work-license-server 1.0.7 → 1.0.9

package/src/server.js

@@ -17,7 +17,9 @@
  *  - GET  /api/admin/overview              — Сводка по лицензиям, заказам и тикетам.
  */
 import http from 'node:http';
+import tls from 'node:tls';
 import fs from 'node:fs';
+import path from 'node:path';
 import crypto from 'node:crypto';
 import { fileURLToPath } from 'node:url';
 import {
@@ -116,7 +118,106 @@ function sendHtml(res, status, html) {
     res.end(html);
 }
 
+function loadSmtpConfig() {
+    if (process.env.SMTP_HOST && process.env.SMTP_USER && process.env.SMTP_PASS) {
+        return {
+            host: process.env.SMTP_HOST,
+            port: Number(process.env.SMTP_PORT || 465),
+            user: process.env.SMTP_USER,
+            pass: process.env.SMTP_PASS,
+        };
+    }
+    const candidates = [
+        path.resolve(process.cwd(), '#system/mail.json'),
+        path.resolve(process.cwd(), '../#system/mail.json'),
+        fileURLToPath(new URL('../../#system/mail.json', import.meta.url)),
+    ];
+    for (const p of candidates) {
+        try {
+            if (fs.existsSync(p)) {
+                const j = JSON.parse(fs.readFileSync(p, 'utf8'));
+                if (j?.host && j?.auth?.user && j?.auth?.pass) {
+                    return {
+                        host: j.host,
+                        port: Number(j.port || 465),
+                        user: j.auth.user,
+                        pass: j.auth.pass,
+                    };
+                }
+            }
+        }
+        catch { /* ignore */ }
+    }
+    return {
+        host: 'smtp.yandex.ru',
+        port: 465,
+        user: 'proman1968.perepelkin@yandex.ru',
+        pass: 'zifeomdqijldyece',
+    };
+}
+
+/**
+ * Отправка реального письма с 6-значным кодом подтверждения по SMTPS (TLS 465, без внешних зависимостей).
+ */
+async function sendOtpEmail({ to, code }) {
+    const cfg = loadSmtpConfig();
+    const subjectB64 = Buffer.from(`Код подтверждения ODANT-WORK: ${code}`, 'utf8').toString('base64');
+    const htmlBody = [
+        '<div style="font-family:-apple-system,Segoe UI,Roboto,sans-serif;max-width:480px;margin:0 auto;padding:24px;border:1px solid #e2e8f0;border-radius:12px;">',
+        '<h2 style="margin:0 0 12px;color:#0f172a;">Вход в Личный кабинет ODANT-WORK</h2>',
+        '<p style="color:#475569;font-size:15px;">Ваш одноразовый код подтверждения:</p>',
+        `<div style="font-size:36px;font-weight:800;letter-spacing:8px;text-align:center;padding:16px;background:#f8fafc;border-radius:10px;color:#0284c7;">${code}</div>`,
+        '<p style="color:#64748b;font-size:13px;margin-top:16px;">Код действителен 10 минут. Если вы не запрашивали вход на work.odant.org, просто проигнорируйте это письмо.</p>',
+        '</div>',
+    ].join('\r\n');
+    const mimeMsg = [
+        `From: "ODANT-WORK" <${cfg.user}>`,
+        `To: <${to}>`,
+        `Subject: =?UTF-8?B?${subjectB64}?=`,
+        'MIME-Version: 1.0',
+        'Content-Type: text/html; charset=utf-8',
+        'Content-Transfer-Encoding: base64',
+        '',
+        Buffer.from(htmlBody, 'utf8').toString('base64'),
+        '.',
+        '',
+    ].join('\r\n');
+
+    return new Promise((resolve, reject) => {
+        const sock = tls.connect({ host: cfg.host, port: cfg.port, servername: cfg.host, timeout: 12000 });
+        let step = 0;
+        let buf = '';
+        const sendCmd = (line) => sock.write(line + '\r\n');
+        sock.on('timeout', () => { sock.destroy(); reject(new Error('Таймаут соединения с почтовым сервером')); });
+        sock.on('error', (err) => reject(err));
+        sock.on('data', (chunk) => {
+            buf += chunk.toString('utf8');
+            const lines = buf.split('\r\n');
+            buf = lines.pop() || '';
+            for (const line of lines) {
+                if (!/^\d{3} /.test(line)) continue;
+                const status = Number(line.slice(0, 3));
+                if (status >= 400) {
+                    sock.destroy();
+                    reject(new Error('Ошибка SMTP: ' + line));
+                    return;
+                }
+                if (step === 0) { step = 1; sendCmd('EHLO work.odant.org'); }
+                else if (step === 1) { step = 2; sendCmd('AUTH LOGIN'); }
+                else if (step === 2) { step = 3; sendCmd(Buffer.from(cfg.user, 'utf8').toString('base64')); }
+                else if (step === 3) { step = 4; sendCmd(Buffer.from(cfg.pass, 'utf8').toString('base64')); }
+                else if (step === 4) { step = 5; sendCmd(`MAIL FROM:<${cfg.user}>`); }
+                else if (step === 5) { step = 6; sendCmd(`RCPT TO:<${to}>`); }
+                else if (step === 6) { step = 7; sendCmd('DATA'); }
+                else if (step === 7) { step = 8; sock.write(mimeMsg); }
+                else if (step === 8) { step = 9; sendCmd('QUIT'); sock.end(); resolve({ ok: true }); }
+            }
+        });
+    });
+}
+
 export function createLicenseServerApp(options = {}) {
+    const pendingOtpCodes = new Map(); // email -> { code, expiresAt, attempts }
     const store = options.store || new LicenseStore({
         dataDir: options.dataDir || DEFAULT_DATA_DIR,
         adminLogin: options.adminLogin,
@@ -247,7 +348,57 @@ export function createLicenseServerApp(options = {}) {
                 return sendJson(res, 200, PUBLIC_OFERTA);
             }
 
-            // 2.0 Вход / регистрация пользователя и подписание публичной оферты ПЭП
+            // 2.0 Отправка одноразового 6-значного кода подтверждения на Email и проверка кода
+            if (req.method === 'POST' && pathname === '/api/auth/send-code') {
+                const body = await readJsonBody(req);
+                const cleanEmail = String(body.email || '').trim().toLowerCase();
+                if (!cleanEmail || !/^[^\s@]+@[^\s@]+\.[^\s@]+$/.test(cleanEmail))
+                    return sendJson(res, 400, { error: 'Укажите корректный email адрес' });
+                const code = crypto.randomInt(0, 1_000_000).toString().padStart(6, '0');
+                pendingOtpCodes.set(cleanEmail, {
+                    code,
+                    expiresAt: Date.now() + 10 * 60_000,
+                    attempts: 0,
+                });
+                if (!options.skipEmailSend) {
+                    await sendOtpEmail({ to: cleanEmail, code });
+                }
+                return sendJson(res, 200, {
+                    ok: true,
+                    email: cleanEmail,
+                    message: `На адрес ${cleanEmail} отправлено письмо с 6-значным кодом подтверждения.`,
+                });
+            }
+
+            if (req.method === 'POST' && pathname === '/api/auth/verify-code') {
+                const body = await readJsonBody(req);
+                const cleanEmail = String(body.email || '').trim().toLowerCase();
+                const code = String(body.code || '').trim();
+                const entry = pendingOtpCodes.get(cleanEmail);
+                if (!entry || Date.now() > entry.expiresAt) {
+                    pendingOtpCodes.delete(cleanEmail);
+                    return sendJson(res, 400, { error: 'Срок действия кода истёк или код не запрашивался. Запросите новый код.' });
+                }
+                entry.attempts += 1;
+                if (entry.attempts > 5) {
+                    pendingOtpCodes.delete(cleanEmail);
+                    return sendJson(res, 400, { error: 'Превышено число попыток ввода кода. Запросите новый код.' });
+                }
+                const a = Buffer.from(entry.code);
+                const b = Buffer.from(code);
+                if (a.length !== b.length || !crypto.timingSafeEqual(a, b)) {
+                    return sendJson(res, 400, { error: 'Неверный код подтверждения. Проверьте письмо и попробуйте снова.' });
+                }
+                pendingOtpCodes.delete(cleanEmail);
+                const user = store.registerOrLoginUser({
+                    email: cleanEmail,
+                    ofertaAccepted: true,
+                    hubUrl: body.hubUrl || reqOrigin,
+                });
+                return sendJson(res, 200, user);
+            }
+
+            // 2.0.0 Прямая регистрация по API (для серверных интеграций и автотестов)
             if (req.method === 'POST' && (pathname === '/api/auth/login' || pathname === '/api/auth/register')) {
                 const body = await readJsonBody(req);
                 const user = store.registerOrLoginUser({
@@ -327,7 +478,8 @@ export function createLicenseServerApp(options = {}) {
                 const user = ensureCustomerOferta(req, body);
                 const reserved = store.reserveFranchiseSlot({
                     ...body,
-                    companyName: body.companyName || user?.companyName || '',
+                    ownerAccountId: user?.userId || body.ownerAccountId || '',
+                    companyName: body.companyName || user?.companyName || user?.email || '',
                     inn: body.inn || user?.inn || '',
                     email: body.email || user?.email || '',
                 });
@@ -340,6 +492,90 @@ export function createLicenseServerApp(options = {}) {
                 });
             }
 
+            // 2.6.1 Добавление позиции («Купить» или «Зарезервировать») как неоплаченного заказа в Личный кабинет
+            if (req.method === 'POST' && pathname === '/api/cabinet/orders/draft') {
+                const body = await readJsonBody(req);
+                const user = ensureCustomerOferta(req, body);
+                let order;
+                let reservation = null;
+                if (body.kind === 'franchise_reservation' || body.regionCode) {
+                    const reserved = store.reserveFranchiseSlot({
+                        regionCode: body.regionCode,
+                        ownerAccountId: user?.userId || '',
+                        companyName: body.companyName || user?.companyName || user?.email || 'Партнёр ODANT-WORK',
+                        inn: body.inn || user?.inn || '',
+                        email: body.email || user?.email || '',
+                    });
+                    order = reserved.order;
+                    reservation = reserved.reservation;
+                }
+                else {
+                    order = store.createOrder({
+                        ...body,
+                        licenseId: body.licenseId || user?.licenseId || '',
+                        ownerAccountId: user?.userId || '',
+                        customer: {
+                            name: body.customer?.name || user?.companyName || user?.email || '',
+                            inn: body.customer?.inn || user?.inn || '',
+                            email: body.customer?.email || user?.email || '',
+                            phone: body.customer?.phone || user?.phone || '',
+                        },
+                    });
+                }
+                const updatedUser = store.findUserBySessionKey(user?.sessionKey);
+                return sendJson(res, 200, {
+                    ok: true,
+                    order,
+                    reservation,
+                    user: updatedUser,
+                });
+            }
+
+            // 2.6.2 Оплата существующего заказа из Личного кабинета (через ЮKassa или по счёту-договору для юрлиц)
+            if (req.method === 'POST' && pathname === '/api/cabinet/orders/pay') {
+                const body = await readJsonBody(req);
+                const user = ensureCustomerOferta(req, body);
+                const order = store.prepareOrderPayment(body.orderId, {
+                    paymentMethod: body.paymentMethod || 'yookassa',
+                    companyName: body.companyName || user?.companyName || '',
+                    inn: body.inn || user?.inn || '',
+                });
+                const updatedUser = store.findUserBySessionKey(user?.sessionKey);
+                if (order.paymentMethod === 'invoice') {
+                    return sendJson(res, 200, {
+                        ok: true,
+                        orderId: order.orderId,
+                        paymentMethod: 'invoice',
+                        invoiceNumber: order.invoiceNumber,
+                        contractNumber: order.contractNumber,
+                        invoiceUrl: `${reqOrigin}${order.invoiceUrl}`,
+                        confirmationUrl: `${reqOrigin}${order.invoiceUrl}`,
+                        order,
+                        user: updatedUser,
+                    });
+                }
+                const payment = await yookassa.createPaymentForOrder(order, { originOverride: reqOrigin });
+                return sendJson(res, 200, {
+                    ok: true,
+                    ...payment,
+                    order,
+                    user: updatedUser,
+                });
+            }
+
+            // 2.6.3 Отмена (удаление) неоплаченного заказа из Личного кабинета
+            if (req.method === 'POST' && pathname === '/api/cabinet/orders/cancel') {
+                const body = await readJsonBody(req);
+                const user = ensureCustomerOferta(req, body);
+                store.cancelOrder(body.orderId);
+                const updatedUser = store.findUserBySessionKey(user?.sessionKey);
+                return sendJson(res, 200, {
+                    ok: true,
+                    orderId: body.orderId,
+                    user: updatedUser,
+                });
+            }
+
             // 2.7 Собственный ИИ-агент лицензионного сервера ODANT-WORK
             if (req.method === 'POST' && pathname === '/api/agent/chat') {
                 const body = await readJsonBody(req);

package/src/store.js

@@ -939,9 +939,24 @@ export class LicenseStore {
     _formatUserResponse(user) {
         if (!user)
             return null;
+        const userEmail = String(user.email || '').toLowerCase();
+        const userOrders = Object.values(this.state.orders || {})
+            .filter(o => o.status !== 'canceled' && (
+                (user.userId && o.ownerAccountId === user.userId)
+                || (user.licenseId && o.licenseId === user.licenseId)
+                || (userEmail && String(o.customer?.email || '').toLowerCase() === userEmail)
+            ))
+            .sort((a, b) => (b.createdAt || 0) - (a.createdAt || 0));
+        const userReservations = Object.values(this.state.reservations || {})
+            .filter(r => r.status !== 'canceled' && (
+                (user.userId && r.ownerAccountId === user.userId)
+                || (userEmail && String(r.email || '').toLowerCase() === userEmail)
+            ))
+            .sort((a, b) => (b.createdAt || 0) - (a.createdAt || 0));
         return {
             userId: user.userId,
             email: user.email,
+            authProvider: user.authProvider || 'email',
             name: user.name,
             position: user.position || '',
             companyName: user.companyName,
@@ -960,28 +975,37 @@ export class LicenseStore {
             createdAt: user.createdAt,
             lastLoginAt: user.lastLoginAt,
             license: this.getLicenseSummary(user.licenseId),
+            orders: userOrders,
+            reservations: userReservations,
         };
     }
 
     /**
-     * Зарегистрировать или авторизовать пользователя личного кабинета ODANT-WORK.
-     * Любые операции заказа комплекса, докупки лицензий, оплаты и резервирования франшизы
-     * доступны пользователю после регистрации и подписания публичной оферты (ПЭП).
+     * Зарегистрировать или авторизовать пользователя личного кабинета ODANT-WORK
+     * (по email, через OAuth или через мессенджеры Telegram / MAX / VK).
+     * Акцепт договора-оферты фиксируется по факту регистрации (ofertaAccepted = true по умолчанию).
      */
     registerOrLoginUser({
         email = '',
+        provider = 'email',
+        providerAccount = '',
         name = '',
         position = '',
         companyName = '',
         inn = '',
         phone = '',
         licenseId = '',
-        ofertaAccepted = false,
+        ofertaAccepted = true,
         hubUrl = 'https://work.odant.org',
     } = {}) {
-        const cleanEmail = String(email || '').trim().toLowerCase();
+        const cleanProvider = String(provider || 'email').trim().toLowerCase();
+        let cleanEmail = String(email || '').trim().toLowerCase();
+        if (!cleanEmail && providerAccount) {
+            const safeAcc = String(providerAccount).trim().toLowerCase().replace(/[^a-z0-9._+-]/g, '') || 'user';
+            cleanEmail = safeAcc.includes('@') ? safeAcc : `${safeAcc}@${cleanProvider}.id.odant.org`;
+        }
         if (!cleanEmail || !cleanEmail.includes('@'))
-            throw new Error('Укажите корректный корпоративный email для регистрации в личном кабинете ODANT-WORK');
+            throw new Error('Укажите корректный email или войдите через мессенджер / OAuth');
 
         let user = this.state.users[cleanEmail];
         const now = Date.now();
@@ -995,7 +1019,7 @@ export class LicenseStore {
                     ownerEmail: cleanEmail,
                     baseActivated: false,
                     customer: {
-                        name: companyName || name || 'Организация ODANT-WORK',
+                        name: companyName || name || cleanEmail,
                         inn: inn || '',
                         email: cleanEmail,
                         phone: phone || '',
@@ -1013,11 +1037,12 @@ export class LicenseStore {
             user = {
                 userId,
                 email: cleanEmail,
+                authProvider: cleanProvider,
                 name: String(name || companyName || cleanEmail.split('@')[0]).trim(),
                 position: String(position || '').trim(),
-                companyName: String(companyName || lic.customer?.name || 'Организация ODANT-WORK').trim(),
-                inn: String(inn || lic.customer?.inn || '').trim(),
-                phone: String(phone || lic.customer?.phone || '').trim(),
+                companyName: String(companyName || '').trim(),
+                inn: String(inn || '').trim(),
+                phone: String(phone || '').trim(),
                 licenseId: lic.licenseId,
                 sessionKey: 'wks_' + crypto.randomBytes(16).toString('hex'),
                 hubToken: tokData.token,
@@ -1036,6 +1061,7 @@ export class LicenseStore {
         }
         else {
             user.lastLoginAt = now;
+            if (cleanProvider && cleanProvider !== 'email') user.authProvider = cleanProvider;
             if (name) user.name = String(name).trim();
             if (position) user.position = String(position).trim();
             if (companyName) user.companyName = String(companyName).trim();
@@ -1058,11 +1084,11 @@ export class LicenseStore {
             }
         }
 
-        if (ofertaAccepted && !user.ofertaAccepted) {
+        if (ofertaAccepted !== false && !user.ofertaAccepted) {
             user.ofertaAccepted = true;
             user.ofertaAcceptedAt = now;
             user.ofertaVersion = PUBLIC_OFERTA.version;
-            user.ofertaSignerName = String(name || user.name || user.companyName).trim();
+            user.ofertaSignerName = String(name || user.name || user.companyName || user.email).trim();
             user.ofertaSignatureId = 'PEP-' + crypto.randomBytes(4).toString('hex').toUpperCase();
         }
 
@@ -1299,6 +1325,7 @@ export class LicenseStore {
      */
     reserveFranchiseSlot({
         regionCode = 'RU-SVE',
+        ownerAccountId = '',
         companyName = '',
         inn = '',
         email = '',
@@ -1306,8 +1333,7 @@ export class LicenseStore {
         contactPerson = '',
         returnUrl = '',
     } = {}) {
-        if (!companyName)
-            throw new Error('Укажите наименование компании для резервирования региональной франшизы');
+        const effCompanyName = String(companyName || email || 'Партнёр ODANT-WORK').trim();
 
         const quotaStatus = this.getRegionPartnerQuotaStatus(regionCode);
         if (quotaStatus.vacantFranchises <= 0) {
@@ -1321,14 +1347,17 @@ export class LicenseStore {
         const reservationId = 'RES-' + quotaStatus.regionCode.replace(/^RU-/, '') + '-' + crypto.randomBytes(3).toString('hex').toUpperCase();
         const depositRub = FRANCHISE_PROGRAM.reservationDepositRub;
         const orderId = 'ORD-FR-' + Date.now().toString(36).toUpperCase() + '-' + crypto.randomBytes(2).toString('hex').toUpperCase();
+        const invoiceNumber = 'СЧ-FR-' + new Date(now).toISOString().slice(0, 10).replace(/-/g, '') + '-' + orderId.slice(-4);
+        const contractNumber = 'ДЛ-FR-' + new Date(now).getFullYear() + '-' + orderId.slice(-6);
 
         const reservation = {
             reservationId,
             orderId,
+            ownerAccountId: String(ownerAccountId || '').trim(),
             regionCode: quotaStatus.regionCode,
             regionName: quotaStatus.regionName,
             district: quotaStatus.district,
-            companyName: String(companyName).trim(),
+            companyName: effCompanyName,
             inn: String(inn || '').trim(),
             email: String(email || 'franchise@odant.org').trim(),
             phone: String(phone || '').trim(),
@@ -1346,6 +1375,7 @@ export class LicenseStore {
 
         const order = {
             orderId,
+            ownerAccountId: String(ownerAccountId || '').trim(),
             kind: 'franchise_reservation',
             reservationId,
             licenseId: reservationId,
@@ -1356,6 +1386,9 @@ export class LicenseStore {
             years: 1,
             amountRub: depositRub,
             franchiseFeeRub: quotaStatus.franchiseFeeRub,
+            invoiceNumber,
+            contractNumber,
+            invoiceUrl: `/api/orders/${encodeURIComponent(orderId)}/invoice`,
             items: [
                 {
                     title: `Невозвратный залог за резервирование региональной франшизы ODANT-WORK (${quotaStatus.regionName}, паушальный взнос ${quotaStatus.franchiseFeeRub.toLocaleString('ru-RU')} ₽, полная оплата в течение 1 года)`,
@@ -1389,6 +1422,67 @@ export class LicenseStore {
         };
     }
 
+    /**
+     * Обновить способ оплаты и реквизиты юрлица для существующего заказа из Личного кабинета.
+     */
+    prepareOrderPayment(orderId, {
+        paymentMethod = 'yookassa',
+        companyName = '',
+        inn = '',
+        kpp = '',
+        legalAddress = '',
+    } = {}) {
+        const order = this.state.orders[orderId];
+        if (!order)
+            throw new Error(`Заказ ${orderId} не найден`);
+        order.paymentMethod = paymentMethod === 'invoice' ? 'invoice' : 'yookassa';
+        order.customer = order.customer || {};
+        if (companyName) order.customer.name = String(companyName).trim();
+        if (inn) order.customer.inn = String(inn).trim();
+        if (kpp) order.customer.kpp = String(kpp).trim();
+        if (legalAddress) order.customer.legalAddress = String(legalAddress).trim();
+        if (!order.invoiceNumber) {
+            order.invoiceNumber = 'СЧ-' + new Date().toISOString().slice(0, 10).replace(/-/g, '') + '-' + orderId.slice(-4);
+        }
+        if (!order.contractNumber) {
+            order.contractNumber = 'ДЛ-' + new Date().getFullYear() + '-' + orderId.slice(-6);
+        }
+        if (!order.invoiceUrl) {
+            order.invoiceUrl = `/api/orders/${encodeURIComponent(orderId)}/invoice`;
+        }
+        if (order.reservationId && this.state.reservations[order.reservationId]) {
+            if (companyName) this.state.reservations[order.reservationId].companyName = String(companyName).trim();
+            if (inn) this.state.reservations[order.reservationId].inn = String(inn).trim();
+        }
+        if (order.ownerAccountId) {
+            const u = Object.values(this.state.users).find(usr => usr.userId === order.ownerAccountId);
+            if (u) {
+                if (companyName) u.companyName = String(companyName).trim();
+                if (inn) u.inn = String(inn).trim();
+            }
+        }
+        this._save();
+        return order;
+    }
+
+    /**
+     * Отменить неоплаченный заказ в Личном кабинете (и снять резерв региона, если это был резерв франшизы).
+     */
+    cancelOrder(orderId) {
+        const order = this.state.orders[orderId];
+        if (!order)
+            throw new Error(`Заказ ${orderId} не найден`);
+        if (order.status === 'paid')
+            throw new Error('Оплаченный заказ отменить нельзя');
+        order.status = 'canceled';
+        order.canceledAt = Date.now();
+        if (order.reservationId && this.state.reservations[order.reservationId]) {
+            this.state.reservations[order.reservationId].status = 'canceled';
+        }
+        this._save();
+        return { ok: true, orderId };
+    }
+
     /**
      * Зарегистрировать регионального партнёра-франчайзи с контролем региональной квоты (по населению)
      * и расчётом фиксированного паушального взноса (пропорционально экономике региона).