tensorgrid-ui 1.0.4 → 1.1.0

package/lib/auth-bridge.js

@@ -0,0 +1,173 @@
+/**
+ * Мост между браузером и стойкой входа — Host-сторона.
+ *
+ * Стойка `ctx.authorization` ведёт разговор: показывает ссылку, иногда
+ * просит код, иногда задаёт вопрос с выбором. Разговор асинхронный и длится
+ * минуты, поэтому одним запросом его не обслужить: браузер начинает
+ * попытку, затем опрашивает состояние и отвечает на вопросы.
+ *
+ * Состояние живёт здесь, в одном экземпляре. Это не упрощение: сама стойка
+ * допускает ровно одну попытку на ключ, и держать больше было бы враньём о
+ * её возможностях.
+ *
+ * Импортируются только встроенные модули Node — строка композиции грузится
+ * раньше, чем о пакете что-либо известно.
+ */
+
+/** Текущая попытка. null, пока никто не входил. */
+let attempt = null
+
+/** Обрезаем историю сообщений: разговор входа короткий, а расти без предела нечему. */
+const MAX_NOTICES = 20
+
+function freshAttempt(key, method) {
+  return {
+    key,
+    method: method ?? null,
+    notices: [],
+    prompt: null,
+    resolvePrompt: null,
+    outcome: null,
+    problem: null,
+    startedAt: new Date().toISOString(),
+  }
+}
+
+/**
+ * Состояние попытки в виде, пригодном для браузера: только простые
+ * значения, никаких живых объектов и функций.
+ */
+function view() {
+  if (attempt === null) return { active: false }
+  return {
+    active: attempt.outcome === null && attempt.problem === null,
+    key: attempt.key,
+    method: attempt.method,
+    startedAt: attempt.startedAt,
+    notices: attempt.notices.map((notice) => ({
+      message: String(notice.message ?? ''),
+      url: typeof notice.url === 'string' ? notice.url : null,
+      code: typeof notice.code === 'string' ? notice.code : null,
+    })),
+    prompt: attempt.prompt === null ? null : {
+      kind: String(attempt.prompt.kind ?? 'text'),
+      message: String(attempt.prompt.message ?? ''),
+      options: Array.isArray(attempt.prompt.options)
+        ? attempt.prompt.options.map((option) => ({
+            id: String(option.id),
+            label: String(option.label),
+            description: typeof option.description === 'string' ? option.description : null,
+          }))
+        : null,
+    },
+    outcome: attempt.outcome,
+    problem: attempt.problem,
+  }
+}
+
+/**
+ * Список провайдеров: что предлагает вход и что уже настроено.
+ *
+ * Настроенность спрашивается у хранилища учётных данных, а не выводится из
+ * попыток: пользователь мог войти в прошлый раз, в другом профиле или
+ * вообще через терминал.
+ */
+export async function listProviders(ctx) {
+  const entries = ctx.authorization.list()
+  const credentials = ctx.get('credentials')
+
+  let configured = new Set()
+  if (credentials !== undefined) {
+    try {
+      const records = await credentials.listRecords()
+      configured = new Set(records.map((record) => String(record.key)))
+    } catch {
+      // Хранилище недоступно — покажем список без отметок, это лучше отказа.
+    }
+  }
+
+  return {
+    providers: entries.map((entry) => ({
+      key: String(entry.key),
+      label: String(entry.label),
+      inFlight: entry.inFlight === true,
+      configured: configured.has(String(entry.key)),
+      methods: entry.methods.map((method) => ({ id: String(method.id), label: String(method.label) })),
+    })),
+    attempt: view(),
+  }
+}
+
+/** Начинает вход. Предыдущая завершённая попытка забывается. */
+export function begin(ctx, key, method) {
+  if (attempt !== null && attempt.outcome === null && attempt.problem === null) {
+    return { problem: 'одна попытка уже идёт', attempt: view() }
+  }
+
+  attempt = freshAttempt(key, method)
+  const current = attempt
+
+  const request = {
+    key,
+    interaction: {
+      notify(notice) {
+        current.notices.push(notice)
+        if (current.notices.length > MAX_NOTICES) current.notices.shift()
+      },
+      prompt(prompt) {
+        current.prompt = prompt
+        return new Promise((resolve) => { current.resolvePrompt = resolve })
+      },
+    },
+  }
+  if (typeof method === 'string' && method !== '') request.method = method
+
+  ctx.authorization.begin(request).then(
+    (outcome) => {
+      current.outcome = String(outcome.status)
+      current.prompt = null
+      current.resolvePrompt = null
+    },
+    (error) => {
+      current.problem = String(error?.message ?? error)
+      current.prompt = null
+      current.resolvePrompt = null
+    },
+  )
+
+  return { attempt: view() }
+}
+
+/** Отвечает на вопрос, который задал поток. */
+export function answer(value) {
+  if (attempt === null || attempt.resolvePrompt === null) {
+    return { problem: 'поток ничего не спрашивает', attempt: view() }
+  }
+  const resolve = attempt.resolvePrompt
+  attempt.resolvePrompt = null
+  attempt.prompt = null
+  resolve(String(value))
+  return { attempt: view() }
+}
+
+/**
+ * Снимает попытку. Нужно не только по желанию пользователя: стойка держит
+ * ключ занятым, и осиротевшая попытка иначе блокирует повторный вход до
+ * перезапуска.
+ */
+export function cancel(ctx, key) {
+  const target = key ?? attempt?.key
+  if (typeof target !== 'string') return { problem: 'нечего отменять', attempt: view() }
+  ctx.authorization.cancel(target)
+  if (attempt !== null && attempt.key === target) {
+    attempt.problem = attempt.problem ?? 'отменено'
+    attempt.prompt = null
+    attempt.resolvePrompt = null
+  }
+  return { attempt: view() }
+}
+
+/** Текущее состояние без изменений. */
+export function poll() {
+  return { attempt: view() }
+}

package/lib/client.js

@@ -177,6 +177,17 @@ window.__ModuleLoader__.load({
       'intensity.vivid': 'Vivid',
       'accent.title': 'Obsidian / Ion accent',
       'accent.hint': 'Leading tone of the interface and the glow',
+      'auth.title': 'Provider sign-in',
+      'auth.hint': 'Sign in with a subscription instead of an API key. The account stays on this computer.',
+      'auth.signIn': 'Sign in',
+      'auth.again': 'Sign in again',
+      'auth.connected': 'connected',
+      'auth.openLink': 'Open the sign-in page',
+      'auth.send': 'Send',
+      'auth.cancel': 'Cancel',
+      'auth.done': 'Signed in.',
+      'auth.cancelled': 'Sign-in cancelled.',
+      'auth.unavailable': 'Sign-in is unavailable: the authorization row is not mounted in this profile.',
       'update.title': 'Updates',
       'update.check': 'Check',
       'update.apply': 'Update',
@@ -208,6 +219,17 @@ window.__ModuleLoader__.load({
       'intensity.vivid': '强烈',
       'accent.title': 'Obsidian / Ion 主色',
       'accent.hint': '界面与光晕的主色调',
+      'auth.title': '登录服务商',
+      'auth.hint': '使用订阅登录，而非 API 密钥。账号仅保存在本机。',
+      'auth.signIn': '登录',
+      'auth.again': '重新登录',
+      'auth.connected': '已连接',
+      'auth.openLink': '打开登录页面',
+      'auth.send': '发送',
+      'auth.cancel': '取消',
+      'auth.done': '已登录。',
+      'auth.cancelled': '登录已取消。',
+      'auth.unavailable': '无法登录：此配置文件未挂载授权行。',
       'update.title': '更新',
       'update.check': '检查',
       'update.apply': '更新',
@@ -1536,6 +1558,17 @@ window.__ModuleLoader__.load({
       'intensity.vivid': 'Ярко',
       'accent.title': 'Акцент Obsidian / Ion',
       'accent.hint': 'Ведущий тон интерфейса и свечения',
+      'auth.title': 'Вход к провайдерам',
+      'auth.hint': 'Войти по подписке вместо ключа API. Учётная запись остаётся на этом компьютере.',
+      'auth.signIn': 'Войти',
+      'auth.again': 'Войти заново',
+      'auth.connected': 'подключено',
+      'auth.openLink': 'Открыть страницу входа',
+      'auth.send': 'Отправить',
+      'auth.cancel': 'Отменить',
+      'auth.done': 'Вход выполнен.',
+      'auth.cancelled': 'Вход отменён.',
+      'auth.unavailable': 'Вход недоступен: в профиле не смонтирована строка авторизации.',
       'update.title': 'Обновления',
       'update.check': 'Проверить',
       'update.apply': 'Обновить',
@@ -1668,7 +1701,7 @@ window.__ModuleLoader__.load({
       // поэтому строка остаётся согласованной при любой палитре.
       '.dsx-setting{display:flex;align-items:center;justify-content:space-between;gap:16px;width:100%;}',
       '.dsx-setting__title{color:var(--dsw-alias-label-primary);font-size:13px;font-weight:500;}',
-      '.dsx-setting__hint--strong{color:var(--dsw-alias-label-primary)}.dsx-setting__hint--warn{color:var(--dsw-alias-state-warn-primary)}.dsx-setting__hint{color:var(--dsw-alias-label-secondary);font-size:12px;margin-top:2px;}',
+      '.dsx-setting--stack{flex-direction:column;align-items:stretch;gap:10px}.dsx-auth__list{display:flex;flex-direction:column;gap:6px}.dsx-auth__row{display:flex;align-items:center;justify-content:space-between;gap:12px}.dsx-auth__name{color:var(--dsw-alias-label-primary)}.dsx-auth__badge{margin-left:8px;padding:1px 6px;border-radius:999px;font-size:11px;color:var(--dsw-alias-state-success-primary);border:1px solid var(--dsw-alias-border-l2)}.dsx-auth__panel{display:flex;flex-direction:column;gap:8px;padding:10px;border-radius:8px;background:var(--dsw-alias-bg-layer-2);border:1px solid var(--dsw-alias-border-l1)}.dsx-auth__notice,.dsx-auth__prompt{display:flex;flex-direction:column;gap:6px;color:var(--dsw-alias-label-secondary)}.dsx-auth__link{color:var(--dsw-alias-brand-primary);word-break:break-all}.dsx-auth__code{font-family:ui-monospace,monospace;letter-spacing:.08em;color:var(--dsw-alias-label-primary)}.dsx-auth__input{flex:1;min-width:0;padding:4px 8px;border-radius:6px;border:1px solid var(--dsw-alias-border-l2);background:var(--dsw-alias-bg-layer-1);color:var(--dsw-alias-label-primary)}.dsx-setting__hint--strong{color:var(--dsw-alias-label-primary)}.dsx-setting__hint--warn{color:var(--dsw-alias-state-warn-primary)}.dsx-setting__hint{color:var(--dsw-alias-label-secondary);font-size:12px;margin-top:2px;}',
       '.dsx-setting__control{display:inline-flex;padding:2px;gap:2px;border:1px solid var(--dsw-alias-border-l1);border-radius:8px;background:var(--dsw-alias-bg-layer-2);flex:none;}',
       '.dsx-seg{appearance:none;border:0;cursor:pointer;padding:4px 10px;border-radius:6px;font-size:12px;line-height:18px;background:transparent;color:var(--dsw-alias-label-secondary);transition:background .16s ease,color .16s ease;}',
       '.dsx-seg:hover{color:var(--dsw-alias-label-primary);}',
@@ -1892,6 +1925,191 @@ window.__ModuleLoader__.load({
       })
     }
 
+    // ── Вход по подписке ─────────────────────────────────────────────────
+    //
+    // Стойка входа ведёт разговор: показывает ссылку, иногда просит код,
+    // иногда задаёт вопрос с выбором. Разговор длится минуты, поэтому
+    // браузер начинает попытку и затем опрашивает состояние.
+    const AUTH_PATH = '/api/tensorgrid.auth'
+
+    function AuthRow({ t }) {
+      const [state, setState] = React.useState(null)
+      const [busy, setBusy] = React.useState(false)
+      const [draft, setDraft] = React.useState('')
+
+      const send = React.useCallback(async (body) => {
+        const response = body === undefined
+          ? await fetch(AUTH_PATH)
+          : await fetch(AUTH_PATH, {
+              method: 'POST',
+              headers: { 'content-type': 'application/json' },
+              body: JSON.stringify(body),
+            })
+        return response.json()
+      }, [])
+
+      const refresh = React.useCallback(async (body) => {
+        setBusy(true)
+        try {
+          setState(await send(body))
+        } catch (error) {
+          setState({ available: true, problem: String(error && error.message ? error.message : error) })
+        } finally {
+          setBusy(false)
+        }
+      }, [send])
+
+      React.useEffect(() => { refresh() }, [refresh])
+
+      // Пока попытка идёт, состояние спрашивается повторно: поток отвечает
+      // не сразу, а ссылка и вопросы приходят по ходу дела.
+      const active = state !== null && state.attempt !== undefined && state.attempt !== null && state.attempt.active === true
+      React.useEffect(() => {
+        if (!active) return undefined
+        const id = setInterval(() => { refresh({ action: 'poll' }) }, 2000)
+        return () => clearInterval(id)
+      }, [active, refresh])
+
+      if (state !== null && state.available === false) {
+        return jsx('div', {
+          className: 'dsx-setting',
+          children: jsxs('div', {
+            children: [
+              jsx('div', { className: 'dsx-setting__title', children: t('auth.title') }),
+              jsx('div', { className: 'dsx-setting__hint', children: t('auth.unavailable') }),
+            ],
+          }),
+        })
+      }
+
+      const attempt = state === null || !state.attempt ? null : state.attempt
+      const providers = state === null || !Array.isArray(state.providers) ? [] : state.providers
+      // Показываем только вход по подписке: ключи API у настроек моделей свои.
+      const subscription = providers.filter((p) => p.methods.some((m) => m.id === 'oauth'))
+
+      const rows = []
+
+      if (attempt !== null && (attempt.active || attempt.outcome || attempt.problem)) {
+        for (const notice of attempt.notices || []) {
+          rows.push(jsxs('div', {
+            className: 'dsx-auth__notice',
+            children: [
+              jsx('div', { children: notice.message }),
+              notice.url === null ? null : jsx('a', {
+                className: 'dsx-auth__link',
+                href: notice.url,
+                target: '_blank',
+                rel: 'noreferrer',
+                children: t('auth.openLink'),
+              }),
+              notice.code === null ? null : jsx('code', { className: 'dsx-auth__code', children: notice.code }),
+            ],
+          }, 'notice-' + rows.length))
+        }
+
+        if (attempt.prompt !== null) {
+          const prompt = attempt.prompt
+          rows.push(jsxs('div', {
+            className: 'dsx-auth__prompt',
+            children: [
+              jsx('div', { children: prompt.message }),
+              prompt.options !== null
+                ? jsx('div', {
+                    className: 'dsx-setting__control',
+                    children: prompt.options.map((option) =>
+                      jsx('button', {
+                        type: 'button',
+                        className: 'dsx-seg',
+                        disabled: busy,
+                        onClick: () => refresh({ action: 'answer', value: option.id }),
+                        children: option.label,
+                      }, option.id),
+                    ),
+                  })
+                : jsxs('div', {
+                    className: 'dsx-setting__control',
+                    children: [
+                      jsx('input', {
+                        className: 'dsx-auth__input',
+                        type: prompt.kind === 'secret' ? 'password' : 'text',
+                        value: draft,
+                        disabled: busy,
+                        onChange: (event) => setDraft(event.target.value),
+                      }),
+                      jsx('button', {
+                        type: 'button',
+                        className: 'dsx-seg dsx-seg--on',
+                        disabled: busy || draft === '',
+                        onClick: () => { refresh({ action: 'answer', value: draft }); setDraft('') },
+                        children: t('auth.send'),
+                      }),
+                    ],
+                  }),
+            ],
+          }, 'prompt'))
+        }
+
+        if (attempt.outcome) {
+          rows.push(jsx('div', {
+            className: 'dsx-setting__hint dsx-setting__hint--strong',
+            children: attempt.outcome === 'authorized' ? t('auth.done') : t('auth.cancelled'),
+          }, 'outcome'))
+        }
+        if (attempt.problem) {
+          rows.push(jsx('div', { className: 'dsx-setting__hint dsx-setting__hint--warn', children: attempt.problem }, 'problem'))
+        }
+      }
+
+      return jsxs('div', {
+        className: 'dsx-setting dsx-setting--stack',
+        children: [
+          jsxs('div', {
+            children: [
+              jsx('div', { className: 'dsx-setting__title', children: t('auth.title') }),
+              jsx('div', { className: 'dsx-setting__hint', children: t('auth.hint') }),
+            ],
+          }),
+          jsx('div', {
+            className: 'dsx-auth__list',
+            children: subscription.map((provider) =>
+              jsxs('div', {
+                className: 'dsx-auth__row',
+                children: [
+                  jsxs('div', {
+                    children: [
+                      jsx('span', { className: 'dsx-auth__name', children: provider.label }),
+                      provider.configured
+                        ? jsx('span', { className: 'dsx-auth__badge', children: t('auth.connected') })
+                        : null,
+                    ],
+                  }),
+                  jsx('button', {
+                    type: 'button',
+                    className: 'dsx-seg',
+                    disabled: busy || (attempt !== null && attempt.active),
+                    onClick: () => refresh({ action: 'begin', key: provider.key, method: 'oauth' }),
+                    children: provider.configured ? t('auth.again') : t('auth.signIn'),
+                  }),
+                ],
+              }, provider.key),
+            ),
+          }),
+          rows.length === 0 ? null : jsx('div', { className: 'dsx-auth__panel', children: rows }),
+          attempt !== null && attempt.active
+            ? jsx('div', {
+                className: 'dsx-setting__control',
+                children: jsx('button', {
+                  type: 'button',
+                  className: 'dsx-seg',
+                  onClick: () => refresh({ action: 'cancel' }),
+                  children: t('auth.cancel'),
+                }),
+              })
+            : null,
+        ],
+      })
+    }
+
     // ── Обновления ───────────────────────────────────────────────────────
     //
     // Маршрут поднимает host-половина пакета. Путь относительный, токен не
@@ -2100,6 +2318,13 @@ window.__ModuleLoader__.load({
         ),
       )
 
+      ctx.slots.inject('settings.general.item', () =>
+        ctx.slots.register(
+          { name: 'settings.general.item', id: 'tensorgrid-auth', order: 10, locale: LOCALE_NS },
+          AuthRow,
+        ),
+      )
+
       ctx.slots.inject('settings.general.item', () =>
         ctx.slots.register(
           { name: 'settings.general.item', id: 'obsidian-ion-update', order: 11, locale: LOCALE_NS },

package/lib/index.js

@@ -39,6 +39,64 @@ const FAVICON =
   BRAND_PATHS.map((d) => `<path d="${d}"/>`).join('') +
   '</svg>'
 
+/**
+ * Иконка установленного приложения: знак на тёмной плашке.
+ *
+ * Отличается от фавиконки не прихотью. Фавиконка живёт на вкладке рядом с
+ * чужими и подстраивается под схему ОС; иконка приложения стоит в панели
+ * задач и меню «Пуск», где голый знак без фона выглядит потерянным.
+ *
+ * Здесь скругление рисуется прямо в SVG — в отличие от файла .ico, который
+ * проходит через конвертер и теряет прозрачность. Браузер получает SVG как
+ * есть, портить нечему.
+ */
+const APP_ICON = (() => {
+  const size = 1024
+  const [vx, vy, vw, vh] = BRAND_VIEWBOX.split(' ').map(Number)
+  const padding = size * 0.16
+  const scale = (size - padding * 2) / vw
+  const shiftX = padding - vx * scale
+  const shiftY = (size - vh * scale) / 2 - vy * scale
+  return (
+    `<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 ${size} ${size}" width="${size}" height="${size}" role="img" aria-label="TENSOR GRID">` +
+    `<rect width="${size}" height="${size}" rx="${Math.round(size * 0.22)}" fill="#0B0D12"/>` +
+    `<g transform="translate(${shiftX.toFixed(2)} ${shiftY.toFixed(2)}) scale(${scale.toFixed(5)})">` +
+    BRAND_PATHS.map((d) => `<path d="${d}" fill="#FFFFFF"/>`).join('') +
+    '</g></svg>'
+  )
+})()
+
+const APP_ICON_PATH = '/tensorgrid-icon.svg'
+
+/**
+ * Веб-манифест. Он задаёт не только иконку, но и ИМЯ установленного
+ * приложения — то, что видно в панели задач, меню «Пуск» и заголовке окна.
+ * Поставочный называет продукт чужим именем, поэтому манифест свой.
+ *
+ * Поля id, start_url, scope и display повторяют поставочные: они определяют
+ * поведение установленного приложения, и менять их значило бы чинить не то.
+ */
+const MANIFEST = JSON.stringify(
+  {
+    id: '/',
+    name: 'TENSOR GRID',
+    short_name: 'TENSOR GRID',
+    start_url: '/',
+    scope: '/',
+    display: 'fullscreen',
+    background_color: '#0B0D12',
+    theme_color: '#0B0D12',
+    icons: [
+      { src: APP_ICON_PATH, sizes: 'any', type: 'image/svg+xml', purpose: 'any' },
+      // maskable разрешает системе обрезать иконку под свою форму. Знак
+      // отступает от краёв на 16%, поэтому обрезка его не заденет.
+      { src: APP_ICON_PATH, sizes: 'any', type: 'image/svg+xml', purpose: 'maskable' },
+    ],
+  },
+  null,
+  2,
+)
+
 export const name = 'tensorgrid-ui'
 
 /**
@@ -63,6 +121,34 @@ export function apply(ctx) {
       }),
     )
 
+    web.effect(() =>
+      web.webServer.register({
+        kind: 'exact',
+        path: APP_ICON_PATH,
+        handler(_req, res) {
+          res.writeHead(200, {
+            'content-type': 'image/svg+xml; charset=utf-8',
+            'cache-control': 'no-cache',
+          })
+          res.end(APP_ICON)
+        },
+      }),
+    )
+
+    web.effect(() =>
+      web.webServer.register({
+        kind: 'exact',
+        path: '/manifest.webmanifest',
+        handler(_req, res) {
+          res.writeHead(200, {
+            'content-type': 'application/manifest+json; charset=utf-8',
+            'cache-control': 'no-cache',
+          })
+          res.end(MANIFEST)
+        },
+      }),
+    )
+
     // Состояние обновлений держим в памяти: проверка ходит в сеть и в git,
     // и дёргать её на каждый рендер настроек незачем.
     let cached = null
@@ -73,8 +159,8 @@ export function apply(ctx) {
     // модуль по адресу, и после замены файла Host продолжал бы работать по
     // старой логике до перезапуска. Ключ меняется только когда файл
     // действительно изменился, поэтому лишних копий в памяти не остаётся.
-    async function loadModule() {
-      const path = new URL('./update-check.js', import.meta.url)
+    async function loadModule(name = './update-check.js') {
+      const path = new URL(name, import.meta.url)
       let version = ''
       try {
         const { statSync } = await import('node:fs')
@@ -101,6 +187,63 @@ export function apply(ctx) {
     }, 8000)
     web.effect(() => () => clearTimeout(timer))
 
+    // ── Вход по подписке ────────────────────────────────────────────────
+    //
+    // Стойка входа монтируется отдельной строкой профиля, и её может не
+    // быть. Берём мягко: без неё маршрут честно отвечает, что вход
+    // недоступен, вместо того чтобы уронить весь ряд.
+    web.effect(() =>
+      web.webServer.register({
+        kind: 'exact',
+        path: '/api/tensorgrid.auth',
+        async handler(req, res) {
+          try {
+            const authorization = web.get('authorization')
+            if (authorization === undefined) {
+              reply(res, 200, { available: false, problem: 'стойка входа не смонтирована' })
+              return
+            }
+
+            const bridge = await loadModule('./auth-bridge.js')
+
+            if (req.method === 'GET') {
+              reply(res, 200, { available: true, ...(await bridge.listProviders(web)) })
+              return
+            }
+
+            if (req.method !== 'POST') {
+              reply(res, 405, { problem: 'поддерживаются GET и POST' })
+              return
+            }
+
+            // Тот же заслон, что у обновлений: браузер не отправит запрос с
+            // JSON-заголовком с чужой страницы без предварительной проверки.
+            if (!String(req.headers['content-type'] ?? '').includes('application/json')) {
+              reply(res, 415, { problem: 'ожидается content-type: application/json' })
+              return
+            }
+
+            const body = await readJsonBody(req)
+            if (body === null) {
+              reply(res, 400, { problem: 'тело запроса не разобрано' })
+              return
+            }
+
+            let result
+            if (body.action === 'begin') result = bridge.begin(web, String(body.key), body.method)
+            else if (body.action === 'answer') result = bridge.answer(body.value)
+            else if (body.action === 'cancel') result = bridge.cancel(web, body.key)
+            else if (body.action === 'poll') result = bridge.poll()
+            else { reply(res, 400, { problem: `неизвестное действие: ${String(body.action)}` }); return }
+
+            reply(res, 200, { available: true, ...result })
+          } catch (error) {
+            reply(res, 500, { problem: String(error?.message ?? error) })
+          }
+        },
+      }),
+    )
+
     function reply(res, code, value) {
       const body = JSON.stringify(value)
       res.writeHead(code, {
@@ -110,6 +253,28 @@ export function apply(ctx) {
       res.end(body)
     }
 
+    /**
+     * Читает тело запроса как JSON. Размер ограничен: тело здесь всегда
+     * крошечное — действие, ключ, ответ на вопрос, — и принимать больше
+     * значило бы держать открытой дверь без нужды.
+     */
+    function readJsonBody(req) {
+      return new Promise((resolve) => {
+        let text = ''
+        let tooBig = false
+        req.on('data', (chunk) => {
+          if (tooBig) return
+          text += chunk
+          if (text.length > 16384) { tooBig = true; resolve(null) }
+        })
+        req.on('end', () => {
+          if (tooBig) return
+          try { resolve(JSON.parse(text === '' ? '{}' : text)) } catch { resolve(null) }
+        })
+        req.on('error', () => resolve(null))
+      })
+    }
+
     web.effect(() =>
       web.webServer.register({
         kind: 'exact',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "tensorgrid-ui",
-  "version": "1.0.4",
+  "version": "1.1.0",
   "description": "TENSOR GRID — фирменный интерфейс поверх DeepSeek Harness: палитра, живой ambient-слой, айдентика и русский язык-пакет",
   "type": "module",
   "main": "lib/index.js",