neuroalpha 0.6.12 → 0.7.0

package/server/auth/index.js

@@ -1,761 +1,576 @@
-// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
-import crypto from 'node:crypto';
-import fs from 'node:fs';
-import path from 'node:path';
-import { AsyncLocalStorage } from 'node:async_hooks';
-import { ROOT, DATA_DIR, DEFAULT_CLOUD_URL } from '../config.js';
-import { db, kvGet, kvSet, registerUidResolver } from '../db.js';
-import { IS_INSTANCE, IS_DESKTOP } from '../role.js';
-import { currentInstanceLicense } from '../instance/agent.js';
-import { isActivated } from '../instance/identity.js';
-
-const ctx = new AsyncLocalStorage();
-// Фоновые задачи сервера (без контекста запроса) работают от имени владельца (id = 1).
-// Запрос без авторизованного пользователя получает uid = 0 — изолированное пустое пространство данных.
-const resolveUid = () => {
-  const store = ctx.getStore();
-  if (!store) return 1;
-  return store.user?.id || 0;
-};
-registerUidResolver(resolveUid);
-
-// ---------- шифрование секретов (AES-256-GCM) ----------
-let masterKey = null;
-function getMasterKey() {
-  if (masterKey) return masterKey;
-  const envKey = (process.env.MASTER_KEY || '').trim();
-  if (envKey) {
-    masterKey = crypto.createHash('sha256').update(envKey).digest();
-    return masterKey;
-  }
-  const keyPath = path.join(DATA_DIR, '.master.key');
-  try {
-    if (fs.existsSync(keyPath)) {
-      const hex = fs.readFileSync(keyPath, 'utf8').trim();
-      if (hex.length >= 64) { masterKey = Buffer.from(hex.slice(0, 64), 'hex'); return masterKey; }
-    }
-    const rnd = crypto.randomBytes(32);
-    fs.mkdirSync(path.dirname(keyPath), { recursive: true });
-    fs.writeFileSync(keyPath, rnd.toString('hex'), { mode: 0o600 });
-    masterKey = rnd;
-  } catch {
-    masterKey = crypto.createHash('sha256').update(ROOT).digest();
-  }
-  return masterKey;
-}
-
-export function encryptSecret(plain) {
-  const s = String(plain ?? '').trim();
-  if (!s) return '';
-  if (s.startsWith('enc:v1:')) return s;
-  const iv = crypto.randomBytes(12);
-  const cipher = crypto.createCipheriv('aes-256-gcm', getMasterKey(), iv);
-  const enc = Buffer.concat([cipher.update(s, 'utf8'), cipher.final()]);
-  const tag = cipher.getAuthTag();
-  return `enc:v1:${iv.toString('hex')}:${tag.toString('hex')}:${enc.toString('hex')}`;
-}
-
-export function decryptSecret(val) {
-  const s = String(val ?? '').trim();
-  if (!s) return '';
-  if (!s.startsWith('enc:v1:')) return s;
-  try {
-    const [, , ivHex, tagHex, encHex] = s.split(':');
-    const decipher = crypto.createDecipheriv('aes-256-gcm', getMasterKey(), Buffer.from(ivHex, 'hex'));
-    decipher.setAuthTag(Buffer.from(tagHex, 'hex'));
-    return Buffer.concat([decipher.update(Buffer.from(encHex, 'hex')), decipher.final()]).toString('utf8');
-  } catch {
-    return '';
-  }
-}
-
-// ---------- хэширование паролей (scrypt) ----------
-export function hashPassword(password) {
-  const salt = crypto.randomBytes(16).toString('hex');
-  const hash = crypto.scryptSync(String(password), salt, 64).toString('hex');
-  return `${salt}:${hash}`;
-}
-
-export async function verifyPassword(password, stored) {
-  if (!stored || !stored.includes(':')) return false;
-  const [salt, hex] = stored.split(':');
-  const hash = await new Promise((resolve, reject) => {
-    crypto.scrypt(String(password), salt, 64, (err, key) => (err ? reject(err) : resolve(key)));
-  });
-  const target = Buffer.from(hex, 'hex');
-  return hash.length === target.length && crypto.timingSafeEqual(hash, target);
-}
-
-// ---------- ограничение попыток входа (по IP и по email) ----------
-const LOGIN_WINDOW_MS = 15 * 60000;
-const LOGIN_MAX_FAILS = 8;
-const loginFails = new Map(); // key -> { count, firstAt }
-
-function loginBlockedFor(key) {
-  const rec = loginFails.get(key);
-  if (!rec) return 0;
-  const left = rec.firstAt + LOGIN_WINDOW_MS - Date.now();
-  if (left <= 0) { loginFails.delete(key); return 0; }
-  return rec.count >= LOGIN_MAX_FAILS ? left : 0;
-}
-
-function noteLoginFail(key) {
-  const now = Date.now();
-  const rec = loginFails.get(key);
-  if (!rec || now - rec.firstAt > LOGIN_WINDOW_MS) loginFails.set(key, { count: 1, firstAt: now });
-  else rec.count += 1;
-  if (loginFails.size > 50000) {
-    for (const [k, v] of loginFails) if (now - v.firstAt > LOGIN_WINDOW_MS) loginFails.delete(k);
-  }
-}
-
-// ---------- пользователи, тарифные планы (Инвестор, Профи, VIP + режим Хозяин) и сессии ----------
-export const PLANS = {
-  none: {
-    id: 'none',
-    name: 'Без подписки',
-    priceRub: 0,
-    maxRunsPerDay: 0,
-    maxVirtualAccounts: 0,
-    maxBrokerAccounts: 0,
-    maxCapitalPerAccountRub: 0,
-    allowShorts: false,
-    allowVipBoost: false,
-    allowResearch: false,
-    maxChatPerDay: 10,
-  },
-  investor: {
-    id: 'investor',
-    name: 'Инвестор',
-    priceRub: 3900,
-    maxRunsPerDay: 0,
-    maxVirtualAccounts: 0,
-    maxBrokerAccounts: 1,
-    maxCapitalPerAccountRub: 1000000,
-    allowShorts: false,
-    allowVipBoost: false,
-    allowResearch: false,
-    maxChatPerDay: 200,
-  },
-  pro: {
-    id: 'pro',
-    name: 'Профи',
-    priceRub: 9900,
-    maxRunsPerDay: 0,
-    maxVirtualAccounts: 0,
-    maxBrokerAccounts: 5,
-    maxCapitalPerAccountRub: 1000000,
-    allowShorts: true,
-    allowVipBoost: false,
-    allowResearch: false,
-    maxChatPerDay: 1000,
-  },
-  vip: {
-    id: 'vip',
-    name: 'VIP',
-    priceRub: 0, // по индивидуальному согласованию / VIP-токену от администратора
-    customPrice: true,
-    maxRunsPerDay: 0,
-    maxVirtualAccounts: 0,
-    maxBrokerAccounts: 50,
-    maxCapitalPerAccountRub: 1000000000,
-    allowShorts: true,
-    allowVipBoost: true,
-    allowResearch: false,
-    allowDesktop: true, // установка на свой компьютер — по договору (VIP)
-    maxChatPerDay: 5000,
-  },
-  owner: {
-    id: 'owner',
-    name: 'Хозяин (Без ограничений)',
-    priceRub: 0,
-    isOwner: true,
-    maxRunsPerDay: 10000,
-    maxVirtualAccounts: 20,
-    maxBrokerAccounts: 100,
-    maxCapitalPerAccountRub: 1000000000,
-    allowShorts: true,
-    allowVipBoost: true,
-    allowResearch: true,
-    allowDesktop: true,
-    maxChatPerDay: 10000,
-  },
-};
-
-export function generateApiKey() {
-  return `na_live_${crypto.randomBytes(16).toString('hex')}`;
-}
-
-export function ensureApiKey(userId, regenerate = false) {
-  const u = getUserById(userId);
-  if (!u) throw new Error('Пользователь не найден');
-  if (u.api_key && !regenerate) return u.api_key;
-  const key = generateApiKey();
-  db.prepare('UPDATE users SET api_key = ? WHERE id = ?').run(key, u.id);
-  return key;
-}
-
-export function getUserByApiKey(apiKey) {
-  const clean = String(apiKey || '').trim();
-  if (!clean.startsWith('na_live_')) return null;
-  return db.prepare('SELECT * FROM users WHERE api_key = ?').get(clean) || null;
-}
-
-// ---------- синхронизация лицензии для локального запуска (npx neuroalpha --key ...) ----------
-export function getLocalLicense() {
-  return kvGet('cloudLicense') || null;
-}
-
-export async function activateLocalLicense(apiKey, cloudUrl = '') {
-  const cleanKey = String(apiKey || '').trim();
-  if (!cleanKey.startsWith('na_live_')) throw new Error('Ключ должен начинаться с na_live_…');
-  const baseUrl = String(cloudUrl || process.env.CLOUD_URL || DEFAULT_CLOUD_URL).trim().replace(/\/+$/, '');
-  return patchUserLicense(cleanKey, baseUrl);
-}
-
-async function patchUserLicense(cleanKey, baseUrl) {
-  // 1) если ключ есть в этой же БД — проверяем напрямую
-  const localUser = getUserByApiKey(cleanKey);
-  if (localUser) {
-    const p = effectivePlan(localUser);
-    const lic = {
-      apiKey: cleanKey,
-      cloudUrl: baseUrl || 'local',
-      email: localUser.email,
-      name: localUser.name,
-      plan: p.id,
-      planName: p.name,
-      planUntil: localUser.plan_until || 0,
-      verifiedAt: Date.now(),
-    };
-    kvSet('cloudLicense', lic);
-    return lic;
-  }
-  // 2) иначе проверяем об облачный сервер
-  if (!baseUrl) throw new Error('Ключ не найден локально. Укажите адрес облачного сервера или активируйте ключ на сайте');
-  const r = await fetch(`${baseUrl}/api/license/verify`, {
-    method: 'POST',
-    headers: { 'Content-Type': 'application/json', Authorization: `Bearer ${cleanKey}` },
-    body: JSON.stringify({ apiKey: cleanKey }),
-    signal: AbortSignal.timeout(15000),
-  });
-  const j = await r.json().catch(() => ({}));
-  if (!r.ok || !j.valid) throw new Error(j.error || `Не удалось проверить ключ (HTTP ${r.status})`);
-  const lic = {
-    apiKey: cleanKey,
-    cloudUrl: baseUrl,
-    email: j.email,
-    name: j.name,
-    plan: j.plan || 'free',
-    planName: j.planName || PLANS[j.plan]?.name || 'Старт',
-    planUntil: j.planUntil || 0,
-    verifiedAt: Date.now(),
-  };
-  kvSet('cloudLicense', lic);
-  // применяем тариф к локальному пользователю #1
-  db.prepare('UPDATE users SET plan = ?, plan_until = ? WHERE id = 1').run(lic.plan, lic.planUntil);
-  return lic;
-}
-
-export function effectivePlan(user) {
-  if (!user) return PLANS.none;
-  // Машина клиента: тариф только из действующей подписанной лицензии центра
-  if (IS_INSTANCE) {
-    if (user.id !== 1) return PLANS.none;
-    const lic = currentInstanceLicense();
-    if (!lic || lic.revoked) return PLANS.none;
-    const p = PLANS[lic.plan] || PLANS.none;
-    if (p.id !== 'none' && lic.planUntil > 0 && lic.planUntil < Date.now()) return PLANS.none;
-    return p;
-  }
-  if (process.env.CLOUD_MODE !== '1' && user.id === 1) {
-    if (user.plan && PLANS[user.plan] && user.plan !== 'owner') {
-      if (user.plan !== 'none' && user.plan_until > 0 && user.plan_until < Date.now()) return PLANS.none;
-      return PLANS[user.plan];
-    }
-    const lic = getLocalLicense();
-    if (lic?.plan && PLANS[lic.plan]) {
-      if (lic.plan !== 'none' && lic.planUntil > 0 && lic.planUntil < Date.now()) return PLANS.none;
-      return PLANS[lic.plan];
-    }
-    if (process.env.LOCAL_STRICT_LICENSE === '1') return PLANS.none;
-    return PLANS.owner;
-  }
-  if (user.id === 1 || user.role === 'admin' || user.plan === 'owner') return PLANS.owner;
-  const p = PLANS[user.plan] || PLANS.none;
-  if (p.id !== 'none' && user.plan_until > 0 && user.plan_until < Date.now()) return PLANS.none;
-  return p;
-}
-
-export function publicUser(u) {
-  if (!u) return null;
-  if (!u.api_key) {
-    try { u.api_key = ensureApiKey(u.id); } catch { /* ignore */ }
-  }
-  const plan = effectivePlan(u);
-  const isOwner = Boolean(u.role === 'admin' || plan.id === 'owner' || plan.allowResearch);
-  return {
-    id: u.id,
-    email: u.email,
-    name: u.name || 'Инвестор',
-    role: u.role || 'user',
-    isOwner,
-    plan: plan.id,
-    planName: plan.name,
-    planUntil: u.plan_until || 0,
-    limits: plan,
-    apiKey: u.api_key || null,
-    tgConnected: Boolean(u.tg_chat_id),
-    maxConnected: Boolean(u.max_chat_id),
-    notifyCode: u.notify_code || null,
-    offerAcceptedAt: u.offer_accepted_at || 0,
-    localLicense: process.env.CLOUD_MODE !== '1' ? getLocalLicense() : null,
-    createdAt: u.created_at,
-  };
-}
-
-export function acceptUserOffer(userId) {
-  if (!userId) throw new Error('Войдите в аккаунт для подписания оферты');
-  const now = Date.now();
-  db.prepare('UPDATE users SET offer_accepted_at = ? WHERE id = ?').run(now, Number(userId));
-  return publicUser(getUserById(userId));
-}
-
-export function getUserById(id) {
-  return db.prepare('SELECT * FROM users WHERE id = ?').get(Number(id));
-}
-
-export function currentUser() {
-  const store = ctx.getStore();
-  if (store) return store.user || null;
-  return getUserById(1);
-}
-
-export function currentUserId() {
-  return resolveUid();
-}
-
-// Локальный режим без входа допускается только с этого же компьютера (не из локальной сети и не через прокси).
-// LOCAL_TRUST_LAN=1 возвращает прежнее поведение (доступ владельца любому устройству в сети).
-export function isLoopbackRequest(req) {
-  if (process.env.LOCAL_TRUST_LAN === '1') return true;
-  if (req?.headers?.['x-forwarded-for'] || req?.headers?.['x-real-ip'] || req?.headers?.forwarded) return false;
-  const addr = String(req?.socket?.remoteAddress || '');
-  if (!(addr === '127.0.0.1' || addr === '::1' || addr === '::ffff:127.0.0.1')) return false;
-  // защита от DNS-rebinding: чужой домен, указывающий на 127.0.0.1, не получает доступ владельца
-  const host = String(req?.headers?.host || '').toLowerCase().replace(/:\d+$/, '');
-  return host === 'localhost' || host === '127.0.0.1' || host === '[::1]';
-}
-
-export function runWithUser(user, fn) {
-  return ctx.run({ user }, fn);
-}
-
-export function parseCookies(cookieHeader = '') {
-  const out = {};
-  for (const part of String(cookieHeader || '').split(';')) {
-    const i = part.indexOf('=');
-    if (i > 0) out[part.slice(0, i).trim()] = decodeURIComponent(part.slice(i + 1).trim());
-  }
-  return out;
-}
-
-export function parseAllCookieValues(cookieHeader = '', key = 'sid') {
-  const vals = [];
-  for (const part of String(cookieHeader || '').split(';')) {
-    const i = part.indexOf('=');
-    if (i > 0 && part.slice(0, i).trim() === key) {
-      vals.push(decodeURIComponent(part.slice(i + 1).trim()));
-    }
-  }
-  return vals;
-}
-
-export function userFromRequest(req) {
-  const cookies = parseCookies(req.headers?.cookie);
-  const allSids = parseAllCookieValues(req.headers?.cookie, 'sid');
-  const authHeader = String(req.headers?.authorization || '');
-  const apiKeyHeader = String(req.headers?.['x-api-key'] || '').trim();
-  const bearer = authHeader.startsWith('Bearer ') ? authHeader.slice(7).trim() : '';
-  const apiCandidate = apiKeyHeader || (bearer.startsWith('na_live_') ? bearer : '');
-  if (apiCandidate) {
-    const byKey = getUserByApiKey(apiCandidate);
-    if (byKey) return byKey;
-  }
-  const candidates = [...allSids.filter((s) => s && s !== 'logged_out'), ...(bearer ? [bearer] : [])];
-  for (const token of candidates) {
-    const sess = db.prepare('SELECT * FROM sessions WHERE token = ? AND expires_at > ?').get(token, Date.now());
-    if (sess) {
-      const u = getUserById(sess.user_id);
-      if (u) return u;
-    }
-  }
-  // В локальном режиме (без CLOUD_MODE=1) владелец (id = 1) открывается без входа только с этого компьютера
-  // Установка на компьютер клиента после активации — так же, без пароля только с этого компьютера
-  const localTrusted = !IS_INSTANCE || (IS_DESKTOP && isActivated());
-  const explicitlyLoggedOut = cookies.sid === 'logged_out' || allSids.includes('logged_out');
-  if (process.env.CLOUD_MODE !== '1' && localTrusted && !explicitlyLoggedOut && isLoopbackRequest(req)) {
-    return getUserById(1);
-  }
-  return null;
-}
-
-export function createSession(userId, days = 30) {
-  const token = crypto.randomBytes(24).toString('hex');
-  const now = Date.now();
-  db.prepare('INSERT INTO sessions (token, user_id, created_at, expires_at) VALUES (?, ?, ?, ?)')
-    .run(token, Number(userId), now, now + days * 86400000);
-  return token;
-}
-
-export function deleteSession(token) {
-  if (!token) return;
-  db.prepare('DELETE FROM sessions WHERE token = ?').run(String(token));
-}
-
-export function registerUser({ email, password, name }) {
-  const cleanEmail = String(email || '').trim().toLowerCase();
-  if (!cleanEmail || !cleanEmail.includes('@')) throw new Error('Укажите корректный email');
-  if (!password || String(password).length < 6) throw new Error('Пароль должен быть не короче 6 символов');
-  const existing = db.prepare('SELECT id FROM users WHERE email = ?').get(cleanEmail);
-  if (existing) throw new Error('Пользователь с таким email уже зарегистрирован');
-  const code = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
-  const apiKey = generateApiKey();
-  const r = db.prepare(`INSERT INTO users (email, name, pass_hash, role, plan, plan_until, notify_code, api_key, created_at)
-    VALUES (?, ?, ?, 'user', 'none', 0, ?, ?, ?)`).run(cleanEmail, String(name || cleanEmail.split('@')[0]).trim(), hashPassword(password), code, apiKey, Date.now());
-  return getUserById(Number(r.lastInsertRowid));
-}
-
-export async function loginUser({ email, password }, { ip = '' } = {}) {
-  const cleanEmail = String(email || '').trim().toLowerCase();
-  const keys = [`e:${cleanEmail}`, ...(ip ? [`ip:${ip}`] : [])];
-  const blockedMs = Math.max(...keys.map(loginBlockedFor));
-  if (blockedMs > 0) {
-    throw new Error(`Слишком много неудачных попыток входа. Повторите через ${Math.ceil(blockedMs / 60000)} мин.`);
-  }
-  const u = db.prepare('SELECT * FROM users WHERE email = ?').get(cleanEmail);
-  const ok = u ? await verifyPassword(password, u.pass_hash) : false;
-  if (!ok) {
-    for (const k of keys) noteLoginFail(k);
-    throw new Error('Неверный email или пароль');
-  }
-  for (const k of keys) loginFails.delete(k);
-  return u;
-}
-
-export function ensureNotifyCode(userId) {
-  const u = getUserById(userId);
-  if (!u) throw new Error('Пользователь не найден');
-  if (u.notify_code) return u.notify_code;
-  const code = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
-  db.prepare('UPDATE users SET notify_code = ? WHERE id = ?').run(code, u.id);
-  return code;
-}
-
-export function listAllUsers() {
-  return db.prepare('SELECT * FROM users ORDER BY id ASC').all().map(publicUser);
-}
-
-export function setUserPlan(userId, plan, days = 30) {
-  if (!(plan in PLANS)) throw new Error(`Неизвестный тариф: ${plan}`);
-  const uid = Number(userId);
-  if (!uid) throw new Error('Некорректный ID пользователя');
-  const until = (plan === 'none' || plan === 'owner') ? 0 : Date.now() + Math.max(1, Number(days) || 30) * 86400000;
-  // Тариф «Хозяин» (owner) даёт права администратора (role = 'admin'); главный владелец (id = 1) всегда сохраняет роль admin
-  const role = (plan === 'owner' || uid === 1) ? 'admin' : 'user';
-  db.prepare('UPDATE users SET plan = ?, plan_until = ?, role = ? WHERE id = ?').run(plan, until, role, uid);
-  return publicUser(getUserById(uid));
-}
-
-export function createOrUpdateAdminUser({ email, password, name }) {
-  const cleanEmail = String(email || '').trim().toLowerCase();
-  if (!cleanEmail || !cleanEmail.includes('@')) throw new Error('Укажите корректный email администратора');
-  const existing = db.prepare('SELECT * FROM users WHERE email = ?').get(cleanEmail);
-  const cleanPass = String(password || '').trim();
-  if (existing) {
-    if (cleanPass && cleanPass.length < 6) throw new Error('Пароль должен быть не короче 6 символов');
-    const nextHash = cleanPass ? hashPassword(cleanPass) : existing.pass_hash;
-    const nextName = String(name || '').trim() || existing.name || 'Администратор';
-    db.prepare("UPDATE users SET name = ?, pass_hash = ?, role = 'admin', plan = 'owner', plan_until = 0 WHERE id = ?")
-      .run(nextName, nextHash, existing.id);
-    ensureApiKey(existing.id);
-    return publicUser(getUserById(existing.id));
-  }
-  if (cleanPass.length < 6) throw new Error('Для нового администратора укажите пароль не короче 6 символов');
-  const code = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
-  const apiKey = generateApiKey();
-  const cleanName = String(name || '').trim() || 'Администратор';
-  const r = db.prepare(`INSERT INTO users (email, name, pass_hash, role, plan, plan_until, notify_code, api_key, offer_accepted_at, created_at)
-    VALUES (?, ?, ?, 'admin', 'owner', 0, ?, ?, ?, ?)`).run(cleanEmail, cleanName, hashPassword(cleanPass), code, apiKey, Date.now(), Date.now());
-  return publicUser(getUserById(Number(r.lastInsertRowid)));
-}
-
-// ---------- промокоды и персональные VIP-токены ----------
-export function createPromoCode({ code, plan = 'investor', days = 14, maxUses = 50, generateVip = false }) {
-  let clean = String(code || '').trim().toUpperCase().replace(/[^A-Z0-9_-]/g, '');
-  if (generateVip || (!clean && plan === 'vip')) {
-    clean = `VIP-${crypto.randomBytes(3).toString('hex').toUpperCase()}-${crypto.randomBytes(2).toString('hex').toUpperCase()}`;
-  }
-  if (clean.length < 3) throw new Error('Код должен содержать минимум 3 символа (латиница/цифры)');
-  if (!(plan in PLANS) || plan === 'none') throw new Error('Выберите тариф Инвестор, Профи или VIP');
-  const d = Math.max(1, Math.min(3650, Math.round(Number(days) || (plan === 'vip' ? 365 : 14))));
-  const m = Math.max(1, Math.min(10000, Math.round(Number(maxUses) || (plan === 'vip' ? 1 : 50))));
-  db.prepare(`INSERT OR REPLACE INTO promocodes (code, plan, days, max_uses, used_count, created_at)
-    VALUES (?, ?, ?, ?, COALESCE((SELECT used_count FROM promocodes WHERE code = ?), 0), ?)`).run(clean, plan, d, m, clean, Date.now());
-  return listPromoCodes();
-}
-
-export function listPromoCodes() {
-  return db.prepare('SELECT * FROM promocodes ORDER BY created_at DESC').all();
-}
-
-export function redeemPromoCode(userId, rawCode) {
-  if (!userId) throw new Error('Войдите в аккаунт для активации кода или VIP-токена');
-  const clean = String(rawCode || '').trim().toUpperCase();
-  const promo = db.prepare('SELECT * FROM promocodes WHERE UPPER(code) = ?').get(clean);
-  if (!promo) throw new Error('Промокод или VIP-токен не найден');
-  if (promo.used_count >= promo.max_uses) throw new Error('Лимит активаций этого кода или VIP-токена исчерпан');
-  const already = db.prepare('SELECT 1 FROM promocode_uses WHERE code = ? AND user_id = ?').get(promo.code, Number(userId));
-  if (already) throw new Error('Вы уже активировали этот код');
-  const u = getUserById(userId);
-  const baseTs = u.plan === promo.plan && u.plan_until > Date.now() ? u.plan_until : Date.now();
-  const nextUntil = baseTs + promo.days * 86400000;
-  if (u.id === 1 || u.role === 'admin') {
-    db.prepare('UPDATE users SET offer_accepted_at = COALESCE(NULLIF(offer_accepted_at, 0), ?) WHERE id = ?').run(Date.now(), u.id);
-  } else {
-    db.prepare('UPDATE users SET plan = ?, plan_until = ?, offer_accepted_at = COALESCE(NULLIF(offer_accepted_at, 0), ?) WHERE id = ?').run(promo.plan, nextUntil, Date.now(), u.id);
-  }
-  db.prepare('UPDATE promocodes SET used_count = used_count + 1 WHERE code = ?').run(promo.code);
-  db.prepare('INSERT INTO promocode_uses (code, user_id, used_at) VALUES (?, ?, ?)').run(promo.code, u.id, Date.now());
-  return publicUser(getUserById(userId));
-}
-
-export function createVipRequest({ user, name, contact, capitalRub, comment }) {
-  const list = kvGet('vipRequests') || [];
-  const item = {
-    id: `vipreq_${Date.now()}`,
-    createdAt: Date.now(),
-    userId: user?.id || null,
-    email: user?.email || '',
-    name: String(name || user?.name || '').trim() || 'Инвестор',
-    contact: String(contact || '').trim(),
-    capitalRub: String(capitalRub || '').trim(),
-    comment: String(comment || '').trim(),
-    status: 'new',
-  };
-  if (!item.contact && !item.email) throw new Error('Укажите ваш Telegram, телефон или email для связи');
-  list.unshift(item);
-  if (list.length > 200) list.length = 200;
-  kvSet('vipRequests', list);
-  return item;
-}
-
-export function listVipRequests() {
-  return kvGet('vipRequests') || [];
-}
-
-export function authMiddleware(req, res, next) {
-  const u = userFromRequest(req);
-  req.user = u;
-  return runWithUser(u, () => next());
-}
-
-// ---------- OAuth 2.0 / Социальный вход: Яндекс, Google, Сбер ID, Т-Банк ID, VK ID ----------
-export const OAUTH_PROVIDERS = [
-  { id: 'yandex', name: 'Яндекс ID', foreign: false, authUrl: 'https://oauth.yandex.ru/authorize', tokenUrl: 'https://oauth.yandex.ru/token', userUrl: 'https://login.yandex.ru/info?format=json', scope: 'login:email login:info' },
-  { id: 'google', name: 'Google', foreign: true, authUrl: 'https://accounts.google.com/o/oauth2/v2/auth', tokenUrl: 'https://oauth2.googleapis.com/token', userUrl: 'https://www.googleapis.com/oauth2/v3/userinfo', scope: 'openid email profile' },
-  { id: 'sber', name: 'Сбер ID', foreign: false, authUrl: 'https://oauth.sber.ru/ru/prod/tokens/v2/oauth', tokenUrl: 'https://oauth.sber.ru/ru/prod/tokens/v2/oidc', userUrl: 'https://oauth.sber.ru/ru/prod/sberbankid/v2.1/userinfo', scope: 'openid name email' },
-  { id: 'tbank', name: 'T-ID (Т-Банк)', foreign: false, authUrl: 'https://id.tbank.ru/auth/authorize', tokenUrl: 'https://id.tbank.ru/auth/token', userUrl: 'https://id.tbank.ru/userinfo/userinfo', scope: 'openid profile email' },
-  { id: 'vk', name: 'VK ID', foreign: false, authUrl: 'https://oauth.vk.com/authorize', tokenUrl: 'https://oauth.vk.com/access_token', userUrl: 'https://api.vk.com/method/users.get?v=5.199', scope: 'email' },
-];
-
-export function getOAuthConfig() {
-  const saved = kvGet('oauthConfig') || {};
-  const out = {};
-  for (const p of OAUTH_PROVIDERS) {
-    const envPrefix = `OAUTH_${p.id.toUpperCase()}_`;
-    const cur = saved[p.id] || {};
-    const clientId = String(cur.clientId || process.env[`${envPrefix}CLIENT_ID`] || '').trim();
-    const clientSecret = decryptSecret(cur.clientSecret || '') || String(process.env[`${envPrefix}CLIENT_SECRET`] || '').trim();
-    out[p.id] = { id: p.id, name: p.name, foreign: Boolean(p.foreign), clientId, clientSecret, enabled: Boolean(clientId && clientSecret) };
-  }
-  return out;
-}
-
-export function publicOAuthConfig() {
-  const cfg = getOAuthConfig();
-  return Object.fromEntries(OAUTH_PROVIDERS.map((p) => [p.id, {
-    id: p.id,
-    name: p.name,
-    foreign: Boolean(p.foreign),
-    clientId: cfg[p.id].clientId,
-    hasSecret: Boolean(cfg[p.id].clientSecret),
-    enabled: cfg[p.id].enabled,
-  }]));
-}
-
-export function saveOAuthConfig(input = {}) {
-  const prev = kvGet('oauthConfig') || {};
-  const next = { ...prev };
-  for (const p of OAUTH_PROVIDERS) {
-    const b = input[p.id];
-    if (!b) continue;
-    const cur = prev[p.id] || {};
-    next[p.id] = {
-      clientId: String(b.clientId ?? cur.clientId ?? '').trim(),
-      clientSecret: b.clearSecret ? '' : (b.clientSecret && String(b.clientSecret).trim() ? encryptSecret(b.clientSecret) : (cur.clientSecret || '')),
-    };
-  }
-  kvSet('oauthConfig', next);
-  return publicOAuthConfig();
-}
-
-const oauthStates = new Map(); // state -> { provider, plan, createdAt, origin }
-
-export function startOAuthRedirect(providerId, { origin = 'http://localhost:3000', plan = '' } = {}) {
-  const meta = OAUTH_PROVIDERS.find((p) => p.id === providerId);
-  if (!meta) throw new Error(`Неизвестный провайдер: ${providerId}`);
-  const cfg = getOAuthConfig()[providerId];
-  if (!cfg?.enabled) {
-    throw new Error(`Вход через «${meta.name}» ещё не подключён администратором (укажите Client ID и Secret в Настройках → Профиль, тариф и боты)`);
-  }
-  // очистка старых state
-  const now = Date.now();
-  for (const [k, v] of oauthStates) if (now - v.createdAt > 15 * 60000) oauthStates.delete(k);
-
-  const state = crypto.randomBytes(16).toString('hex');
-  const redirectUri = `${origin.replace(/\/+$/, '')}/api/auth/oauth/${providerId}/callback`;
-  oauthStates.set(state, { provider: providerId, plan: String(plan || ''), createdAt: now, redirectUri });
-
-  const params = new URLSearchParams({
-    client_id: cfg.clientId,
-    redirect_uri: redirectUri,
-    response_type: 'code',
-    scope: meta.scope,
-    state,
-  });
-  if (providerId === 'sber') params.set('nonce', crypto.randomUUID());
-  return `${meta.authUrl}?${params.toString()}`;
-}
-
-function decodeJwtPayload(jwt) {
-  try {
-    const part = String(jwt || '').split('.')[1];
-    if (!part) return null;
-    return JSON.parse(Buffer.from(part, 'base64url').toString('utf8'));
-  } catch {
-    return null;
-  }
-}
-
-export async function completeOAuthCallback(providerId, { code, state }) {
-  const st = oauthStates.get(String(state || ''));
-  oauthStates.delete(String(state || ''));
-  if (!st || st.provider !== providerId) throw new Error('Сессия авторизации истекла — попробуйте войти ещё раз');
-  if (!code) throw new Error('Провайдер не передал код авторизации');
-
-  const meta = OAUTH_PROVIDERS.find((p) => p.id === providerId);
-  const cfg = getOAuthConfig()[providerId];
-  if (!meta || !cfg?.enabled) throw new Error('Провайдер не настроен');
-
-  const body = new URLSearchParams({
-    grant_type: 'authorization_code',
-    code: String(code),
-    client_id: cfg.clientId,
-    client_secret: cfg.clientSecret,
-    redirect_uri: st.redirectUri,
-  });
-
-  const tokRes = await fetch(meta.tokenUrl, {
-    method: 'POST',
-    headers: { 'Content-Type': 'application/x-www-form-urlencoded', Accept: 'application/json' },
-    body: body.toString(),
-    signal: AbortSignal.timeout(15000),
-  });
-  const tokJson = await tokRes.json().catch(() => ({}));
-  if (!tokRes.ok || (!tokJson.access_token && !tokJson.id_token)) {
-    throw new Error(tokJson.error_description || tokJson.error || `Ошибка обмена токена ${meta.name} (HTTP ${tokRes.status})`);
-  }
-
-  let email = '';
-  let name = '';
-  let extId = '';
-
-  if (providerId === 'vk') {
-    email = String(tokJson.email || '').trim().toLowerCase();
-    extId = String(tokJson.user_id || '');
-    if (tokJson.access_token && extId) {
-      const uRes = await fetch(`${meta.userUrl}&access_token=${encodeURIComponent(tokJson.access_token)}&user_ids=${encodeURIComponent(extId)}`).then((r) => r.json()).catch(() => null);
-      const u0 = uRes?.response?.[0];
-      if (u0) name = `${u0.first_name || ''} ${u0.last_name || ''}`.trim();
-    }
-  } else {
-    if (tokJson.id_token) {
-      const claims = decodeJwtPayload(tokJson.id_token);
-      if (claims) {
-        email = String(claims.email || '').trim().toLowerCase();
-        name = String(claims.name || claims.given_name || '').trim();
-        extId = String(claims.sub || '');
-      }
-    }
-    if ((!email || !name) && tokJson.access_token && meta.userUrl) {
-      const uRes = await fetch(meta.userUrl, {
-        headers: { Authorization: `Bearer ${tokJson.access_token}`, Accept: 'application/json' },
-        signal: AbortSignal.timeout(12000),
-      }).then((r) => r.json()).catch(() => null);
-      if (uRes) {
-        email = email || String(uRes.default_email || uRes.email || uRes.emails?.[0] || '').trim().toLowerCase();
-        name = name || String(uRes.real_name || uRes.display_name || uRes.name || `${uRes.first_name || ''} ${uRes.last_name || ''}`).trim();
-        extId = extId || String(uRes.id || uRes.sub || uRes.psuid || '');
-      }
-    }
-  }
-
-  if (!email) {
-    email = `${providerId}_${extId || crypto.randomBytes(4).toString('hex')}@oauth.neuroalpha.local`;
-  }
-  if (!name) {
-    name = email.split('@')[0];
-  }
-
-  let user = db.prepare('SELECT * FROM users WHERE email = ?').get(email);
-  if (!user) {
-    const notifyCode = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
-    const apiKey = generateApiKey();
-    const rndPass = hashPassword(crypto.randomBytes(16).toString('hex'));
-    const r = db.prepare(`INSERT INTO users (email, name, pass_hash, role, plan, plan_until, notify_code, api_key, created_at)
-      VALUES (?, ?, ?, 'user', 'free', 0, ?, ?, ?)`).run(email, name, rndPass, notifyCode, apiKey, Date.now());
-    user = getUserById(Number(r.lastInsertRowid));
-  } else if (!user.api_key) {
-    ensureApiKey(user.id);
-    user = getUserById(user.id);
-  }
-
-  return { user, plan: st.plan };
-}
-
-export function verifyTelegramLoginWidget(query = {}, botToken = '') {
-  const { hash, ...data } = query;
-  if (!hash || !botToken) throw new Error('Некорректные данные авторизации Telegram');
-  const checkString = Object.keys(data).sort().map((k) => `${k}=${data[k]}`).join('\n');
-  const secretKey = crypto.createHash('sha256').update(botToken).digest();
-  const hmac = crypto.createHmac('sha256', secretKey).update(checkString).digest('hex');
-  if (hmac !== String(hash)) throw new Error('Подпись Telegram не прошла проверку');
-  const tgId = String(data.id || '');
-  const name = `${data.first_name || ''} ${data.last_name || ''}`.trim() || data.username || `Telegram ${tgId}`;
-  const email = data.username ? `${String(data.username).toLowerCase()}@tg.neuroalpha.local` : `tg_${tgId}@tg.neuroalpha.local`;
-
-  let user = db.prepare('SELECT * FROM users WHERE tg_chat_id = ? OR email = ?').get(tgId, email);
-  if (!user) {
-    const notifyCode = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
-    const apiKey = generateApiKey();
-    const rndPass = hashPassword(crypto.randomBytes(16).toString('hex'));
-    const r = db.prepare(`INSERT INTO users (email, name, pass_hash, role, plan, plan_until, tg_chat_id, notify_code, api_key, created_at)
-      VALUES (?, ?, ?, 'user', 'free', 0, ?, ?, ?, ?)`).run(email, name, rndPass, tgId, notifyCode, apiKey, Date.now());
-    user = getUserById(Number(r.lastInsertRowid));
-  } else if (!user.tg_chat_id) {
-    db.prepare('UPDATE users SET tg_chat_id = ? WHERE id = ?').run(tgId, user.id);
-    user = getUserById(user.id);
-  }
-  return user;
-}
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Однопользовательский контур безопасности и автономного лицензирования торгового терминала НейроАльфа:
+//   • шифрование локальных брокерских ключей (AES-256-GCM в ~/.neuroalpha/.master.key);
+//   • активация терминала по токену личного кабинета (na_tok_...) и офлайн-проверка подписи лицензии (Ed25519);
+//   • 100% автономная работа без обращений к порталу до последних 3 суток перед истечением оплаченного срока;
+//   • защита удалённого доступа (на VPS): с localhost (127.0.0.1) вход открыт после активации, по сети требуется токен ЛК или локальный пароль.
+import crypto from 'node:crypto';
+import fs from 'node:fs';
+import os from 'node:os';
+import path from 'node:path';
+import { AsyncLocalStorage } from 'node:async_hooks';
+import { ROOT, DATA_DIR, IS_DEV_REPO, DEFAULT_CLOUD_URL } from '../config.js';
+import { IS_PACKAGED, BUILD } from '../build-info.js';
+import { db, kvGet, kvSet, registerUidResolver } from '../db.js';
+
+const ctx = new AsyncLocalStorage();
+const resolveUid = () => {
+  const store = ctx.getStore();
+  if (!store) return 1;
+  return store.user?.id || 0;
+};
+registerUidResolver(resolveUid);
+
+const DAY_MS = 86400000;
+const RENEW_WINDOW_MS = 3 * DAY_MS;
+
+export const PLANS = {
+  none: {
+    id: 'none',
+    name: 'Без активной лицензии',
+    priceRub: 0,
+    maxRunsPerDay: 0,
+    maxVirtualAccounts: 0,
+    maxBrokerAccounts: 0,
+    maxCapitalPerAccountRub: 0,
+    allowShorts: false,
+    allowVipBoost: false,
+    allowResearch: false,
+    maxChatPerDay: 10,
+  },
+  investor: {
+    id: 'investor',
+    name: 'Инвестор',
+    priceRub: 3900,
+    maxRunsPerDay: 0,
+    maxVirtualAccounts: 1,
+    maxBrokerAccounts: 1,
+    maxCapitalPerAccountRub: 1000000,
+    allowShorts: false,
+    allowVipBoost: false,
+    allowResearch: false,
+    maxChatPerDay: 200,
+  },
+  pro: {
+    id: 'pro',
+    name: 'Профи',
+    priceRub: 9900,
+    maxRunsPerDay: 0,
+    maxVirtualAccounts: 3,
+    maxBrokerAccounts: 5,
+    maxCapitalPerAccountRub: 1000000,
+    allowShorts: true,
+    allowVipBoost: false,
+    allowResearch: false,
+    maxChatPerDay: 1000,
+  },
+  vip: {
+    id: 'vip',
+    name: 'VIP',
+    priceRub: 0,
+    customPrice: true,
+    maxRunsPerDay: 0,
+    maxVirtualAccounts: 10,
+    maxBrokerAccounts: 50,
+    maxCapitalPerAccountRub: 1000000000,
+    allowShorts: true,
+    allowVipBoost: true,
+    allowResearch: false,
+    maxChatPerDay: 5000,
+  },
+  owner: {
+    id: 'owner',
+    name: 'Хозяин (Без ограничений)',
+    priceRub: 0,
+    isOwner: true,
+    maxRunsPerDay: 10000,
+    maxVirtualAccounts: 20,
+    maxBrokerAccounts: 100,
+    maxCapitalPerAccountRub: 1000000000,
+    allowShorts: true,
+    allowVipBoost: true,
+    allowResearch: true,
+    maxChatPerDay: 10000,
+  },
+};
+
+// ---------- AES-256-GCM ----------
+let masterKey = null;
+function getMasterKey() {
+  if (masterKey) return masterKey;
+  const envKey = String(process.env.MASTER_KEY || '').trim();
+  if (envKey) {
+    masterKey = crypto.createHash('sha256').update(envKey).digest();
+    return masterKey;
+  }
+  const keyPath = path.join(DATA_DIR, '.master.key');
+  try {
+    if (fs.existsSync(keyPath)) {
+      const hex = fs.readFileSync(keyPath, 'utf8').trim();
+      if (hex.length >= 64) { masterKey = Buffer.from(hex.slice(0, 64), 'hex'); return masterKey; }
+    }
+    const rnd = crypto.randomBytes(32);
+    fs.mkdirSync(path.dirname(keyPath), { recursive: true });
+    fs.writeFileSync(keyPath, rnd.toString('hex'), { mode: 0o600 });
+    masterKey = rnd;
+  } catch {
+    masterKey = crypto.createHash('sha256').update(ROOT).digest();
+  }
+  return masterKey;
+}
+
+export function encryptSecret(plain) {
+  const s = String(plain ?? '').trim();
+  if (!s) return '';
+  if (s.startsWith('enc:v1:')) return s;
+  const iv = crypto.randomBytes(12);
+  const cipher = crypto.createCipheriv('aes-256-gcm', getMasterKey(), iv);
+  const enc = Buffer.concat([cipher.update(s, 'utf8'), cipher.final()]);
+  const tag = cipher.getAuthTag();
+  return `enc:v1:${iv.toString('hex')}:${tag.toString('hex')}:${enc.toString('hex')}`;
+}
+
+export function decryptSecret(val) {
+  const s = String(val ?? '').trim();
+  if (!s) return '';
+  if (!s.startsWith('enc:v1:')) return s;
+  try {
+    const [, , ivHex, tagHex, encHex] = s.split(':');
+    const decipher = crypto.createDecipheriv('aes-256-gcm', getMasterKey(), Buffer.from(ivHex, 'hex'));
+    decipher.setAuthTag(Buffer.from(tagHex, 'hex'));
+    return Buffer.concat([decipher.update(Buffer.from(encHex, 'hex')), decipher.final()]).toString('utf8');
+  } catch {
+    return '';
+  }
+}
+
+const sha256Hex = (s) => crypto.createHash('sha256').update(String(s || '')).digest('hex');
+
+export function hashPassword(password) {
+  const salt = crypto.randomBytes(16).toString('hex');
+  const hash = crypto.scryptSync(String(password), salt, 64).toString('hex');
+  return `${salt}:${hash}`;
+}
+
+export async function verifyPassword(password, stored) {
+  if (!stored || !stored.includes(':')) return false;
+  const [salt, hex] = stored.split(':');
+  const hash = await new Promise((resolve, reject) => {
+    crypto.scrypt(String(password), salt, 64, (err, key) => (err ? reject(err) : resolve(key)));
+  });
+  const target = Buffer.from(hex, 'hex');
+  return hash.length === target.length && crypto.timingSafeEqual(hash, target);
+}
+
+// ---------- Уникальный идентификатор установки ПК / VPS ----------
+let cachedInstallId = '';
+export function getInstallId() {
+  if (cachedInstallId) return cachedInstallId;
+  const idFile = path.join(DATA_DIR, '.install-id');
+  try {
+    if (fs.existsSync(idFile)) {
+      const v = fs.readFileSync(idFile, 'utf8').trim();
+      if (v.length >= 16) { cachedInstallId = v; return v; }
+    }
+    const next = `inst_${crypto.randomBytes(16).toString('hex')}`;
+    fs.mkdirSync(path.dirname(idFile), { recursive: true });
+    fs.writeFileSync(idFile, next, { mode: 0o600 });
+    cachedInstallId = next;
+    return next;
+  } catch {
+    cachedInstallId = `inst_${sha256Hex(DATA_DIR).slice(0, 32)}`;
+    return cachedInstallId;
+  }
+}
+
+// ---------- Офлайн-проверка подписанной лицензии Ed25519 ----------
+export function verifyLicenseCertificate(licenseToken, publicKeyPem, expectedInstallId = getInstallId()) {
+  const pinnedPem = (IS_PACKAGED && BUILD?.publicKeyPem)
+    || (process.env.LICENSE_PUBLIC_KEY ? process.env.LICENSE_PUBLIC_KEY.replace(/\\n/g, '\n') : '')
+    || String(publicKeyPem || '').trim();
+  if (!pinnedPem || !pinnedPem.includes('BEGIN PUBLIC KEY')) {
+    throw new Error('Отсутствует открытый ключ проверки лицензии');
+  }
+  const [dataB64, sigB64] = String(licenseToken || '').split('.');
+  if (!dataB64 || !sigB64) throw new Error('Некорректный формат сертификата лицензии');
+  const pubKey = crypto.createPublicKey(pinnedPem);
+  const validSig = crypto.verify(null, Buffer.from(dataB64), pubKey, Buffer.from(sigB64, 'base64url'));
+  if (!validSig) throw new Error('Цифровая подпись лицензии не прошла проверку');
+
+  let p;
+  try {
+    p = JSON.parse(Buffer.from(dataB64, 'base64url').toString('utf8'));
+  } catch {
+    throw new Error('Повреждены данные сертификата лицензии');
+  }
+  if (p.typ !== 'na_license' || p.iss !== 'neuroalpha-portal') {
+    throw new Error('Сертификат выпущен неизвестным центром');
+  }
+  if (expectedInstallId && p.installId && p.installId !== expectedInstallId) {
+    throw new Error('Лицензия выпущена для другого компьютера');
+  }
+  return p;
+}
+
+const isDevUnactivatedBypass = () => IS_DEV_REPO && process.env.NEUROALPHA_STRICT_LICENSE !== '1';
+
+export function getTerminalLicenseState() {
+  const stored = kvGet('terminalLicense') || null;
+  const localPassHash = kvGet('terminalLocalPassHash') || '';
+  if (!stored?.licenseToken || !stored?.publicKeyPem) {
+    const devBypass = isDevUnactivatedBypass();
+    return {
+      activated: devBypass,
+      devBypass,
+      valid: devBypass,
+      expired: false,
+      plan: devBypass ? 'owner' : 'none',
+      planName: devBypass ? PLANS.owner.name : PLANS.none.name,
+      validUntil: 0,
+      perpetual: devBypass,
+      email: devBypass ? 'dev@local' : '',
+      name: devBypass ? 'Разработчик (локальный репозиторий)' : '',
+      licId: '',
+      label: '',
+      portalUrl: stored?.portalUrl || DEFAULT_CLOUD_URL,
+      hasCabinetToken: Boolean(stored?.cabinetTokenEnc),
+      hasLocalPassword: Boolean(localPassHash),
+      installId: getInstallId(),
+    };
+  }
+
+  try {
+    const p = verifyLicenseCertificate(stored.licenseToken, stored.publicKeyPem, getInstallId());
+    const validUntil = Number(p.validUntil) || 0;
+    const perpetual = Boolean(p.perpetual || validUntil === 0);
+    const expired = !perpetual && validUntil <= Date.now();
+    const planId = !expired && PLANS[p.plan] ? p.plan : 'none';
+    return {
+      activated: true,
+      devBypass: false,
+      valid: !expired && planId !== 'none',
+      expired,
+      plan: planId,
+      planName: PLANS[planId]?.name || p.planName || planId,
+      rawPlanName: p.planName || PLANS[p.plan]?.name || p.plan,
+      validUntil,
+      perpetual,
+      email: p.email || '',
+      name: p.name || '',
+      licId: p.licId || stored.slotId || '',
+      label: p.label || '',
+      portalUrl: stored.portalUrl || p.portalUrl || DEFAULT_CLOUD_URL,
+      hasCabinetToken: Boolean(stored.cabinetTokenEnc),
+      hasLocalPassword: Boolean(localPassHash),
+      installId: getInstallId(),
+      lastFetchedAt: stored.fetchedAt || 0,
+    };
+  } catch (err) {
+    return {
+      activated: false,
+      devBypass: false,
+      valid: false,
+      expired: false,
+      error: err.message,
+      plan: 'none',
+      planName: PLANS.none.name,
+      validUntil: 0,
+      perpetual: false,
+      email: '',
+      name: '',
+      licId: '',
+      label: '',
+      portalUrl: stored.portalUrl || DEFAULT_CLOUD_URL,
+      hasCabinetToken: Boolean(stored.cabinetTokenEnc),
+      hasLocalPassword: Boolean(localPassHash),
+      installId: getInstallId(),
+    };
+  }
+}
+
+export function getStoredCabinetCredentials() {
+  const stored = kvGet('terminalLicense') || {};
+  const token = decryptSecret(stored.cabinetTokenEnc || '');
+  const portalUrl = String(stored.portalUrl || DEFAULT_CLOUD_URL).replace(/\/+$/, '');
+  return { token, portalUrl };
+}
+
+// Скачивание подписанной автономной лицензии с портала по токену ЛК (na_tok_...)
+export async function activateTerminalByToken({ token = '', portalUrl = '', slotId = '' } = {}) {
+  const stored = kvGet('terminalLicense') || {};
+  const cleanToken = String(token || decryptSecret(stored.cabinetTokenEnc || '')).trim();
+  if (!cleanToken || !cleanToken.startsWith('na_tok_')) {
+    throw new Error('Введите корректный токен из личного кабинета (начинается с na_tok_…)');
+  }
+  const basePortal = String(
+    (IS_PACKAGED ? BUILD.centralUrl : (portalUrl || stored.portalUrl || DEFAULT_CLOUD_URL)),
+  ).trim().replace(/\/+$/, '');
+  if (!/^https?:\/\//i.test(basePortal)) {
+    throw new Error('Укажите корректный адрес портала лицензий (https://…)');
+  }
+
+  const r = await fetch(`${basePortal}/api/license/fetch`, {
+    method: 'POST',
+    headers: {
+      'Content-Type': 'application/json',
+      Authorization: `Bearer ${cleanToken}`,
+    },
+    body: JSON.stringify({
+      token: cleanToken,
+      installId: getInstallId(),
+      hostname: os.hostname().slice(0, 64),
+      slotId: String(slotId || '').trim(),
+    }),
+    signal: AbortSignal.timeout(20000),
+  });
+  const j = await r.json().catch(() => ({}));
+  if (!r.ok) {
+    throw new Error(j.error || `Портал вернул ошибку HTTP ${r.status}`);
+  }
+
+  // Если в ЛК несколько свободных слотов лицензий — возвращаем список для выбора пользователем
+  if (j.chooseSlot) {
+    return {
+      chooseSlot: true,
+      portalUrl: basePortal,
+      email: j.email || '',
+      name: j.name || '',
+      slots: j.slots || [],
+    };
+  }
+
+  if (!j.licenseToken || !j.publicKeyPem) {
+    throw new Error('Портал не вернул подписанный сертификат лицензии');
+  }
+  const verified = verifyLicenseCertificate(j.licenseToken, j.publicKeyPem, getInstallId());
+
+  kvSet('terminalLicense', {
+    portalUrl: basePortal,
+    publicKeyPem: j.publicKeyPem,
+    cabinetTokenEnc: encryptSecret(cleanToken),
+    cabinetTokenHash: sha256Hex(cleanToken),
+    slotId: verified.licId || j.slot?.id || '',
+    licenseToken: j.licenseToken,
+    fetchedAt: Date.now(),
+  });
+
+  // Синхронизируем облачный ключ для ИИ-прокси портала и шлюза Telegram/MAX
+  kvSet('cloudLicense', {
+    apiKey: cleanToken,
+    cloudUrl: basePortal,
+    email: verified.email,
+    name: verified.name,
+    plan: verified.plan,
+    planName: verified.planName,
+    planUntil: verified.validUntil || 0,
+    verifiedAt: Date.now(),
+  });
+
+  db.prepare('UPDATE users SET email = ?, name = ?, plan = ?, plan_until = ?, offer_accepted_at = ? WHERE id = 1').run(
+    String(verified.email || 'user@neuroalpha.local'),
+    String(verified.name || 'Пользователь'),
+    String(verified.plan || 'none'),
+    Number(verified.validUntil) || 0,
+    Date.now(),
+  );
+
+  return {
+    chooseSlot: false,
+    state: getTerminalLicenseState(),
+  };
+}
+
+// Обратная совместимость с CLI-флагом при запуске
+export async function activateLocalLicense(token, portalUrl = '') {
+  const out = await activateTerminalByToken({ token, portalUrl });
+  return out.state || out;
+}
+
+// Автономное фоновое продление: НЕ пингует портал вообще, пока до истечения лицензии остаётся > 3 суток!
+let lastAutoRefreshAttemptTs = 0;
+export function startAutonomousLicenseWatcher() {
+  const checkIfExpiringSoon = async () => {
+    try {
+      const st = getTerminalLicenseState();
+      if (!st.activated || st.devBypass || st.perpetual || !st.hasCabinetToken) return;
+      const leftMs = (Number(st.validUntil) || 0) - Date.now();
+      if (leftMs > RENEW_WINDOW_MS) return; // больше 3 суток впереди — полная тишина и автономность!
+      if (Date.now() - lastAutoRefreshAttemptTs < 12 * 3600000) return;
+      lastAutoRefreshAttemptTs = Date.now();
+      const stored = kvGet('terminalLicense') || {};
+      await activateTerminalByToken({ slotId: stored.slotId || '' });
+    } catch { /* при офлайне продолжаем работать по текущему сертификату до его конца */ }
+  };
+  const timer = setInterval(checkIfExpiringSoon, 3600000);
+  timer.unref?.();
+}
+
+// Предохранитель торгового движка (server/brokers/index.js):
+// без активной лицензии новые входы блокируются, но защитные стопы продолжают работать!
+export function tradingGate() {
+  const st = getTerminalLicenseState();
+  if (!st.activated) {
+    return { allowNew: false, allowProtective: true, reason: 'Терминал не активирован — введите токен из личного кабинета' };
+  }
+  if (st.expired || !st.valid) {
+    return { allowNew: false, allowProtective: true, reason: 'Срок действия лицензии истёк — продлите подписку в личном кабинете и обновите лицензию (защитные стопы работают)' };
+  }
+  return { allowNew: true, allowProtective: true, reason: '' };
+}
+
+// ---------- Защита входа при удалённом доступе (VPS / внешняя сеть) ----------
+const loginFails = new Map();
+function checkRemoteLoginRate(ip) {
+  if (!ip) return;
+  const now = Date.now();
+  const r = loginFails.get(ip);
+  if (r && now - r.firstAt < 15 * 60000 && r.count >= 8) {
+    const leftMin = Math.ceil((15 * 60000 - (now - r.firstAt)) / 60000);
+    throw new Error(`Слишком много неверных попыток входа. Повторите через ${leftMin} мин.`);
+  }
+}
+
+function recordRemoteFail(ip) {
+  if (!ip) return;
+  const now = Date.now();
+  const r = loginFails.get(ip);
+  if (!r || now - r.firstAt > 15 * 60000) loginFails.set(ip, { count: 1, firstAt: now });
+  else r.count += 1;
+}
+
+export async function loginRemoteTerminal(secretInput, { ip = '' } = {}) {
+  checkRemoteLoginRate(ip);
+  const clean = String(secretInput || '').trim();
+  if (!clean) throw new Error('Введите токен личного кабинета или локальный пароль терминала');
+
+  const stored = kvGet('terminalLicense') || {};
+  let ok = false;
+  if (stored.cabinetTokenHash && clean.startsWith('na_tok_')) {
+    const a = Buffer.from(stored.cabinetTokenHash, 'hex');
+    const b = Buffer.from(sha256Hex(clean), 'hex');
+    ok = a.length === b.length && crypto.timingSafeEqual(a, b);
+  }
+  const localPassHash = kvGet('terminalLocalPassHash') || '';
+  if (!ok && localPassHash) {
+    ok = await verifyPassword(clean, localPassHash);
+  }
+  if (!ok) {
+    recordRemoteFail(ip);
+    throw new Error('Неверный токен или локальный пароль терминала');
+  }
+  if (ip) loginFails.delete(ip);
+  return createSession(1, 30);
+}
+
+export function setTerminalLocalPassword(newPassword = '') {
+  const clean = String(newPassword || '').trim();
+  if (!clean) {
+    kvSet('terminalLocalPassHash', '');
+    return { hasLocalPassword: false };
+  }
+  if (clean.length < 6) throw new Error('Локальный пароль должен содержать минимум 6 символов');
+  kvSet('terminalLocalPassHash', hashPassword(clean));
+  return { hasLocalPassword: true };
+}
+
+// ---------- Текущий пользователь терминала и сессии ----------
+export function getUserById(id) {
+  return db.prepare('SELECT * FROM users WHERE id = ?').get(Number(id));
+}
+
+export function currentUser() {
+  const store = ctx.getStore();
+  if (store) return store.user || null;
+  return getUserById(1);
+}
+
+export function currentUserId() {
+  return resolveUid();
+}
+
+export function runWithUser(user, fn) {
+  return ctx.run({ user }, fn);
+}
+
+export function effectivePlan() {
+  const st = getTerminalLicenseState();
+  if (!st.valid) return PLANS.none;
+  return PLANS[st.plan] || PLANS.none;
+}
+
+export function publicUser(u) {
+  if (!u) return null;
+  const st = getTerminalLicenseState();
+  const plan = effectivePlan();
+  const isOwner = Boolean(plan.id === 'owner' || plan.allowResearch);
+  return {
+    id: 1,
+    email: st.email || u.email || '',
+    name: st.name || u.name || 'Пользователь',
+    role: isOwner ? 'admin' : 'user',
+    isOwner,
+    plan: plan.id,
+    planName: plan.name,
+    planUntil: st.perpetual ? 0 : (st.validUntil || 0),
+    perpetual: Boolean(st.perpetual),
+    limits: plan,
+    license: st,
+  };
+}
+
+export function isLoopbackRequest(req) {
+  if (process.env.LOCAL_TRUST_LAN === '1') return true;
+  if (req?.headers?.['x-forwarded-for'] || req?.headers?.['x-real-ip'] || req?.headers?.forwarded) return false;
+  const addr = String(req?.socket?.remoteAddress || '');
+  if (!(addr === '127.0.0.1' || addr === '::1' || addr === '::ffff:127.0.0.1')) return false;
+  const host = String(req?.headers?.host || '').toLowerCase().replace(/:\d+$/, '');
+  return host === 'localhost' || host === '127.0.0.1' || host === '[::1]';
+}
+
+export function parseAllCookieValues(cookieHeader = '', key = 'sid') {
+  const vals = [];
+  for (const part of String(cookieHeader || '').split(';')) {
+    const i = part.indexOf('=');
+    if (i > 0 && part.slice(0, i).trim() === key) {
+      vals.push(decodeURIComponent(part.slice(i + 1).trim()));
+    }
+  }
+  return vals;
+}
+
+export function createSession(userId = 1, days = 30) {
+  const token = crypto.randomBytes(24).toString('hex');
+  const now = Date.now();
+  db.prepare('INSERT INTO sessions (token, user_id, created_at, expires_at) VALUES (?, ?, ?, ?)')
+    .run(token, Number(userId), now, now + days * DAY_MS);
+  return token;
+}
+
+export function deleteSession(token) {
+  if (!token) return;
+  db.prepare('DELETE FROM sessions WHERE token = ?').run(String(token));
+}
+
+export function userFromRequest(req) {
+  const st = getTerminalLicenseState();
+  if (!st.activated) return null;
+
+  const sids = parseAllCookieValues(req.headers?.cookie, 'sid').filter((s) => s && s !== 'logged_out');
+  for (const token of sids) {
+    const sess = db.prepare('SELECT * FROM sessions WHERE token = ? AND expires_at > ?').get(token, Date.now());
+    if (sess) return getUserById(1);
+  }
+
+  // На локальном компьютере (127.0.0.1) после активации терминал открывается сразу без пароля
+  const explicitlyLoggedOut = parseAllCookieValues(req.headers?.cookie, 'sid').includes('logged_out');
+  if (!explicitlyLoggedOut && isLoopbackRequest(req)) {
+    return getUserById(1);
+  }
+  return null;
+}
+
+export function authMiddleware(req, res, next) {
+  const user = userFromRequest(req);
+  req.user = user;
+  runWithUser(user, () => next());
+}