neuroalpha 0.3.17 → 0.5.2

package/server/build-info.js

@@ -0,0 +1,7 @@
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Параметры, вшитые в защищённую сборку для компьютера клиента (scripts/build-desktop.mjs подставляет __NA_BUILD__).
+// В собранной программе режим, адрес центра и открытый ключ центра НЕ берутся из .env и переменных окружения —
+// иначе можно было бы запустить её в режиме разработчика или подписать лицензию своим ключом.
+/* global __NA_BUILD__ */
+export const BUILD = typeof __NA_BUILD__ !== 'undefined' && __NA_BUILD__ ? __NA_BUILD__ : null;
+export const IS_PACKAGED = Boolean(BUILD);

package/server/config.js

@@ -3,15 +3,22 @@ import fs from 'node:fs';
 import path from 'node:path';
 import { fileURLToPath } from 'node:url';
 
-export const ROOT = path.resolve(path.dirname(fileURLToPath(import.meta.url)), '..');
+import { IS_PACKAGED, BUILD } from './build-info.js';
+
+// В защищённой сборке файлы интерфейса распаковываются во временный каталог (NEUROALPHA_ROOT задаёт загрузчик)
+export const ROOT = IS_PACKAGED
+  ? path.resolve(process.env.NEUROALPHA_ROOT || process.cwd())
+  : path.resolve(path.dirname(fileURLToPath(import.meta.url)), '..');
 export const DATA_DIR = process.env.NEUROALPHA_DATA_DIR
   ? path.resolve(process.env.NEUROALPHA_DATA_DIR)
   : path.join(ROOT, 'data');
 
-const envFile = path.join(ROOT, '.env');
-if (fs.existsSync(envFile)) process.loadEnvFile(envFile);
-const cwdEnv = path.resolve(process.cwd(), '.env');
-if (cwdEnv !== envFile && fs.existsSync(cwdEnv)) process.loadEnvFile(cwdEnv);
+if (!IS_PACKAGED) {
+  const envFile = path.join(ROOT, '.env');
+  if (fs.existsSync(envFile)) process.loadEnvFile(envFile);
+  const cwdEnv = path.resolve(process.cwd(), '.env');
+  if (cwdEnv !== envFile && fs.existsSync(cwdEnv)) process.loadEnvFile(cwdEnv);
+}
 
 export const strategyDefaults = JSON.parse(fs.readFileSync(path.join(ROOT, 'config/strategy.json'), 'utf8'));
 
@@ -43,4 +50,4 @@ export const llmConfig = {
 llmConfig.enabled = llmConfig.provider !== 'none' && !!llmConfig.baseUrl && !!llmConfig.model && !!llmConfig.apiKey;
 
 export const PORT = Number(process.env.PORT || 3000);
-export const DEFAULT_CLOUD_URL = (process.env.CLOUD_URL || 'https://neuroalpha.odant.org').replace(/\/+$/, '');
+export const DEFAULT_CLOUD_URL = ((IS_PACKAGED ? BUILD.centralUrl : process.env.CLOUD_URL) || 'https://neuroalpha.odant.org').replace(/\/+$/, '');

package/server/data/moex.js

@@ -120,16 +120,18 @@ export async function ensureCandles(symbol, interval, fromTs, tillTs, { signal,
   const mskDow = mskDate.getUTCDay();
   const mskHour = mskDate.getUTCHours();
   const isTradingHours = mskDow >= 1 && mskDow <= 5 && mskHour >= 9 && mskHour < 24;
-  const checkCooldownMs = isTradingHours ? 30 * 60000 : 4 * 3600000;
-  const dbIsAlreadyFresh = (now - range.max < 45 * 60000) || (!isTradingHours && now - range.max < 18 * 3600000);
+  const checkCooldownMs = isTradingHours ? 8 * 60000 : 4 * 3600000;
+  const dbIsAlreadyFresh = (now - range.max < 15 * 60000) || (!isTradingHours && now - range.max < 18 * 3600000);
 
   if (!dbIsAlreadyFresh && range.max < Math.min(tillTs, now) - barMs(interval) && (now - lastCheck >= checkCooldownMs)) {
+    // Записываем время проверки хвоста ВСЕГДА (даже если новых свечей у бумаги на бирже ещё не появилось),
+    // чтобы не опрашивать MOEX ISS по всем 100 бумагам каждые 2 минуты!
+    lastTailCheckAt.set(tailKey, now);
+    kvSet(pKey, { v: 2, fromTs: Math.min(fromTs, probe?.v === 2 ? probe.fromTs : range.min), tailCheckedAt: now });
     await fetchCandles(symbol, interval, tsToDate(range.max), tillTs < now ? tsToDate(tillTs) : null, {
       signal,
       onBatch: (page) => saveCandles(symbol, interval, page),
     });
-    lastTailCheckAt.set(tailKey, now);
-    kvSet(pKey, { v: 2, fromTs: Math.min(fromTs, probe?.v === 2 ? probe.fromTs : range.min), tailCheckedAt: now });
   }
 
   return loadCandles(symbol, interval, fromTs, tillTs);

package/server/db.js

@@ -6,6 +6,7 @@ import { ROOT, DATA_DIR } from './config.js';
 
 let getUid = () => 1;
 export function registerUidResolver(fn) { getUid = fn; }
+export const currentUid = () => getUid();
 
 const dir = DATA_DIR;
 fs.mkdirSync(dir, { recursive: true });
@@ -197,10 +198,13 @@ for (const [tbl, col, def] of [
 }
 
 // Гарантируем наличие локального пользователя по умолчанию (id = 1, режим «Хозяин»)
+const randomNotifyCode = () => `NA-${Array.from(crypto.getRandomValues(new Uint8Array(3)), (b) => b.toString(16).padStart(2, '0')).join('').toUpperCase()}`;
 if (!db.prepare('SELECT id FROM users WHERE id = 1').get()) {
   db.prepare(`INSERT INTO users (id, email, name, pass_hash, role, plan, plan_until, notify_code, created_at)
-    VALUES (1, 'owner@neuroalpha.local', 'Хозяин', '', 'admin', 'owner', 0, 'NA-OWNER1', ?)`).run(Date.now());
+    VALUES (1, 'owner@neuroalpha.local', 'Хозяин', '', 'admin', 'owner', 0, ?, ?)`).run(randomNotifyCode(), Date.now());
 } else {
+  // Общеизвестный код привязки владельца заменяется на случайный (привязанные ранее чаты сохраняются)
+  db.prepare("UPDATE users SET notify_code = ? WHERE id = 1 AND (notify_code IS NULL OR notify_code = '' OR UPPER(notify_code) = 'NA-OWNER1')").run(randomNotifyCode());
   db.prepare(`UPDATE users SET plan = 'owner' WHERE id = 1 AND role = 'admin' AND plan IN ('free', 'pro')`).run();
   db.prepare("UPDATE users SET name = 'Пользователь' WHERE id = 1 AND name = 'Владелец платформы'").run();
 }
@@ -226,22 +230,22 @@ export function kvSet(key, value) {
   db.prepare('INSERT OR REPLACE INTO kv (key, value) VALUES (?, ?)').run(key, JSON.stringify(value));
 }
 
+// uid = 1 — исторические ключи владельца без префикса; uid = 0 (аноним) — отдельное пустое пространство
+const userKey = (key, uid) => (Number(uid) === 1 ? key : `u:${Number(uid) || 0}:${key}`);
 export function userKvGet(key, def = null, uid = getUid()) {
-  const k = (!uid || uid === 1) ? key : `u:${uid}:${key}`;
-  return kvGet(k, def);
+  return kvGet(userKey(key, uid), def);
 }
 export function userKvSet(key, value, uid = getUid()) {
-  const k = (!uid || uid === 1) ? key : `u:${uid}:${key}`;
-  kvSet(k, value);
+  kvSet(userKey(key, uid), value);
 }
 
 // ---------- чат ----------
 export function currentConversation(uid = getUid()) {
-  const r = db.prepare('SELECT * FROM conversations WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC LIMIT 1').get(uid || 1);
+  const r = db.prepare('SELECT * FROM conversations WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC LIMIT 1').get(uid ?? 1);
   return r || newConversation(uid);
 }
 export function newConversation(uid = getUid()) {
-  const id = Number(db.prepare('INSERT INTO conversations (created_at, user_id) VALUES (?, ?)').run(Date.now(), uid || 1).lastInsertRowid);
+  const id = Number(db.prepare('INSERT INTO conversations (created_at, user_id) VALUES (?, ?)').run(Date.now(), uid ?? 1).lastInsertRowid);
   return db.prepare('SELECT * FROM conversations WHERE id = ?').get(id);
 }
 const parseMsg = (m) => m && ({
@@ -273,27 +277,27 @@ export function getMessages(convId, limit = 400) {
 // ---------- журнал гипотез ----------
 export function addJournal(e, uid = getUid()) {
   const r = db.prepare('INSERT INTO journal (ts, hypothesis, change, run_ids, result, verdict, source, user_id) VALUES (?, ?, ?, ?, ?, ?, ?, ?)')
-    .run(Date.now(), e.hypothesis || '', e.change || '', JSON.stringify(e.run_ids || []), e.result || '', e.verdict || 'unclear', e.source || 'ai', uid || 1);
+    .run(Date.now(), e.hypothesis || '', e.change || '', JSON.stringify(e.run_ids || []), e.result || '', e.verdict || 'unclear', e.source || 'ai', uid ?? 1);
   return Number(r.lastInsertRowid);
 }
 export function listJournal(limit = 200, uid = getUid()) {
-  return db.prepare('SELECT * FROM journal WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC LIMIT ?').all(uid || 1, limit).map((j) => ({ ...j, run_ids: JSON.parse(j.run_ids || '[]') }));
+  return db.prepare('SELECT * FROM journal WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC LIMIT ?').all(uid ?? 1, limit).map((j) => ({ ...j, run_ids: JSON.parse(j.run_ids || '[]') }));
 }
 export function deleteJournal(id, uid = getUid()) {
-  db.prepare('DELETE FROM journal WHERE id = ? AND COALESCE(user_id, 1) = ?').run(id, uid || 1);
+  db.prepare('DELETE FROM journal WHERE id = ? AND COALESCE(user_id, 1) = ?').run(id, uid ?? 1);
 }
 
 // ---------- история настроек ----------
 const parseHistory = (h) => h && ({ ...h, changes: JSON.parse(h.changes || '{}') });
 export function addSettingsHistory(source, reason, changes, uid = getUid()) {
   return Number(db.prepare('INSERT INTO settings_history (ts, source, reason, changes, user_id) VALUES (?, ?, ?, ?, ?)')
-    .run(Date.now(), source, reason || '', JSON.stringify(changes), uid || 1).lastInsertRowid);
+    .run(Date.now(), source, reason || '', JSON.stringify(changes), uid ?? 1).lastInsertRowid);
 }
 export function listSettingsHistory(limit = 50, uid = getUid()) {
-  return db.prepare('SELECT * FROM settings_history WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC LIMIT ?').all(uid || 1, limit).map(parseHistory);
+  return db.prepare('SELECT * FROM settings_history WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC LIMIT ?').all(uid ?? 1, limit).map(parseHistory);
 }
 export function getSettingsHistory(id, uid = getUid()) {
-  return parseHistory(db.prepare('SELECT * FROM settings_history WHERE id = ? AND COALESCE(user_id, 1) = ?').get(id, uid || 1));
+  return parseHistory(db.prepare('SELECT * FROM settings_history WHERE id = ? AND COALESCE(user_id, 1) = ?').get(id, uid ?? 1));
 }
 
 const insertCandle = db.prepare(`INSERT OR REPLACE INTO candles
@@ -321,7 +325,7 @@ export function candleRange(symbol, interval) {
 }
 
 export function createRun(mode, params, uid = getUid()) {
-  const r = db.prepare('INSERT INTO runs (mode, status, created_at, params, user_id) VALUES (?, ?, ?, ?, ?)').run(mode, 'running', Date.now(), JSON.stringify(params), uid || 1);
+  const r = db.prepare('INSERT INTO runs (mode, status, created_at, params, user_id) VALUES (?, ?, ?, ?, ?)').run(mode, 'running', Date.now(), JSON.stringify(params), uid ?? 1);
   return Number(r.lastInsertRowid);
 }
 
@@ -360,10 +364,10 @@ const parseRun = (r) => r && ({
 });
 
 export function listRuns(uid = getUid()) {
-  return db.prepare('SELECT id, mode, status, created_at, finished_at, params, metrics, error, user_id, showcase FROM runs WHERE COALESCE(user_id, 1) = ? OR showcase = 1 ORDER BY id DESC LIMIT 100').all(uid || 1).map(parseRun);
+  return db.prepare('SELECT id, mode, status, created_at, finished_at, params, metrics, error, user_id, showcase FROM runs WHERE COALESCE(user_id, 1) = ? OR showcase = 1 ORDER BY id DESC LIMIT 100').all(uid ?? 1).map(parseRun);
 }
 export function allRuns(uid = getUid()) {
-  return db.prepare('SELECT id, mode, status, params, metrics, user_id, showcase FROM runs WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC').all(uid || 1).map(parseRun);
+  return db.prepare('SELECT id, mode, status, params, metrics, user_id, showcase FROM runs WHERE COALESCE(user_id, 1) = ? ORDER BY id DESC').all(uid ?? 1).map(parseRun);
 }
 export function setRunShowcase(id, showcase) {
   db.prepare('UPDATE runs SET showcase = ? WHERE id = ?').run(showcase ? 1 : 0, Number(id));
@@ -388,11 +392,11 @@ export function listShowcaseRuns() {
 }
 export function countUserRunsToday(uid = getUid()) {
   const since = Date.now() - 86400000;
-  return db.prepare("SELECT COUNT(*) AS n FROM runs WHERE mode = 'model' AND COALESCE(user_id, 1) = ? AND created_at >= ?").get(uid || 1, since)?.n || 0;
+  return db.prepare("SELECT COUNT(*) AS n FROM runs WHERE mode = 'model' AND COALESCE(user_id, 1) = ? AND created_at >= ?").get(uid ?? 1, since)?.n || 0;
 }
 export function countUserChatToday(uid = getUid()) {
   const since = Date.now() - 86400000;
-  return db.prepare("SELECT COUNT(*) AS n FROM chat_messages m JOIN conversations c ON c.id = m.conv_id WHERE m.role = 'user' AND COALESCE(c.user_id, 1) = ? AND m.ts >= ?").get(uid || 1, since)?.n || 0;
+  return db.prepare("SELECT COUNT(*) AS n FROM chat_messages m JOIN conversations c ON c.id = m.conv_id WHERE m.role = 'user' AND COALESCE(c.user_id, 1) = ? AND m.ts >= ?").get(uid ?? 1, since)?.n || 0;
 }
 
 export function getRun(id) {

package/server/desktop-entry.js

@@ -0,0 +1,103 @@
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Загрузчик защищённой сборки НейроАльфа для компьютера клиента (Windows / Linux, один исполняемый файл).
+//   neuroalpha            — запустить терминал и открыть его в браузере
+//   neuroalpha --install  — добавить в автозапуск при входе в систему (и запустить)
+//   neuroalpha --uninstall — убрать из автозапуска (данные и активация сохраняются)
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { execFileSync, spawn } from 'node:child_process';
+import { createRequire } from 'node:module';
+
+const req = createRequire(process.execPath);
+const sea = req('node:sea');
+const BUILD_INFO = __NA_BUILD__; // eslint-disable-line no-undef
+const APP = 'NeuroAlpha';
+const exe = process.execPath;
+
+function dataHome() {
+  if (process.platform === 'win32') return path.join(process.env.LOCALAPPDATA || path.join(os.homedir(), 'AppData', 'Local'), APP);
+  return path.join(process.env.XDG_DATA_HOME || path.join(os.homedir(), '.local', 'share'), 'neuroalpha');
+}
+
+// Файлы интерфейса и справочники (public/, config/, docs/) вшиты в программу и распаковываются при смене версии
+function extractAssets(home) {
+  const dir = path.join(home, 'runtime', BUILD_INFO.version);
+  const marker = path.join(dir, '.complete');
+  if (fs.existsSync(marker)) return dir;
+  const manifest = JSON.parse(Buffer.from(sea.getAsset('__manifest.json')).toString('utf8'));
+  for (const rel of manifest) {
+    const dst = path.join(dir, rel);
+    fs.mkdirSync(path.dirname(dst), { recursive: true });
+    fs.writeFileSync(dst, Buffer.from(sea.getAsset(rel)));
+  }
+  fs.writeFileSync(marker, String(Date.now()));
+  // старые версии удаляются
+  for (const v of fs.readdirSync(path.join(home, 'runtime'))) {
+    if (v !== BUILD_INFO.version) fs.rmSync(path.join(home, 'runtime', v), { recursive: true, force: true });
+  }
+  return dir;
+}
+
+function install() {
+  if (process.platform === 'win32') {
+    execFileSync('schtasks', ['/Create', '/F', '/SC', 'ONLOGON', '/RL', 'LIMITED', '/TN', APP, '/TR', `"${exe}" --background`], { stdio: 'inherit' });
+    console.log('✓ НейроАльфа добавлена в автозапуск при входе в Windows');
+  } else {
+    const unitDir = path.join(os.homedir(), '.config', 'systemd', 'user');
+    fs.mkdirSync(unitDir, { recursive: true });
+    fs.writeFileSync(path.join(unitDir, 'neuroalpha.service'), [
+      '[Unit]', 'Description=NeuroAlpha trading terminal', 'After=network-online.target', '',
+      '[Service]', `ExecStart=${exe} --background`, 'Restart=on-failure', 'RestartSec=10', '',
+      '[Install]', 'WantedBy=default.target', '',
+    ].join('\n'));
+    execFileSync('systemctl', ['--user', 'daemon-reload'], { stdio: 'inherit' });
+    execFileSync('systemctl', ['--user', 'enable', '--now', 'neuroalpha.service'], { stdio: 'inherit' });
+    console.log('✓ НейроАльфа запущена как служба пользователя (systemctl --user status neuroalpha)');
+    console.log('  Чтобы терминал работал без входа в систему: sudo loginctl enable-linger $USER');
+  }
+}
+
+function uninstall() {
+  if (process.platform === 'win32') {
+    try { execFileSync('schtasks', ['/Delete', '/F', '/TN', APP], { stdio: 'inherit' }); } catch { /* ignore */ }
+  } else {
+    try { execFileSync('systemctl', ['--user', 'disable', '--now', 'neuroalpha.service'], { stdio: 'inherit' }); } catch { /* ignore */ }
+    fs.rmSync(path.join(os.homedir(), '.config', 'systemd', 'user', 'neuroalpha.service'), { force: true });
+  }
+  console.log('✓ НейроАльфа убрана из автозапуска. Данные и активация сохранены в', dataHome());
+}
+
+const args = process.argv.slice(2);
+if (args.includes('--version')) {
+  console.log(`НейроАльфа ${BUILD_INFO.version} (${BUILD_INFO.builtAt})`);
+  process.exit(0);
+}
+if (args.includes('--uninstall')) { uninstall(); process.exit(0); }
+if (args.includes('--install')) {
+  install();
+  if (process.platform === 'win32') spawn(exe, ['--background'], { detached: true, stdio: 'ignore', windowsHide: true }).unref();
+  process.exit(0);
+}
+
+const home = dataHome();
+fs.mkdirSync(home, { recursive: true });
+process.env.NEUROALPHA_ROOT = extractAssets(home);
+process.env.NEUROALPHA_DATA_DIR = process.env.NEUROALPHA_DATA_DIR || path.join(home, 'data');
+process.env.PORT = process.env.PORT || '3000';
+if (!args.includes('--background')) process.env.OPEN_BROWSER = '1';
+process.chdir(process.env.NEUROALPHA_ROOT);
+
+// Повторный запуск (двойной щелчок), когда терминал уже работает: просто открываем его в браузере
+const url = `http://localhost:${process.env.PORT}`;
+fetch(`${url}/healthz`, { signal: AbortSignal.timeout(1500) })
+  .then((r) => {
+    if (!r.ok) throw new Error('not ours');
+    if (!args.includes('--background')) {
+      const [cmd, a] = process.platform === 'win32' ? ['cmd', ['/c', 'start', '""', url]] : ['xdg-open', [url]];
+      spawn(cmd, a, { detached: true, stdio: 'ignore', windowsHide: true, windowsVerbatimArguments: true }).on('error', () => {}).unref();
+    }
+    console.log(`НейроАльфа уже запущена: ${url}`);
+    process.exit(0);
+  })
+  .catch(() => import('./index.js'));

package/server/hub.js

@@ -1,15 +1,29 @@
 // Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
-// Общий канал событий сервера → браузер (WebSocket) и подписчики внутри сервера
-const listeners = new Set();
-let sender = () => {};
-
-export const hub = {
-  setSender(fn) { sender = fn; },
-  emit(msg) {
-    sender(msg);
-    for (const l of listeners) {
-      try { l(msg); } catch (e) { console.error(e); }
-    }
-  },
-  on(fn) { listeners.add(fn); return () => listeners.delete(fn); },
-};
+// Общий канал событий сервера → браузер (WebSocket) и подписчики внутри сервера.
+// Каждое событие адресуется пользователю, в контексте которого оно возникло (uid),
+// и уходит только в его WebSocket-соединения. Общерыночные события рассылаются всем.
+import { currentUid } from './db.js';
+
+const listeners = new Set();
+let sender = () => {};
+
+const GLOBAL_TYPES = new Set(['news:update', 'profiles:progress', 'profiles:done', 'llm:changed']);
+
+function isGlobal(msg) {
+  if (GLOBAL_TYPES.has(msg.type)) return true;
+  // пульс радара/обучения общий; пульс по конкретному счёту — только владельцу счёта
+  return msg.type === 'trading:pulse' && !msg.accountId;
+}
+
+export const hub = {
+  setSender(fn) { sender = fn; },
+  emit(msg) {
+    const uid = msg.uid ?? currentUid();
+    const global = isGlobal(msg);
+    try { sender(msg, { uid, global }); } catch (e) { console.error(e); }
+    for (const l of listeners) {
+      try { l(msg, { uid, global }); } catch (e) { console.error(e); }
+    }
+  },
+  on(fn) { listeners.add(fn); return () => listeners.delete(fn); },
+};

package/server/index.js

@@ -6,15 +6,21 @@ import path from 'node:path';
 import express from 'express';
 import { WebSocketServer } from 'ws';
 import { ROOT, PORT } from './config.js';
+import { ROLE, IS_INSTANCE, IS_DESKTOP, IS_CENTRAL, INSTANCE_KIND, LISTEN_HOST } from './role.js';
+import { startInstanceAgent, setInstanceCommandHandler } from './instance/agent.js';
+import { getIdentity, isActivated } from './instance/identity.js';
+import { startCentralReconciler } from './instance/central.js';
+import { DEFAULT_CLOUD_URL } from './config.js';
 import { activeModelInfo } from './llm/client.js';
 import { markStaleRuns, removeLegacyData, removeOrphanEvents, ensureSeedRun } from './db.js';
 import { createRouter } from './api/routes.js';
-import { authMiddleware, activateLocalLicense } from './auth/index.js';
+import { authMiddleware, activateLocalLicense, userFromRequest, runWithUser, getUserById } from './auth/index.js';
+import { securityHeaders, setAppCsp, isCrossOrigin } from './security.js';
 import { live } from './model/live.js';
 import { runningResearch, runningStability } from './model/research.js';
 import { startNews } from './news/index.js';
 import { startNotifyPolling } from './notify/index.js';
-import { startBrokerScheduler } from './brokers/index.js';
+import { startBrokerScheduler, brokersState, executeBrokerOrders, rejectBrokerOrders } from './brokers/index.js';
 import { chatState } from './strategist/index.js';
 import { hub } from './hub.js';
 
@@ -24,31 +30,93 @@ removeOrphanEvents();
 ensureSeedRun();
 
 const app = express();
+app.disable('x-powered-by');
 app.use(express.json({ limit: '1mb' }));
+app.use(securityHeaders);
 app.use(authMiddleware);
 const server = http.createServer(app);
 const wss = new WebSocketServer({ server, path: '/ws' });
 
-hub.setSender((msg) => {
+hub.setSender((msg, { uid, global }) => {
   const data = JSON.stringify(msg);
-  for (const c of wss.clients) if (c.readyState === 1) c.send(data);
+  for (const c of wss.clients) {
+    if (c.readyState !== 1) continue;
+    if (global || c.uid === uid) c.send(data);
+  }
 });
 
-wss.on('connection', (ws) => {
-  ws.send(JSON.stringify({ type: 'hello', live: live.status(), chat: chatState(), running: runningResearch(), stabilityRunning: runningStability(), llm: activeModelInfo() }));
+wss.on('connection', (ws, req) => {
+  if (isCrossOrigin(req)) {
+    ws.close(4403, 'forbidden origin');
+    return;
+  }
+  const user = userFromRequest(req);
+  if (!user) {
+    ws.close(4401, 'unauthorized');
+    return;
+  }
+  ws.uid = user.id;
+  runWithUser(user, () => {
+    ws.send(JSON.stringify({ type: 'hello', live: live.status(), chat: chatState(), running: runningResearch(), stabilityRunning: runningStability(), llm: activeModelInfo() }));
+  });
 });
 
+// Кнопки «Исполнить / Отклонить» из Telegram / MAX, пришедшие с центра: только для того же самого ожидающего пакета
+setInstanceCommandHandler((cmd) => runWithUser(getUserById(1), async () => {
+  if (cmd.type !== 'batch') return null;
+  const acc = brokersState().accounts.find((a) => a.id === cmd.accountId);
+  if (!acc) return 'Команда из мессенджера: счёт не найден.';
+  const pb = acc.pendingBatch;
+  if (!pb || pb.status !== 'pending' || (cmd.batchId && pb.id !== cmd.batchId)) {
+    return `Счёт «${acc.name}»: этот пакет заявок уже неактуален (исполнен, отклонён или заменён новым) — команда не выполнена.`;
+  }
+  if (cmd.action === 'exec') {
+    const st = await executeBrokerOrders(acc.id);
+    const res = st.accounts.find((a) => a.id === acc.id)?.pendingBatch?.results || [];
+    const ok = res.filter((r) => r.ok).length;
+    return `✓ Счёт «${acc.name}»: отправлено брокеру ${ok} из ${res.length} заявок.${ok < res.length ? ` Ошибки: ${res.filter((r) => !r.ok).map((r) => `${r.symbol} — ${r.error}`).join('; ').slice(0, 600)}` : ''}`;
+  }
+  if (cmd.action === 'rej') {
+    rejectBrokerOrders(acc.id);
+    return `✕ Счёт «${acc.name}»: пакет заявок отклонён.`;
+  }
+  return null;
+}));
+startInstanceAgent();
+if (IS_CENTRAL) startCentralReconciler({ centralUrl: String(process.env.CENTRAL_PUBLIC_URL || DEFAULT_CLOUD_URL).replace(/\/+$/, '') });
 live.resume();
 startNews();
 startNotifyPolling();
 startBrokerScheduler();
 
-if (process.env.NEUROALPHA_API_KEY) {
+if (process.env.NEUROALPHA_API_KEY && !IS_INSTANCE) {
   activateLocalLicense(process.env.NEUROALPHA_API_KEY, process.env.CLOUD_URL || '')
     .then((lic) => console.log(`✓ Активирован API-ключ: тариф «${lic.planName}» (${lic.email})`))
     .catch((e) => console.warn(`⚠ Проверка API-ключа: ${e.message}`));
 }
 
+// Проверка живости для Kubernetes (liveness/readiness), без данных
+app.get('/healthz', (req, res) => res.json({ ok: true, role: ROLE }));
+
+// Машина клиента: витрина, оферта, админка и вход живут в центре; без сессии — вход через кабинет центра
+if (IS_INSTANCE) {
+  const central = () => getIdentity().centralUrl;
+  const toCentral = (p) => (req, res) => res.redirect(`${central()}${p}`);
+  app.get(['/landing', '/landing.html'], toCentral('/landing'));
+  app.get(['/legal', '/legal.html'], toCentral('/legal'));
+  app.get(['/admin', '/admin.html'], toCentral('/landing'));
+  app.get(['/', '/index.html'], (req, res, next) => {
+    // установка на компьютер до активации — экран ввода кода из личного кабинета
+    if (IS_DESKTOP && !isActivated()) {
+      setAppCsp(res);
+      return res.sendFile(path.join(ROOT, 'public', 'activate.html'));
+    }
+    if (!req.user) return res.redirect(`${central()}/api/instances/open?i=${encodeURIComponent(getIdentity().id)}`);
+    setAppCsp(res);
+    next();
+  });
+}
+
 app.get('/landing', (req, res) => res.sendFile(path.join(ROOT, 'public', 'landing.html')));
 app.get('/legal', (req, res) => res.sendFile(path.join(ROOT, 'public', 'legal.html')));
 app.get('/admin', (req, res) => {
@@ -56,11 +124,12 @@ app.get('/admin', (req, res) => {
   return res.sendFile(path.join(ROOT, 'public', 'admin.html'));
 });
 app.get('/', (req, res, next) => {
-  // В CLOUD_MODE=1 неавторизованным гостям показывается лендинг (витрина PaaS),
+  // Неавторизованным гостям показывается лендинг со входом (витрина PaaS),
   // а авторизованным пользователям открывается их изолированный облачный терминал (или витрина при ?landing=1)
-  if (process.env.CLOUD_MODE === '1' && (!req.user || req.query.landing === '1')) {
+  if (!req.user || (process.env.CLOUD_MODE === '1' && req.query.landing === '1')) {
     return res.sendFile(path.join(ROOT, 'public', 'landing.html'));
   }
+  setAppCsp(res);
   next();
 });
 app.use('/api', createRouter());
@@ -80,11 +149,12 @@ server.on('error', (e) => {
   process.exit(1);
 });
 
-server.listen(PORT, () => {
-  console.log('Консорциум агентов запущен');
+server.listen(PORT, LISTEN_HOST, () => {
+  const ident = IS_INSTANCE ? getIdentity() : null;
+  console.log(`Консорциум агентов запущен · режим ${ROLE}${IS_INSTANCE ? ` (${INSTANCE_KIND}) · машина ${ident.id || 'не активирована'} · центр ${ident.centralUrl}` : ''}`);
   const llm = activeModelInfo();
   console.log(`ИИ-стратег: ${llm.enabled ? `${llm.provider} · ${llm.model}` : 'выключен (нет модели или ключа: Настройки → Модели ИИ)'}`);
-  for (const url of lanUrls()) console.log(`  В локальной сети: ${url}`);
+  if (!LISTEN_HOST || LISTEN_HOST === '0.0.0.0') for (const url of lanUrls()) console.log(`  В локальной сети: ${url}`);
   console.log(`Клиент: http://localhost:${PORT}`);
   if (process.env.OPEN_BROWSER === '1') openBrowser(`http://localhost:${PORT}`);
 });