierBadge = 'Для тарифа «Профи»';
-        tierColor = 'indigo';
-        tierNote = 'Заработок на росте и падении акций (с шортами) · потолок тарифа до 100% годовых · до 10 млн ₽/счёт';
-        if (!autoTitle) autoTitle = 'Активный рост и падение · С шортами';
+        if (!autoTitle) autoTitle = 'Только покупки';
       } else {
-        tierBadge = '👑 Для тарифа «VIP»';
-        tierColor = 'gold';
-        tierNote = 'Полная мощность без потолка доходности · форсаж H/2 + концентрация слота Conviction Sizing';
-        if (!autoTitle || autoTitle === 'Эталонная адаптивная стратегия') autoTitle = 'Институциональный форсаж · Полная мощность';
+        tierBadge = 'Для тарифов «Профи» и «VIP»';
+        tierColor = 'indigo';
+        tierNote = 'Покупки и продажи без покрытия (шорт) · до 5 счетов';
+        if (!autoTitle || autoTitle === 'Эталонная адаптивная стратегия' || /форсаж|мощность/i.test(autoTitle)) autoTitle = 'Покупки и шорты';
       }
+      void cagr;
       return {
         id: x.id,
         title: autoTitle,
@@ -241,6 +331,11 @@ export function createRouter() {
         period: x.metrics?.period || {},
         curve: full?.extra?.curves?.[chosen]?.slice(-180) || [],
         marketCurve: full?.extra?.curves?.market?.slice(-180) || [],
+        // реалистичная оценка стресс-теста (исполнение как в живом контуре, издержки 0,10% на сторону)
+        realistic: (() => {
+          const s = (full?.extra?.stress || x.extra?.stress)?.scenarios?.find((y) => y.key === 'liveLike10');
+          return s ? { returnPct: s.full.returnPct, cagrPct: s.full.cagrPct, profitFactor: s.full.profitFactor, maxDrawdownPct: s.full.maxDrawdownPct, last12Pct: s.last12.returnPct } : null;
+        })(),
       };
     };
     const runs = listShowcaseRuns().map((x) => buildShowcaseItem(x, getRun(x.id)));
@@ -269,7 +364,7 @@ export function createRouter() {
 
   // ---------- админ-панель (пользователи, оплаты, ЮKassa, боты Telegram и MAX, витрина, реквизиты) ----------
   const requireAdmin = (req) => {
-    if (!req.user || req.user.role !== 'admin') throw new Error('Доступно только администратору платформы');
+    if (!req.user || req.user.role !== 'admin') throw Object.assign(new Error('Доступно только администратору платформы'), { status: 403 });
   };
   r.get('/admin/state', wrap((req, res) => {
     requireAdmin(req);
@@ -310,6 +405,18 @@ export function createRouter() {
     requireAdmin(req);
     res.json(await saveNotifyConfig(req.body || {}));
   }));
+  // ---------- машины клиентов (аренда ПО + машина + ИИ, лицензия под контролем центра) ----------
+  const centralUrlOf = (req) => String(process.env.CENTRAL_PUBLIC_URL || `${isHttpsRequest(req) ? 'https' : req.protocol}://${req.get('host')}`).replace(/\/+$/, '');
+  r.get('/admin/instances', wrap((req, res) => { requireAdmin(req); res.json({ instances: listInstances() }); }));
+  r.post('/admin/instances', wrap(async (req, res) => {
+    requireAdmin(req);
+    res.json(await createInstance(req.body || {}, { centralUrl: centralUrlOf(req) }));
+  }));
+  r.post('/admin/instances/:id/rotate-key', wrap(async (req, res) => { requireAdmin(req); res.json(await rotateInstanceKey(req.params.id, { centralUrl: centralUrlOf(req) })); }));
+  r.post('/admin/instances/:id/trading', wrap((req, res) => { requireAdmin(req); res.json({ instance: setInstanceTrading(req.params.id, String(req.body?.trading || '')) }); }));
+  r.post('/admin/instances/:id/revoke', wrap((req, res) => { requireAdmin(req); res.json({ instance: setInstanceRevoked(req.params.id, req.body?.revoked !== false) }); }));
+  r.post('/admin/instances/:id/unbind', wrap((req, res) => { requireAdmin(req); res.json({ instance: unbindInstall(req.params.id) }); }));
+  r.delete('/admin/instances/:id', wrap(async (req, res) => { requireAdmin(req); res.json({ instances: await deleteInstance(req.params.id) }); }));
   r.put('/runs/:id/showcase', wrap((req, res) => {
     requireAdmin(req);
     res.json(setRunShowcase(Number(req.params.id), Boolean(req.body?.showcase)));
@@ -321,13 +428,14 @@ export function createRouter() {
     hub.emit({ type: 'llm:changed', llm: activeModelInfo() });
     hub.emit({ type: 'chat:state', state: strategist.chatState() });
   };
+  // Подключения к LLM общие для всей платформы (ключи, адреса), поэтому менять и проверять их может только администратор
   r.get('/llm/providers', wrap((req, res) => res.json(llmState())));
-  r.post('/llm/providers', wrap((req, res) => { const p = addProvider(req.body); llmChanged(); res.json({ provider: p, ...llmState() }); }));
-  r.put('/llm/providers/:id', wrap((req, res) => { const p = updateProvider(req.params.id, req.body); llmChanged(); res.json({ provider: p, ...llmState() }); }));
-  r.delete('/llm/providers/:id', wrap((req, res) => { deleteProvider(req.params.id); llmChanged(); res.json(llmState()); }));
-  r.get('/llm/providers/:id/remote-models', wrap(async (req, res) => res.json({ models: await fetchRemoteModels(req.params.id) })));
-  r.post('/llm/test', wrap(async (req, res) => res.json(await testProvider(req.body?.providerId, req.body?.model))));
-  r.post('/llm/select', wrap((req, res) => { selectModel(req.body?.providerId, req.body?.model); llmChanged(); res.json(llmState()); }));
+  r.post('/llm/providers', wrap((req, res) => { requireAdmin(req); const p = addProvider(req.body); llmChanged(); res.json({ provider: p, ...llmState() }); }));
+  r.put('/llm/providers/:id', wrap((req, res) => { requireAdmin(req); const p = updateProvider(req.params.id, req.body); llmChanged(); res.json({ provider: p, ...llmState() }); }));
+  r.delete('/llm/providers/:id', wrap((req, res) => { requireAdmin(req); deleteProvider(req.params.id); llmChanged(); res.json(llmState()); }));
+  r.get('/llm/providers/:id/remote-models', wrap(async (req, res) => { requireAdmin(req); res.json({ models: await fetchRemoteModels(req.params.id) }); }));
+  r.post('/llm/test', wrap(async (req, res) => { requireAdmin(req); res.json(await testProvider(req.body?.providerId, req.body?.model)); }));
+  r.post('/llm/select', wrap((req, res) => { requireAdmin(req); selectModel(req.body?.providerId, req.body?.model); llmChanged(); res.json(llmState()); }));
 
   // ---------- облачный ИИ-прокси для локальных npx-клиентов по APIKey или в демо-режиме ----------
   const proxyUsesToday = (ident) => {
@@ -398,21 +506,28 @@ export function createRouter() {
   r.post('/settings/history/:id/revert', wrap((req, res) => res.json(revertSettingsChange(req.params.id))));
 
   // ---------- исследования ----------
+  const ownsRun = (req, run) => Boolean(run && req.user && (req.user.role === 'admin' || (run.user_id ?? 1) === req.user.id));
+  const ownRunOr404 = (req) => {
+    const run = getRun(Number(req.params.id));
+    if (!ownsRun(req, run)) throw Object.assign(new Error('Не найдено'), { status: 404 });
+    return run;
+  };
   r.get('/runs', (req, res) => res.json(listRuns()));
   r.get('/runs/:id', (req, res) => {
     const run = getRun(Number(req.params.id));
-    if (!run) return res.status(404).json({ error: 'Не найдено' });
+    if (!run || !(ownsRun(req, run) || run.showcase)) return res.status(404).json({ error: 'Не найдено' });
     res.json({ ...run, trades: getTrades(run.id) });
   });
   r.put('/runs/:id/title', wrap((req, res) => {
+    ownRunOr404(req);
     const updated = updateRunTitle(Number(req.params.id), req.body?.title || '');
     if (!updated) return res.status(404).json({ error: 'Не найдено' });
     res.json(updated);
   }));
-  r.post('/runs/:id/stability', wrap((req, res) => res.json(startStabilityCheck(Number(req.params.id)))));
-  r.post('/runs/:id/stability/cancel', (req, res) => res.json({ ok: cancelStabilityCheck(Number(req.params.id)) }));
+  r.post('/runs/:id/stability', wrap((req, res) => { ownRunOr404(req); res.json(startStabilityCheck(Number(req.params.id))); }));
+  r.post('/runs/:id/stability/cancel', wrap((req, res) => { ownRunOr404(req); res.json({ ok: cancelStabilityCheck(Number(req.params.id)) }); }));
   r.delete('/runs/:id', wrap((req, res) => {
-    const run = getRun(Number(req.params.id));
+    const run = ownRunOr404(req);
     if (run?.status === 'running') throw new Error('Эксперимент ещё идёт — сначала отмените его');
     deleteRun(Number(req.params.id));
     res.json({ ok: true });
@@ -447,8 +562,14 @@ export function createRouter() {
     const { runId, reused } = startModelResearch(merged, { source: 'user', force: !!body.force });
     res.json({ runId, reused: !!reused });
   }));
-  r.post('/model/:id/cancel', (req, res) => res.json({ ok: cancelModelResearch(Number(req.params.id)) }));
-  r.get('/model/forecast', wrap(async (req, res) => res.json(await forecastNow(getSettings(), { force: req.query.force === '1' }))));
+  r.post('/model/:id/cancel', wrap((req, res) => { ownRunOr404(req); res.json({ ok: cancelModelResearch(Number(req.params.id)) }); }));
+  r.get('/model/forecast', wrap(async (req, res) => {
+    const fc = await forecastNow(getSettings(), { force: req.query.force === '1' });
+    if (fc?.rows?.some((x) => x.signal || x.shortSignal)) {
+      triggerBrokerFastEntryCheck();
+    }
+    res.json(fc);
+  }));
 
   // ---------- описания компаний (текстовая карта) ----------
   r.get('/profiles', wrap(async (req, res) => res.json(await profilesInfo())));
@@ -488,12 +609,162 @@ export function createRouter() {
   r.post('/brokers/:id/execute', wrap(async (req, res) => res.json(await executeBrokerOrders(req.params.id))));
   r.post('/brokers/:id/reject', wrap((req, res) => res.json(rejectBrokerOrders(req.params.id))));
   r.post('/brokers/:id/cancel-order', wrap(async (req, res) => res.json(await cancelBrokerOrder(req.params.id, req.body?.orderId || null))));
+  r.post('/brokers/:id/reset-daily-stop', wrap((req, res) => res.json(resetBrokerDailyStop(req.params.id))));
+  r.get('/brokers/:id/events', wrap((req, res) => res.json({ events: listBrokerEvents(req.params.id, req.query.limit) })));
+  r.post('/brokers-stop-all', wrap(async (req, res) => res.json(await stopAllBrokerTrading())));
 
   // ---------- новости (только для прогноза «сейчас» и живой проверки) ----------
   r.get('/news', (req, res) => res.json({
     items: listNews({ symbol: req.query.symbol || undefined, hours: Number(req.query.hours) || 72, limit: Number(req.query.limit) || 30 }),
   }));
 
+  // ---------- подробное досье акции (котировки, график, прогноз, соседи по карте, дивиденды, бизнес-профиль, сделки пользователя, новости) ----------
+  r.get('/stock/:symbol', wrap(async (req, res) => {
+    const sym = String(req.params.symbol || '').toUpperCase().trim();
+    if (!sym || sym.length > 20) throw new Error('Некорректный тикер');
+
+    const [fc, rawSpecs, divs] = await Promise.all([
+      forecastNow(getSettings()).catch(() => null),
+      ensureBoardSpecs().catch(() => ({})),
+      ensureDividends(sym).catch(() => []),
+    ]);
+    const tbMap = kvGet('tbankShortableMap') || {};
+    const tbSpecs = tbMap.specMap || {};
+    const shortableMap = tbMap.map || {};
+    const sp = { ...(rawSpecs[sym] || { lotSize: 1, minStep: 0.01, decimals: 2, issueSize: 0, lastPrice: 0 }), ...(tbSpecs[sym] || {}) };
+    const vocabList = kvGet('vocab')?.list || [];
+    const vocabHit = vocabList.find((v) => v.symbol === sym);
+    const fcRow = fc?.rows?.find((x) => x.symbol === sym) || null;
+    const isTier1 = TIER1_LIQUID_SYMBOLS.has(sym);
+
+    // 10-минутные свечи за последние 30 дней (для детального просмотра 1Д / 1Н / 1М) + дневной ряд за всё время (1Г / Все)
+    const nowTs = Date.now();
+    const rawBars30d = loadCandles(sym, 10, nowTs - 35 * DAY, nowTs + DAY);
+    const intraday = rawBars30d.slice(-1500).map((b) => ({
+      ts: b.ts,
+      o: b.open,
+      h: b.high,
+      l: b.low,
+      c: b.close,
+      v: b.value || 0,
+    }));
+
+    const allBars = db.prepare('SELECT ts, open, high, low, close, value FROM candles WHERE symbol = ? AND interval = 10 ORDER BY ts ASC').all(sym);
+    const dailyMap = new Map();
+    for (const b of allBars) {
+      const dayKey = Math.floor((b.ts + MSK) / DAY) * DAY;
+      let d = dailyMap.get(dayKey);
+      if (!d) {
+        d = { ts: dayKey, o: b.open, h: b.high, l: b.low, c: b.close, v: b.value || 0 };
+        dailyMap.set(dayKey, d);
+      } else {
+        if (b.high > d.h) d.h = b.high;
+        if (b.low > 0 && (d.l <= 0 || b.low < d.l)) d.l = b.low;
+        d.c = b.close;
+        d.v += b.value || 0;
+      }
+    }
+    const daily = [...dailyMap.values()];
+
+    const curPrice = fcRow?.price || intraday[intraday.length - 1]?.c || daily[daily.length - 1]?.c || sp.lastPrice || 0;
+    const prevDayClose = daily.length >= 2 ? daily[daily.length - 2].c : (daily[0]?.o || curPrice);
+    const dayChangePct = prevDayClose > 0 && curPrice > 0 ? round(((curPrice - prevDayClose) / prevDayClose) * 100, 2) : 0;
+    const monthAgoClose = daily.length >= 22 ? daily[daily.length - 22].c : (daily[0]?.o || curPrice);
+    const monthChangePct = monthAgoClose > 0 && curPrice > 0 ? round(((curPrice - monthAgoClose) / monthAgoClose) * 100, 2) : 0;
+    const yearAgoClose = daily.length >= 250 ? daily[daily.length - 250].c : (daily[0]?.o || curPrice);
+    const yearChangePct = yearAgoClose > 0 && curPrice > 0 ? round(((curPrice - yearAgoClose) / yearAgoClose) * 100, 2) : 0;
+    const marketCapRub = sp.issueSize > 0 && curPrice > 0 ? Math.round(sp.issueSize * curPrice) : null;
+
+    // 20 факторов бизнес-профиля
+    const profMap = loadProfiles();
+    const profVec = profMap.get(sym) || null;
+    const traits = profVec ? TRAITS.map((t, idx) => ({ id: t.id, label: t.label, ask: t.ask, value: round(profVec[idx] ?? 0, 2) })) : [];
+
+    // Позиции и сделки пользователя по этой акции на подключённых брокерских счетах
+    const bState = brokersState();
+    const userPositions = [];
+    const userOperations = [];
+    for (const acc of bState.accounts || []) {
+      const pos = (acc.lastSync?.positions || []).find((p) => p.symbol === sym && p.qty !== 0);
+      if (pos) {
+        userPositions.push({ accountName: acc.name, broker: acc.broker, ...pos });
+      }
+      for (const op of acc.lastHistory?.operations || []) {
+        if (op.symbol === sym && (op.kind === 'buy' || op.kind === 'sell' || op.kind === 'div' || op.kind === 'fee')) {
+          userOperations.push({ accountName: acc.name, ...op });
+        }
+      }
+    }
+    userOperations.sort((a, b) => (b.date || 0) - (a.date || 0));
+
+    // Считаем историческую результативность по бумаге в последнем эталонном эксперименте
+    let backtestStat = null;
+    const lastModelRun = listRuns().find((run) => run.mode === 'model' && run.status === 'done');
+    if (lastModelRun) {
+      const simTrades = db.prepare('SELECT side, entry_ts, exit_ts, entry_price, exit_price, pnl, pnl_pct FROM trades WHERE run_id = ? AND symbol = ? ORDER BY entry_ts DESC').all(lastModelRun.id, sym);
+      if (simTrades.length) {
+        const wins = simTrades.filter((t) => t.pnl > 0).length;
+        const avgPct = simTrades.reduce((s, t) => s + (t.pnl_pct || 0), 0) / simTrades.length;
+        backtestStat = {
+          runId: lastModelRun.id,
+          tradesCount: simTrades.length,
+          winRate: round((wins / simTrades.length) * 100, 1),
+          avgPnlPct: round(avgPct, 2),
+          recentTrades: simTrades.slice(0, 10),
+        };
+      }
+    }
+
+    const news = listNews({ symbol: sym, hours: 24 * 30, limit: 20 });
+    const sortedDivs = [...(divs || [])].sort((a, b) => String(b.registry).localeCompare(String(a.registry)));
+
+    res.json({
+      symbol: sym,
+      name: fcRow?.name || vocabHit?.name || sym,
+      price: round(curPrice, curPrice < 1 ? 5 : curPrice < 10 ? 3 : 2),
+      dayChangePct,
+      monthChangePct,
+      yearChangePct,
+      tier: isTier1 ? 1 : 2,
+      tierLabel: isTier1 ? '1-й эшелон (высокая ликвидность)' : '2-й эшелон',
+      buyThresholdPct: isTier1 ? Math.max(fc?.buyThresholdPct || 0.30, 0.30) : Math.max(fc?.buyThresholdPct || 0.30, 0.35),
+      shortThresholdPct: isTier1 ? Math.max(fc?.shortThresholdPct || 0.31, 0.31) : Math.max(fc?.shortThresholdPct || 0.31, 0.36),
+      shortAllowedByBroker: shortableMap[sym] !== undefined ? Boolean(shortableMap[sym]) : null,
+      specs: {
+        lotSize: sp.lotSize,
+        lotCostRub: round((sp.lotSize || 1) * curPrice, 2),
+        minStep: sp.minStep,
+        decimals: sp.decimals,
+        issueSize: sp.issueSize || null,
+        marketCapRub,
+        indexWeightPct: vocabHit?.weight ? round(vocabHit.weight, 2) : null,
+      },
+      forecast: fcRow ? {
+        bar: fc?.bar,
+        horizonHours: fc?.horizon || 2.5,
+        expectedPct: fcRow.expectedPct,
+        lastMovePct: fcRow.lastMovePct ?? 0,
+        deltaPct: fcRow.deltaPct || 0,
+        signal: Boolean(fcRow.signal),
+        shortSignal: Boolean(fcRow.shortSignal),
+        shortBlockedByBroker: Boolean(fcRow.shortBlockedByBroker),
+        selfPct: fcRow.selfPct ?? 0,
+        influences: (fcRow.influences || []).map((inf) => {
+          const infRow = fc?.rows?.find((x) => x.symbol === inf.symbol);
+          return { ...inf, name: infRow?.name || inf.symbol, price: infRow?.price || null, expectedPct: infRow?.expectedPct ?? null };
+        }),
+      } : null,
+      traits,
+      dividends: sortedDivs,
+      news,
+      userPositions,
+      userOperations: userOperations.slice(0, 60),
+      backtestStat,
+      intraday,
+      daily,
+    });
+  }));
+
   // ---------- журнал гипотез ----------
   r.get('/journal', (req, res) => res.json(listJournal(500)));
   r.post('/journal', wrap((req, res) => {