vimp-engine 0.37.1 → 0.38.1

package/src/client/style.css

@@ -507,12 +507,11 @@ body.hide-cursor {
   padding: 5px 0 10px;
 }
 
-/* кнопки: провайдеры логина, Choose nick, Start, Load more — нативный вид
-   input[type=button], без декоративных стилей, только размер. Create server и
-   Sign out сюда не входят: они лежат во флекс-контейнерах с gap и
-   центрируются через align-self (секция lobby-auth ниже) */
+/* кнопки: провайдеры Restore, Start, Load more — нативный вид
+   input[type=button], без декоративных стилей, только размер. Create server
+   сюда не входит: он лежит во флекс-контейнере с gap и центрируется через
+   align-self (секция lobby-auth ниже) */
 .lobby-auth-provider,
-#lobby-auth-nick-submit,
 #lobby-more,
 #auth-enter {
   margin: 15px auto;
@@ -590,6 +589,7 @@ body.hide-cursor {
    держится в одном месте (#lobby-footer лежит в секции lobby ниже только
    разметкой) */
 #auth-link,
+#lobby-auth-footer,
 #lobby-footer {
   height: 15px;
   text-shadow: none;
@@ -602,15 +602,18 @@ body.hide-cursor {
   padding: 0 5px;
 }
 
+#lobby-auth-footer,
 #lobby-footer {
   font-size: 10px;
   padding: 0;
 }
 
+#lobby-auth-footer p,
 #lobby-footer p {
   margin: 0 5px;
 }
 
+#lobby-auth-footer p:not(:last-child)::after,
 #lobby-footer p:not(:last-child)::after {
   content: '|';
   padding-left: 10px;
@@ -625,6 +628,7 @@ body.hide-cursor {
 }
 
 #auth-link p a,
+#lobby-auth-footer p a,
 #lobby-footer p a {
   color: #ff0;
 }
@@ -1071,7 +1075,7 @@ body.hide-cursor {
   display: none;
 }
 
-/*lobby-auth (Этап B2: логин перед лобби)*/
+/*lobby-auth (экран профиля перед лобби)*/
 
 #lobby-auth {
   background-color: #222;
@@ -1083,33 +1087,141 @@ body.hide-cursor {
   z-index: 8;
 }
 
-#lobby-auth-login,
-#lobby-auth-nick {
+#lobby-auth-status,
+#lobby-auth-welcome {
   text-align: center;
 }
 
-#lobby-auth-login-buttons {
+#lobby-auth-providers {
   display: flex;
   flex-direction: column;
   gap: 8px;
 }
 
 .lobby-auth-provider,
-#lobby-host,
-#lobby-user-logout {
+#lobby-host {
   align-self: center;
 }
 
 #lobby-auth-nick-input {
   display: block;
   width: 100%;
-  margin-bottom: 10px;
+  margin: 10px 0;
+  box-sizing: border-box;
+}
+
+#lobby-auth-nick-error,
+#lobby-auth-restore-error {
+  text-align: left;
+}
+
+#lobby-auth-register,
+#lobby-auth-restore,
+#lobby-auth-status-retry,
+#lobby-auth-turnstile-retry {
+  margin: 8px auto;
+}
+
+/* виджет Turnstile шириной 300 px не влезает в карточку 256 px */
+#lobby-auth-welcome {
+  width: 300px;
+}
+
+#lobby-auth-turnstile {
+  display: flex;
+  justify-content: center;
+}
+
+/* футер вне рамки: по центру под карточкой */
+#lobby-auth-footer {
+  justify-content: center;
+  margin: 10px auto 0;
+}
+
+/* нейтральная плашка уведомления (профиль не найден, выход, удаление) */
+.form-notice {
+  background-color: #3d3d3d;
+  border: 1px solid #555;
+  padding: 6px 8px;
+  margin: 8px 0;
+  color: #ddd;
+}
+
+.form-notice:empty {
+  display: none;
+}
+
+.form-hint {
+  color: #aaa;
+  font-size: 12px;
+  line-height: 16px;
+  margin: 6px 0;
+}
+
+/*profile*/
+
+/* панель профиля (profile.pug): открывается вместо #lobby кнопкой бейджа,
+   каркас — как у панели реестра игр (.card, .lobby-column, .games-head) */
+#profile-panel {
+  background-color: #222;
+  position: absolute;
+  width: 100%;
+  min-height: 100%;
+  top: 0;
+  left: 0;
+  z-index: 8;
+  display: flex;
+  align-items: flex-start;
+  justify-content: center;
+  box-sizing: border-box;
 }
 
-#lobby-auth-login-error,
-#lobby-auth-nick-error {
-  color: #f56;
+#profile-panel .card {
+  width: 700px;
+  max-width: 100%;
+  padding: 10px;
+  text-align: left;
+  box-sizing: border-box;
+}
+
+#profile-link-benefits {
+  margin: 6px 0;
+  padding-left: 20px;
+}
+
+.profile-provider {
+  display: flex;
+  align-items: center;
+  gap: 8px;
+  margin: 6px 0;
+}
+
+/* чекбокс и текст в одну строку, текст переносится под себя */
+#profile-consent label {
+  display: flex;
+  align-items: flex-start;
+  gap: 8px;
   margin: 8px 0;
+  font-size: 12px;
+  line-height: 16px;
+}
+
+#profile-consent input[type='checkbox'] {
+  flex: none;
+  margin-top: 2px;
+}
+
+#profile-consent a {
+  color: #ccc;
+}
+
+/* удаление необратимо — блок выделен цветом ошибок */
+#profile-delete {
+  border: 1px solid #b33;
+}
+
+#profile-delete .lobby-section-title {
+  color: #e66;
 }
 
 /*games*/
@@ -1320,7 +1432,7 @@ body.hide-cursor {
   margin-right: 8px;
 }
 
-/* кнопки входа в панель стоят рядом с Sign out в бейдже пользователя */
+/* кнопки входа в панели стоят в бейдже игрока */
 .lobby-user-actions {
   display: flex;
   gap: 8px;

package/src/client/views/includes/lobby.pug

@@ -1,5 +1,5 @@
-//- скрыт по умолчанию: открывается из main.js только после успешного логина
-//- в #lobby-auth (Этап B2, LobbyAuthCtrl 'authenticated')
+//- скрыт по умолчанию: открывается из main.js, когда у вкладки есть личность
+//- (экран профиля #lobby-auth, событие LobbyAuthModel 'authenticated')
 div#lobby(style='display:none')
   //- колоночная обёртка: сам #lobby — флекс-строка, центрирующая содержимое,
   //- и футер под панелями иначе встал бы третьей колонкой рядом с ними
@@ -8,21 +8,21 @@ div#lobby(style='display:none')
       //- левая панель: профиль + форма создания комнаты (lobby-page-plan)
       div#lobby-setup-panel.card
         h2= 'VIMP'
-        //- бейдж входа (Этап B2): управляется LobbyAuthView, показывается
-        //- вместе с #lobby после успешной авторизации
+        //- бейдж игрока: управляется LobbyAuthView, показывается вместе с
+        //- #lobby, когда у вкладки есть личность
         div#lobby-user
           div
-            span= 'Signed in as '
+            span= 'Playing as '
             b#lobby-user-nick
           //- вход в панель реестра игр (master-game-registry, этап 4):
           //- «My games» видит любой авторизованный, «Moderation» — только
           //- админская роль (main.js по LobbyAuthModel.getRole())
           div.lobby-user-actions
+            input#profile-open(type='button', value='Profile')
             input#games-open-mine(type='button', value='My games')
             input#games-open-moderation(type='button', value='Moderation', style='display:none')
             //- журнал клиентских ошибок (plan/client-reports, этап 5): только админ
             input#reports-open(type='button', value='Errors', style='display:none')
-            input#lobby-user-logout(type='button', value='Sign out')
         hr.lobby-divider
         h3.lobby-section-title= 'HOST A GAME'
         div#lobby-create
@@ -69,6 +69,11 @@ div#lobby(style='display:none')
     //- футер: ссылку и версию пакета движка проставляет LobbyView
     //- (engineVersion.js + lib/packageLink.js)
     div#lobby-footer
+      p
+        a#lobby-terms-link(target='_blank', rel='noopener') Terms of Service
+        |  ·
+        |
+        a#lobby-privacy-link(target='_blank', rel='noopener') Privacy Policy
       p
         a#lobby-link
       p#lobby-version

package/src/client/views/includes/lobbyAuth.pug

@@ -1,19 +1,37 @@
-//- логин-гейт лобби (Этап B2): показывается до #lobby, пока клиент не
-//- авторизован через central auth-сервис (packages/auth). Кнопки провайдеров
-//- фильтруются JS по authClient.providers; неактивные скрыты
+//- экран профиля перед лобби: загрузка, отказ сервиса, Welcome (регистрация
+//- ника и восстановление профиля через OAuth). Кнопки провайдеров
+//- фильтруются JS по списку из /client-config
 div#lobby-auth
 
-  div#lobby-auth-login.card
-    h2= 'VIMP'
-    p= 'Sign in to play'
-    div#lobby-auth-login-buttons
-      input.lobby-auth-provider#lobby-auth-login-github(type='button', data-provider='github', value='Sign in with GitHub')
-      input.lobby-auth-provider#lobby-auth-login-google(type='button', data-provider='google', value='Sign in with Google')
-      input.lobby-auth-provider#lobby-auth-login-apple(type='button', data-provider='apple', value='Sign in with Apple')
-    div#lobby-auth-login-error
+  div#lobby-auth-status.card(style='display:none')
+    p#lobby-auth-status-text
+    input#lobby-auth-status-retry(type='button', value='Retry', style='display:none')
 
-  div#lobby-auth-nick.card(style='display:none')
-    h2= 'Choose your nick'
-    input#lobby-auth-nick-input.field-text(type='text', maxlength='14', placeholder='YourNick', autocomplete='off')
-    div#lobby-auth-nick-error
-    input#lobby-auth-nick-submit(type='button', value='Continue')
+  div#lobby-auth-welcome.card(style='display:none')
+    h2= 'Welcome to VIMP!'
+    p#lobby-auth-notice.form-notice
+    input#lobby-auth-nick-input.field-text(type='text', maxlength='15', placeholder='Your nick', autocomplete='off')
+    div#lobby-auth-nick-error.form-error
+    input#lobby-auth-turnstile-retry(type='button', value='Retry', style='display:none')
+    //- контейнер виджета Turnstile: виден, только когда проверке нужен клик
+    div#lobby-auth-turnstile
+    input#lobby-auth-register(type='button', value='Create profile')
+    hr.lobby-divider
+    input#lobby-auth-restore(type='button', value='Restore profile')
+    div#lobby-auth-providers(style='display:none')
+      p= 'Restore a profile linked to:'
+      input.lobby-auth-provider(type='button', data-provider='google', value='Continue with Google')
+      input.lobby-auth-provider(type='button', data-provider='discord', value='Continue with Discord')
+      input.lobby-auth-provider(type='button', data-provider='github', value='Continue with GitHub')
+    div#lobby-auth-restore-error.form-error
+
+  //- футер под карточкой Welcome: ссылки заполняет LobbyAuthView,
+  //- версию движка — он же (engineVersion.js)
+  div#lobby-auth-footer(style='display:none')
+    p
+      a#lobby-auth-terms(target='_blank', rel='noopener') Terms of Service
+      |  ·
+      |
+      a#lobby-auth-privacy(target='_blank', rel='noopener') Privacy Policy
+    p#lobby-auth-version
+    p © #{new Date().getFullYear()} VIMP

package/src/client/views/includes/profile.pug

@@ -0,0 +1,73 @@
+//- Панель профиля в лобби: привязка аккаунта (необязательная), выход,
+//- выгрузка данных, удаление. Скрыта по умолчанию — открывается кнопкой
+//- бейджа пользователя (#profile-open в lobby.pug); id элементов
+//- перечислены в config/lobby.js. Подписи — по-английски, как всё лобби
+div#profile-panel(style='display:none')
+  div.lobby-column
+    div.games-head
+      h3.lobby-section-title= 'Profile'
+      input#profile-close(type='button', value='Back to lobby')
+
+    div.card
+      p
+        span= 'Nick: '
+        b#profile-nick
+      p.form-hint= 'The nick cannot be changed.'
+      p#profile-status
+
+    div.card#profile-link
+      h3.lobby-section-title= 'Link an account (optional)'
+      p= 'Linking is not required — you can keep playing without it. It gives you:'
+      ul#profile-link-benefits
+      p.form-hint= 'We receive and store only the account ID from the provider — no e-mail, name, avatar or contacts.'
+      div#profile-providers
+      div#profile-consent
+        label
+          input#profile-consent-terms(type='checkbox')
+          |
+          | I have read and agree to the
+          |
+          a.profile-terms-link(target='_blank', rel='noopener') Terms of Service
+          |
+          | and the
+          |
+          a.profile-privacy-link(target='_blank', rel='noopener') Privacy Policy
+          | .
+        label
+          input#profile-consent-data(type='checkbox')
+          |
+          | I consent to the processing of my personal data — the account ID received from the provider I choose — in order to restore access to my profile, as described in the
+          |
+          a.profile-privacy-link(target='_blank', rel='noopener') Privacy Policy
+          | . I can withdraw this consent at any time by unlinking the account or deleting my profile.
+        label
+          input#profile-consent-age(type='checkbox')
+          |
+          | I confirm that I am at least 16 years old, or have reached the age of digital consent in my country if that is higher.
+      p#profile-link-notice.form-notice
+      div#profile-link-error.form-error
+
+    div.card#profile-session(style='display:none')
+      input#profile-sign-out(type='button', value='Sign out')
+      p.form-hint= 'You can sign back in with a linked account.'
+      div#profile-session-error.form-error
+
+    div.card
+      input#profile-export(type='button', value='Download my data')
+      p.form-hint= 'A JSON file with everything stored about this profile.'
+      div#profile-export-error.form-error
+
+    div.card#profile-delete
+      h3.lobby-section-title= 'Delete profile'
+      p= 'Deleting the profile is permanent. Your nick, ratings and saved progress in every game will be erased and removed from the leaderboards. The nick will become available to other players.'
+      p#profile-delete-admin(style='display:none')= 'Admin profiles cannot be deleted. Remove the nick from the admin list first.'
+      input#profile-delete-start(type='button', value='Delete this profile')
+      div#profile-delete-confirm(style='display:none')
+        p
+          span= 'To confirm, type your nick '
+          b#profile-delete-nick
+          span= ' below:'
+        input#profile-delete-input.field-text(type='text', maxlength='15', autocomplete='off')
+        input#profile-delete-submit(type='button', value='I understand, delete this profile', disabled)
+        input#profile-delete-cancel(type='button', value='Cancel')
+      div#profile-delete-error.form-error

package/src/client/views/index.pug

@@ -6,6 +6,7 @@ include includes/roomMenu
 include includes/lobbyAuth
 include includes/lobby
 include includes/games
+include includes/profile
 include includes/reports
 include includes/auth
 include includes/informer

package/src/config/authClient.js

@@ -1,13 +1,12 @@
-// Конфиг клиентского логина лобби (Этап B2). Бандлится в клиентскую сборку,
-// как config/lobby.js — auth-сервис живёт на отдельном домене/порте, поэтому
-// serviceUrl должен быть подставлен под конкретный деплой перед сборкой прода
-// (см. docs/en/auth.md).
+// Конфиг клиента профиля лобби. Бандлится в клиентскую сборку, как
+// config/lobby.js — auth-сервис живёт на отдельном домене/порте, поэтому
+// serviceUrl подставляется под конкретный деплой при сборке (см.
+// docs/en/auth.md).
 export default {
   // базовый URL центрального auth-сервиса (packages/auth). Дефолт — dev-порт
   // из packages/auth/src/config/auth.js; в проде подставляется Vite'ом из
   // VITE_AUTH_SERVICE_URL (см. Dockerfile — тот же VIMP_AUTH_SERVICE_URL,
-  // что и серверный master/main.js), никакой ручной правки перед сборкой
-  // больше не требуется. Этот модуль импортируется и серверным
+  // что и серверный master/main.js). Этот модуль импортируется и серверным
   // master/main.js под чистым Node, где import.meta.env не определён —
   // typeof-guard нужен, иначе TypeError роняет мастер на старте (502)
   serviceUrl:
@@ -15,41 +14,67 @@ export default {
       import.meta.env.VITE_AUTH_SERVICE_URL) ||
     'http://localhost:3010',
 
-  // включённые провайдеры (должны совпадать с packages/auth config.oauth)
-  providers: ['github'],
+  // issuer, которым central auth-сервис подписывает identity-токен; должен
+  // совпадать с packages/auth/src/config/auth.js: jwt.issuer — хост сверяет
+  // claim iss токена с этим значением при проверке подписи по /jwks
+  issuer: 'vimp-auth',
 
-  // ключ localStorage для identity JWT
-  tokenStorageKey: 'vimpAuthToken',
+  // секрет сессии устройства ('s_…') — единственный ключ к профилю: им
+  // получают identity-токен и управляют профилем
+  sessionStorageKey: 'vimpSession',
 
-  // issuer, которым central auth-сервис подписывает identity-токен (Этап B3);
-  // должен совпадать с packages/auth/src/config/auth.js: jwt.issuer — хост
-  // сверяет claim iss токена с этим значением при проверке подписи по /jwks
-  issuer: 'vimp-auth',
+  // dev-логин auth-сервиса (только dev-сборка): ?devSession=s_…
+  devSessionParam: 'devSession',
 
-  // имя query-параметров, которыми auth-сервис возвращает управление
-  // (redirect на returnUrl после /oauth/:provider/callback)
-  queryParams: {
-    token: 'token',
-    pendingToken: 'pendingToken',
-    error: 'authError',
+  // возврат с OAuth-провайдера и незавершённая попытка (sessionStorage)
+  oauth: {
+    codeParam: 'oauthCode',
+    errorParam: 'oauthError',
+    pendingKey: 'vimpOauthPending',
   },
 
-  // DOM-элементы экрана логина/ника (views/includes/lobbyAuth.pug) и бейджа
-  // пользователя в лобби (views/includes/lobby.pug)
+  // уведомление, которое должно пережить перезагрузку страницы
+  // (sessionStorage)
+  noticeKey: 'vimpAuthNotice',
+
+  // тихое продление identity-токена: за leadMs до exp, повтор при сбое
+  // через retryMs
+  renew: { leadMs: 3600000, retryMs: 60000 },
+
+  // Cloudflare Turnstile на регистрации; источник скрипта — тот же, что в
+  // CSP мастера (config/master.js security.csp)
+  turnstile: {
+    scriptUrl:
+      'https://challenges.cloudflare.com/turnstile/v0/api.js?render=explicit',
+    // дольше не ждём: скрипт, скорее всего, заблокирован расширением
+    loadTimeoutMs: 4000,
+    action: 'register',
+  },
+
+  // DOM-элементы экрана профиля (views/includes/lobbyAuth.pug) и бейджа
+  // игрока в лобби (views/includes/lobby.pug)
   elems: {
     containerId: 'lobby-auth',
-    loginSectionId: 'lobby-auth-login',
-    loginErrorId: 'lobby-auth-login-error',
-    nickSectionId: 'lobby-auth-nick',
+    statusId: 'lobby-auth-status',
+    statusTextId: 'lobby-auth-status-text',
+    statusRetryId: 'lobby-auth-status-retry',
+    welcomeId: 'lobby-auth-welcome',
+    footerId: 'lobby-auth-footer',
+    noticeId: 'lobby-auth-notice',
     nickInputId: 'lobby-auth-nick-input',
     nickErrorId: 'lobby-auth-nick-error',
-    nickSubmitId: 'lobby-auth-nick-submit',
+    turnstileRetryId: 'lobby-auth-turnstile-retry',
+    turnstileId: 'lobby-auth-turnstile',
+    registerId: 'lobby-auth-register',
+    termsId: 'lobby-auth-terms',
+    privacyId: 'lobby-auth-privacy',
+    versionId: 'lobby-auth-version',
+    restoreId: 'lobby-auth-restore',
+    providersId: 'lobby-auth-providers',
+    restoreErrorId: 'lobby-auth-restore-error',
+    providerClass: 'lobby-auth-provider',
     lobbyId: 'lobby',
     userId: 'lobby-user',
     userNickId: 'lobby-user-nick',
-    userLogoutId: 'lobby-user-logout',
   },
-
-  // CSS-класс кнопок провайдеров в lobbyAuth.pug (data-provider на каждой)
-  providerButtonClass: 'lobby-auth-provider',
 };

package/src/config/chatMessages.js

@@ -1,4 +1,4 @@
-// Английские тексты движковых кодов чата по умолчанию (группы s, v, m, c, n);
+// Английские тексты движковых кодов чата по умолчанию (группы s, v, m, c);
 // индекс = номер кода. Лежат здесь, а не в clientDefaults: при слиянии
 // конфига массивы заменяются целиком, и массив `s` игры стёр бы умолчания.
 // Правило перекрытия: строка игры по тому же индексу важнее умолчания;
@@ -41,5 +41,4 @@ export default {
   ],
   m: ['Current map: {0}', 'Next map: {0}'],
   c: ['Command not found', 'Your rank: {0}'],
-  n: ['Invalid name', '{0} changed name to {1}'],
 };

package/src/config/env.js

@@ -20,8 +20,8 @@ export function applyMasterEnv(config, env = process.env) {
     config.set('master:port', Number(env.VIMP_MASTER_PORT));
   }
 
-  // домен central auth-сервиса (Этап B2) — попадает в CSP connect-src, т.к.
-  // лобби делает туда прямой fetch (POST /nick)
+  // домен central auth-сервиса — попадает в CSP connect-src, т.к. лобби
+  // делает туда прямые fetch (ручки профиля)
   if (env.VIMP_AUTH_SERVICE_URL) {
     config.set('master:security:authServiceUrl', env.VIMP_AUTH_SERVICE_URL);
   }

package/src/config/lobby.js

@@ -213,7 +213,8 @@ export default {
   // подключён по WebRTC; при смене состава отчёт уходит сразу, с дебаунсом);
   // minTokenLifetimeMs — вкладка, чей вход истечёт раньше, не объявляет
   // canHost и отказывается от промоушена (токен предъявляется мастеру
-  // посреди матча, продления нет); tokenHandoffLeadMs — за столько до
+  // посреди матча; обычно его заранее продлевает TokenRenewer, порог работает,
+  // пока продление не удаётся); tokenHandoffLeadMs — за столько до
   // истечения входа хост с бетой сам передаёт роль (плановая передача на
   // границе раунда); tokenHandoffRetryMs — через сколько повторить её, если
   // беты ещё нет, идёт эстафета Worker'ов или передача сорвалась (повторы —
@@ -445,6 +446,49 @@ export default {
     },
   },
 
+  // панель профиля (profile.pug): привязка OAuth, выход, выгрузка данных,
+  // удаление. Открывается кнопкой бейджа и прячет #lobby, как панель игр
+  profile: {
+    // подписи провайдеров в интерфейсе
+    providerTitles: { google: 'Google', discord: 'Discord', github: 'GitHub' },
+    // имя файла выгрузки данных
+    exportFileName: nick => `vimp-profile-${nick}.json`,
+    elems: {
+      panelId: 'profile-panel',
+      lobbyId: 'lobby',
+      openBtnId: 'profile-open',
+      closeBtnId: 'profile-close',
+      nickId: 'profile-nick',
+      statusId: 'profile-status',
+      benefitsId: 'profile-link-benefits',
+      providersId: 'profile-providers',
+      consentId: 'profile-consent',
+      consentTermsId: 'profile-consent-terms',
+      consentDataId: 'profile-consent-data',
+      consentAgeId: 'profile-consent-age',
+      termsLinkClass: 'profile-terms-link',
+      privacyLinkClass: 'profile-privacy-link',
+      linkNoticeId: 'profile-link-notice',
+      linkErrorId: 'profile-link-error',
+      sessionCardId: 'profile-session',
+      signOutBtnId: 'profile-sign-out',
+      sessionErrorId: 'profile-session-error',
+      exportBtnId: 'profile-export',
+      exportErrorId: 'profile-export-error',
+      deleteAdminNoteId: 'profile-delete-admin',
+      deleteStartBtnId: 'profile-delete-start',
+      deleteConfirmId: 'profile-delete-confirm',
+      deleteNickId: 'profile-delete-nick',
+      deleteInputId: 'profile-delete-input',
+      deleteSubmitBtnId: 'profile-delete-submit',
+      deleteCancelBtnId: 'profile-delete-cancel',
+      deleteErrorId: 'profile-delete-error',
+      // ссылки на юридические страницы в футере лобби
+      footerTermsId: 'lobby-terms-link',
+      footerPrivacyId: 'lobby-privacy-link',
+    },
+  },
+
   // журнал клиентских ошибок (plan/client-reports, этап 5): только админ.
   // URL и id элементов — здесь, как у панели реестра игр (reports.pug)
   clientReports: {

package/src/config/master.js

@@ -218,10 +218,12 @@ export default {
   // политики; мастер применяет её к своим ответам только в проде (в dev CSP
   // сломала бы Vite HMR). WASM требует 'wasm-unsafe-eval', Worker — 'blob:';
   // connect-src data: — PixiJS фетчит тестовый data:-URL для проверки ImageBitmap.
-  // authServiceUrl (Этап B2) — домен central auth-сервиса (packages/auth):
-  // лобби делает туда прямой fetch (POST /nick), поэтому connect-src должен
-  // его разрешать; сам OAuth-редирект (location.href на auth-сервис/провайдера)
-  // CSP не ограничивает — это навигация верхнего уровня, не fetch/XHR.
+  // authServiceUrl — домен central auth-сервиса (packages/auth): лобби
+  // делает туда прямой fetch (браузерные ручки auth-сервиса), поэтому
+  // connect-src должен его разрешать; сам OAuth-редирект (location.href на
+  // auth-сервис/провайдера) CSP не ограничивает — это навигация верхнего
+  // уровня, не fetch/XHR. challenges.cloudflare.com в script-src и frame-src
+  // — скрипт и iframe виджета Turnstile на экране регистрации.
   // script-src несёт sha256-хэш инлайнового importmap из index.html (для
   // pixi.js — src="..." на <script type="importmap"> браузеры не
   // поддерживают, инлайн обязателен). Хэш посчитан по факту собранного
@@ -235,8 +237,9 @@ export default {
     csp: authServiceUrl =>
       [
         "default-src 'self'",
-        "script-src 'self' 'wasm-unsafe-eval' 'sha256-XJmzkFBLHYpcM8KgGRFztTJTwfMb5xIFKAmqlgTpobo='",
+        "script-src 'self' 'wasm-unsafe-eval' 'sha256-XJmzkFBLHYpcM8KgGRFztTJTwfMb5xIFKAmqlgTpobo=' https://challenges.cloudflare.com",
         "worker-src 'self' blob:",
+        'frame-src https://challenges.cloudflare.com',
         `connect-src 'self' wss: data:${authServiceUrl ? ` ${authServiceUrl}` : ''}`,
         "img-src 'self' data: blob:",
         "style-src 'self' 'unsafe-inline'",

package/src/config/wsports.js

@@ -19,7 +19,6 @@ export default {
     SOUND_DATA: 6,
     GAME_INFORM_DATA: 7,
     TECH_INFORM_DATA: 8,
-    MISC: 9,
     PING: 10,
     CLEAR: 11,
     CONSOLE: 12,
@@ -51,5 +50,9 @@ export default {
     RESUME_REQUEST: 9,
     // игрок уходит сам: хост снимает его сразу, без ожидания возврата
     LEAVE: 10,
+    // свежий identity-токен игрока: клиент продлевает JWT молча, а хост пишет
+    // rank/state его токеном — без порта долгий матч писал бы истёкшим.
+    // Прежний хост порт игнорирует
+    TOKEN_REFRESH: 11,
   },
 };