neuroalpha 0.6.13 → 0.7.0

package/server/notify/index.js

@@ -1,466 +1,304 @@
-// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
-import crypto from 'node:crypto';
-import https from 'node:https';
-import { TRUSTED_CA } from '../tls-ca.js';
-import { IS_INSTANCE } from '../role.js';
-import { getIdentity } from '../instance/identity.js';
-import { relayNotifyToCentral } from '../instance/agent.js';
-import { db, kvGet, kvSet, countUserChatToday } from '../db.js';
-import { encryptSecret, decryptSecret, getUserById, runWithUser, generateApiKey, hashPassword, ensureApiKey, effectivePlan } from '../auth/index.js';
-import { round } from '../util.js';
-
-let actionHandlers = { execute: null, reject: null };
-export function registerBrokerHandlers(h) { actionHandlers = h; }
-
-let chatHandlers = { ask: null, resolve: null };
-export function registerChatHandlers(h) { chatHandlers = h; }
-
-let instanceChatRelay = null;
-export function registerInstanceChatRelay(fn) { instanceChatRelay = fn; }
-
-// Надёжный HTTP-клиент для platform-api2.max.ru (поддерживает сертификат НУЦ Минцифры РФ)
-const maxCa = TRUSTED_CA;
-
-function maxRequest(urlPath, { method = 'GET', token = '', body = null, timeoutMs = 12000 } = {}) {
-  return new Promise((resolve, reject) => {
-    const u = new URL(urlPath, 'https://platform-api2.max.ru');
-    const payload = body ? Buffer.from(typeof body === 'string' ? body : JSON.stringify(body)) : null;
-    const req = https.request({
-      hostname: u.hostname,
-      port: u.port || 443,
-      path: u.pathname + u.search,
-      method,
-      ca: maxCa,
-      rejectUnauthorized: true,
-      headers: {
-        Authorization: token,
-        Accept: 'application/json',
-        ...(payload ? { 'Content-Type': 'application/json', 'Content-Length': payload.length } : {}),
-      },
-      timeout: timeoutMs,
-    }, (res) => {
-      let raw = '';
-      res.setEncoding('utf8');
-      res.on('data', (chunk) => { raw += chunk; });
-      res.on('end', () => {
-        let json = null;
-        try { json = JSON.parse(raw); } catch { /* ignore */ }
-        resolve({ ok: res.statusCode >= 200 && res.statusCode < 300, status: res.statusCode, json, text: raw });
-      });
-    });
-    req.on('timeout', () => req.destroy(new Error('MAX API timeout')));
-    req.on('error', reject);
-    if (payload) req.write(payload);
-    req.end();
-  });
-}
-
-// Одноразовые токены входа через Telegram-бота (t.me/bot?start=LOGIN_xxx)
-const tgLoginChallenges = new Map(); // code -> { status: 'pending' | 'done', userId: null | number, createdAt }
-
-export function createTelegramLoginChallenge() {
-  const now = Date.now();
-  for (const [k, v] of tgLoginChallenges) if (now - v.createdAt > 10 * 60000) tgLoginChallenges.delete(k);
-  const code = `LOGIN_${crypto.randomBytes(6).toString('hex').toUpperCase()}`;
-  tgLoginChallenges.set(code, { status: 'pending', userId: null, createdAt: now });
-  return code;
-}
-
-export function checkTelegramLoginChallenge(code) {
-  const ch = tgLoginChallenges.get(String(code || '').trim());
-  if (!ch) return { status: 'expired' };
-  if (ch.status === 'done' && ch.userId) {
-    tgLoginChallenges.delete(code);
-    return { status: 'done', userId: ch.userId };
-  }
-  return { status: 'pending' };
-}
-
-function handleBotLogin(text, channel, chatId, senderName = '', senderUsername = '') {
-  const m = String(text || '').toUpperCase().match(/LOGIN_[A-Z0-9]{12}/);
-  if (!m) return null;
-  const ch = tgLoginChallenges.get(m[0]);
-  if (!ch || ch.status !== 'pending') return null;
-  const cid = String(chatId);
-  const col = channel === 'max' ? 'max_chat_id' : 'tg_chat_id';
-  const dom = channel === 'max' ? 'max.neuroalpha.org' : 'tg.neuroalpha.org';
-  const name = String(senderName || '').trim() || senderUsername || `${channel.toUpperCase()} ${cid}`;
-  const email = senderUsername ? `${String(senderUsername).toLowerCase()}@${dom}` : `${channel}_${cid}@${dom}`;
-
-  let user = db.prepare(`SELECT * FROM users WHERE ${col} = ? OR email = ?`).get(cid, email);
-  if (!user) {
-    const notifyCode = `NA-${crypto.randomBytes(3).toString('hex').toUpperCase()}`;
-    const apiKey = generateApiKey();
-    const rndPass = hashPassword(crypto.randomBytes(16).toString('hex'));
-    const r = db.prepare(`INSERT INTO users (email, name, pass_hash, role, plan, plan_until, ${col}, notify_code, api_key, created_at)
-      VALUES (?, ?, ?, 'user', 'free', 0, ?, ?, ?, ?)`).run(email, name, rndPass, cid, notifyCode, apiKey, Date.now());
-    user = getUserById(Number(r.lastInsertRowid));
-  } else {
-    if (!user[col]) db.prepare(`UPDATE users SET ${col} = ? WHERE id = ?`).run(cid, user.id);
-    if (!user.api_key) ensureApiKey(user.id);
-    user = getUserById(user.id);
-  }
-  ch.status = 'done';
-  ch.userId = user.id;
-  return user;
-}
-
-export function getNotifyConfig() {
-  const saved = kvGet('notifyConfig') || {};
-  const tgToken = decryptSecret(saved.tgToken || '') || String(process.env.TELEGRAM_BOT_TOKEN || '').trim();
-  const tgBotName = String(saved.tgBotName || process.env.TELEGRAM_BOT_NAME || 'neuroalpha_trade_bot').trim().replace(/^@/, '');
-  const maxToken = decryptSecret(saved.maxToken || '') || String(process.env.MAX_BOT_TOKEN || '').trim();
-  const maxBotName = String(saved.maxBotName || process.env.MAX_BOT_NAME || 'id6234049193_bot').trim().replace(/^@/, '');
-  return { tgToken, tgBotName, maxToken, maxBotName, tgEnabled: Boolean(tgToken), maxEnabled: Boolean(maxToken) };
-}
-
-export function publicNotifyConfig() {
-  const c = getNotifyConfig();
-  return { tgBotName: c.tgBotName, maxBotName: c.maxBotName, hasTgToken: c.tgEnabled, hasMaxToken: c.maxEnabled };
-}
-
-export async function saveNotifyConfig(input = {}) {
-  const prev = kvGet('notifyConfig') || {};
-  const rawMaxToken = input.clearMax ? '' : (input.maxToken && String(input.maxToken).trim() ? String(input.maxToken).trim() : decryptSecret(prev.maxToken || ''));
-  let maxBotName = String(input.maxBotName ?? prev.maxBotName ?? '').trim().replace(/^@/, '');
-  if (rawMaxToken && !maxBotName) {
-    try {
-      const me = await maxRequest('/me', { token: rawMaxToken, timeoutMs: 8000 });
-      if (me.ok && me.json?.username) maxBotName = String(me.json.username).trim().replace(/^@/, '');
-    } catch { /* ignore */ }
-  }
-  const next = {
-    tgBotName: String(input.tgBotName ?? prev.tgBotName ?? '').trim().replace(/^@/, ''),
-    tgToken: input.clearTg ? '' : (input.tgToken && String(input.tgToken).trim() ? encryptSecret(input.tgToken) : (prev.tgToken || '')),
-    maxBotName,
-    maxToken: input.clearMax ? '' : (input.maxToken && String(input.maxToken).trim() ? encryptSecret(input.maxToken) : (prev.maxToken || '')),
-  };
-  kvSet('notifyConfig', next);
-  return publicNotifyConfig();
-}
-
-// ---------- отправка сообщений в Telegram и MAX ----------
-export async function sendTelegram(chatId, text, buttons = null) {
-  const { tgToken } = getNotifyConfig();
-  if (!tgToken || !chatId) return false;
-  const body = {
-    chat_id: chatId,
-    text,
-    ...(buttons?.length ? { reply_markup: { inline_keyboard: [buttons.map((b) => ({ text: b.label, callback_data: b.data }))] } } : {}),
-  };
-  const r = await fetch(`https://api.telegram.org/bot${tgToken}/sendMessage`, {
-    method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify(body), signal: AbortSignal.timeout(12000),
-  }).catch(() => null);
-  return Boolean(r?.ok);
-}
-
-export async function sendMax(chatId, text, buttons = null) {
-  const { maxToken } = getNotifyConfig();
-  if (!maxToken || !chatId) return false;
-  const attachments = buttons?.length ? [{
-    type: 'inline_keyboard',
-    payload: {
-      buttons: [buttons.map((b) => ({ type: 'callback', text: b.label, payload: b.data }))],
-    },
-  }] : undefined;
-  const r = await maxRequest(`/messages?chat_id=${encodeURIComponent(chatId)}`, {
-    method: 'POST',
-    token: maxToken,
-    body: { text, ...(attachments ? { attachments } : {}) },
-    timeoutMs: 12000,
-  }).catch(() => null);
-  return Boolean(r?.ok);
-}
-
-export async function notifyUser(userId, text, buttons = null) {
-  // На машине клиента ботов нет: текст и кнопки уходят в центр, а центр пишет клиенту в его Telegram / MAX.
-  // Нажатие кнопки центр возвращает машине командой внутри подписанной лицензии.
-  if (IS_INSTANCE) {
-    const termUrl = getIdentity().url;
-    const relayButtons = (buttons || []).filter((b) => b.action && b.accountId).map((b) => ({ label: b.label, action: b.action, accountId: b.accountId, batchId: b.batchId || '' }));
-    const hint = buttons?.length ? `\n\nПодтвердите кнопкой ниже или в терминале${termUrl ? `: ${termUrl}` : ' на вашем компьютере'}.` : '';
-    return relayNotifyToCentral(`${text}${hint}`, relayButtons);
-  }
-  const u = getUserById(userId);
-  if (!u) return { tg: false, max: false };
-  const [tg, max] = await Promise.all([
-    u.tg_chat_id ? sendTelegram(u.tg_chat_id, text, buttons) : false,
-    u.max_chat_id ? sendMax(u.max_chat_id, text, buttons) : false,
-  ]);
-  return { tg, max };
-}
-
-export async function notifyBrokerBatch(userId, acc, batch) {
-  if (!batch?.orders?.length) return;
-  const actionLabel = (a) => (a === 'buy' ? 'Купить' : a === 'cover' ? 'Закрыть шорт (купить)' : a === 'short' ? 'Шорт (продать)' : 'Продать');
-  const lines = batch.orders.map((o) => {
-    const why = o.reason ? `\n  ↳ ${o.reason}` : '';
-    return `• ${actionLabel(o.action)} ${o.symbol}: ${o.lots} л. (${o.shares} шт.) по ${o.limitPrice} ₽ ≈ ${round(o.amountRub, 0)} ₽${why}`;
-  });
-  const isExecuted = batch.status === 'executed' || batch.status === 'partial';
-  const header = isExecuted
-    ? `Выставлены лимитные заявки (свеча ${batch.bar || '—'}):`
-    : `Сформирован пакет лимитных заявок (свеча ${batch.bar || '—'}):`;
-  const text = `НейроАльфа · Счёт «${acc.name}»\n${header}\n${lines.join('\n')}`;
-  const buttons = acc.mode === 'confirm' && !isExecuted ? [
-    { label: `✓ Исполнить (${batch.orders.length})`, data: `exec:${userId}:${acc.id}`, action: 'exec', accountId: acc.id, batchId: batch.id || '' },
-    { label: '✕ Отклонить', data: `rej:${userId}:${acc.id}`, action: 'rej', accountId: acc.id, batchId: batch.id || '' },
-  ] : null;
-  await notifyUser(userId, text, buttons);
-}
-
-// ---------- обработка команд привязки и кнопок подтверждения в Telegram и MAX ----------
-function tryLinkByCode(text, channel, chatId) {
-  const m = String(text || '').toUpperCase().match(/NA-[A-Z0-9]{6}/);
-  if (!m) return null;
-  const u = db.prepare('SELECT * FROM users WHERE UPPER(notify_code) = ?').get(m[0]);
-  if (!u) return null;
-  const col = channel === 'tg' ? 'tg_chat_id' : 'max_chat_id';
-  db.prepare(`UPDATE users SET ${col} = ? WHERE id = ?`).run(String(chatId), u.id);
-  return u;
-}
-
-// Очистка Markdown-разметки под приятный для чтения текст в мессенджере и разбивка длинных ответов на части
-function formatMessengerChunks(raw = '') {
-  const cleaned = String(raw || '')
-    .replace(/\*\*([^*]+)\*\*/g, '$1')
-    .replace(/^#{1,4}\s+/gm, '▸ ')
-    .replace(/`([^`]+)`/g, '$1')
-    .trim();
-  if (!cleaned) return ['Готово.'];
-  const MAX_LEN = 3600;
-  if (cleaned.length <= MAX_LEN) return [cleaned];
-  const chunks = [];
-  let rest = cleaned;
-  while (rest.length > MAX_LEN) {
-    let cut = rest.lastIndexOf('\n\n', MAX_LEN);
-    if (cut < 800) cut = rest.lastIndexOf('\n', MAX_LEN);
-    if (cut < 800) cut = MAX_LEN;
-    chunks.push(rest.slice(0, cut).trim());
-    rest = rest.slice(cut).trim();
-  }
-  if (rest) chunks.push(rest);
-  return chunks;
-}
-
-async function sendTelegramTyping(chatId) {
-  const { tgToken } = getNotifyConfig();
-  if (!tgToken || !chatId) return;
-  await fetch(`https://api.telegram.org/bot${tgToken}/sendChatAction`, {
-    method: 'POST',
-    headers: { 'Content-Type': 'application/json' },
-    body: JSON.stringify({ chat_id: chatId, action: 'typing' }),
-    signal: AbortSignal.timeout(5000),
-  }).catch(() => null);
-}
-
-// Обработка текстового вопроса к ИИ-Стратегу из Telegram или MAX
-async function handleMessengerChat(text, channel, chatId, sendFn) {
-  const col = channel === 'max' ? 'max_chat_id' : 'tg_chat_id';
-  const u = db.prepare(`SELECT * FROM users WHERE ${col} = ?`).get(String(chatId));
-  if (!u) {
-    await sendFn('◈ Чат ещё не привязан к аккаунту НейроАльфа.\n\nОтправьте сюда ваш код привязки (вида NA-XXXXXX) из раздела «Подписка и уведомления» в терминале — после этого вы сможете задавать вопросы ИИ-Стратегу прямо здесь.');
-    return;
-  }
-  if (/^(\/start|\/help|помощь|справка)$/i.test(text)) {
-    await sendFn(
-      `◈ НейроАльфа · ИИ-Стратег на связи (${u.name || u.email}).\n\n` +
-      'Напишите любой вопрос обычным текстом (например: «Что по SBER?», «Разбери мой портфель», «Какие сделки были вчера?») или используйте быстрые команды:\n' +
-      '• /forecast (или «Прогноз») — свежий прогноз и сигналы\n' +
-      '• /portfolio (или «Портфель») — состояние счетов и маржи\n' +
-      '• /today (или «Сегодня») — сделки и результат за день\n' +
-      '• /news (или «Новости») — главные новости рынка\n' +
-      '• /new <вопрос> — начать новую тему в архиве',
-    );
-    return;
-  }
-  const plan = effectivePlan(u);
-  // Если у пользователя нет локальных брокерских счетов на центральном сервере, но есть выделенная машина (cloud / desktop),
-  // пересылаем вопрос на его машину, где хранятся его счета и прогнозы!
-  const hasLocalAccounts = Boolean(
-    db.prepare('SELECT 1 FROM broker_accounts WHERE user_id = ? LIMIT 1').get(u.id),
-  );
-  if (!hasLocalAccounts && u.role !== 'admin' && instanceChatRelay) {
-    const relayed = instanceChatRelay(u.id, text, channel);
-    if (relayed) {
-      await sendFn(relayed.online
-        ? '⏳ Запрос передан Стратегу на вашу машину — ответ придёт сюда через несколько секунд…'
-        : '⏳ Запрос поставлен в очередь вашей машины (сейчас она не на связи — Стратег ответит при подключении).');
-      return;
-    }
-  }
-  if (!chatHandlers.ask) return;
-  if (channel === 'tg') sendTelegramTyping(chatId);
-  try {
-    const res = await runWithUser(u, async () => {
-      if (countUserChatToday() >= (plan.maxChatPerDay || 50)) {
-        throw new Error(`Достигнут дневной лимит сообщений Стратегу по тарифу «${plan.name}» (${plan.maxChatPerDay} в сутки).`);
-      }
-      return await chatHandlers.ask(text, { channel });
-    });
-    const chunks = formatMessengerChunks(res?.text || '');
-    const buttons = res?.waiting ? [
-      { label: '✓ Применить', data: `aiact:approve:${u.id}:${res.waiting.msgId}:${res.waiting.callId}` },
-      { label: '✕ Отклонить', data: `aiact:reject:${u.id}:${res.waiting.msgId}:${res.waiting.callId}` },
-    ] : null;
-    for (let i = 0; i < chunks.length; i++) {
-      const isLast = i === chunks.length - 1;
-      await sendFn(`🤖 Стратег:\n\n${chunks[i]}`, isLast ? buttons : null);
-    }
-  } catch (e) {
-    await sendFn(`⚠️ Стратег: ${e.message}`);
-  }
-}
-let instanceActionHandler = null;
-export function registerInstanceActionHandler(fn) { instanceActionHandler = fn; }
-
-async function handleCallbackAction(data, replyFn, { channel, chatId } = {}) {
-  if (String(data || '').startsWith('ix:')) {
-    if (!instanceActionHandler) return;
-    try {
-      await replyFn(await instanceActionHandler(String(data).slice(3), { channel, chatId }));
-    } catch (e) {
-      await replyFn(`Ошибка: ${e.message}`);
-    }
-    return;
-  }
-  if (String(data || '').startsWith('aiact:')) {
-    const [, decision, uidStr, msgIdStr, callId] = String(data).split(':');
-    const u = getUserById(Number(uidStr));
-    if (!u || !chatHandlers.resolve) return;
-    const boundChat = channel === 'max' ? u.max_chat_id : u.tg_chat_id;
-    if (!boundChat || !chatId || String(boundChat) !== String(chatId)) {
-      await replyFn('⛔ Это действие доступно только из привязанного чата владельца.');
-      return;
-    }
-    try {
-      const res = await runWithUser(u, () => chatHandlers.resolve(Number(msgIdStr), String(callId), decision));
-      const chunks = formatMessengerChunks(res?.text || '');
-      for (const ch of chunks) await replyFn(`🤖 Стратег:\n\n${ch}`);
-    } catch (e) {
-      await replyFn(`⚠️ ${e.message}`);
-    }
-    return;
-  }
-  const [act, uidStr, accId] = String(data || '').split(':');
-  const u = getUserById(Number(uidStr));
-  if (!u || !accId) return;
-  // Кнопка должна прийти из того же чата, который привязан к владельцу счёта (данные кнопки можно подделать)
-  const boundChat = channel === 'max' ? u.max_chat_id : u.tg_chat_id;
-  if (!boundChat || !chatId || String(boundChat) !== String(chatId)) {
-    await replyFn('⛔ Это действие доступно только из чата, привязанного к владельцу счёта.');
-    return;
-  }
-  try {
-    if (act === 'exec' && actionHandlers.execute) {
-      await runWithUser(u, () => actionHandlers.execute(accId));
-      await replyFn(`✓ Заявки по счёту отправлены брокеру.`);
-    } else if (act === 'rej' && actionHandlers.reject) {
-      await runWithUser(u, () => actionHandlers.reject(accId));
-      await replyFn(`✕ Пакет заявок отклонён.`);
-    }
-  } catch (e) {
-    await replyFn(`Ошибка: ${e.message}`);
-  }
-}
-
-let tgOffset = 0;
-let maxMarker = null;
-
-async function pollTelegram() {
-  const { tgToken } = getNotifyConfig();
-  if (!tgToken) return;
-  try {
-    const r = await fetch(`https://api.telegram.org/bot${tgToken}/getUpdates?offset=${tgOffset}&timeout=1`, { signal: AbortSignal.timeout(8000) });
-    if (!r.ok) return;
-    const j = await r.json();
-    for (const upd of j.result || []) {
-      tgOffset = Math.max(tgOffset, upd.update_id + 1);
-      if (upd.message?.text) {
-        const chatId = upd.message.chat.id;
-        const txt = upd.message.text.trim();
-        const from = upd.message.from || {};
-        const loginUser = handleBotLogin(txt, 'tg', chatId, `${from.first_name || ''} ${from.last_name || ''}`.trim(), from.username || '');
-        if (loginUser) {
-          await sendTelegram(chatId, `✓ Вход в НейроАльфа выполнен (${loginUser.name})!\n\nВаш персональный API-ключ:\n${loginUser.api_key}\n\nЗапуск на компьютере:\nnpx neuroalpha --key ${loginUser.api_key}\n\nВернитесь в браузер — личный кабинет уже открыт.`);
-          continue;
-        }
-        const u = tryLinkByCode(txt, 'tg', chatId);
-        if (u) {
-          await sendTelegram(chatId, `✓ Telegram успешно привязан к аккаунту НейроАльфа (${u.email}). Сюда будут приходить сигналы и кнопки подтверждения заявок, а также вы можете писать сюда любые вопросы ИИ-Стратегу (например: «Прогноз», «Портфель», «Что по SBER?»).`);
-          continue;
-        }
-        setImmediate(() => {
-          handleMessengerChat(txt, 'tg', chatId, (msg, btns) => sendTelegram(chatId, msg, btns)).catch(() => {});
-        });
-      } else if (upd.callback_query?.data) {
-        const chatId = upd.callback_query.message?.chat?.id;
-        const fromId = upd.callback_query.from?.id;
-        // в личном чате с ботом id чата совпадает с id нажавшего пользователя
-        const verifiedChat = chatId && fromId && String(chatId) === String(fromId) ? chatId : null;
-        await handleCallbackAction(upd.callback_query.data, (msg) => sendTelegram(chatId, msg), { channel: 'tg', chatId: verifiedChat });
-      }
-    }
-  } catch { /* ignore */ }
-}
-
-async function processMaxUpdate(upd) {
-  const chatId = upd.chat_id || upd.message?.recipient?.chat_id || upd.message?.sender?.user_id || upd.user?.user_id;
-  const sender = upd.message?.sender || upd.user || {};
-  const txt = String(upd.message?.body?.text || upd.payload || '').trim();
-  if (txt && chatId) {
-    const loginUser = handleBotLogin(txt, 'max', chatId, sender.name || '', sender.username || '');
-    if (loginUser) {
-      await sendMax(chatId, `✓ Вход в НейроАльфа выполнен (${loginUser.name})!\n\nВаш персональный API-ключ:\n${loginUser.api_key}\n\nЗапуск на компьютере:\nnpx neuroalpha --key ${loginUser.api_key}\n\nВернитесь в браузер — личный кабинет уже открыт.`);
-      return;
-    }
-    const u = tryLinkByCode(txt, 'max', chatId);
-    if (u) {
-      await sendMax(chatId, `✓ Мессенджер MAX успешно привязан к аккаунту НейроАльфа (${u.email}). Сюда будут приходить сигналы и кнопки подтверждения заявок, а также вы можете писать сюда любые вопросы ИИ-Стратегу (например: «Прогноз», «Портфель», «Что по SBER?»).`);
-      return;
-    }
-    if (!upd.callback?.payload) {
-      setImmediate(() => {
-        handleMessengerChat(txt, 'max', chatId, (msg, btns) => sendMax(chatId, msg, btns)).catch(() => {});
-      });
-    }
-  }
-  if (upd.callback?.payload) {
-    const cbChatId = upd.chat_id || upd.message?.recipient?.chat_id || upd.callback?.user?.user_id;
-    await handleCallbackAction(upd.callback.payload, (msg) => sendMax(cbChatId, msg), { channel: 'max', chatId: cbChatId });
-  }
-}
-
-// Вебхук MAX принимается только с секретом (заголовок X-Max-Bot-Api-Secret = MAX_WEBHOOK_SECRET).
-// Без настроенного секрета вебхук выключен — обновления MAX забираются опросом (pollMax).
-export async function handleMaxWebhook(body = {}, headers = {}) {
-  const secret = String(process.env.MAX_WEBHOOK_SECRET || '').trim();
-  const got = String(headers['x-max-bot-api-secret'] || '').trim();
-  const a = Buffer.from(got);
-  const b = Buffer.from(secret);
-  const okSecret = secret && a.length === b.length && crypto.timingSafeEqual(a, b);
-  if (!okSecret) throw Object.assign(new Error('Вебхук MAX отключён или секрет неверен'), { status: 403 });
-  const list = Array.isArray(body.updates) ? body.updates : (body.update_type ? [body] : []);
-  for (const upd of list) await processMaxUpdate(upd);
-  return { ok: true };
-}
-
-async function pollMax() {
-  const { maxToken } = getNotifyConfig();
-  if (!maxToken) return;
-  try {
-    const r = await maxRequest(`/updates?timeout=1${maxMarker ? `&marker=${maxMarker}` : ''}`, { token: maxToken, timeoutMs: 8000 });
-    if (!r.ok || !r.json) return;
-    if (r.json.marker) maxMarker = r.json.marker;
-    for (const upd of r.json.updates || []) await processMaxUpdate(upd);
-  } catch { /* ignore */ }
-}
-
-export function startNotifyPolling() {
-  if (IS_INSTANCE) return;
-  const timer = setInterval(() => {
-    pollTelegram();
-    pollMax();
-  }, 6000);
-  timer.unref?.();
-}
+// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
+// Уведомления и диалог со Стратегом в Telegram и MAX для торгового терминала:
+//   1) «Из коробки» по токену личного кабинета — через центрального бота портала (/api/relay/notify и /api/relay/poll);
+//   2) Либо напрямую через личного бота пользователя, если он указал свой токен Telegram / MAX в настройках терминала.
+import crypto from 'node:crypto';
+import https from 'node:https';
+import { TRUSTED_CA } from '../tls-ca.js';
+import { kvGet, kvSet } from '../db.js';
+import { encryptSecret, decryptSecret, getUserById, runWithUser, getStoredCabinetCredentials } from '../auth/index.js';
+import { round } from '../util.js';
+
+let actionHandlers = { execute: null, reject: null };
+export function registerBrokerHandlers(h) { actionHandlers = h; }
+
+let chatHandlers = { ask: null };
+export function registerChatHandlers(h) { chatHandlers = h; }
+
+function maxRequest(urlPath, { method = 'GET', token = '', body = null, timeoutMs = 12000 } = {}) {
+  return new Promise((resolve, reject) => {
+    const u = new URL(urlPath, 'https://platform-api2.max.ru');
+    const payload = body ? Buffer.from(typeof body === 'string' ? body : JSON.stringify(body)) : null;
+    const req = https.request({
+      hostname: u.hostname,
+      port: u.port || 443,
+      path: u.pathname + u.search,
+      method,
+      ca: TRUSTED_CA,
+      rejectUnauthorized: true,
+      headers: {
+        Authorization: token,
+        Accept: 'application/json',
+        ...(payload ? { 'Content-Type': 'application/json', 'Content-Length': payload.length } : {}),
+      },
+      timeout: timeoutMs,
+    }, (res) => {
+      let raw = '';
+      res.setEncoding('utf8');
+      res.on('data', (chunk) => { raw += chunk; });
+      res.on('end', () => {
+        let json = null;
+        try { json = JSON.parse(raw); } catch { /* ignore */ }
+        resolve({ ok: res.statusCode >= 200 && res.statusCode < 300, status: res.statusCode, json, text: raw });
+      });
+    });
+    req.on('timeout', () => req.destroy(new Error('MAX API timeout')));
+    req.on('error', reject);
+    if (payload) req.write(payload);
+    req.end();
+  });
+}
+
+export function getNotifyConfig() {
+  const saved = kvGet('notifyConfig') || {};
+  const tgToken = decryptSecret(saved.tgToken || '') || String(process.env.TELEGRAM_BOT_TOKEN || '').trim();
+  const tgChatId = String(saved.tgChatId || process.env.TELEGRAM_CHAT_ID || '').trim();
+  const maxToken = decryptSecret(saved.maxToken || '') || String(process.env.MAX_BOT_TOKEN || '').trim();
+  const maxChatId = String(saved.maxChatId || process.env.MAX_CHAT_ID || '').trim();
+  const usePortalRelay = saved.usePortalRelay !== false;
+  return { tgToken, tgChatId, maxToken, maxChatId, usePortalRelay };
+}
+
+export function publicNotifyConfig() {
+  const c = getNotifyConfig();
+  return {
+    hasDirectTg: Boolean(c.tgToken),
+    tgChatId: c.tgChatId,
+    hasDirectMax: Boolean(c.maxToken),
+    maxChatId: c.maxChatId,
+    usePortalRelay: c.usePortalRelay,
+  };
+}
+
+export function saveNotifyConfig(input = {}) {
+  const prev = kvGet('notifyConfig') || {};
+  const next = {
+    tgToken: input.clearTg ? '' : (input.tgToken && String(input.tgToken).trim() ? encryptSecret(input.tgToken) : (prev.tgToken || '')),
+    tgChatId: String(input.tgChatId ?? prev.tgChatId ?? '').trim(),
+    maxToken: input.clearMax ? '' : (input.maxToken && String(input.maxToken).trim() ? encryptSecret(input.maxToken) : (prev.maxToken || '')),
+    maxChatId: String(input.maxChatId ?? prev.maxChatId ?? '').trim(),
+    usePortalRelay: input.usePortalRelay !== undefined ? Boolean(input.usePortalRelay) : (prev.usePortalRelay !== false),
+  };
+  kvSet('notifyConfig', next);
+  return publicNotifyConfig();
+}
+
+async function sendDirectTelegram(chatId, text, inlineButtons = null) {
+  const { tgToken } = getNotifyConfig();
+  if (!tgToken || !chatId) return false;
+  const body = { chat_id: String(chatId), text: String(text || '').slice(0, 4000) };
+  if (Array.isArray(inlineButtons) && inlineButtons.length) {
+    body.reply_markup = { inline_keyboard: inlineButtons };
+  }
+  const r = await fetch(`https://api.telegram.org/bot${tgToken}/sendMessage`, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/json' },
+    body: JSON.stringify(body),
+    signal: AbortSignal.timeout(12000),
+  }).catch(() => null);
+  return Boolean(r?.ok);
+}
+
+async function sendDirectMax(chatId, text, inlineButtons = null) {
+  const { maxToken } = getNotifyConfig();
+  if (!maxToken || !chatId) return false;
+  const payload = { text: String(text || '').slice(0, 4000) };
+  if (Array.isArray(inlineButtons) && inlineButtons.length) {
+    payload.attachments = [{
+      type: 'inline_keyboard',
+      payload: {
+        buttons: inlineButtons.map((row) => row.map((b) => ({
+          type: 'callback',
+          text: b.text,
+          payload: b.callback_data,
+        }))),
+      },
+    }];
+  }
+  const r = await maxRequest(`/messages?chat_id=${encodeURIComponent(String(chatId))}`, {
+    method: 'POST',
+    token: maxToken,
+    body: payload,
+  }).catch(() => null);
+  return Boolean(r?.ok);
+}
+
+async function sendViaPortalRelay(text, buttons = null) {
+  const { usePortalRelay } = getNotifyConfig();
+  if (!usePortalRelay) return { tg: false, max: false };
+  const { token, portalUrl } = getStoredCabinetCredentials();
+  if (!token || !portalUrl) return { tg: false, max: false };
+  try {
+    const r = await fetch(`${portalUrl}/api/relay/notify`, {
+      method: 'POST',
+      headers: {
+        'Content-Type': 'application/json',
+        Authorization: `Bearer ${token}`,
+      },
+      body: JSON.stringify({ text, ...(buttons ? { buttons } : {}) }),
+      signal: AbortSignal.timeout(12000),
+    });
+    const j = await r.json().catch(() => ({}));
+    return { tg: Boolean(j?.tg), max: Boolean(j?.max) };
+  } catch {
+    return { tg: false, max: false };
+  }
+}
+
+export async function notifyUser(_userId, text, relayButtons = null) {
+  const c = getNotifyConfig();
+  const hasDirect = Boolean((c.tgToken && c.tgChatId) || (c.maxToken && c.maxChatId));
+  if (hasDirect) {
+    const inline = Array.isArray(relayButtons) && relayButtons.length
+      ? [relayButtons.map((b) => ({
+          text: b.text,
+          callback_data: `local_${b.action}_${b.accountId}_${b.batchId || ''}`.slice(0, 64),
+        }))]
+      : null;
+    const [tg, max] = await Promise.all([
+      c.tgToken && c.tgChatId ? sendDirectTelegram(c.tgChatId, text, inline) : false,
+      c.maxToken && c.maxChatId ? sendDirectMax(c.maxChatId, text, inline) : false,
+    ]);
+    if (tg || max) return { tg, max };
+  }
+  return sendViaPortalRelay(text, relayButtons);
+}
+
+export async function notifyBrokerBatch(acc, batch) {
+  if (!batch?.orders?.length) return;
+  const lines = batch.orders.map((o, idx) => {
+    const actLbl = { buy: 'ПОКУПКА', sell: 'ПРОДАЖА', short: 'ШОРТ', cover: 'ЗАКРЫТИЕ ШОРТА' }[o.action] || o.action;
+    return `${idx + 1}. ${actLbl} ${o.symbol}: ${o.lots} лот. (~${Math.round(o.amountRub || 0).toLocaleString('ru-RU')} ₽) по ${o.limitPrice} ₽`;
+  });
+  const header = acc.mode === 'auto'
+    ? `⚡ Автоисполнение заявок · счёт «${acc.name}»`
+    : `📋 Подтвердите пакет заявок · счёт «${acc.name}»`;
+  const text = `${header}\n\n${lines.join('\n')}`;
+  const buttons = acc.mode === 'confirm'
+    ? [
+        { action: 'exec', accountId: acc.id, batchId: batch.id || '', text: '✓ Исполнить пакет' },
+        { action: 'rej', accountId: acc.id, batchId: batch.id || '', text: '✕ Отклонить' },
+      ]
+    : null;
+  await notifyUser(1, text, buttons).catch(() => {});
+}
+
+// ---------- Выполнение входящих команд (из релея портала или прямого личного бота) ----------
+const executedRelayIds = new Set();
+async function processIncomingCommand(cmd) {
+  if (!cmd) return;
+  if (cmd.id) {
+    if (executedRelayIds.has(cmd.id)) return;
+    executedRelayIds.add(cmd.id);
+    if (executedRelayIds.size > 500) {
+      const first = executedRelayIds.values().next().value;
+      executedRelayIds.delete(first);
+    }
+  }
+  await runWithUser(getUserById(1), async () => {
+    if (cmd.type === 'batch') {
+      if (cmd.action === 'exec' && actionHandlers.execute) {
+        try {
+          const st = await actionHandlers.execute(cmd.accountId);
+          const acc = st?.accounts?.find((a) => a.id === cmd.accountId);
+          const res = acc?.pendingBatch?.results || [];
+          const ok = res.filter((r) => r.ok).length;
+          await notifyUser(1, `✓ Счёт «${acc?.name || cmd.accountId}»: отправлено брокеру ${ok} из ${res.length} заявок.`);
+        } catch (e) {
+          await notifyUser(1, `⚠ Ошибка исполнения пакета: ${e.message}`);
+        }
+      } else if (cmd.action === 'rej' && actionHandlers.reject) {
+        try {
+          actionHandlers.reject(cmd.accountId);
+          await notifyUser(1, `✕ Пакет заявок по счёту отклонён.`);
+        } catch (e) {
+          await notifyUser(1, `⚠ ${e.message}`);
+        }
+      }
+    } else if (cmd.type === 'chat' && cmd.text && chatHandlers.ask) {
+      const res = await chatHandlers.ask(cmd.text, { channel: cmd.channel || 'tg' });
+      if (res?.text) {
+        await notifyUser(1, `🤖 Стратег:\n\n${String(res.text).slice(0, 3500)}`);
+      }
+    }
+  });
+}
+
+let pollingStarted = false;
+let directTgOffset = 0;
+
+export function startNotifyPolling() {
+  if (pollingStarted) return;
+  pollingStarted = true;
+
+  // 1) Опрос очереди ответных команд через портал (только если включён релей и есть токен ЛК)
+  const pollPortalRelay = async () => {
+    const c = getNotifyConfig();
+    const { token, portalUrl } = getStoredCabinetCredentials();
+    const hasDirect = Boolean((c.tgToken && c.tgChatId) || (c.maxToken && c.maxChatId));
+    if (c.usePortalRelay && !hasDirect && token && portalUrl) {
+      try {
+        const r = await fetch(`${portalUrl}/api/relay/poll`, {
+          method: 'POST',
+          headers: {
+            'Content-Type': 'application/json',
+            Authorization: `Bearer ${token}`,
+          },
+          body: JSON.stringify({ ack: [...executedRelayIds].slice(-20) }),
+          signal: AbortSignal.timeout(12000),
+        });
+        const j = await r.json().catch(() => null);
+        if (Array.isArray(j?.commands)) {
+          for (const cmd of j.commands) {
+            await processIncomingCommand(cmd).catch(() => {});
+          }
+        }
+      } catch { /* silent */ }
+    }
+    const t = setTimeout(pollPortalRelay, 12000);
+    t.unref?.();
+  };
+
+  // 2) Прямой опрос личного Telegram-бота (если пользователь указал свой токен в настройках терминала)
+  const pollDirectTg = async () => {
+    const c = getNotifyConfig();
+    if (c.tgToken) {
+      try {
+        const r = await fetch(`https://api.telegram.org/bot${c.tgToken}/getUpdates?timeout=15&offset=${directTgOffset}`, {
+          signal: AbortSignal.timeout(22000),
+        });
+        const j = await r.json().catch(() => null);
+        if (j?.ok && Array.isArray(j.result)) {
+          for (const upd of j.result) {
+            directTgOffset = Math.max(directTgOffset, (upd.update_id || 0) + 1);
+            if (upd.callback_query?.data?.startsWith('local_')) {
+              const [, action, accountId, batchId] = upd.callback_query.data.split('_');
+              await fetch(`https://api.telegram.org/bot${c.tgToken}/answerCallbackQuery`, {
+                method: 'POST',
+                headers: { 'Content-Type': 'application/json' },
+                body: JSON.stringify({ callback_query_id: upd.callback_query.id }),
+              }).catch(() => {});
+              await processIncomingCommand({ id: `dtg_${upd.update_id}`, type: 'batch', action, accountId, batchId });
+            } else if (upd.message?.text && upd.message?.chat?.id) {
+              const chatId = String(upd.message.chat.id);
+              if (!c.tgChatId) saveNotifyConfig({ tgChatId: chatId });
+              if (!c.tgChatId || c.tgChatId === chatId) {
+                const txt = upd.message.text.trim();
+                if (txt === '/start') {
+                  await sendDirectTelegram(chatId, `✓ Личный бот НейроАльфа подключён (Chat ID: ${chatId}).`);
+                } else {
+                  await processIncomingCommand({ id: `dtgm_${upd.update_id}`, type: 'chat', text: txt, channel: 'tg' });
+                }
+              }
+            }
+          }
+        }
+      } catch { /* silent */ }
+    }
+    const t = setTimeout(pollDirectTg, 3000);
+    t.unref?.();
+  };
+
+  pollPortalRelay();
+  pollDirectTg();
+}