vkusvill 0.0.0-dev.0 → 0.0.0-dev.1

package/README.md

@@ -1,13 +1,12 @@
-# vkusvill-cli
+# vkusvill
 
 **English** · [Русский](README.ru.md)
 
-An unofficial VkusVill client for the terminal. A full-screen app drawn in text graphics on top of the [official VkusVill MCP server](https://github.com/vkustech/vkusvill-mcp-server-manifest): the catalog, deals, recipes, shops and a cart you check out on your phone by scanning a QR code straight from the terminal.
+An experimental VkusVill client for the terminal. A full-screen app drawn in text graphics on top of the [official VkusVill MCP server](https://github.com/vkustech/vkusvill-mcp-server-manifest): the catalog, deals, recipes, shops and a cart you check out on your phone by scanning a QR code straight from the terminal.
 
 ```bash
-npx vkusvill-cli            # once published to npm
-npx ./vv-cli                # from this folder, today
-npx vkusvill-cli сырники    # open straight into a search
+npx vkusvill                # the full-screen app
+npx vkusvill сырники        # open straight into a search
 ```
 
 Needs Node 18.17+ and a terminal of at least 64×18. It looks best with 24-bit colour: iTerm2, WezTerm, Ghostty, kitty, the VS Code terminal. Terminal.app is limited to 256 colours.
@@ -24,13 +23,16 @@ The interface speaks Russian, like the store.
 - **Recipes.** VkusVill's search and filters: exclude allergens, cooking time, difficulty, method. A recipe page has the steps and an ingredient checklist; `+` puts every ticked ingredient in the cart.
 - **Shops.** Region, city, metro and amenities. City and metro lists narrow to the chosen region. Search by address with `/`, an "open now" count, opening hours turned into "open until 23:00" or "closed", courier-only dark stores marked as such. The map is drawn in Braille dots over the outline of the MKAD ring road and the Garden Ring; `z` zooms to the selected shop, `L` loads every shop of the filter onto the map.
 - **Cart.** Quantities change with the arrows; the total is in big digits, with savings from deals, the nutrition of the whole cart and a breakdown by category. Prices older than six hours are re-checked quietly. Checkout creates a VkusVill link and shows a QR code: point your phone at it and the cart opens in the VkusVill app. Payment and delivery stay with VkusVill.
-- **Profile.** Favourites and history are kept locally. Orders, "favourite product" and personal discounts are only available to signed-in users; pass a token via `VV_TOKEN` if you have one.
-- **Everywhere.** Mouse (click, double click, wheel), a command palette on `Ctrl+K`, barcode lookup (`b`), help (`?`). Hotkeys also work with the Russian keyboard layout. The last tab, sorts and filters are remembered between runs.
+- **Profile.** Favourites and history are kept locally. Orders, "favourite product" and personal discounts need you signed in to VkusVill — see below.
+- **Everywhere.** Fully usable from the keyboard: `↑` at the top of any page climbs into the header, where `← →` walk the tabs and the sign-in button. Mouse too (click, double click, wheel), a command palette on `Ctrl+K`, barcode lookup (`b`), help (`?`). Hotkeys also work with the Russian keyboard layout. The last tab, sorts and filters are remembered between runs.
 
 ## Keys
 
 | Key | Action |
 |---|---|
+| `↑ ↓` | move between the rows of a screen: search box, filter chips, list, buttons |
+| `← →`, `⏎` | walk and press the chips and buttons of a row |
+| `↑` at the top of a page | up to the header: `← →` walk the tabs and the sign-in button, `↓` or `⏎` go back |
 | `1`…`6`, `Tab` | tabs |
 | `/` | search |
 | `↑↓`, `j k` | move |
@@ -50,6 +52,8 @@ The interface speaks Russian, like the store.
 ```bash
 vv search творог --sort price_asc   # a table; --json prints VkusVill's answer
 vv deals --quantity
+vv deals --personal                 # "6 discounts for me", signed in
+vv orders                           # orders of the last 30 days, signed in
 vv product 27695
 vv barcode 4607167640050
 vv recipes тыква
@@ -58,6 +62,22 @@ vv cart add 27695 2
 vv cart link                        # link and QR code right in the output
 ```
 
+## Signing in
+
+Orders, the favourite product, personal discounts and a catalog with your availability need a VkusVill sign-in. VkusVill gives API access through a personal OAuth client tied to your loyalty card; there is no shared client an app could ship with.
+
+1. Register a personal agent at [vkusvill.ru/oauth/registration/](https://vkusvill.ru/oauth/registration/) (sign in with your phone first). Tick "my service has no public URI": VkusVill then assigns `http://localhost:3000/callback`, which is exactly where `vv login` listens.
+2. VkusVill emails you the client credentials.
+3. Run `vv login` (or open Profile → a personal section → `⏎` in the app), enter the `client_id` (and the secret, if one was issued) and confirm in the browser. The app catches the answer on port 3000 itself; if that port is taken by another program, paste the address the browser ended up on.
+
+Rights are per client: the form lets you tick catalog search, purchase history, loyalty and discounts, personal recommendations. The app asks for all of them; whatever your client was not given, VkusVill refuses, and the app drops it, says so and remembers — the next sign-in asks only for what the client has. A token is sent only with requests its rights cover: without the catalog right search stays anonymous, without purchase history the orders section explains what to tick. If you tick more on the site later, run `vv login --scope all`.
+
+After that the access token renews itself in the background. `vv auth` shows the state and the granted rights, `vv logout` revokes the tokens at VkusVill. `VV_TOKEN` still works for a ready-made token and takes precedence.
+
+Signed in, the catalog and deals become personal: stock at your delivery address shows in the lists, the product card and the cart ("in stock: 9", "out of stock"). Personal answers are cached in memory for ten minutes and never mixed with anonymous ones on disk.
+
+Under the hood: authorization code + PKCE (S256) with a random `state`; the authorization server is discovered from the MCP server (RFC 9728, RFC 8414) and has to be an https VkusVill host; the loopback listener binds to 127.0.0.1 only and answers once. Refresh tokens rotate on every use and VkusVill (Ory Hydra) revokes the whole chain if an old one is reused, so refreshes are serialised across processes with a lock file — the app and `vv` in another terminal never race. A dead refresh token is forgotten; public features keep working anonymously.
+
 ## How it works
 
 - `src/term` — a dependency-free terminal engine: a cell buffer that sends only changed cells, synchronised output without flicker, truecolor with a 256-colour fallback, SGR mouse, bracketed paste, wide characters.
@@ -71,7 +91,19 @@ vv cart link                        # link and QR code right in the output
 - **Nothing leaves your machine except requests to VkusVill.** No analytics, no third-party servers.
 - **Text from the network is cleaned** before it reaches the screen or the command output: terminal control characters (ESC, C1 codes such as `\x9b`) and bidi overrides are removed, so a product name cannot drive your terminal or disguise itself.
 - **Links open only to `https://` VkusVill and Yandex hosts**, without a shell (on Windows via `rundll32`, not `cmd`). Photos load only from VkusVill hosts, with size limits.
-- **The token is sent to `mcp.vkusvill.ru` only**, even if `VV_ENDPOINT` points elsewhere. Orders, personal discounts and personalised results are never written to disk.
+- **Credentials live in the OS credential store where there is one**, so signing in stays a one-time thing on every platform, with no passwords or prompts afterwards:
+
+  | Platform | Client secret and tokens |
+  |---|---|
+  | macOS | login Keychain |
+  | Windows | a file encrypted with DPAPI for your Windows account (what the Credential Manager uses), via PowerShell |
+  | Linux desktop | Secret Service — GNOME Keyring, KWallet — via `secret-tool` (package `libsecret-tools`) |
+  | Linux over SSH, WSL, containers | `auth.json`, owner-only (0600) — the same as npm keeps its token in `~/.npmrc` |
+  | CI | `VV_TOKEN` from the environment, nothing on disk |
+
+  Secrets are handed to the store on stdin, never as command-line arguments that other users could see in `ps`. `~/.config/vv-cli/auth.json` keeps the client id, expiry and rights. If a store refuses, the secrets stay in that file and the next sign-in or renewal tries the store again; `vv auth` always says where they are and how to move them to a store. `VV_SECRETS=file|keychain|dpapi|secret-service` forces a choice. `vv logout --forget` erases the client, its secret and the tokens.
+- **Credentials go to VkusVill only**: the access token to `mcp.vkusvill.ru` (even if `VV_ENDPOINT` points elsewhere), the rest to the discovered VkusVill authorization server. Requests that carry them refuse redirects, so a 307 cannot forward a secret elsewhere. Type the client secret at the `vv login` prompt rather than passing `--client-secret`, which stays in shell history.
+- **Orders, personal discounts and personalised results are never written to the cache.**
 - **State** lives in `~/.config/vv-cli/state.json`, readable by you only (0600). Writes are atomic; a damaged file is kept as `state.json.broken-<time>` instead of being overwritten; a second running copy or `vv cart add` updates the open app instead of clobbering it.
 - **The cache** lives in `~/Library/Caches/vv-cli` or `~/.cache/vv-cli`, expires by itself and is capped at 300 MB. Crashes are logged to `vv-cli.log` next to it.
 
@@ -82,10 +114,9 @@ Ingredient flags ("sugar", "additives ×3" and so on) are heuristics over the fi
 ```bash
 npm install
 node bin/vv.js --no-splash
-npm test                      # offline checks: terminal safety, links, state file, command line
+npm test                      # offline checks: terminal safety, sign-in against a mock, keyboard, credential store
 node test/snap.js 120 36      # scripted run without a terminal → test/out/*.html (xterm.js) and gallery.html
 ```
 
 Environment: `VV_TOKEN`, `VV_COLOR=256|truecolor`, `NO_COLOR`, `VV_NO_SPLASH`, `VV_CACHE_DIR`, `VV_CONFIG_DIR`, `VV_ENDPOINT`.
 
-Not affiliated with VkusVill. Data and trademarks belong to their owners.

package/README.ru.md

@@ -1,13 +1,12 @@
-# vkusvill-cli
+# vkusvill
 
 [English](README.md) · **Русский**
 
-Неофициальный ВкусВилл в терминале. Полноэкранное приложение на псевдографике поверх [официального MCP-сервера ВкусВилла](https://github.com/vkustech/vkusvill-mcp-server-manifest): каталог, акции, рецепты, магазины и корзина, которую можно оформить на телефоне по QR-коду прямо из терминала.
+Экспериментальный клиент ВкусВилла для терминала. Полноэкранное приложение на псевдографике поверх [официального MCP-сервера ВкусВилла](https://github.com/vkustech/vkusvill-mcp-server-manifest): каталог, акции, рецепты, магазины и корзина, которую можно оформить на телефоне по QR-коду прямо из терминала.
 
 ```bash
-npx vkusvill-cli            # после публикации в npm
-npx ./vv-cli                # из этой папки, уже сейчас
-npx vkusvill-cli сырники    # открыть сразу с поиском
+npx vkusvill                # полноэкранный интерфейс
+npx vkusvill сырники        # открыть сразу с поиском
 ```
 
 Нужен Node 18.17+ и терминал от 64×18. Лучше всего выглядит с 24-битным цветом: iTerm2, WezTerm, Ghostty, kitty, терминал VS Code. В Terminal.app цветов 256.
@@ -22,13 +21,16 @@ npx vkusvill-cli сырники    # открыть сразу с поиском
 - **Рецепты.** Поиск и фильтры ВкусВилла: исключить аллергены, время, сложность, способ готовки. На странице рецепта шаги и чек-лист ингредиентов; `+` кладёт все отмеченные ингредиенты в корзину.
 - **Магазины.** Регион, город, метро, особенности. Списки городов и метро сужаются по выбранному региону. Поиск по адресу клавишей `/`, сводка «открыто сейчас», часы работы превращаются в «открыт до 23:00» или «закрыт», склады «только для курьеров» помечены отдельно. Карта нарисована точками Брайля поверх контура МКАД и Садового кольца; `z` приближает к выбранному магазину, `L` загружает на карту все магазины фильтра.
 - **Корзина.** Количество меняется стрелками; итог крупными цифрами, экономия по акциям, КБЖУ всей корзины и доли по категориям. Цены старше шести часов сверяются сами. Оформление создаёт ссылку ВкусВилла и показывает QR-код: наведите камеру телефона, и корзина откроется в приложении ВкусВилла. Оплата и доставка остаются на стороне ВкусВилла.
-- **Профиль.** Избранное и история хранятся локально. Заказы, любимый продукт и «6 скидок» ВкусВилл отдаёт только после входа; если у вас есть токен, передайте его через `VV_TOKEN`.
-- **Везде.** Мышь (клик, двойной клик, колесо), палитра команд по `Ctrl+K`, поиск по штрихкоду (`b`), справка (`?`). Горячие клавиши работают и в русской раскладке. Последняя вкладка, сортировки и фильтры запоминаются между запусками.
+- **Профиль.** Избранное и история хранятся локально. Заказы, любимый продукт и «6 скидок» доступны после входа во ВкусВилл — см. ниже.
+- **Везде.** Всё доступно с клавиатуры: `↑` у верхнего края любого раздела поднимает в шапку, где `← →` ходят по вкладкам и кнопке входа. Мышь тоже (клик, двойной клик, колесо), палитра команд по `Ctrl+K`, поиск по штрихкоду (`b`), справка (`?`). Горячие клавиши работают и в русской раскладке. Последняя вкладка, сортировки и фильтры запоминаются между запусками.
 
 ## Клавиши
 
 | Клавиша | Действие |
 |---|---|
+| `↑ ↓` | по строкам экрана: поиск, чипы фильтров, список, кнопки |
+| `← →`, `⏎` | по чипам и кнопкам строки, нажать выбранное |
+| `↑` у верхнего края раздела | в шапку: `← →` по вкладкам и кнопке входа, `↓` или `⏎` обратно |
 | `1`…`6`, `Tab` | вкладки |
 | `/` | поиск |
 | `↑↓`, `j k` | выбор |
@@ -48,6 +50,8 @@ npx vkusvill-cli сырники    # открыть сразу с поиском
 ```bash
 vv search творог --sort price_asc   # таблица; --json — ответ ВкусВилла
 vv deals --quantity
+vv deals --personal                 # «6 скидок для меня», после входа
+vv orders                           # заказы за 30 дней, после входа
 vv product 27695
 vv barcode 4607167640050
 vv recipes тыква
@@ -56,6 +60,22 @@ vv cart add 27695 2
 vv cart link                        # ссылка и QR-код прямо в выводе
 ```
 
+## Вход
+
+Заказы, любимый продукт, персональные скидки и каталог с вашим наличием требуют входа во ВкусВилл. Доступ к API ВкусВилл даёт через персонального OAuth-клиента, привязанного к вашей карте лояльности; общего клиента, которого можно было бы зашить в приложение, нет.
+
+1. Зарегистрируйте персонального агента на [vkusvill.ru/oauth/registration/](https://vkusvill.ru/oauth/registration/) (сначала вход по телефону). Отметьте «У моего сервиса нет публичного URI»: ВкусВилл подставит `http://localhost:3000/callback` — именно там его и ждёт `vv login`.
+2. ВкусВилл пришлёт данные клиента на почту.
+3. Запустите `vv login` (или в приложении: Профиль → личный раздел → `⏎`), введите `client_id` (и секрет, если его выдали) и подтвердите вход в браузере. Приложение поймает ответ на порту 3000 само; если порт занят другой программой, вставьте адрес, на котором остановился браузер.
+
+Права у каждого клиента свои: в форме отмечаются поиск по каталогу, история покупок, лояльность и скидки, персональные рекомендации. Приложение просит все; то, что клиенту не выдано, ВкусВилл отклоняет, а приложение убирает это право, сообщает об этом и запоминает — следующий вход просит только то, что у клиента есть. Токен уходит только с запросами, на которые у него есть права: без права на каталог поиск остаётся анонимным, без истории покупок раздел заказов подскажет, что отметить. Если позже отметите на сайте больше, запустите `vv login --scope all`.
+
+Дальше access token продлевается сам в фоне. `vv auth` показывает состояние и выданные права, `vv logout` отзывает токены у ВкусВилла. `VV_TOKEN` по-прежнему работает для готового токена и важнее входа.
+
+После входа каталог и акции становятся персональными: наличие по вашему адресу доставки видно в списках, карточке и корзине («в наличии 9 шт», «нет в наличии»). Персональные ответы хранятся в памяти десять минут и не смешиваются с анонимными на диске.
+
+Как устроено: authorization code + PKCE (S256) со случайным `state`; сервер авторизации находится через MCP-сервер (RFC 9728, RFC 8414) и обязан быть https-адресом ВкусВилла; локальный приёмник слушает только 127.0.0.1 и отвечает один раз. Refresh token меняется при каждом использовании, а ВкусВилл (Ory Hydra) отзывает всю цепочку при повторном использовании старого, поэтому обновления между процессами идут строго по очереди через файл-блокировку — приложение и `vv` в соседнем терминале не мешают друг другу. Мёртвый refresh token забывается; публичные функции продолжают работать без входа.
+
 ## Как это устроено
 
 - `src/term` — свой движок терминала без зависимостей: буфер ячеек, в терминал уходят только изменения, синхронный вывод без мерцания, truecolor с откатом на 256 цветов, мышь SGR, вставка из буфера обмена, широкие символы.
@@ -69,7 +89,19 @@ vv cart link                        # ссылка и QR-код прямо в в
 - **С компьютера уходят только запросы к ВкусВиллу.** Никакой аналитики и сторонних серверов.
 - **Текст из сети очищается**, прежде чем попасть на экран или в вывод команд: управляющие символы терминала (ESC, C1-коды вроде `\x9b`) и символы смены направления текста удаляются, так что название товара не может управлять терминалом или выдавать себя за другое.
 - **Ссылки открываются только на `https://`-адреса ВкусВилла и Яндекса**, без оболочки (на Windows — через `rundll32`, а не `cmd`). Фото грузятся только с адресов ВкусВилла и с ограничением размера.
-- **Токен уходит только на `mcp.vkusvill.ru`**, даже если `VV_ENDPOINT` указывает в другое место. Заказы, персональные скидки и персонализированная выдача на диск не пишутся.
+- **Учётные данные лежат в хранилище ОС, где оно есть**, поэтому вход везде одноразовый, без паролей и подтверждений потом:
+
+  | Платформа | Секрет клиента и токены |
+  |---|---|
+  | macOS | связка ключей |
+  | Windows | файл, зашифрованный DPAPI для вашей учётной записи Windows (на нём же «Диспетчер учётных данных»), через PowerShell |
+  | Linux с рабочим столом | Secret Service — GNOME Keyring, KWallet — через `secret-tool` (пакет `libsecret-tools`) |
+  | Linux по SSH, WSL, контейнеры | `auth.json`, доступный только вам (0600) — так же npm хранит токен в `~/.npmrc` |
+  | CI | `VV_TOKEN` из окружения, на диск ничего |
+
+  В хранилище секреты передаются через stdin, а не аргументами командной строки, которые другие пользователи видят в `ps`. В `~/.config/vv-cli/auth.json` остаются id клиента, срок действия и права. Если хранилище отказало, секреты остаются в этом файле, а следующий вход или продление снова пробуют хранилище; `vv auth` всегда говорит, где они и как перенести их в хранилище. `VV_SECRETS=file|keychain|dpapi|secret-service` задаёт выбор явно. `vv logout --forget` стирает клиента, его секрет и токены.
+- **Учётные данные уходят только ВкусВиллу**: access token — на `mcp.vkusvill.ru` (даже если `VV_ENDPOINT` указывает в другое место), остальное — на найденный сервер авторизации ВкусВилла. Запросы с ними не следуют за перенаправлениями, так что ответ 307 не перешлёт секрет на чужой адрес. Секрет клиента вводите в ответ на вопрос `vv login`, а не флагом `--client-secret`: флаг остаётся в истории оболочки.
+- **Заказы, персональные скидки и персонализированная выдача в кэш не пишутся.**
 - **Состояние** хранится в `~/.config/vv-cli/state.json`, доступном только вам (0600). Запись атомарная; повреждённый файл сохраняется как `state.json.broken-<время>`, а не затирается; второй запущенный экземпляр или `vv cart add` обновляют открытое приложение, а не перезаписывают его корзину.
 - **Кэш** лежит в `~/Library/Caches/vv-cli` или `~/.cache/vv-cli`, устаревает сам и не превышает 300 МБ. Падения записываются в `vv-cli.log` рядом с ним.
 
@@ -80,10 +112,9 @@ vv cart link                        # ссылка и QR-код прямо в в
 ```bash
 npm install
 node bin/vv.js --no-splash
-npm test                      # проверки без сети: безопасность вывода, ссылки, файл состояния, команды
+npm test                      # проверки без сети: безопасность вывода, вход на моке, клавиатура, хранилище секретов
 node test/snap.js 120 36      # сценарий без терминала → test/out/*.html (xterm.js) и gallery.html
 ```
 
 Окружение: `VV_TOKEN`, `VV_COLOR=256|truecolor`, `NO_COLOR`, `VV_NO_SPLASH`, `VV_CACHE_DIR`, `VV_CONFIG_DIR`, `VV_ENDPOINT`.
 
-Проект не связан с ВкусВиллом. Данные и товарные знаки принадлежат их владельцам.

package/package.json

@@ -1,10 +1,19 @@
 {
   "name": "vkusvill",
-  "version": "0.0.0-dev.0",
-  "description": "Unofficial VkusVill in your terminal: catalog, deals, recipes, shops and a cart with a QR code, drawn in text graphics on top of VkusVill's official MCP server",
+  "version": "0.0.0-dev.1",
+  "description": "Experimental VkusVill client for the terminal: catalog, deals, recipes, shops and a cart with a QR code, drawn in text graphics on top of VkusVill's official MCP server",
+  "author": "Anton Golub <golub.anton@gmail.com>",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/vkustech/vkusvill-cli.git"
+  },
+  "homepage": "https://github.com/vkustech/vkusvill-cli#readme",
+  "bugs": {
+    "url": "https://github.com/vkustech/vkusvill-cli/issues"
+  },
   "type": "module",
   "bin": {
-    "vkusvill-cli": "bin/vv.js",
+    "vkusvill": "bin/vv.js",
     "vv": "bin/vv.js"
   },
   "files": [
@@ -19,7 +28,7 @@
   },
   "scripts": {
     "start": "node bin/vv.js",
-    "test": "node test/check.mjs",
+    "test": "node test/check.mjs && node test/auth-check.mjs && node test/keys-check.mjs && node test/store-check.mjs",
     "snap": "node test/snap.js"
   },
   "keywords": [
@@ -27,9 +36,10 @@
     "вкусвилл",
     "tui",
     "cli",
-    "mcp",
     "terminal",
-    "grocery"
+    "grocery",
+    "mcp",
+    "qr"
   ],
   "license": "MIT",
   "dependencies": {

package/src/api.js

@@ -1,30 +1,39 @@
 // Client for the official VkusVill MCP server (https://mcp.vkusvill.ru/mcp): JSON-RPC tools/call,
-// a disk cache, a priority queue under the ~60 requests/minute limit and an optional OAuth token.
+// a disk cache, a priority queue under the ~60 requests/minute limit and the user's OAuth token (auth.js).
 
 import { createHash } from "node:crypto";
-import { mkdir, readFile, writeFile, stat, readdir, unlink, utimes } from "node:fs/promises";
-import { homedir } from "node:os";
+import { mkdir, readFile, writeFile, stat, readdir, unlink, utimes, chmod } from "node:fs/promises";
 import path from "node:path";
 import { clean, cleanDeep } from "./safe.js";
+import { CACHE_DIR } from "./paths.js";
+import * as auth from "./auth.js";
 
-export const ENDPOINT = process.env.VV_ENDPOINT ?? "https://mcp.vkusvill.ru/mcp";
-export const TOKEN = process.env.VV_TOKEN || null;
+let ENDPOINT = process.env.VV_ENDPOINT ?? "https://mcp.vkusvill.ru/mcp";
 // The token is only ever sent to the official server, even when VV_ENDPOINT points elsewhere
-const OFFICIAL = (() => {
+let OFFICIAL = (() => {
   try { const u = new URL(ENDPOINT); return u.protocol === "https:" && u.hostname === "mcp.vkusvill.ru"; } catch { return false; }
 })();
 
+// For tests only: a local mock server that is trusted with the token
+export function _setEndpointForTests(url) { ENDPOINT = url; OFFICIAL = true; }
+
+// Tools that only work for a signed-in user
+const PERSONAL = new Set(["vkusvill_orders_history", "vkusvill_product_lp", "vkusvill_discounts_personal"]);
+// Scopes known to gate a tool. Only certain pairs: elsewhere the server's answer decides
+const TOOL_SCOPE = { vkusvill_products_search: "catalog.search", vkusvill_orders_history: "purchase_history.read" };
+
+const scopeError = (tool) => {
+  const need = TOOL_SCOPE[tool];
+  return new VVError(need
+    ? `Клиенту не выдано «${auth.scopeLabel(need)}» — отметьте это действие в настройках клиента на vkusvill.ru, затем vv login --scope all`
+    : "Клиенту не хватает прав для этого — проверьте действия в настройках клиента на vkusvill.ru, затем vv login --scope all", "scope");
+};
+
 const MAX_RESPONSE = 20 * 1024 * 1024;
 const MEM_LIMIT = 400;
 const DAY = 24 * 3600e3;
 
-function cacheBase() {
-  if (process.env.XDG_CACHE_HOME) return process.env.XDG_CACHE_HOME;
-  if (process.platform === "darwin") return path.join(homedir(), "Library", "Caches");
-  if (process.platform === "win32" && process.env.LOCALAPPDATA) return process.env.LOCALAPPDATA;
-  return path.join(homedir(), ".cache");
-}
-export const CACHE_DIR = process.env.VV_CACHE_DIR ?? path.join(cacheBase(), "vv-cli");
+export { CACHE_DIR };
 
 const TTL = { default: 6 * 3600e3, vkusvill_shops: 7 * DAY, vkusvill_recipes: DAY, vkusvill_products_discount: 3600e3 };
 // Personal data and one-off links never touch the disk
@@ -62,6 +71,8 @@ export async function diskPut(kind, key, value) {
 const PRUNE = { api: 8 * DAY, img: 31 * DAY };
 const CACHE_CAP = 300 * 1024 * 1024;
 export async function pruneCache() {
+  // Older versions created the folder world-readable
+  try { await chmod(CACHE_DIR, 0o700); } catch {}
   const marker = path.join(CACHE_DIR, ".pruned");
   try { if (Date.now() - (await stat(marker)).mtimeMs < DAY) return; } catch {}
   const files = [];
@@ -133,24 +144,69 @@ function parseJSON(text, what) {
   try { return JSON.parse(text); } catch { throw new VVError(`ВкусВилл прислал некорректный ${what}`, "rpc"); }
 }
 
-async function post(body) {
+async function post(body, token) {
   const headers = { "Content-Type": "application/json", Accept: "application/json, text/event-stream" };
-  if (TOKEN && OFFICIAL) headers.Authorization = `Bearer ${TOKEN}`;
+  if (token && OFFICIAL) headers.Authorization = `Bearer ${token}`;
   try {
-    return await fetch(ENDPOINT, { method: "POST", headers, body, signal: AbortSignal.timeout(20e3) });
+    // No redirects: one would carry the bearer token elsewhere
+    return await fetch(ENDPOINT, { method: "POST", headers, body, signal: AbortSignal.timeout(20e3), redirect: "error" });
   } catch (e) {
     if (e?.name === "TimeoutError") throw new VVError("ВкусВилл не ответил за 20 секунд", "net");
     throw new VVError("Нет связи с ВкусВиллом", "net");
   }
 }
 
+const signInHint = (e) => (e?.code === "invalid_grant" ? "Вход истёк — vv login или Профиль → войти" : e?.message ?? "Нужен вход: vv login или Профиль → войти");
+
+// Personal tools need a token; public ones use it when there is one (personalised results)
+// and quietly fall back to anonymous access when signing in fails
+async function tokenFor(tool) {
+  if (!OFFICIAL) {
+    if (PERSONAL.has(tool)) throw new VVError("Вход работает только с mcp.vkusvill.ru", "auth");
+    return null;
+  }
+  try {
+    // A token without the tool's scope is not sent: personal tools say so, public ones go anonymous
+    if (TOOL_SCOPE[tool] && !auth.allows(TOOL_SCOPE[tool])) {
+      if (PERSONAL.has(tool)) throw scopeError(tool);
+      return null;
+    }
+    const token = await auth.accessToken();
+    if (!token && PERSONAL.has(tool)) throw new VVError("Нужен вход: vv login или Профиль → войти", "auth");
+    return token;
+  } catch (e) {
+    if (PERSONAL.has(tool)) throw e instanceof VVError ? e : new VVError(signInHint(e), "auth");
+    return null;
+  }
+}
+
 async function rawCall(tool, args) {
   const body = JSON.stringify({ jsonrpc: "2.0", id: Date.now(), method: "tools/call", params: { name: tool, arguments: args } });
+  let token = await tokenFor(tool);
+  let renewed = false;
   for (let attempt = 0; ; attempt++) {
     stats.requests++;
-    const res = await post(body);
+    const res = await post(body, token);
     if (res.status === 429 && attempt < 3) { await new Promise((r) => setTimeout(r, 2000 * (attempt + 1))); continue; }
-    if (res.status === 401) throw new VVError(TOKEN && !OFFICIAL ? "Токен отправляется только на mcp.vkusvill.ru" : "Нужен вход во ВкусВилл (VV_TOKEN)", "auth");
+    // Missing rights are not an expired token: no refresh, and public tools simply retry anonymously
+    const insufficient = res.status === 403 || /insufficient_scope/i.test(res.headers.get("www-authenticate") ?? "");
+    if (insufficient && token) {
+      if (PERSONAL.has(tool)) throw scopeError(tool);
+      token = null;
+      continue;
+    }
+    if (res.status === 401) {
+      // The token was refused: renew it once (another process may already have), then give up
+      if (token && !renewed && !process.env.VV_TOKEN) {
+        renewed = true;
+        try { token = await auth.refresh({ rejected: token }); continue; } catch (e) {
+          if (PERSONAL.has(tool)) throw new VVError(signInHint(e), "auth");
+          token = null;
+          continue;
+        }
+      }
+      throw new VVError(token ? "ВкусВилл не принял вход — vv login" : "Нужен вход: vv login или Профиль → войти", "auth");
+    }
     if (!res.ok) throw new VVError(`ВкусВилл ответил ${res.status}`, "http");
     if (+(res.headers.get("content-length") ?? 0) > MAX_RESPONSE) throw new VVError("Слишком большой ответ", "http");
     let text = await res.text();
@@ -166,7 +222,13 @@ async function rawCall(tool, args) {
     const payload = parseJSON(content, "ответ инструмента");
     if (env.result?.isError || payload.ok === false) {
       const msg = clean(payload.error?.message ?? content).slice(0, 200);
-      throw new VVError(msg, /auth|token|jwt|unauthor/i.test(msg) ? "auth" : payload.error?.code ?? "rpc");
+      const code = String(payload.error?.code ?? "");
+      if (token && /scope|forbidden|permission/i.test(`${code} ${msg}`)) {
+        if (PERSONAL.has(tool)) throw scopeError(tool);
+        token = null;
+        continue;
+      }
+      throw new VVError(msg, /auth|token|jwt|unauthor/i.test(msg) ? "auth" : code || "rpc");
     }
     // Everything downstream — the UI, command output, the cache — gets strings with control characters removed
     return cleanDeep(payload.data ?? payload);
@@ -180,22 +242,36 @@ function remember(key, value) {
   while (mem.size > MEM_LIMIT) mem.delete(mem.keys().next().value);
 }
 
+// Whether this call will carry the user's token: then the answer is personal (stock at the user's
+// address, recommendations) and must not be mixed with anonymous answers in the cache
+function personal(tool) {
+  if (!OFFICIAL || PERSONAL.has(tool)) return OFFICIAL;
+  const st = auth.cachedStatus();
+  return st.signedIn && (!TOOL_SCOPE[tool] || auth.allows(TOOL_SCOPE[tool]));
+}
+
+const PERSONAL_TTL = 10 * 60e3; // stock changes quickly
+
 export async function call(tool, args = {}, { prio = "hi", fresh = false } = {}) {
-  const key = JSON.stringify([tool, args]);
+  const own = personal(tool);
+  const key = JSON.stringify([tool, args, own ? "user" : "anon"]);
   const cacheable = !NO_CACHE.has(tool);
-  if (cacheable && !fresh && mem.has(key)) { stats.cacheHits++; const v = mem.get(key); remember(key, v); return v; }
+  if (cacheable && !fresh && mem.has(key)) {
+    const v = mem.get(key);
+    if (!own || Date.now() - v.at < PERSONAL_TTL) { stats.cacheHits++; remember(key, v); return v.data; }
+  }
   if (inflight.has(key)) return inflight.get(key);
   const p = (async () => {
     const ttl = TTL[tool] ?? TTL.default;
-    if (cacheable && !fresh) {
+    // Personal answers live in memory only; the disk holds anonymous ones
+    if (cacheable && !fresh && !own) {
       const hit = await diskGet("api", key, ttl);
-      if (hit !== undefined) { stats.cacheHits++; remember(key, hit); return hit; }
+      if (hit !== undefined) { stats.cacheHits++; remember(key, { data: hit, at: Date.now() }); return hit; }
     }
     const data = await enqueue(() => rawCall(tool, args), prio);
     if (cacheable) {
-      remember(key, data);
-      // Results personalised for a signed-in user stay in memory only
-      if (!data?.meta?.personalized) diskPut("api", key, data);
+      remember(key, { data, at: Date.now() });
+      if (!own && !data?.meta?.personalized) diskPut("api", key, data);
     }
     return data;
   })();

package/src/app.js

@@ -11,6 +11,7 @@ import { stats, onActivity, pruneCache, CACHE_DIR } from "./api.js";
 import { onImageLoad } from "./image.js";
 import { onUrlBlocked } from "./sys.js";
 import { store } from "./store.js";
+import * as auth from "./auth.js";
 import { rub } from "./product.js";
 
 export const TABS = [
@@ -46,6 +47,9 @@ export class App {
     this.toastMsg = null;
     this.lastClick = { t: 0, x: -1, y: -1 };
     this.compare = new Map();
+    // Keyboard focus on the header: ↑ from the top of any page lands here, ← → walk the tabs
+    this.headerFocus = false;
+    this.headerSel = 0;
     for (const t of TABS) this.stacks[t.id] = [views[t.id](this)];
     const saved = store.pref("tab");
     this.tab = TABS.some((t) => t.id === saved) ? saved : "catalog";
@@ -75,7 +79,7 @@ export class App {
       log(e);
       store.saveNow();
       restore();
-      console.error(`vkusvill-cli упал: ${e?.message ?? e}\nподробности: ${LOG_FILE}`);
+      console.error(`vkusvill упал: ${e?.message ?? e}\nподробности: ${LOG_FILE}`);
       process.exit(1);
     });
     process.stdout.on("resize", () => { s.resize(process.stdout.columns, process.stdout.rows); this.render(); });
@@ -181,17 +185,69 @@ export class App {
     this.invalidate();
   }
 
+  // ——— Header focus ———
+
+  // Header items: the tabs, then the sign-in/sign-out button when there is one
+  headerItems() {
+    const st = auth.cachedStatus();
+    return [...TABS.map((t) => t.id), ...(st.viaEnv ? [] : ["auth"])];
+  }
+
+  focusHeader() {
+    this.headerFocus = true;
+    this.headerSel = TABS.findIndex((t) => t.id === this.tab);
+    this.invalidate();
+  }
+
+  leaveHeader() {
+    this.headerFocus = false;
+    this.page.focusTop?.();
+    this.invalidate();
+  }
+
+  headerKey(ev) {
+    const items = this.headerItems();
+    const k = ev.hot ?? ev.name;
+    const move = (d) => {
+      this.headerSel = (this.headerSel + d + items.length) % items.length;
+      const id = items[this.headerSel];
+      if (id !== "auth") this.switchTab(id);
+      this.invalidate();
+    };
+    if (ev.name === "left" || (k === "h" && !ev.ctrl)) return move(-1), true;
+    if (ev.name === "right" || (k === "l" && !ev.ctrl)) return move(1), true;
+    if (ev.name === "up") return true;
+    // Digits and Tab switch tabs as everywhere, staying in the header
+    const n = Number(ev.ch);
+    if (ev.ch && n >= 1 && n <= TABS.length) return move(n - 1 - this.headerSel), true;
+    if (ev.name === "tab" || ev.name === "backtab") return move(ev.name === "tab" ? 1 : -1), true;
+    if (ev.name === "enter" && items[this.headerSel] === "auth") {
+      this.headerFocus = false;
+      auth.cachedStatus().signedIn ? this.views.signOut(this) : this.views.signIn(this);
+      return true;
+    }
+    if (ev.name === "down" || ev.name === "enter" || ev.name === "escape") return this.leaveHeader(), true;
+    // Anything else leaves the header and goes to the page as usual (typing straight into a search)
+    this.headerFocus = false;
+    return false;
+  }
+
   // ——— Events ———
 
   onEvent(ev) {
     if (ev.type === "key" && ev.ctrl && ev.name === "c") return this.quit();
     if (ev.type === "key" && ev.ctrl && ev.name === "l") { this.screen.invalidateAll(); return this.render(); }
-    if (ev.type === "mouse") return this.onMouse(ev);
+    if (ev.type === "mouse") { if (ev.action === "down") this.headerFocus = false; return this.onMouse(ev); }
     const top = this.overlays.at(-1);
     if (top) { top.key(ev, this); return this.invalidate(); }
     if (ev.type === "key" && ev.ctrl && ev.name === "k") return this.views.palette(this);
+    if (this.headerFocus && ev.type === "key" && this.headerKey(ev)) return this.invalidate();
     if (this.page.key?.(ev)) return this.invalidate();
     if (ev.type !== "key") return;
+    // ↑ that the page did not use means it is at its top edge: go up to the header
+    if (ev.name === "up") return this.focusHeader();
+    // → opens things, so ← that the page did not use goes back out, like esc
+    if (ev.name === "left" && this.stacks[this.tab].length > 1) return this.pop();
     if (ev.name === "escape") return this.pop();
     const k = ev.hot ?? ev.name;
     const n = Number(ev.ch);
@@ -267,7 +323,10 @@ export class App {
     const w = g.w;
     g.fill(0, 0, w, 1, T.header);
     let labels = TABS.map((t, i) => ` ${i + 1} ${t.label}${t.id === "cart" && store.count ? ` ${store.count}` : ""} `);
-    const cartW = store.count ? strWidth(` ▣ ${rub(store.total)} `) + 1 : 0;
+    // Signing in and out is one click away from anywhere (a ready-made VV_TOKEN is not ours to drop)
+    const st = auth.cachedStatus();
+    const signInLabel = st.viaEnv ? null : st.signedIn ? " выйти " : " войти ";
+    const cartW = (store.count ? strWidth(` ▣ ${rub(store.total)} `) + 1 : 0) + (signInLabel ? strWidth(signInLabel) + 1 : 0);
     let tabsW = labels.reduce((sum, l) => sum + strWidth(l), 0);
     // Too narrow: drop the leading space of every tab, then the wordmark
     if (4 + tabsW + cartW > w) { labels = labels.map((l) => l.slice(1)); tabsW -= labels.length; }
@@ -279,24 +338,32 @@ export class App {
     }
     x = g.text(x, 0, "▶", { fg: T.greenD, bg: T.header });
     if (full) x += 1;
+    const focusId = this.headerFocus ? this.headerItems()[this.headerSel] : null;
     TABS.forEach((t, i) => {
       const active = t.id === this.tab;
       const label = labels[i];
       if (x + strWidth(label) > w - cartW) return;
       const x0 = x;
-      x = g.text(x, 0, label, { fg: active ? T.bg : T.sub, bg: active ? T.green : T.header, bold: active });
+      // A focused tab is brighter and underlined, so keyboard focus is visible at a glance
+      const focused = focusId === t.id;
+      x = g.text(x, 0, label, { fg: active ? T.bg : T.sub, bg: focused ? T.lime : active ? T.green : T.header, bold: active, underline: focused });
       this.hit(x0, 0, x - x0, 1, { click: () => this.switchTab(t.id) });
     });
-    // Right side: network activity and the cart total
+    // Right side: network activity, sign-in and the cart total
     let rx = w - 1;
     if (store.count) {
       const t = ` ▣ ${rub(store.total)} `;
       rx = g.textR(rx + 1, 0, t, { fg: T.bg, bg: T.lime, bold: true }) - 1;
       this.hit(rx + 1, 0, strWidth(t), 1, { click: () => this.switchTab("cart") });
     }
+    if (signInLabel) {
+      const focused = focusId === "auth";
+      rx = g.textR(rx + 1, 0, signInLabel, { fg: focused ? T.bg : st.signedIn ? T.sub : T.lime, bg: focused ? T.lime : T.raise, bold: !st.signedIn || focused, underline: focused }) - 2;
+      this.hit(rx + 2, 0, strWidth(signInLabel), 1, { click: () => (st.signedIn ? this.views.signOut(this) : this.views.signIn(this)) });
+    }
     const room = Math.max(0, rx - x - 1);
     if (stats.active || stats.queued || this.page.busy?.()) {
-      g.textR(rx, 0, truncate(`${SPIN[this.frame % SPIN.length]} ${stats.queued ? `очередь ${stats.queued}` : "ВкусВилл"}`, room), { fg: T.lime, bg: T.header });
+      g.textR(rx, 0, truncate(`${SPIN[this.frame % SPIN.length]} ${stats.queued ? `очередь ${stats.queued}` : "загрузка"}`, room), { fg: T.lime, bg: T.header });
     } else if (store.saveError) {
       g.textR(rx, 0, truncate(`⚠ не сохранилось: ${store.saveError}`, Math.min(room, 50)), { fg: T.red, bg: T.header });
     } else if (stats.lastError) {
@@ -308,7 +375,8 @@ export class App {
     const y = g.h - 1;
     g.fill(0, y, g.w, 1, T.header);
     const top = this.overlays.at(-1);
-    const hints = top?.hints?.() ?? this.page.hints?.() ?? [];
+    const headerHints = [["← →", "вкладки"], ["↓ ⏎", "в раздел"]];
+    const hints = top?.hints?.() ?? (this.headerFocus ? headerHints : this.page.hints?.() ?? []);
     const all = [...hints, ...(top ? [] : [["?", "помощь"], ["^K", "команды"]])];
     // A toast takes the right end of the line; hints never run under it
     let toastW = 0;