neuroalpha 0.5.19 → 0.5.21

package/public/legal.html

@@ -37,13 +37,14 @@
     <h1>Правовые документы сервиса «НейроАльфа»</h1>
 
     <section class="doc" id="offer">
-      <h2>1. Публичная оферта (Договор об оказании информационных услуг доступа к SaaS-платформе)</h2>
-      <p>Настоящий документ является официальным предложением (публичной офертой в соответствии со ст. 435 и ч. 2 ст. 437 Гражданского кодекса РФ) Администрации сервиса «НейроАльфа» (далее — Исполнитель) любому дееспособному физическому или юридическому лицу (далее — Пользователь) заключить договор на предоставление доступа к вычислительному программному комплексу «НейроАльфа» через сеть Интернет (модель SaaS).</p>
+      <h2>1. Лицензионная публичная оферта (Договор предоставления права использования ПО и аренды инфраструктуры PaaS)</h2>
+      <p>Настоящий документ является официальным предложением (публичной офертой в соответствии со ст. 435, ч. 2 ст. 437 и ст. 1286 Гражданского кодекса РФ) Правообладателя и Оператора платформы «НейроАльфа» (далее — Лицензиар / Исполнитель) любому дееспособному физическому или юридическому лицу (далее — Лицензиат / Пользователь) заключить договор на предоставление простой (неисключительной) лицензии на право использования программного обеспечения для ЭВМ «НейроАльфа» и аренду выделенной виртуальной машины PaaS.</p>
 
-      <h3>1.1. Предмет договора и правовой статус сервиса</h3>
+      <h3>1.1. Предмет договора и правовой статус программного обеспечения</h3>
       <ul>
-        <li>Исполнитель предоставляет Пользователю дистанционный доступ к функциям облачного программно-вычислительного комплекса «НейроАльфа» (модель PaaS/SaaS) в соответствии с выбранным Пользователем тарифным планом («Старт», «Инвестор», «Профи», «VIP»).</li>
-        <li>Сервис «НейроАльфа» является исключительно программно-техническим средством (калькулятором статистических закономерностей и интерфейсом автоматизации отправки поручений по параметрам и предохранителям, заданным самим Пользователем).</li>
+        <li>Лицензиар предоставляет Пользователю за вознаграждение простую (неисключительную) лицензию на право дистанционного использования программно-вычислительного комплекса «НейроАльфа» (модель PaaS или локальный дистрибутив на тарифе VIP) в соответствии с выбранным тарифным планом («Инвестор», «Профи», «VIP»).</li>
+        <li>Оплата по настоящему Договору взимается <b>исключительно за предоставление права использования программного обеспечения (лицензии)</b> и выделенные вычислительные ресурсы PaaS.</li>
+        <li>Программный комплекс «НейроАльфа» <b>не является сервисом по зарабатыванию денег</b>, а представляет собой исключительно техническое программное обеспечение для ЭВМ (статистический калькулятор котировок и технический шлюз автоматизации обмена командами с API брокеров по параметрам и предохранителям, заданным самим Пользователем).</li>
         <li><b>Исполнитель не осуществляет деятельность по инвестиционному консультированию</b> (в смысле ст. 6.1 Федерального закона № 39-ФЗ «О рынке ценных бумаг»), не составляет индивидуальных инвестиционных профилей и не даёт индивидуальных инвестиционных рекомендаций (ИИР).</li>
         <li><b>Исполнитель не осуществляет доверительное управление</b> или брокерскую деятельность, не принимает денежные средства или ценные бумаги Пользователей на свои счета. Все торговые операции совершаются Пользователем самостоятельно на его личном счёте у лицензированного брокера.</li>
       </ul>

package/server/api/routes.js

@@ -6,7 +6,7 @@ import { ROOT, strategyDefaults } from '../config.js';
 import { activeModelInfo } from '../llm/client.js';
 import { listProviders, getSelected, addProvider, updateProvider, deleteProvider, fetchRemoteModels, testProvider, selectModel, resolveUpstreamForProxy, providerFetch } from '../llm/providers.js';
 import { listRuns, allRuns, getRun, getTrades, deleteRun, updateRunTitle, setRunShowcase, listShowcaseRuns, countUserRunsToday, countUserChatToday, listJournal, deleteJournal, addJournal, listSettingsHistory, kvGet, kvSet, db, loadCandles } from '../db.js';
-import { PLANS, effectivePlan, publicUser, getUserById, createSession, deleteSession, registerUser, loginUser, ensureNotifyCode, ensureApiKey, getUserByApiKey, activateLocalLicense, listAllUsers, setUserPlan, createOrUpdateAdminUser, createPromoCode, listPromoCodes, redeemPromoCode, acceptUserOffer, createVipRequest, listVipRequests, parseCookies, publicOAuthConfig, saveOAuthConfig, startOAuthRedirect, completeOAuthCallback, verifyTelegramLoginWidget } from '../auth/index.js';
+import { PLANS, effectivePlan, publicUser, getUserById, createSession, deleteSession, registerUser, loginUser, ensureNotifyCode, ensureApiKey, getUserByApiKey, activateLocalLicense, listAllUsers, setUserPlan, createOrUpdateAdminUser, createPromoCode, listPromoCodes, redeemPromoCode, acceptUserOffer, createVipRequest, listVipRequests, parseCookies, parseAllCookieValues, publicOAuthConfig, saveOAuthConfig, startOAuthRedirect, completeOAuthCallback, verifyTelegramLoginWidget } from '../auth/index.js';
 import { publicBillingConfig, saveBillingConfig, createYookassaPayment, verifyYookassaPayment, verifyUserLatestPayment, listAllPayments, listUserPayments } from '../billing/yookassa.js';
 import { publicNotifyConfig, getNotifyConfig, saveNotifyConfig, notifyUser, createTelegramLoginChallenge, checkTelegramLoginChallenge, handleMaxWebhook } from '../notify/index.js';
 import { PARAMS } from '../params-meta.js';
@@ -73,6 +73,14 @@ export function createRouter() {
     const secure = isHttpsRequest(res.req) ? '; Secure' : '';
     res.setHeader('Set-Cookie', `sid=${encodeURIComponent(sid)}; Path=/; HttpOnly; SameSite=Lax; Max-Age=${maxAgeSec}${secure}`);
   };
+  const isRuSegmentRequest = (req) => {
+    if (process.env.ALLOW_FOREIGN_AUTH === '1') return false;
+    const country = String(req.headers?.['cf-ipcountry'] || req.headers?.['x-country-code'] || req.headers?.['x-geo-country'] || '').trim().toUpperCase();
+    if (country) return country === 'RU';
+    const lang = String(req.headers?.['accept-language'] || '').toLowerCase();
+    if (lang && !lang.includes('ru')) return false;
+    return true;
+  };
   r.get('/auth/me', (req, res) => res.json({
     user: req.user ? { ...publicUser(req.user), instances: IS_CENTRAL ? cabinetInstances(req.user.id) : [], payments: listUserPayments(req.user.id, 15) } : null,
     downloads: IS_CENTRAL ? {
@@ -83,6 +91,7 @@ export function createRouter() {
     role: IS_INSTANCE ? 'instance' : IS_CENTRAL ? 'central' : 'dev',
     centralUrl: IS_INSTANCE ? CENTRAL_URL : '',
     cloudMode: process.env.CLOUD_MODE === '1',
+    isRuSegment: isRuSegmentRequest(req),
     plans: PLANS,
     notify: publicNotifyConfig(),
     oauth: publicOAuthConfig(),
@@ -154,8 +163,9 @@ export function createRouter() {
     res.json({ user: publicUser(u), token });
   }));
   r.post('/auth/logout', (req, res) => {
-    const cookies = parseCookies(req.headers?.cookie);
-    if (cookies.sid) deleteSession(cookies.sid);
+    for (const tok of parseAllCookieValues(req.headers?.cookie, 'sid')) {
+      if (tok && tok !== 'logged_out') deleteSession(tok);
+    }
     setCookie(res, 'logged_out', 365 * 86400);
     res.json({ ok: true, ...(IS_INSTANCE ? { redirect: CENTRAL_URL } : {}) });
   });
@@ -748,6 +758,8 @@ export function createRouter() {
       yearChangePct,
       tier: isTier1 ? 1 : 2,
       tierLabel: isTier1 ? '1-й эшелон (высокая ликвидность)' : '2-й эшелон',
+      edgeMult: fcRow?.edgeMult ?? round(tierMult, 3),
+      sigmaPct: fcRow?.sigmaPct ?? null,
       buyThresholdPct: fcRow?.buyThresholdPct ?? round(Math.max((fc?.buyThresholdPct || 0.413) * tierMult, 0.30), 3),
       shortThresholdPct: fcRow?.shortThresholdPct ?? round(Math.max((fc?.shortThresholdPct || 0.516) * tierMult, 0.31), 3),
       shortAllowedByBroker: shortableMap[sym] !== undefined ? Boolean(shortableMap[sym]) : null,

package/server/auth/index.js

@@ -360,8 +360,20 @@ export function parseCookies(cookieHeader = '') {
   return out;
 }
 
+export function parseAllCookieValues(cookieHeader = '', key = 'sid') {
+  const vals = [];
+  for (const part of String(cookieHeader || '').split(';')) {
+    const i = part.indexOf('=');
+    if (i > 0 && part.slice(0, i).trim() === key) {
+      vals.push(decodeURIComponent(part.slice(i + 1).trim()));
+    }
+  }
+  return vals;
+}
+
 export function userFromRequest(req) {
   const cookies = parseCookies(req.headers?.cookie);
+  const allSids = parseAllCookieValues(req.headers?.cookie, 'sid');
   const authHeader = String(req.headers?.authorization || '');
   const apiKeyHeader = String(req.headers?.['x-api-key'] || '').trim();
   const bearer = authHeader.startsWith('Bearer ') ? authHeader.slice(7).trim() : '';
@@ -370,8 +382,8 @@ export function userFromRequest(req) {
     const byKey = getUserByApiKey(apiCandidate);
     if (byKey) return byKey;
   }
-  const token = cookies.sid || bearer;
-  if (token) {
+  const candidates = [...allSids.filter((s) => s && s !== 'logged_out'), ...(bearer ? [bearer] : [])];
+  for (const token of candidates) {
     const sess = db.prepare('SELECT * FROM sessions WHERE token = ? AND expires_at > ?').get(token, Date.now());
     if (sess) {
       const u = getUserById(sess.user_id);
@@ -381,7 +393,8 @@ export function userFromRequest(req) {
   // В локальном режиме (без CLOUD_MODE=1) владелец (id = 1) открывается без входа только с этого компьютера
   // Установка на компьютер клиента после активации — так же, без пароля только с этого компьютера
   const localTrusted = !IS_INSTANCE || (IS_DESKTOP && isActivated());
-  if (process.env.CLOUD_MODE !== '1' && localTrusted && cookies.sid !== 'logged_out' && isLoopbackRequest(req)) {
+  const explicitlyLoggedOut = cookies.sid === 'logged_out' || allSids.includes('logged_out');
+  if (process.env.CLOUD_MODE !== '1' && localTrusted && !explicitlyLoggedOut && isLoopbackRequest(req)) {
     return getUserById(1);
   }
   return null;
@@ -549,11 +562,11 @@ export function authMiddleware(req, res, next) {
 
 // ---------- OAuth 2.0 / Социальный вход: Яндекс, Google, Сбер ID, Т-Банк ID, VK ID ----------
 export const OAUTH_PROVIDERS = [
-  { id: 'yandex', name: 'Яндекс ID', authUrl: 'https://oauth.yandex.ru/authorize', tokenUrl: 'https://oauth.yandex.ru/token', userUrl: 'https://login.yandex.ru/info?format=json', scope: 'login:email login:info' },
-  { id: 'google', name: 'Google', authUrl: 'https://accounts.google.com/o/oauth2/v2/auth', tokenUrl: 'https://oauth2.googleapis.com/token', userUrl: 'https://www.googleapis.com/oauth2/v3/userinfo', scope: 'openid email profile' },
-  { id: 'sber', name: 'Сбер ID', authUrl: 'https://oauth.sber.ru/ru/prod/tokens/v2/oauth', tokenUrl: 'https://oauth.sber.ru/ru/prod/tokens/v2/oidc', userUrl: 'https://oauth.sber.ru/ru/prod/sberbankid/v2.1/userinfo', scope: 'openid name email' },
-  { id: 'tbank', name: 'T-ID (Т-Банк)', authUrl: 'https://id.tbank.ru/auth/authorize', tokenUrl: 'https://id.tbank.ru/auth/token', userUrl: 'https://id.tbank.ru/userinfo/userinfo', scope: 'openid profile email' },
-  { id: 'vk', name: 'VK ID', authUrl: 'https://oauth.vk.com/authorize', tokenUrl: 'https://oauth.vk.com/access_token', userUrl: 'https://api.vk.com/method/users.get?v=5.199', scope: 'email' },
+  { id: 'yandex', name: 'Яндекс ID', foreign: false, authUrl: 'https://oauth.yandex.ru/authorize', tokenUrl: 'https://oauth.yandex.ru/token', userUrl: 'https://login.yandex.ru/info?format=json', scope: 'login:email login:info' },
+  { id: 'google', name: 'Google', foreign: true, authUrl: 'https://accounts.google.com/o/oauth2/v2/auth', tokenUrl: 'https://oauth2.googleapis.com/token', userUrl: 'https://www.googleapis.com/oauth2/v3/userinfo', scope: 'openid email profile' },
+  { id: 'sber', name: 'Сбер ID', foreign: false, authUrl: 'https://oauth.sber.ru/ru/prod/tokens/v2/oauth', tokenUrl: 'https://oauth.sber.ru/ru/prod/tokens/v2/oidc', userUrl: 'https://oauth.sber.ru/ru/prod/sberbankid/v2.1/userinfo', scope: 'openid name email' },
+  { id: 'tbank', name: 'T-ID (Т-Банк)', foreign: false, authUrl: 'https://id.tbank.ru/auth/authorize', tokenUrl: 'https://id.tbank.ru/auth/token', userUrl: 'https://id.tbank.ru/userinfo/userinfo', scope: 'openid profile email' },
+  { id: 'vk', name: 'VK ID', foreign: false, authUrl: 'https://oauth.vk.com/authorize', tokenUrl: 'https://oauth.vk.com/access_token', userUrl: 'https://api.vk.com/method/users.get?v=5.199', scope: 'email' },
 ];
 
 export function getOAuthConfig() {
@@ -564,7 +577,7 @@ export function getOAuthConfig() {
     const cur = saved[p.id] || {};
     const clientId = String(cur.clientId || process.env[`${envPrefix}CLIENT_ID`] || '').trim();
     const clientSecret = decryptSecret(cur.clientSecret || '') || String(process.env[`${envPrefix}CLIENT_SECRET`] || '').trim();
-    out[p.id] = { id: p.id, name: p.name, clientId, clientSecret, enabled: Boolean(clientId && clientSecret) };
+    out[p.id] = { id: p.id, name: p.name, foreign: Boolean(p.foreign), clientId, clientSecret, enabled: Boolean(clientId && clientSecret) };
   }
   return out;
 }
@@ -574,6 +587,7 @@ export function publicOAuthConfig() {
   return Object.fromEntries(OAUTH_PROVIDERS.map((p) => [p.id, {
     id: p.id,
     name: p.name,
+    foreign: Boolean(p.foreign),
     clientId: cfg[p.id].clientId,
     hasSecret: Boolean(cfg[p.id].clientSecret),
     enabled: cfg[p.id].enabled,

package/server/brokers/index.js

@@ -1575,8 +1575,8 @@ export async function prepareBrokerOrders(id, { onlyEntries = false } = {}) {
   const baseShortNeedPct = Number(fc.shortThresholdPct ?? fc.thresholdPct ?? 0.50);
   const minBuyEdgePct = round(baseBuyNeedPct, 3);
   const minShortEdgePct = round(baseShortNeedPct, 3);
-  const reqBuyEdgeOf = (sym) => round(Math.max(minBuyEdgePct * symbolEdgeMult(sym), 0.30), 3);
-  const reqShortEdgeOf = (sym) => round(Math.max(minShortEdgePct * symbolEdgeMult(sym), 0.31), 3);
+  const reqBuyEdgeOf = (sym) => rowMap.get(sym)?.buyThresholdPct ?? round(Math.max(minBuyEdgePct * symbolEdgeMult(sym), 0.30), 3);
+  const reqShortEdgeOf = (sym) => rowMap.get(sym)?.shortThresholdPct ?? round(Math.max(minShortEdgePct * symbolEdgeMult(sym), 0.31), 3);
   const isInCooldown = (sym) => autoAdapt && exitCooldownMap[sym] && (nowTs - exitCooldownMap[sym] < 60 * 60000);
   // Самообучение на истории реальных сделок счёта (адаптивный карантин убыточных бумаг, единый с research.js):
   // если за последние 15 торговых дней по бумаге накоплен убыток (< -1.2% за >= 2 сделки или одиночный пролив < -2.5%),
@@ -1694,7 +1694,8 @@ export async function prepareBrokerOrders(id, { onlyEntries = false } = {}) {
     const heldMs = effEntryTs > 0 ? Math.max(0, nowTs - effEntryTs) : 0;
     // Как в эталонном симуляторе (research.js): первые 65 минут после открытия позиции действует мягкий порог удержания (0.35),
     // чтобы не резать сделку от рыночного шума каждые 30 минут; затем включается плотный порог фиксации (0.95) с учётом эшелона
-    const curExitThr = round(((autoAdapt && heldMs <= 65 * 60000) ? earlyExitThresholdPct : exitThresholdPct) * symbolEdgeMult(sym), 3);
+    const symMult = r.edgeMult || symbolEdgeMult(sym);
+    const curExitThr = round(((autoAdapt && heldMs <= 65 * 60000) ? earlyExitThresholdPct : exitThresholdPct) * symMult, 3);
     const nightExit = !onlyEntries && autoAdapt && shouldExitBeforeNight(nowTs, effEntryTs, stepBars, BAR_INTERVAL);
     const curPx = Number(r.price || pos.price) || 0;
     const avgPx = Number(pos.avgPrice) > 0 ? Number(pos.avgPrice) : (Number(lastHistEntryOp?.price) || curPx);

package/server/model/edge.js

@@ -16,7 +16,40 @@ export const TIER1_LIQUID_SYMBOLS = new Set([
   'OZON', 'HEAD', 'PHOR', 'AFLT', 'MTSS', 'IRAO', 'TRNFP', 'RUAL', 'FLOT', 'X5',
 ]);
 
-export const symbolEdgeMult = (symbol) => (TIER1_LIQUID_SYMBOLS.has(symbol) ? 1 : TIER2_EDGE_MULT);
+export function symbolEdgeMult(symbol, { sigma = 0, avgSigma = 0, avgBarValRub = 0 } = {}) {
+  const isT1 = TIER1_LIQUID_SYMBOLS.has(symbol);
+  const base = isT1 ? 1.0 : TIER2_EDGE_MULT;
+  if (!(sigma > 0 || avgBarValRub > 0)) return base;
+  const refVal = isT1 ? 15e6 : 1.5e6;
+  const liqAdj = avgBarValRub > 0
+    ? Math.max(-0.07, Math.min(0.10, -0.05 * Math.log10(Math.max(5e4, avgBarValRub) / refVal)))
+    : 0;
+  const sigRatio = (sigma > 0 && avgSigma > 0) ? (sigma / avgSigma) : 1;
+  const volAdj = Math.max(-0.05, Math.min(0.10, 0.12 * (sigRatio - 1)));
+  return Math.max(0.88, Math.min(1.45, base * (1 + liqAdj + volAdj)));
+}
+
+export function computeTokenEdgeMults(tokens, sigma, fromIdx = 0, tillIdx = 0) {
+  const N = tokens.length;
+  let sigSum = 0, sigCnt = 0;
+  if (sigma) {
+    for (let i = 0; i < N; i++) if (sigma[i] > 0) { sigSum += sigma[i]; sigCnt++; }
+  }
+  const avgSigma = sigCnt > 0 ? sigSum / sigCnt : 0;
+  const out = new Float64Array(N);
+  for (let i = 0; i < N; i++) {
+    const tk = tokens[i];
+    const lo = Math.max(0, fromIdx);
+    const hi = tillIdx > lo ? Math.min(tk.value.length, tillIdx) : tk.value.length;
+    let vSum = 0, vCnt = 0;
+    for (let t = lo; t < hi; t++) {
+      if (tk.value[t] > 0) { vSum += tk.value[t]; vCnt++; }
+    }
+    const avgBarValRub = vCnt > 0 ? vSum / vCnt : 0;
+    out[i] = symbolEdgeMult(tk.symbol, { sigma: sigma ? sigma[i] : 0, avgSigma, avgBarValRub });
+  }
+  return out;
+}
 
 // Затухание штрафных счётчиков карантина на 30-минутном шаге (период полураспада ~15 торговых дней: 0,9985^(15×33) ≈ 0,48)
 export const QUARANTINE_DECAY = 0.9985;

package/server/model/forecast.js

@@ -5,8 +5,8 @@ import { loadDataset, barsFromHours, BAR_MS } from './dataset.js';
 import { buildFold, MODELS, HEADS, KINDS, SCALES, BETAS, LIQ_MIN, FEATURE_WARMUP, explainAttention, mapSnapshot } from './models.js';
 import { loadProfiles } from './profiles.js';
 import { isMarketDown } from './research.js';
-import { ENTRY_EDGE_MULT, TIER2_EDGE_MULT, TIER1_LIQUID_SYMBOLS, symbolEdgeMult } from './edge.js';
-export { TIER1_LIQUID_SYMBOLS, symbolEdgeMult };
+import { ENTRY_EDGE_MULT, TIER2_EDGE_MULT, TIER1_LIQUID_SYMBOLS, symbolEdgeMult, computeTokenEdgeMults } from './edge.js';
+export { TIER1_LIQUID_SYMBOLS, symbolEdgeMult, computeTokenEdgeMults };
 import { newsForSymbols, blockingNews } from '../news/index.js';
 import { liveDividendGuard } from './dividends.js';
 import { fetchTbankRealtimePrices } from '../brokers/index.js';
@@ -313,14 +313,15 @@ function buildPredictionRows(ds, p, idx, f, u, fitted, chosen, H, effMinEdge, au
   let sInv = 0, nInv = 0;
   for (let i = 0; i < ds.tokens.length; i++) if (f.sigma[i] > 0 && ds.tokens[i].liq[idx] >= LIQ_MIN) { sInv += 1 / f.sigma[i]; nInv++; }
   const avgInv = nInv ? sInv / nInv : 0;
+  const trainSpan = Math.round(90 * (ds.barsPerDay || 54));
+  const edgeMults = computeTokenEdgeMults(ds.tokens, f.sigma, Math.max(0, idx - trainSpan), idx);
   const rows = ds.tokens.map((tk, i) => {
     const exp = preds[chosen][i] * f.sigma[i] * Math.sqrt(H);
     const weight = avgInv > 0 && f.sigma[i] > 0 ? Math.max(0.4, Math.min(1.8, (1 / f.sigma[i]) / avgInv)) : 1;
     const livePx = liveSnap?.prices?.get(tk.symbol) || tk.close[idx] || 0;
     const lastMovePct = round(f.z[u * f.N + i] * f.sigma[i] * 100, 3);
-    // Спред-фильтр по эшелонам ликвидности:
-    // для 1-го эшелона базовый порог needL/needS (≥ 0.50%), для 2–3 эшелона (широкий спред стакана) — в TIER2_EDGE_MULT (1.35×) выше
-    const tierMult = symbolEdgeMult(tk.symbol);
+    // Индивидуальный множитель порога каждой акции по её фактическому обороту в рублях и волатильности свечи:
+    const tierMult = edgeMults[i] || symbolEdgeMult(tk.symbol);
     const symNeedL = Math.max(needL * tierMult, 0.0030);
     const symNeedS = Math.max(needS * tierMult, 0.0031);
     // Аварийный предохранитель экстремальных свечей (±4,5% за одну 10-минутную свечу — планка / остановка торгов / обвал):
@@ -337,7 +338,9 @@ function buildPredictionRows(ds, p, idx, f, u, fitted, chosen, H, effMinEdge, au
     const buyBlockedByDip = Boolean(liveSnap && exp > 0 && lastMovePct < -EXTREME_BAR_MOVE_PCT);
     const row = {
       i, symbol: tk.symbol, name: tk.name,
-      tier: tierMult === 1 ? 1 : 2,
+      tier: TIER1_LIQUID_SYMBOLS.has(tk.symbol) ? 1 : 2,
+      edgeMult: round(tierMult, 3),
+      sigmaPct: round(f.sigma[i] * 100, 3),
       price: round(livePx, 4),
       liquid: tk.liq[idx] >= LIQ_MIN,
       expected: exp,

package/server/model/research.js

@@ -9,7 +9,7 @@ import { ensureProfiles } from './profiles.js';
 import { spearman } from './linalg.js';
 import { listRuns, getRun, createRun, finishRun, saveTrade, saveRunExtra, kvGet } from '../db.js';
 import { strategyDefaults } from '../config.js';
-import { ENTRY_EDGE_MULT, symbolEdgeMult, QUARANTINE_DECAY, isStockQuarantined, canEnterIntraday, shouldExitBeforeNight } from './edge.js';
+import { ENTRY_EDGE_MULT, TIER1_LIQUID_SYMBOLS, symbolEdgeMult, computeTokenEdgeMults, QUARANTINE_DECAY, isStockQuarantined, canEnterIntraday, shouldExitBeforeNight } from './edge.js';
 import { buildDividendCalendar, nextDividendAt, dividendRules, DIV_TAX } from './dividends.js';
 
 const DAY = 86400000;
@@ -39,7 +39,8 @@ export function isMarketDown(ds, t) {
 // 8 — скорректированный спектр Марченко–Пастура (sigmaBulk) для 0 — Авто + динамическая концентрация слота (Conviction Sizing)
 // 9: исторический состав индекса (без ошибки выжившего), дивиденды префов, правила v0.5.x
 // 10: запрет переноса внутридневных сделок через ночь, период полураспада карантина 15 дн., строгий 1-й эшелон
-const DATA_VERSION = 10;
+// 11: индивидуальный расчёт порога каждой акции по её фактическому рублёвому обороту и остаточной волатильности
+const DATA_VERSION = 11;
 
 const AUTO_LOCKED = { modelHorizon: 2.5, modelMinEdge: 2.5, modelExitRatio: 0.95 };
 function reuseParamsKey(params) {
@@ -195,6 +196,7 @@ async function run(runId, p, state) {
   const yraw = new Map(); // t -> Float64Array(N)
   const sigmaAt = new Map(); // t -> обычный размах акций в этом окне обучения
   const betaAt = new Map(); // t -> бета акций к индексу в этом окне обучения (для защиты от движения рынка)
+  const multAt = new Map(); // t -> индивидуальные множители порога каждой акции в этом окне обучения
   const snapshots = [];
   let prevPts = null, prevCl = null, lastFold = null, lastModels = null;
   const folds = Math.ceil((T - H - firstTest) / testLen);
@@ -207,6 +209,7 @@ async function run(runId, p, state) {
     const mainText = `Обучение ${fi + 1} из ${folds}: учимся до ${fmtDay(timeline[testStart])}, прогнозируем до ${fmtDay(timeline[testEnd - 1])}`;
     await tick();
     const f = buildFold(ds, { trainStart, testStart, testEnd, H, embedDim: p.modelEmbedDim, textWeight: p.modelTextWeight, profiles, multiHorizon: autoAdapt });
+    const foldEdgeMults = computeTokenEdgeMults(tokens, f.sigma, trainStart, testStart);
     const fitted = {};
     for (const n of names) {
       fitted[n] = await MODELS[n].fit(f);
@@ -225,6 +228,7 @@ async function run(runId, p, state) {
       yraw.set(t, Float64Array.from(f.yraw.subarray(u * N, u * N + N)));
       sigmaAt.set(t, f.sigma);
       betaAt.set(t, f.beta);
+      multAt.set(t, foldEdgeMults);
     }
     // снимок карты рынка на начало месяца прогноза
     const snap = mapSnapshot(f);
@@ -291,7 +295,7 @@ async function run(runId, p, state) {
   const mktFilter = p.modelMarketFilter === 'ma';
   const invVol = p.modelAllocMode === 'invvol';
   const realCost = (p.commissionPct + p.slippagePct) / 100;
-  const symMult = Float64Array.from(tokens, (tk) => symbolEdgeMult(tk.symbol));
+  const baseSymMult = Float64Array.from(tokens, (tk) => symbolEdgeMult(tk.symbol));
   const divCal = buildDividendCalendar(ds);
   // реальные цены вечного фьючерса на индекс МосБиржи (IMOEXF) — для честной оценки защиты фьючерсом
   let futOpen = null;
@@ -351,7 +355,7 @@ async function run(runId, p, state) {
     // множитель порога входа и выхода (1 — как в стратегии): проверка «торговать реже, но с запасом над издержками»
     const needMult = Number(ex.needMult) > 0 ? Number(ex.needMult) : ENTRY_EDGE_MULT;
     const cashRateAnnual = Number(ex.cashRateAnnual) > 0 ? Number(ex.cashRateAnnual) : 0;
-    const costOf = (i) => (ex.tierCost ? (symMult[i] === 1 ? 0.00065 : 0.00125) : cost);
+    const costOf = (i) => (ex.tierCost ? (TIER1_LIQUID_SYMBOLS.has(tokens[i].symbol) ? 0.00065 : 0.00125) : cost);
     // дивидендный предохранитель (правило стратегии, как в живом контуре; выключается только для сравнения)
     const divGuard = ex.divGuard !== false;
     // налог 13% с дивиденда по покупкам, удержанным через отсечку (цены в бэктесте скорректированы на полный дивиденд)
@@ -436,6 +440,7 @@ async function run(runId, p, state) {
       }
       const pr = preds[name].get(t);
       const sg = sigmaAt.get(t);
+      const symMult = multAt.get(t) || baseSymMult;
       const bear = isMarketDown(ds, t);
       const mktDown = mktFilter && bear;
       const barTs = tsOf(t);

package/server/security.js

@@ -33,7 +33,10 @@ export function isCrossOrigin(req) {
   const origin = req.headers?.origin;
   if (!origin || origin === 'null') return Boolean(origin);
   try {
-    return new URL(origin).host.toLowerCase() !== String(req.headers?.host || '').toLowerCase();
+    const origHost = new URL(origin).host.toLowerCase();
+    const fwdHost = String(req.headers?.['x-forwarded-host'] || '').split(',')[0].trim().toLowerCase();
+    const host = String(req.headers?.host || '').toLowerCase();
+    return origHost !== host && (!fwdHost || origHost !== fwdHost);
   } catch {
     return true;
   }