standkit 0.5.2__tar.gz → 0.6.0__tar.gz

{standkit-0.5.2/standkit.egg-info → standkit-0.6.0}/PKG-INFO

@@ -1,11 +1,11 @@
 Metadata-Version: 2.4
 Name: standkit
-Version: 0.5.2
+Version: 0.6.0
 Summary: Свободное ядро (MIT) для управления жизненным циклом локальных и удалённых стендов BPMSoft: headless start/stop/restart, health-пробы, логи, реестр стендов. Часть экосистемы BPMkit.
 Author: standkit contributors
 License-Expression: MIT
 Project-URL: Homepage, https://github.com/thinkquattro/BPMkitStand
-Project-URL: Экосистема BPMkit, https://github.com/thinkquattro/BPMkit-dev
+Project-URL: Экосистема BPMkit, https://bpmkit.pro
 Classifier: Programming Language :: Python :: 3
 Classifier: Programming Language :: Python :: 3.10
 Classifier: Operating System :: OS Independent
@@ -140,6 +140,19 @@ BPMkitStand использует тот же реестр, что и MCP BPMkit
 в [SECURITY.md](SECURITY.md). Кратко: fail-closed bind на loopback, TLS 1.2+/mTLS для агента,
 скоупы токена, per-IP lockout, аудит без утечки секретов.
 
+## Документация проекта
+
+- [docs/ROADMAP.md](docs/ROADMAP.md) — дорожная карта приложения (что сделано / ближайшее / бэклог).
+- [docs/CHANGELOG.md](docs/CHANGELOG.md) — история изменений по версиям.
+- [docs/BACKLOG.md](docs/BACKLOG.md) — честный список «упомянуто в коде, но не реализовано» (заделы/заглушки) со ссылками на код.
+- [docs/ARCHITECTURE.md](docs/ARCHITECTURE.md) · [docs/HOSTING.md](docs/HOSTING.md) · [docs/REMOTE_STANDS.md](docs/REMOTE_STANDS.md) · [SECURITY.md](SECURITY.md)
+- Решения (ADR): [0001 — hosting backends](docs/adr/0001-hosting-backends.md) · [0002 — k8s backend](docs/adr/0002-k8s-backend.md) · [0003 — браузинг логов удалённых стендов (предложено)](docs/adr/0003-remote-log-browsing.md) · [0004 — IIS: жизненный цикл по Site](docs/adr/0004-iis-site-scoped-lifecycle.md)
+
+> Статус: `standkit` — молодой проект (0.5.x). Ядро/агент/хаб работоспособны, но
+> ряд возможностей — это **каркас/заделы** (например, глубокие пробы БД/Redis,
+> транспорты ssh/winrm, живая приёмка Docker/k8s/IIS). Что именно ещё не
+> дописано — прозрачно перечислено в [docs/BACKLOG.md](docs/BACKLOG.md).
+
 ## BPMkitStand и Companion
 
 Бесплатная версия — полноценный диспетчер стендов. **Companion-версия** дополнительно даёт

{standkit-0.5.2 → standkit-0.6.0}/README.md

@@ -116,6 +116,19 @@ BPMkitStand использует тот же реестр, что и MCP BPMkit
 в [SECURITY.md](SECURITY.md). Кратко: fail-closed bind на loopback, TLS 1.2+/mTLS для агента,
 скоупы токена, per-IP lockout, аудит без утечки секретов.
 
+## Документация проекта
+
+- [docs/ROADMAP.md](docs/ROADMAP.md) — дорожная карта приложения (что сделано / ближайшее / бэклог).
+- [docs/CHANGELOG.md](docs/CHANGELOG.md) — история изменений по версиям.
+- [docs/BACKLOG.md](docs/BACKLOG.md) — честный список «упомянуто в коде, но не реализовано» (заделы/заглушки) со ссылками на код.
+- [docs/ARCHITECTURE.md](docs/ARCHITECTURE.md) · [docs/HOSTING.md](docs/HOSTING.md) · [docs/REMOTE_STANDS.md](docs/REMOTE_STANDS.md) · [SECURITY.md](SECURITY.md)
+- Решения (ADR): [0001 — hosting backends](docs/adr/0001-hosting-backends.md) · [0002 — k8s backend](docs/adr/0002-k8s-backend.md) · [0003 — браузинг логов удалённых стендов (предложено)](docs/adr/0003-remote-log-browsing.md) · [0004 — IIS: жизненный цикл по Site](docs/adr/0004-iis-site-scoped-lifecycle.md)
+
+> Статус: `standkit` — молодой проект (0.5.x). Ядро/агент/хаб работоспособны, но
+> ряд возможностей — это **каркас/заделы** (например, глубокие пробы БД/Redis,
+> транспорты ssh/winrm, живая приёмка Docker/k8s/IIS). Что именно ещё не
+> дописано — прозрачно перечислено в [docs/BACKLOG.md](docs/BACKLOG.md).
+
 ## BPMkitStand и Companion
 
 Бесплатная версия — полноценный диспетчер стендов. **Companion-версия** дополнительно даёт

{standkit-0.5.2 → standkit-0.6.0}/SECURITY.md

@@ -75,6 +75,40 @@
   `LockPersonality`, `RestrictNamespaces`, `SystemCallFilter=@system-service`,
   выделенный не-root `User=`/`Group=`, урезанные `ReadWritePaths`.
 
+## 4.1. Усыновление стендов, поднятых вне диспетчера
+
+Диспетчер умеет брать под управление kestrel-стенд, запущенный мимо него
+(вручную из консоли, скриптом, чужой сессией): он находит владельца
+TCP-порта стенда и, после подтверждения, записывает pidfile, чтобы обычные
+Стоп/Рестарт заработали. Это **расширение RCE-поверхности**: появляется путь,
+в котором управляющий контур убивает процесс, найденный по номеру порта, а не
+запущенный им самим. Поэтому механизм ограничен так:
+
+- **Три обязательных условия валидации** (все сразу, а не любое из них, см.
+  `standkit.adopt.validate_candidate`): порт процесса совпадает со
+  `stand.stand_port`; имя образа входит в allowlist (`dotnet`,
+  `BPMSoft.WebHost`, `w3wp`); рабочий каталог, путь исполняемого файла или
+  командная строка указывают **внутрь** `stand.stand_dir`. Не выполнено хотя
+  бы одно — усыновления нет, пользователь получает отказ с указанием, какой
+  именно процесс занимает порт.
+- **Никакого тихого kill.** Без явного согласия `stop`/`restart` бросают
+  `AdoptionRequired` с описанием кандидата и не трогают процесс. Согласие
+  передаётся отдельным параметром (`?force=1` в хабе, `POST
+  /stand/<name>/adopt` у агента) — оно не выводится и не «запоминается».
+- **Скоуп и аудит.** У агента `adopt` отнесён к `CONTROL_ACTIONS`: readonly-
+  токен усыновлять не может, каждая попытка (ok/denied/error) пишется в
+  аудит-лог наравне с start/stop/restart.
+- **CSRF и токен хаба.** Эндпоинты усыновления — мутации, поэтому проходят ту
+  же проверку сессионного токена и заголовка `Origin`, что и остальные
+  мутирующие вызовы (см. `standkit_hub.security`).
+- **Протухший pidfile** (процесс из файла уже мёртв) удаляется до эскалации —
+  чтобы диспетчер не отправил сигнал по переиспользованному ОС pid.
+
+Остаётся осознанным допущением: процесс, полностью совпавший по всем трём
+уликам, считается стендом. Злоумышленник, уже способный запустить `dotnet` из
+каталога стенда на этом хосте, находится внутри границы доверия — против него
+защищает не эта проверка, а разграничение доступа к хосту.
+
 ## 5. Чек-лист развёртывания на прод
 
 - [ ] Агент слушает loopback ИЛИ настроен TLS (лучше mTLS). Порт не в интернет.

{standkit-0.5.2 → standkit-0.6.0}/docs/ARCHITECTURE.md

@@ -1,10 +1,10 @@
 # Архитектура standkit
 
 Этот документ — краткое зеркало архитектурных решений для контекста разработки
-в самом репозитории `standkit`. **Детальный дизайн, обоснования выбора модели
-и разбор альтернатив — в репозитории BPMkit: ADR-0019 и
-`docs/планы/companion_dispatcher_f_l2a_2026-07-23.md`.** Здесь — только то, что
-нужно держать перед глазами при правке кода этого репозитория.
+в самом репозитории `standkit`: только то, что нужно держать перед глазами при
+правке кода. Обоснования и разбор альтернатив по отдельным подсистемам —
+в [adr/](adr/); дорожная карта — в [ROADMAP.md](ROADMAP.md), незакрытые заделы —
+в [BACKLOG.md](BACKLOG.md).
 
 ## Модель: ядро + две оболочки
 
@@ -90,6 +90,10 @@ standkit_hub     — MIT, stdlib-only локальный веб-дашборд (
 
 ## Что уже реализовано в каркасе vs TODO
 
+> Полный, поддерживаемый список «упомянуто в коде, но не реализовано» со ссылками
+> на конкретные символы/файлы — [BACKLOG.md](BACKLOG.md). Дорожная карта —
+> [ROADMAP.md](ROADMAP.md).
+
 Рабочая минимальная логика, покрытая тестами: `standkit/models.py`,
 `standkit/registry.py`, `standkit/health.py` (быстрые пробы: `tcp_open`,
 `http_ok`, `process_alive`). Скелетные модули с явными `TODO` в докстрингах:

standkit-0.6.0/docs/BACKLOG.md

@@ -0,0 +1,86 @@
+# Бэклог standkit / BPMkitStand
+
+Честный список того, что **упомянуто в коде, но ещё не реализовано / не
+настроено** (каркас, заглушки, зарезервированные значения), с точной ссылкой на
+место в коде. Цель — чтобы пользователь пакета и разработчик не принимали
+«задел» за готовую фичу.
+
+Метка **[упомянут в коде]** = в коде есть символ/ветка/поле, но реального
+поведения за ним нет (или оно возвращает заглушку).
+
+Порядок дорожной карты — см. [ROADMAP.md](ROADMAP.md). Остаточная безопасность
+агента — `SECURITY.md` §6.
+
+## Транспорты подключения к стенду
+
+| Пункт | Статус | Упомянут в коде |
+|------|--------|-----------------|
+| Транспорт **`ssh`** | зарезервирован в enum, реализации нет → `NotImplementedError` | `standkit/models.py::Transport.SSH` («задел на будущее»); фолбэк-`raise` в `standkit_hub/client.py::FederatedClient.status/_dispatch_action/logs` |
+| Транспорт **`winrm`** | то же | `standkit/models.py::Transport.WINRM`; там же в `client.py` |
+
+Рабочие транспорты — только `local` и `agent` (оба реализованы; в UI регистрации
+предлагаются только они). `ssh`/`winrm` достижимы лишь ручной правкой
+`projects.json` и упадут с `NotImplementedError`.
+
+## Health-пробы
+
+| Пункт | Статус | Упомянут в коде |
+|------|--------|-----------------|
+| Глубокая проба БД (`SELECT 1` через psycopg2/pyodbc) | заглушка, всегда `SKIPPED`; флаг `deep_db` из хаба не передаётся | `standkit/health.py::db_deep_check`, параметр `check_stand(deep_db=…)` |
+| Глубокая проба Redis (`PING` через redis-py) | заглушка, всегда `SKIPPED` | `standkit/health.py::redis_deep_check`, `check_stand(deep_redis=…)` |
+| `last_deploy` (состояние последнего деплоя) | всегда `UNKNOWN`, источник данных не определён, в UI не выводится | `standkit/health.py::check_stand` (комментарий `last_deploy`), `standkit/models.py::StandStatus.last_deploy` |
+
+Рабочие пробы (без заглушек): процесс (pid/бэкенд), HTTP, БД/Redis по **открытому
+TCP-порту** — их достаточно для дашборда.
+
+## Жизненный цикл (kestrel)
+
+| Пункт | Статус | Упомянут в коде |
+|------|--------|-----------------|
+| Polling готовности веб-хоста после `start()` | не реализован (возвращается pid; готовность проверяется отдельно) | `standkit/lifecycle.py` (докстринг модуля) |
+| Блокировка pidfile от гонки двух `start()` | не реализована | там же |
+| Восстановление «потерянного» pidfile | **реализовано** — поиск владельца порта, валидация (порт + allowlist образа + рабочий каталог внутри `stand_dir`) и усыновление с подтверждением | `standkit/adopt.py`, `standkit/lifecycle.py::adopt` |
+| Доп. окружение процесса (`ASPNETCORE_ENVIRONMENT` и т.п.) | «зона расширения следующей итерации» | `standkit/lifecycle.py::_kestrel_start` |
+| Graceful stop (SIGTERM→таймаут→SIGKILL / CTRL_BREAK_EVENT) | **реализовано** — эскалация мягко → таймаут → жёстко | `standkit/platform.py::stop` |
+| Рабочий каталог процесса для WOW64 (32-битный стенд под 64-битным Python) | не реализовано — усыновление таких процессов даёт честный отказ | `standkit/adopt.py::_windows_process_cwd` |
+| Windows Job Object / Linux double-fork | упрощённо (CREATE_NO_WINDOW / setsid) | `standkit/platform.py` (докстринг модуля) |
+
+## Логи
+
+| Пункт | Статус | Упомянут в коде |
+|------|--------|-----------------|
+| Обработка ротации лог-файла в `follow()` | не реализована (при пересоздании файла позиция «уезжает») | `standkit/logs.py::follow` |
+| Постраничное чтение очень больших логов | частично: `tail(max_bytes=…)` читает хвост; полноценной постраничной навигации нет | `standkit/logs.py::tail` |
+
+## Хаб / клиент
+
+| Пункт | Статус | Упомянут в коде |
+|------|--------|-----------------|
+| Параллельный опрос агентов | **реализовано** — `ThreadPoolExecutor`, порядок результатов сохраняет порядок реестра | `standkit_hub/client.py::FederatedClient.status_all` |
+| Кэш/дебаунс частых опросов | **реализовано** — фоновый поллер держит снапшот состояния, конфиг и реестр кэшируются по отпечатку файла | `standkit_hub/poller.py`, `standkit_hub/server.py::build_snapshot` |
+| Ярлык на рабочем столе для **macOS** | осознанно не реализовано — возвращается понятный статус | `standkit_hub/shortcut.py` (докстринг) |
+| Нативный трей (иконка со сводным состоянием, баллоны при падении) | не реализовано — потребовало бы `pystray`/`Pillow` против инварианта stdlib-only. Вместо него PWA-установка и компактный режим `?view=compact` | `standkit_hub/web/manifest.webmanifest` |
+| Автозапуск хаба при входе в систему | не реализовано; механика ярлыка есть | `standkit_hub/shortcut.py` |
+
+## Секреты
+
+| Пункт | Статус | Упомянут в коде |
+|------|--------|-----------------|
+| CLI-обёртка `set/get/status/rotate/delete` | только программное API; CLI нет | `standkit/secrets.py` (комментарий «Бэклог следующих итераций») |
+| Файловый фолбэк `secrets.enc` (машины без keyring) | не реализован | там же |
+
+## Приёмка (тестировалось только на моках)
+
+| Пункт | Статус |
+|------|--------|
+| **Docker / k8s / IIS** бэкенды | юнит-тесты на моках зелёные, **живая приёмка на реальном контуре не проводилась** (см. [ADR-0001](adr/0001-hosting-backends.md) «🔴 крит до релиза»). Тесты: `tests/test_hosting.py` (везде `monkeypatch` `subprocess.run`) |
+| Усыновление стенда (kestrel) | **живая приёмка проведена** на реальном стенде, поднятом мимо диспетчера: поиск владельца порта, признание своего стенда и отказ для чужого, отсутствие действий без подтверждения, остановка по подтверждению, протухший pidfile. Именно она вскрыла, что на Windows рабочий каталог процесса приходится читать из PEB — путь к стенду не встречается ни в `ExecutablePath`, ни в командной строке |
+| Усыновление стенда (IIS) | не проверено на живом контуре: автоопределение сайта, снятие зависшего `w3wp`, различение «сайт остановлен / пул остановлен / порт держит http.sys» |
+
+## Крупные направления (отдельные ADR)
+
+| Пункт | Статус | ADR |
+|------|--------|-----|
+| Браузинг/скачивание логов удалённых стендов | предложено, не реализовано | [ADR-0003](adr/0003-remote-log-browsing.md) |
+| Остаточная безопасность агента (PKI, ротация токенов, per-stand ACL, CN→scope, ротация аудита, bounded thread pool, chunked) | не реализовано | `SECURITY.md` §6 |
+| Companion (платная редакция: автоапдейт/лицензия/подпись) | вне этого репозитория | экосистема BPMkit |

standkit-0.6.0/docs/CHANGELOG.md

@@ -0,0 +1,111 @@
+# Changelog — standkit / BPMkitStand
+
+Формат — [Keep a Changelog](https://keepachangelog.com/ru/1.1.0/); версии —
+[SemVer](https://semver.org/lang/ru/). Даты — 2026 год.
+
+## [0.6.0] — 2026-07-27
+
+### Добавлено
+- **Усыновление стендов, поднятых вне диспетчера.** Стенд, запущенный руками
+  (`dotnet BPMSoft.WebHost.dll` из консоли, скриптом, чужой сессией), теперь
+  можно остановить и перезапустить: диспетчер находит владельца порта,
+  проверяет, что это действительно процесс ЭТОГО стенда (порт + имя образа из
+  allowlist + рабочий каталог внутри `stand_dir`), и берёт его под управление —
+  **только с явного подтверждения**. Без подтверждения процесс не трогается.
+  В таблице стендов появился бейдж «вне диспетчера».
+- **IIS: автоопределение сайта** по physical path и биндингу для стенда,
+  развёрнутого мимо диспетчера; снятие зависшего `w3wp` по pid; различение
+  состояний «сайт остановлен» / «пул остановлен» / «порт держит http.sys».
+- **PWA.** `manifest.webmanifest` + иконки: Chrome и Edge предлагают
+  «Установить приложение» — дашборд получает отдельное окно без адресной
+  строки, свою иконку в панели задач и место в Alt+Tab. Зависимостей не
+  добавилось.
+- **Компактный режим** `?view=compact` — узкое окно-виджет: имена стендов,
+  состояния и старт/стоп. Доступен ярлыком из установленного PWA.
+- `GET /api/stands?probe=0` — слепок реестра без сетевых проб, и
+  `GET /api/events` — SSE-поток обновлений состояния.
+
+### Изменено
+- **Дашборд открывается мгновенно.** Раньше первый экран ждал полного обхода
+  всех стендов: пробы шли последовательно, до 9 секунд на стенд, а конфиг и
+  реестр перечитывались с диска на каждый запрос. Три недоступных стенда за
+  firewall давали около 27 секунд серого экрана. Теперь состояние собирает
+  фоновый поток, а страница рисуется сразу и обновляется по мере готовности.
+- **Фиксированный порт по умолчанию — 8770** (с откатом на свободный, если
+  занят). Побочный эффект прежнего эфемерного порта: браузер каждый запуск
+  считал дашборд новым сайтом, из-за чего сбрасывалась выбранная тема и
+  заново качалась статика.
+- Тема хранится в конфиге хаба и применяется до загрузки скриптов — тёмная
+  больше не мигает светлой при открытии.
+- Настройка «интервал автообновления» наконец работает: раньше значение из
+  формы ни на что не влияло, интервал был жёстко зашит.
+- **Форма настроек разгружена**: сразу видны четыре основных поля, параметры
+  федерации и демона-агента убраны под спойлеры, причём блок агента скрыт
+  целиком, пока в реестре нет удалённых стендов. У полей появились пояснения
+  и подсказки со значениями по умолчанию.
+- Остановка стенда стала мягкой: сначала штатное завершение с ожиданием и
+  только потом принудительное — стенд успевает закрыть соединения с БД и
+  Redis. Раньше на Windows сразу шёл `taskkill /T /F`.
+- Статика отдаётся с валидаторами кэша (`ETag`, `304`).
+
+## [0.5.2] — 2026-07-25
+
+### Изменено
+- **IIS: жизненный цикл по Site.** Стоп/рестарт/детект работают по **Site**
+  стенда; **App Pool не трогаем** (может быть общим с другими приложениями).
+  App Pool задействуется только когда `iis_site` не задан. Детект «жив» — по
+  состоянию сайта; открытый TCP-порт больше не маскирует остановленный сайт
+  (http.sys держит порт). См. [ADR-0004](adr/0004-iis-site-scoped-lifecycle.md).
+- **Читаемые ошибки внешних команд.** Вывод `appcmd`/`docker`/`kubectl`
+  декодируется utf-8 → OEM (cp866) → cp1251 — больше не «кракозябры».
+- **Хаб — тяжёлые логи IIS.** Панель «Текущее состояние» берёт логи только за
+  сегодня и читает лишь хвост файла (до 4 МБ) — дневной IIS-лог в сотни МБ не
+  грузится целиком.
+- Упаковка: SPDX-выражение лицензии (`license = "MIT"`, `license-files`) —
+  убран deprecation-warning setuptools.
+
+### Добавлено
+- Подсказка «запустите диспетчер от имени администратора» при ошибках `appcmd`
+  из-за нехватки прав (IIS требует elevation).
+- Кнопка «Обновить» даёт обратную связь (блокировка + «Обновление…» + время).
+- Колонка **Redis** в таблице стендов с номером базы.
+- Обратная связь и надёжность первого запуска: папка реестра создаётся при старте
+  диспетчера и при первой записи.
+
+### Исправлено
+- **Честный отказ** при остановке стенда, запущенного вне диспетчера (нет
+  pidfile): вместо мнимого «остановлено» — понятная ошибка.
+- Логи стенда ищутся в подпапках по датам (рекурсивный листинг) — раньше хаб
+  ошибочно сообщал «в каталоге нет файлов».
+- Модалки не закрываются при выделении текста мышью с отпусканием за краем окна.
+- Колонки таблицы не «прыгают» при смене статуса; HTTP-значение — кликабельная
+  ссылка; кнопки в модалках не слипаются.
+- `Ctrl+C` завершает `standkit-hub` чисто, без трейсбека `KeyboardInterrupt`.
+- Дедуп SVG-ассетов; TODO-докстринги урезаны до ссылок на документацию/бэклог.
+
+## [0.5.1] — 2026-07-24
+
+Технический релиз: агрегировал правки хаба/IIS/логов и упаковки (позже целиком
+переиздано в 0.5.2 из ветки `main`).
+
+## [0.5.0] — 2026-07-24
+
+### Добавлено
+- **Kubernetes** hosting backend (`host_kind=k8s`) через `kubectl`
+  (scale/rollout/get/logs) — [ADR-0002](adr/0002-k8s-backend.md).
+- **Регистрация стенда из UI** — модалка «Зарегистрировать стенд» в дашборде
+  (пишет в общий `projects.json`).
+- Hosting backends kestrel/iis/docker — [ADR-0001](adr/0001-hosting-backends.md)
+  (v0.4.0), k8s — v0.5.0.
+
+## [0.3.7] — 2026-07
+
+### Добавлено
+- Первый публичный релиз ядра `standkit` + агента `standkit_agent` + веб-дашборда
+  `standkit_hub` на PyPI; фронт-README, `docs/REMOTE_STANDS.md`, скриншоты.
+
+[0.6.0]: https://pypi.org/project/standkit/0.6.0/
+[0.5.2]: https://pypi.org/project/standkit/0.5.2/
+[0.5.1]: https://pypi.org/project/standkit/0.5.1/
+[0.5.0]: https://pypi.org/project/standkit/0.5.0/
+[0.3.7]: https://pypi.org/project/standkit/0.3.7/

standkit-0.6.0/docs/ROADMAP.md

@@ -0,0 +1,69 @@
+# ROADMAP — standkit / BPMkitStand
+
+Дорожная карта **приложения** (свободное ядро `standkit` + дашборд
+`standkit_hub` + агент `standkit_agent`). Полный список незакрытых «заделов» с
+ссылками на код — [BACKLOG.md](BACKLOG.md). Архитектура — [ARCHITECTURE.md](ARCHITECTURE.md).
+Решения — [adr/](adr/). История изменений — [CHANGELOG.md](CHANGELOG.md).
+
+Текущая версия на PyPI: **0.5.2**. Python ≥ 3.10, ядро и агент — stdlib-only.
+
+## ✅ Сделано
+
+- **Ядро `standkit`** — реестр стендов, модель `Stand` (`transport`
+  `local`/`agent`, `host_kind` kestrel/iis/docker/k8s), быстрые health-пробы
+  (процесс/HTTP/БД/Redis по TCP), жизненный цикл kestrel (headless start/stop/
+  restart, pidfile), Secret-first доступ к секретам (env→keyring→фолбэк).
+- **Hosting backends** (ADR-0001/0002) — kestrel / IIS (`appcmd`) / Docker
+  (`docker`,`compose`) / Kubernetes (`kubectl`). Диспетчеризация по `host_kind`,
+  прозрачна для хаба/агента/клиента.
+- **Дашборд `standkit_hub`** — веб-UI (stdlib `http.server` + vanilla JS): список
+  стендов + состояние, старт/стоп/рестарт (честный старт до HTTP-ok), очистка
+  Redis, тёмная тема, модалка «Зарегистрировать стенд» (пишет в общий
+  `projects.json`), панель «Текущее состояние» (tail лога текущей сессии),
+  федерация с удалёнными агентами.
+- **Агент `standkit_agent`** — stdlib-only HTTP/RPC с прод-харденингом: TLS/mTLS,
+  fail-closed loopback, скоупы control/readonly, rate-limit/lockout, аудит.
+- **Консольные точки входа** — `standkit-hub` / `standkit-gui` / `standkit-agent`.
+
+### Правки текущего цикла (0.5.1 → 0.5.2) — см. [CHANGELOG.md](CHANGELOG.md)
+
+- IIS: жизненный цикл **по Site** (App Pool не трогаем — может быть общим),
+  корректный детект остановленного сайта (http.sys держит порт), читаемая ошибка
+  `appcmd` (OEM-декод) + подсказка «запустить от администратора» — [ADR-0004](adr/0004-iis-site-scoped-lifecycle.md).
+- Честный отказ при остановке стенда, запущенного вне диспетчера (нет pidfile).
+- Хаб: колонка Redis с номером базы; HTTP-значение — ссылка; колонки не «прыгают»;
+  модалки не закрываются при выделении текста; фидбэк кнопки «Обновить»; лёгкие
+  логи IIS (только за сегодня + чтение хвоста файла); первый запуск создаёт папку
+  реестра; Ctrl+C завершает дашборд без трейсбека.
+- Упаковка: SPDX-лицензия (без deprecation-warning setuptools).
+
+## 🔴 Крит до «боевого» релиса
+
+- **Живая приёмка Docker / k8s / IIS** на реальном контуре — сейчас только моки
+  (см. [ADR-0001](adr/0001-hosting-backends.md), [BACKLOG.md](BACKLOG.md)).
+
+## ⏭ Ближайшее
+
+- **Браузинг/скачивание логов удалённых стендов** — [ADR-0003](adr/0003-remote-log-browsing.md)
+  (листинг папки логов агентом, выбор файла/даты, просмотр и скачивание).
+- UI-индикатор `host_kind` в дашборде; `read_logs` бэкенда (iis/docker/k8s) в
+  панели «Текущее состояние».
+- Глубокие health-пробы БД/Redis (`SELECT 1`/`PING`) под опциональные зависимости
+  — сейчас заглушки `SKIPPED` ([BACKLOG.md](BACKLOG.md)).
+
+## 🧊 Бэклог (без срока)
+
+- Транспорты `ssh`/`winrm` (сейчас зарезервированы в enum, не реализованы).
+- Жизненный цикл kestrel: polling готовности, блокировка pidfile, graceful stop,
+  Windows Job Object / Linux double-fork.
+- Логи: ротация в `follow()`, постраничная навигация.
+- Клиент: параллельный опрос агентов, кэш/дебаунс.
+- Секреты: CLI-обёртка, файловый фолбэк `secrets.enc`.
+- Остаточная безопасность агента — `SECURITY.md` §6.
+
+Полный список с ссылками на код — [BACKLOG.md](BACKLOG.md).
+
+## 🌐 Экосистема (вне этого репозитория)
+
+- **Companion** — платная редакция на той же кодовой базе: автоапдейт MCP,
+  лицензия/токен, подпись артефактов. Часть экосистемы BPMkit; здесь не живёт.

standkit-0.6.0/docs/adr/0003-remote-log-browsing.md

@@ -0,0 +1,63 @@
+# ADR-0003 — Браузинг и скачивание логов удалённых стендов
+
+- Статус: **Предложено** (не реализовано) — приоритетный бэклог
+- Контекст-владелец: Владимир Терновский
+- Связано: [ADR-0001](0001-hosting-backends.md) (ссылается сюда), [REMOTE_STANDS.md](../REMOTE_STANDS.md), [BACKLOG.md](../BACKLOG.md)
+
+> Этот ADR фиксирует **намеченное** решение. Реализации в коде пока нет —
+> зафиксирован как «должен быть на месте» в связке с ADR-0001, который на него
+> ссылается.
+
+## Контекст и проблема
+
+В дашборде есть «Открыть папку логов» — но это `os.startfile`/`xdg-open`
+(`standkit_hub/logs_browser.py::open_folder`), т.е. открытие папки в файловом
+менеджере **на машине оператора**. Для **удалённого** стенда (`transport=agent`)
+открывать нечего: файлы лежат на хосте агента.
+
+При этом у стендов BPMSoft логи организованы **папками по датам** (`папка = дата`,
+внутри — тяжёлые дневные файлы). Оператору нужно: увидеть **листинг**, выбрать
+**дату/файл**, **посмотреть** и при необходимости **скачать** (файл целиком или
+папку архивом), не выкачивая гигабайты «на всякий случай».
+
+## Решение (намечено)
+
+Агент отдаёт логи по HTTP; хаб даёт UI выбора/просмотра/скачивания. Все пути —
+traversal-safe (как `sanitize_log_filename`).
+
+### Новые эндпоинты агента (`standkit_agent/server.py`, scope readonly)
+
+- `GET /stand/{name}/logs/list` — листинг папки логов: файлы/подпапки с именем
+  (POSIX-путь относительно корня логов), размером и mtime; сортировка по свежести.
+- `GET /stand/{name}/logs/file?path=…` — содержимое (или хвост) одного файла;
+  параметры `n`/`max_bytes` как у `standkit.logs.tail`.
+- `GET /stand/{name}/logs/download?path=…` — скачивание: одиночный файл как есть
+  либо папка (напр. дата) ZIP-архивом; ленивое стриминг-скачивание без
+  предзагрузки в память.
+
+### Хаб (`standkit_hub/*`)
+
+- Панель логов: выбор источника → **выбор даты/файла из листинга агента** →
+  просмотр хвоста → кнопка «Скачать» (файл / папку-архив).
+- Для локального стенда — то же поверх `standkit.logs`/`logs_browser`
+  (единый UI, разные бэкенды доставки).
+
+### Затрагиваемые модули
+
+`standkit_agent/server.py` (эндпоинты + traversal-guard + стриминг),
+`standkit_hub/client.py`/`server.py`/`web/*` (UI листинга/просмотра/скачивания),
+`standkit/logs.py` (переиспользование `tail(max_bytes=…)`; уже есть).
+
+## Границы и риски
+
+- **Безопасность**: только scope `readonly`; строгая защита от path traversal
+  (корень логов стенда — единственная разрешённая зона); лимиты размера ответа.
+- Большие архивы папок — стримить, не собирать в память; тайм-ауты/лимиты.
+- Не ломать текущий локальный «Открыть папку логов» — он остаётся для локального
+  стенда.
+
+## Статус реализации
+
+- [ ] Эндпоинты агента `logs/list` · `logs/file` · `logs/download`.
+- [ ] UI хаба: листинг + выбор даты/файла + просмотр + скачивание.
+- [ ] Тесты (traversal-safe, стриминг, листинг с датами).

standkit-0.6.0/docs/adr/0004-iis-site-scoped-lifecycle.md

@@ -0,0 +1,66 @@
+# ADR-0004 — IIS: жизненный цикл по Site (App Pool не трогаем)
+
+- Статус: **Принято / реализовано** (v0.5.2, 2026-07-25)
+- Контекст-владелец: Владимир Терновский
+- Связано: [ADR-0001](0001-hosting-backends.md) (вводит IIS-бэкенд), [HOSTING.md](../HOSTING.md)
+
+## Контекст и проблема
+
+Первая реализация IIS-бэкенда (ADR-0001) на **стоп/рестарт** трогала и **сайт, и
+App Pool** (`stop apppool` + `stop site`; рестарт — `recycle apppool`). На живом
+стенде вскрылись три проблемы:
+
+1. **App Pool может быть общим** с другими приложениями. Остановка/рециклинг пула
+   кладёт и их — диспетчер обязан гасить **только стенд**, а не «полстраницы IIS».
+2. **Детект «жив» врал.** IIS/`http.sys` держит порт 80/443 на уровне ОС даже у
+   **остановленного** сайта (отдаёт 503). TCP-фолбэк показывал остановленный
+   стенд как «up».
+3. **Ошибка `appcmd` была нечитаемой** (OEM-кодировка cp866 декодировалась как
+   UTF-8 → «кракозябры»), а её первопричина — **нехватка прав администратора**
+   (`appcmd` читает `…\inetsrv\config\redirection.config`) — не была очевидна.
+
+## Решение
+
+**«Стенд в IIS» = его Site.** Диспетчер управляет **сайтом** и не трогает App
+Pool (пул — потенциально общая инфраструктура). Пул задействуется только как
+единственный хэндл, когда `iis_site` не задан.
+
+- **stop** → `appcmd stop site /site.name:<site>` (только сайт); при отсутствии
+  `iis_site` — `stop apppool`.
+- **restart** → `stop site` + `start site` (App Pool **не рециклим**; recycle
+  пула — только когда сайт не задан).
+- **start** → `start apppool` (если задан, чтобы сайт мог обслуживаться) +
+  `start site` — запуск не разрушителен для соседей.
+- **is_running** → состояние **сайта** (`list site <site> /text:state == Started`);
+  при отсутствии сайта — состояние пула. TCP-фолбэк — **только** если `appcmd`
+  не дал определённого состояния (иначе открытый порт http.sys маскировал бы
+  остановленный сайт).
+
+Смежно (тот же цикл, v0.5.2):
+
+- **OEM-декод** вывода внешних команд: bytes → utf-8 → OEM (cp866) → cp1251
+  (`standkit/hosting.py::_decode_console`) — читаемые сообщения.
+- **Подсказка про elevation**: при ошибках нехватки прав (`redirection.config`,
+  «отказано в доступе», код 1168, `0x80070005`) к тексту добавляется «запустите
+  диспетчер от имени администратора» (`_appcmd_checked`). Docker/k8s не затронуты.
+
+## Реализация
+
+`standkit/hosting.py::IisBackend.{stop,restart,is_running}`,
+`_decode_console`/`_oem_encoding`, `_appcmd_checked`. Обработчик действий хаба
+ловит `HostingError` и отдаёт понятный текст (`standkit_hub/server.py`). Тесты —
+`tests/test_hosting.py` (site-scoped стоп/рестарт, детект по сайту, OEM-декод,
+подсказка про админа).
+
+## Требование эксплуатации
+
+Диспетчер (`standkit-hub`) для IIS-операций **должен быть запущен «от имени
+администратора»** — `appcmd` требует elevation; членства в `IIS_IUSRS`
+недостаточно. См. [HOSTING.md](../HOSTING.md) → «Требования».
+
+## Границы
+
+- Остановка только сайта прекращает приём запросов, но рабочий процесс пула
+  (`w3wp`) может дожить до idle-timeout, если пул обслуживает и другие приложения
+  — это осознанный компромисс ради «не задеть соседей». Опция «гасить выделенный
+  пул» с защитой «если пул общий — отказ» — возможное расширение (бэклог).

{standkit-0.5.2 → standkit-0.6.0}/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "standkit"
-version = "0.5.2"
+version = "0.6.0"
 description = "Свободное ядро (MIT) для управления жизненным циклом локальных и удалённых стендов BPMSoft: headless start/stop/restart, health-пробы, логи, реестр стендов. Часть экосистемы BPMkit."
 readme = "README.md"
 license = "MIT"
@@ -23,7 +23,7 @@ dependencies = []
 
 [project.urls]
 Homepage = "https://github.com/thinkquattro/BPMkitStand"
-"Экосистема BPMkit" = "https://github.com/thinkquattro/BPMkit-dev"
+"Экосистема BPMkit" = "https://bpmkit.pro"
 
 [project.optional-dependencies]
 # Опциональный backend хранения секретов (standkit.secrets: set_secret/

{standkit-0.5.2 → standkit-0.6.0}/standkit/__init__.py

@@ -6,6 +6,6 @@ standkit — свободное (MIT) ядро управления жизнен
 и docs/ARCHITECTURE.md в корне репозитория.
 """
 
-__version__ = "0.5.2"
+__version__ = "0.6.0"
 
 __all__ = ["__version__"]