feat(update): независимые обновления компонентов bj

- internal/release/components.go: список компонентов (ядро bj-server, криптосервис, bj-lk,
  bj-npr, bj-quikexport) с путём и службой, установленные версии в components.json,
  расчёт обновлений по версии каждого файла и sha256 (без отката, модули — только если
  уже установлены на сервере)
- cmd/bj-component-install: root-установщик — сам перепроверяет подпись манифеста ключом
  /etc/bj/update.pub и sha256, копия прежнего файла, перезапуск только затронутых служб
- updater: bj-server (без прав root) скачивает в update-staging и передаёт установку
  root-воркеру (действие component-install); установка в фоне
- настройки: таблица компонентов с версиями, «Обновить» и «Обновить всё»
- bj-release: версия файла из <файл>.version; bj-keymedia-worker: component-install

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

internal/lkgateway/runtimeconfig.go

@@ -92,6 +92,8 @@ type UpdateSettings struct {
 	LastResult string    `json:"last_result"`       // текст результата проверки
 	Available  string    `json:"available_version"` // доступная версия (если новее)
 	Notes      string    `json:"notes,omitempty"`   // заметки доступного релиза
+	// Components — версии компонентов в последнем проверенном релизе (имя → версия).
+	Components map[string]string `json:"components,omitempty"`
 }
 
 // NewsSettings — лента новостей (события системы, окна техработ, обновления

internal/lkgateway/setup.go

@@ -6,6 +6,7 @@ import (
 	"encoding/json"
 	"errors"
 	"fmt"
+	"git.zetit.ru/zuevav/Bridge-and-Join-s/internal/release"
 	"io"
 	"log"
 	"net/http"
@@ -291,7 +292,9 @@ type SetupData struct {
 	ReadyCount       int
 	TotalCount       int
 	Certificates     []cryptocli.Certificate
-	CurrentVersion   string         // версия bj-server (для раздела «Обновления»)
+	CurrentVersion   string                   // версия bj-server (для раздела «Обновления»)
+	Components       []release.ComponentState // компоненты и их версии (раздел «Обновления»)
+	UpdatesAvailable bool
 	License          LicenseStatus  // статус лицензии
 	Health           []HealthStatus // здоровье фоновых компонентов
 	AdvancedUnlocked bool           // открыты ли перспективные модули (QUIK, Fancy)
@@ -338,8 +341,11 @@ func (h *setupHandlers) renderSetup(w http.ResponseWriter, req *http.Request, fl
 			ready++
 		}
 	}
+	comps, anyUpdate := updateComponentRows(h.rc)
 	data := SetupData{
 		page:             nowPage("Настройка", "setup"),
+		Components:       comps,
+		UpdatesAvailable: anyUpdate,
 		Settings:         s,
 		Readiness:        r,
 		ReadyCount:       ready,
@@ -1225,11 +1231,27 @@ func (h *setupHandlers) applyUpdate(w http.ResponseWriter, r *http.Request) {
 		http.Error(w, "method", http.StatusMethodNotAllowed)
 		return
 	}
-	if err := NewUpdater(h.rc).ApplyUpdate(r.Context()); err != nil {
-		setupFlash(w, r, "Обновление не применено: "+err.Error())
-		return
+	_ = r.ParseForm()
+	names := r.Form["component"]
+	rc := h.rc
+	// В фоне: при обновлении ядра bj-server перезапустится раньше, чем придёт ответ установщика.
+	go func() {
+		msg, err := NewUpdater(rc).ApplyUpdate(context.Background(), names)
+		cfg := rc.Snapshot().Update
+		if err != nil {
+			msg = "Обновление не применено: " + err.Error()
+		} else {
+			msg = "Обновление: " + msg
+		}
+		log.Printf("lk-gateway: %s", msg)
+		cfg.LastResult, cfg.LastCheck = msg, time.Now().UTC()
+		_ = rc.SaveUpdateSettings(cfg)
+	}()
+	what := "всех компонентов с новой версией"
+	if len(names) > 0 {
+		what = strings.Join(names, ", ")
 	}
-	setupFlash(w, r, "Обновление скачано и применено — bj-server перезапускается, обновите страницу через 10 секунд")
+	setupFlash(w, r, "Обновление "+what+" запущено: файлы скачиваются и проверяются, затем перезапускаются службы. Итог — в строке «Последняя проверка» через минуту; при обновлении ядра страница временно не отвечает.")
 }
 
 // runTestClaim делает CreateClaim + ждёт финального состояния через GetClaim.

internal/lkgateway/updater.go

@@ -1,10 +1,21 @@
 package lkgateway
 
+// Обновления bj по компонентам (internal/release/components.go). У каждого компонента своя версия в
+// манифесте артефактории: ядро, криптосервис, ЛК клиента, НПР, экспорт QUIK обновляются независимо.
+//
+// bj-server работает без прав root, поэтому сам только проверяет манифест, скачивает выбранные
+// файлы в /var/lib/bj/update-staging и передаёт установку root-воркеру (действие
+// component-install → /usr/local/sbin/bj-component-install). Установщик заново проверяет подпись и
+// sha256, ставит файлы и перезапускает службы; при обновлении ядра bj-server перезапустится сам.
+
 import (
 	"context"
+	"encoding/json"
 	"fmt"
 	"log"
 	"os"
+	"path/filepath"
+	"strings"
 	"time"
 
 	"git.zetit.ru/zuevav/Bridge-and-Join-s/internal/release"
@@ -17,32 +28,25 @@ var BuildVersion = "0.1.0"
 
 // DefaultUpdatePublicKey — публичный ключ артефактории, зашитый в релиз.
 // Пустой в исходниках; подставляется при официальной сборке. Если задан в
-// настройках (UpdateSettings.PublicKey) — приоритет у настроек.
+// настройках (UpdateSettings.PublicKey) — приоритет у настроек (для проверки
+// в bj; root-установщик верит только /etc/bj/update.pub).
 var DefaultUpdatePublicKey = ""
 
-// installPaths — куда устанавливать артефакты по логическому имени.
-// Файлы не из этого списка при авто-обновлении пропускаются (скрипты/SQL
-// обновляются отдельно, не на лету).
-var installPaths = map[string]string{
-	"bj-server":          "/opt/bj/bj-server",
-	"crypto-service.jar": "/opt/bj/crypto-service.jar",
-}
+const updateStagingDir = "/var/lib/bj/update-staging"
 
-// Updater — авто-обновление bj-server из артефактории (работает поверх rc).
 type Updater struct{ rc *RuntimeConfig }
 
-// NewUpdater создаёт Updater на текущем runtime-конфиге.
 func NewUpdater(rc *RuntimeConfig) *Updater { return &Updater{rc: rc} }
 
-// UpdateStatus — сводка для UI/handler.
 type UpdateStatus struct {
 	Configured     bool
 	CurrentVersion string
-	Available      string
-	HasUpdate      bool
+	Available      string // версия релиза
+	HasUpdate      bool   // есть что обновить хотя бы в одном компоненте
 	Channel        string
 	Notes          string
 	Message        string
+	Components     []release.ComponentState
 }
 
 func (u *Updater) updateClient() (*release.Client, error) {
@@ -61,8 +65,7 @@ func (u *Updater) updateClient() (*release.Client, error) {
 	return release.NewClient(cfg.BaseURL, channel, pub)
 }
 
-// CheckForUpdate скачивает манифест, проверяет подпись, сравнивает версии и
-// сохраняет результат в настройки. Возвращает сводку.
+// CheckForUpdate — манифест и состояние каждого компонента.
 func (u *Updater) CheckForUpdate(ctx context.Context) (UpdateStatus, error) {
 	st := UpdateStatus{CurrentVersion: BuildVersion, Channel: u.rc.Snapshot().Update.Channel}
 	cl, err := u.updateClient()
@@ -75,92 +78,167 @@ func (u *Updater) CheckForUpdate(ctx context.Context) (UpdateStatus, error) {
 	m, err := cl.FetchManifest(ctx)
 	if err != nil {
 		st.Message = "проверка не удалась: " + err.Error()
-		u.saveCheckResult(st)
+		u.saveCheckResult(st, nil)
 		return st, err
 	}
-	st.Available = m.Version
-	st.Notes = m.Notes
-	st.HasUpdate = release.IsNewer(m.Version, BuildVersion)
-	if st.HasUpdate {
-		st.Message = fmt.Sprintf("доступна версия %s (текущая %s)", m.Version, BuildVersion)
-	} else {
-		st.Message = "установлена актуальная версия " + BuildVersion
+	st.Available, st.Notes = m.Version, m.Notes
+	st.Components = release.Plan("", m, release.LoadInstalled(release.InstalledFile), BuildVersion)
+	var upd []string
+	avail := map[string]string{}
+	for _, c := range st.Components {
+		if c.Available != "" {
+			avail[c.Name] = c.Available
+		}
+		if c.Update {
+			upd = append(upd, c.Name+" "+c.Available)
+		}
 	}
-	u.saveCheckResult(st)
+	st.HasUpdate = len(upd) > 0
+	if st.HasUpdate {
+		st.Message = "доступны обновления: " + strings.Join(upd, ", ")
+	} else {
+		st.Message = "все установленные компоненты актуальны (релиз " + m.Version + ")"
+	}
+	u.saveCheckResult(st, avail)
 	return st, nil
 }
 
-func (u *Updater) saveCheckResult(st UpdateStatus) {
+func (u *Updater) saveCheckResult(st UpdateStatus, avail map[string]string) {
 	cfg := u.rc.Snapshot().Update
 	cfg.LastCheck = time.Now().UTC()
 	cfg.LastResult = st.Message
 	cfg.Available = st.Available
 	cfg.Notes = st.Notes
+	if avail != nil {
+		cfg.Components = avail
+	}
 	if err := u.rc.SaveUpdateSettings(cfg); err != nil {
 		log.Printf("lk-gateway: сохранение результата проверки обновления: %v", err)
 	}
 }
 
-// ApplyUpdate скачивает обновлённые артефакты (с проверкой подписи манифеста
-// и sha256 каждого файла), атомарно заменяет бинари и завершает процесс с
-// ненулевым кодом — systemd (Restart=on-failure) поднимает новую версию.
-func (u *Updater) ApplyUpdate(ctx context.Context) error {
-	// Гейт лицензией: если лицензирование включено — требуется валидная
-	// лицензия с фичей updates. Без лицензирования (открытый режим) — пропускаем.
+// ApplyUpdate — скачать выбранные компоненты (names пусто — все, для которых есть обновление) и
+// передать установку root-установщику. Если среди них ядро, bj-server перезапустится до ответа.
+func (u *Updater) ApplyUpdate(ctx context.Context, names []string) (string, error) {
 	if licensingEnabled(u.rc) {
 		ls := licenseStatus(u.rc)
 		if !ls.Valid {
-			return fmt.Errorf("обновления заблокированы — лицензия: %s", ls.Message)
+			return "", fmt.Errorf("обновления заблокированы — лицензия: %s", ls.Message)
 		}
 		if !ls.AllowsUpdates {
-			return fmt.Errorf("обновления не входят в план %q", ls.Plan)
+			return "", fmt.Errorf("обновления не входят в план %q", ls.Plan)
 		}
 	}
 	cl, err := u.updateClient()
 	if err != nil {
-		return err
+		return "", err
 	}
-	m, err := cl.FetchManifest(ctx)
+	sm, m, err := cl.FetchSigned(ctx)
 	if err != nil {
-		return fmt.Errorf("манифест: %w", err)
+		return "", fmt.Errorf("манифест: %w", err)
 	}
-	if !release.IsNewer(m.Version, BuildVersion) {
-		return fmt.Errorf("обновление не требуется (текущая %s, доступна %s)", BuildVersion, m.Version)
+	plan := release.Plan("", m, release.LoadInstalled(release.InstalledFile), BuildVersion)
+	want := map[string]bool{}
+	for _, n := range names {
+		want[n] = true
+	}
+	var selected []release.ComponentState
+	for _, c := range plan {
+		switch {
+		case len(want) > 0 && !want[c.Name]:
+		case c.Update:
+			selected = append(selected, c)
+		case want[c.Name]:
+			return "", fmt.Errorf("%s: обновление не требуется (установлена %s, в релизе %s)", c.Title, pickVersion(c.Installed), pickVersion(c.Available))
+		}
+	}
+	if len(selected) == 0 {
+		return "", fmt.Errorf("нечего обновлять: все установленные компоненты актуальны (релиз %s)", m.Version)
 	}
 
-	updated := 0
-	for _, a := range m.Artifacts {
-		dst, ok := installPaths[a.Name]
-		if !ok {
-			continue // скрипты/SQL не обновляем на лету
-		}
-		dir := dirOf(dst)
-		path, err := cl.DownloadArtifact(ctx, a, dir)
-		if err != nil {
-			return fmt.Errorf("скачивание %s: %w", a.Name, err)
-		}
-		// DownloadArtifact кладёт файл под именем a.File; если целевое имя
-		// иное — переименуем атомарно.
-		if path != dst {
-			if err := os.Rename(path, dst); err != nil {
-				return fmt.Errorf("установка %s: %w", a.Name, err)
+	cleanupStaging(24 * time.Hour)
+	staging := filepath.Join(updateStagingDir, fmt.Sprintf("%d", time.Now().UnixNano()))
+	if err := os.MkdirAll(staging, 0o750); err != nil {
+		return "", fmt.Errorf("каталог подготовки: %w", err)
+	}
+	b, _ := json.Marshal(sm)
+	if err := os.WriteFile(filepath.Join(staging, "manifest.json"), b, 0o640); err != nil {
+		return "", err
+	}
+	var list []string
+	var req struct {
+		Names []string `json:"names"`
+	}
+	for _, c := range selected {
+		for _, a := range m.Artifacts {
+			if a.Name == c.Name {
+				if _, err := cl.DownloadArtifact(ctx, a, staging); err != nil {
+					return "", fmt.Errorf("скачивание %s: %w", c.Name, err)
+				}
 			}
 		}
-		log.Printf("lk-gateway: обновлён %s → %s (%s)", a.Name, dst, m.Version)
-		updated++
+		req.Names = append(req.Names, c.Name)
+		list = append(list, c.Name+" "+c.Available)
 	}
-	if updated == 0 {
-		return fmt.Errorf("в манифесте %s нет обновляемых бинарей", m.Version)
+	rb, _ := json.Marshal(req)
+	if err := os.WriteFile(filepath.Join(staging, "request.json"), rb, 0o640); err != nil {
+		return "", err
 	}
+	log.Printf("lk-gateway: обновление компонентов: %s — передано root-установщику", strings.Join(list, ", "))
+	wctx, cancel := context.WithTimeout(ctx, 5*time.Minute)
+	defer cancel()
+	res, err := runKeymediaOp(wctx, "component-install", map[string]string{"staging": staging})
+	_ = os.RemoveAll(staging)
+	if err != nil {
+		return "", fmt.Errorf("установка: %w", err)
+	}
+	msg := "установлено: " + strings.Join(list, ", ")
+	if r, ok := res["restarted"].([]any); ok && len(r) > 0 {
+		var units []string
+		for _, x := range r {
+			units = append(units, fmt.Sprint(x))
+		}
+		msg += "; перезапущены службы: " + strings.Join(units, ", ")
+	}
+	return msg, nil
+}
 
-	log.Printf("lk-gateway: обновление до %s применено (%d файлов), перезапуск через systemd…", m.Version, updated)
-	// Завершаемся с ненулевым кодом — systemd Restart=on-failure поднимет
-	// новый бинарь. Даём пару секунд на флаш логов/ответа.
-	go func() {
-		time.Sleep(800 * time.Millisecond)
-		os.Exit(42)
-	}()
-	return nil
+// updateComponentRows — компоненты для раздела «Обновления» без обращения к артефактории:
+// установленное на этом сервере и версии из последней проверки.
+func updateComponentRows(rc *RuntimeConfig) ([]release.ComponentState, bool) {
+	rows := release.Plan("", nil, release.LoadInstalled(release.InstalledFile), BuildVersion)
+	avail := rc.Snapshot().Update.Components
+	var out []release.ComponentState
+	any := false
+	for _, r := range rows {
+		r.Available = avail[r.Name]
+		r.Update = r.Available != "" && (r.Present || r.Core) && (r.Installed == "" || release.IsNewer(r.Available, r.Installed))
+		if r.Present || r.Core || r.Available != "" {
+			out = append(out, r)
+			any = any || r.Update
+		}
+	}
+	return out, any
+}
+
+func pickVersion(v string) string {
+	if v == "" {
+		return "неизвестна"
+	}
+	return v
+}
+
+// cleanupStaging — удалить брошенные каталоги подготовки (например, если bj перезапустился при обновлении ядра).
+func cleanupStaging(olderThan time.Duration) {
+	entries, err := os.ReadDir(updateStagingDir)
+	if err != nil {
+		return
+	}
+	for _, e := range entries {
+		if info, err := e.Info(); err == nil && e.IsDir() && time.Since(info.ModTime()) > olderThan {
+			_ = os.RemoveAll(filepath.Join(updateStagingDir, e.Name()))
+		}
+	}
 }
 
 // updateLoop — фоновая авто-проверка обновлений (если включена).
@@ -174,7 +252,7 @@ func (u *Updater) updateLoop(ctx context.Context) {
 		cctx, cancel := context.WithTimeout(ctx, 90*time.Second)
 		defer cancel()
 		if st, err := u.CheckForUpdate(cctx); err == nil && st.HasUpdate {
-			log.Printf("lk-gateway: доступно обновление %s (текущая %s)", st.Available, st.CurrentVersion)
+			log.Printf("lk-gateway: %s", st.Message)
 		}
 	}
 	// первая проверка через минуту после старта
@@ -182,6 +260,7 @@ func (u *Updater) updateLoop(ctx context.Context) {
 	case <-ctx.Done():
 		return
 	case <-time.After(time.Minute):
+		cleanupStaging(time.Hour)
 		check()
 	}
 	for {
@@ -193,12 +272,3 @@ func (u *Updater) updateLoop(ctx context.Context) {
 		}
 	}
 }
-
-func dirOf(path string) string {
-	for i := len(path) - 1; i >= 0; i-- {
-		if path[i] == '/' {
-			return path[:i]
-		}
-	}
-	return "."
-}

internal/lkgateway/web/templates/admin_setup.html

@@ -922,21 +922,26 @@
     <h1>Обновления</h1>
 
     <div class="card">
-      <h2>Версия bj-server</h2>
-      <div style="display:flex;align-items:center;gap:14px;flex-wrap:wrap;margin-top:6px">
-        <span class="stat-value" style="font-size:20px">{{.CurrentVersion}}</span>
-        {{if .Settings.Update.Available}}
-          {{if ne .Settings.Update.Available .CurrentVersion}}
-          <span class="hero-status warn">● Доступна {{.Settings.Update.Available}}</span>
-          <form method="post" action="/admin/setup/update/apply" style="margin:0" onsubmit="return confirm('Скачать и установить {{.Settings.Update.Available}}? bj-server перезапустится.');">
-            <button type="submit" class="btn btn-ok">⬆ Установить {{.Settings.Update.Available}}</button>
-          </form>
-          {{else}}<span class="hero-status ok">● Актуальная версия</span>{{end}}
-        {{end}}
-        <form method="post" action="/admin/setup/update/check" style="margin:0"><button type="submit" class="btn btn-secondary">Проверить обновления</button></form>
+      <h2>Компоненты</h2>
+      <p class="muted">Каждый компонент обновляется отдельно: своя версия в релизе, перезапускается только его служба. Файлы ставит root-установщик после повторной проверки подписи и контрольных сумм. Модули, которых нет на этом сервере, обновлением не ставятся.</p>
+      <div style="overflow-x:auto"><table style="margin-top:8px">
+        <thead><tr><th>Компонент</th><th>Установлена</th><th>Доступна</th><th>Служба</th><th></th></tr></thead>
+        <tbody>
+        {{range .Components}}<tr>
+          <td><strong>{{.Title}}</strong><div class="muted" style="font-size:11px"><code>{{.Name}}</code></div></td>
+          <td>{{if .Present}}{{if .Installed}}{{.Installed}}{{else}}<span class="muted">неизвестна</span>{{end}}{{else}}<span class="muted">не установлен</span>{{end}}</td>
+          <td>{{if .Available}}{{.Available}}{{if .Update}} <span class="hero-status warn">новее</span>{{end}}{{else}}<span class="muted">нет данных</span>{{end}}</td>
+          <td><code style="font-size:11px">{{.Unit}}</code></td>
+          <td>{{if .Update}}<form method="post" action="/admin/setup/update/apply" style="margin:0" onsubmit="return confirm('Обновить компонент до {{.Available}}? Его служба перезапустится.');"><input type="hidden" name="section" value="sec-update"><input type="hidden" name="component" value="{{.Name}}"><button type="submit" class="btn btn-ok">Обновить</button></form>{{end}}</td>
+        </tr>{{end}}
+        </tbody>
+      </table></div>
+      <div style="display:flex;gap:10px;flex-wrap:wrap;margin-top:12px">
+        {{if .UpdatesAvailable}}<form method="post" action="/admin/setup/update/apply" style="margin:0" onsubmit="return confirm('Обновить все компоненты, для которых есть новая версия?');"><input type="hidden" name="section" value="sec-update"><button type="submit" class="btn btn-ok">Обновить всё</button></form>{{end}}
+        <form method="post" action="/admin/setup/update/check" style="margin:0"><input type="hidden" name="section" value="sec-update"><button type="submit" class="btn btn-secondary">Проверить обновления</button></form>
       </div>
-      {{if .Settings.Update.Notes}}<p class="muted" style="margin-top:10px">Что нового: {{.Settings.Update.Notes}}</p>{{end}}
-      {{if not .Settings.Update.LastCheck.IsZero}}<p class="muted" style="margin-top:6px;font-size:12px">Последняя проверка: {{.Settings.Update.LastCheck.Format "02.01.2006 15:04"}} — {{.Settings.Update.LastResult}}</p>{{end}}
+      {{if .Settings.Update.Notes}}<p class="muted" style="margin-top:10px">Что нового в релизе {{.Settings.Update.Available}}: {{.Settings.Update.Notes}}</p>{{end}}
+      {{if not .Settings.Update.LastCheck.IsZero}}<p class="muted" style="margin-top:6px;font-size:12px">Последняя проверка: {{.Settings.Update.LastCheck.Format "02.01.2006 15:04"}}. {{.Settings.Update.LastResult}}</p>{{end}}
       {{if and .License.Present (not .License.AllowsUpdates)}}<p class="muted" style="margin-top:6px;font-size:12px;color:var(--warn)">Текущий план «{{.License.Plan}}» не включает обновления.</p>{{end}}
     </div>
 
@@ -946,7 +951,7 @@
       <form method="post" action="/admin/setup/update" style="margin-top:12px;display:grid;gap:10px;max-width:680px">
         <label>URL артефактории</label>
         <input type="text" name="base_url" value="{{.Settings.Update.BaseURL}}" placeholder="https://updates.example.com">
-        <label>Канal</label>
+        <label>Канал</label>
         <select name="channel">
           <option value="stable" {{if eq .Settings.Update.Channel "stable"}}selected{{end}}>stable — стабильный</option>
           <option value="beta" {{if eq .Settings.Update.Channel "beta"}}selected{{end}}>beta — предварительный</option>

internal/release/client.go

@@ -39,24 +39,32 @@ func NewClient(baseURL, channel, pubB64 string) (*Client, error) {
 // FetchManifest скачивает /v1/<channel>/manifest.json и проверяет подпись.
 // Возвращает доверенный Manifest (или ошибку, если подпись не сошлась).
 func (c *Client) FetchManifest(ctx context.Context) (*Manifest, error) {
+	_, m, err := c.FetchSigned(ctx)
+	return m, err
+}
+
+// FetchSigned — подписанный манифест как есть (для повторной проверки root-установщиком) и
+// проверенный Manifest.
+func (c *Client) FetchSigned(ctx context.Context) (*SignedManifest, *Manifest, error) {
 	url := fmt.Sprintf("%s/v1/%s/manifest.json", c.BaseURL, c.Channel)
 	req, err := http.NewRequestWithContext(ctx, http.MethodGet, url, nil)
 	if err != nil {
-		return nil, err
+		return nil, nil, err
 	}
 	resp, err := c.HTTP.Do(req)
 	if err != nil {
-		return nil, fmt.Errorf("release: запрос манифеста: %w", err)
+		return nil, nil, fmt.Errorf("release: запрос манифеста: %w", err)
 	}
 	defer resp.Body.Close()
 	if resp.StatusCode != http.StatusOK {
-		return nil, fmt.Errorf("release: манифест HTTP %d", resp.StatusCode)
+		return nil, nil, fmt.Errorf("release: манифест HTTP %d", resp.StatusCode)
 	}
 	var sm SignedManifest
-	if err := json.NewDecoder(resp.Body).Decode(&sm); err != nil {
-		return nil, fmt.Errorf("release: разбор манифеста: %w", err)
+	if err := json.NewDecoder(io.LimitReader(resp.Body, 1<<20)).Decode(&sm); err != nil {
+		return nil, nil, fmt.Errorf("release: разбор манифеста: %w", err)
 	}
-	return Verify(&sm, c.Pub) // здесь проверяется подпись
+	m, err := Verify(&sm, c.Pub) // здесь проверяется подпись
+	return &sm, m, err
 }
 
 // DownloadArtifact скачивает артефакт в destDir, проверяет sha256/размер по

internal/release/components.go

@@ -0,0 +1,161 @@
+package release
+
+// Компоненты bj, которые обновляются независимо. У каждого свой файл в манифесте релиза и своя
+// версия (Artifact.Version), путь установки и служба systemd. Список общий для bj-server (что
+// показывать и предлагать к обновлению), root-установщика cmd/bj-component-install (что разрешено
+// ставить и куда) и cmd/bj-release (какие файлы исполняемые).
+
+import (
+	"encoding/json"
+	"os"
+	"path/filepath"
+	"sync"
+	"time"
+)
+
+// Component — независимо обновляемая часть bj.
+type Component struct {
+	Name  string // логическое имя артефакта в манифесте
+	Title string
+	Path  string // куда устанавливать
+	Unit  string // служба systemd, перезапускаемая после установки ("" — без перезапуска)
+	Exec  bool   // исполняемый файл
+	Core  bool   // ядро: ставится всегда; модули — только если уже установлены на этом сервере
+}
+
+// Components — все компоненты bj. Порядок — порядок показа и установки (ядро перезапускается последним).
+var Components = []Component{
+	{Name: "bj-server", Title: "Ядро bj: переводы M2M, DEPO, QUIK МНП, ЛК ЕСИА", Path: "/opt/bj/bj-server", Unit: "bj-server", Exec: true, Core: true},
+	{Name: "crypto-service.jar", Title: "Криптосервис", Path: "/opt/bj/crypto-service.jar", Unit: "bj-crypto"},
+	{Name: "bj-lk", Title: "Личный кабинет клиента", Path: "/opt/bj/bj-lk", Unit: "bj-lk", Exec: true},
+	{Name: "bj-npr", Title: "Риск-монитор НПР / УДС", Path: "/opt/bj/bj-npr", Unit: "bj-npr", Exec: true},
+	{Name: "bj-quikexport", Title: "Экспорт QUIK", Path: "/opt/bj/bj-quikexport", Unit: "bj-quikexport", Exec: true},
+}
+
+// ComponentByName — компонент по имени артефакта.
+func ComponentByName(name string) (Component, bool) {
+	for _, c := range Components {
+		if c.Name == name {
+			return c, true
+		}
+	}
+	return Component{}, false
+}
+
+// PathAt — путь установки относительно корня root ("" — настоящий корень; иначе проверка в песочнице).
+func (c Component) PathAt(root string) string {
+	if root == "" {
+		return c.Path
+	}
+	return filepath.Join(root, c.Path)
+}
+
+// InstalledFile — установленные версии компонентов; пишет bj-component-install.
+const InstalledFile = "/var/lib/bj/.bj/components.json"
+
+// Installed — запись об установленном компоненте.
+type Installed struct {
+	Version     string    `json:"version"`
+	SHA256      string    `json:"sha256"`
+	InstalledAt time.Time `json:"installed_at"`
+}
+
+// LoadInstalled — установленные версии (пустая карта, если файла нет).
+func LoadInstalled(path string) map[string]Installed {
+	m := map[string]Installed{}
+	if b, err := os.ReadFile(path); err == nil {
+		_ = json.Unmarshal(b, &m)
+	}
+	return m
+}
+
+// SaveInstalled — атомарная запись установленных версий.
+func SaveInstalled(path string, m map[string]Installed) error {
+	b, err := json.MarshalIndent(m, "", "  ")
+	if err != nil {
+		return err
+	}
+	if err := os.MkdirAll(filepath.Dir(path), 0o750); err != nil {
+		return err
+	}
+	tmp := path + ".tmp"
+	if err := os.WriteFile(tmp, b, 0o644); err != nil {
+		return err
+	}
+	return os.Rename(tmp, path)
+}
+
+// ComponentState — компонент на этом сервере против манифеста.
+type ComponentState struct {
+	Component
+	Present   bool   // файл установлен на этом сервере
+	Installed string // установленная версия ("" — неизвестна)
+	Available string // версия в манифесте ("" — компонента нет в релизе)
+	SameFile  bool   // установленный файл совпадает с файлом релиза
+	Update    bool   // можно обновить
+}
+
+// Plan — что можно обновить. m == nil — только состояние установленного (без сети).
+// selfVersion — версия работающего bj-server, если записи об установке ещё нет.
+func Plan(root string, m *Manifest, installed map[string]Installed, selfVersion string) []ComponentState {
+	var out []ComponentState
+	for _, c := range Components {
+		st := ComponentState{Component: c}
+		sha := ""
+		if fi, err := os.Stat(c.PathAt(root)); err == nil && fi.Mode().IsRegular() {
+			st.Present = true
+			sha = cachedHash(c.PathAt(root), fi)
+		}
+		if inst, ok := installed[c.Name]; ok && inst.SHA256 != "" && inst.SHA256 == sha {
+			st.Installed = inst.Version
+		}
+		if st.Installed == "" && c.Core && st.Present {
+			st.Installed = selfVersion
+		}
+		if m != nil {
+			for _, a := range m.Artifacts {
+				if a.Name != c.Name {
+					continue
+				}
+				st.Available = a.Version
+				if st.Available == "" {
+					st.Available = m.Version
+				}
+				st.SameFile = sha != "" && a.SHA256 == sha
+				st.Update = (st.Present || c.Core) && !st.SameFile && (st.Installed == "" || IsNewer(st.Available, st.Installed))
+			}
+		}
+		out = append(out, st)
+	}
+	return out
+}
+
+// cachedHash — sha256 файла с кэшем по размеру и времени изменения: страница настроек
+// не пересчитывает десятки мегабайт на каждый показ.
+var hashCache = struct {
+	sync.Mutex
+	m map[string]hashEntry
+}{m: map[string]hashEntry{}}
+
+type hashEntry struct {
+	size int64
+	mod  time.Time
+	sha  string
+}
+
+func cachedHash(path string, fi os.FileInfo) string {
+	hashCache.Lock()
+	e, ok := hashCache.m[path]
+	hashCache.Unlock()
+	if ok && e.size == fi.Size() && e.mod.Equal(fi.ModTime()) {
+		return e.sha
+	}
+	sha, _, err := HashFile(path)
+	if err != nil {
+		return ""
+	}
+	hashCache.Lock()
+	hashCache.m[path] = hashEntry{size: fi.Size(), mod: fi.ModTime(), sha: sha}
+	hashCache.Unlock()
+	return sha
+}

internal/release/components_test.go

@@ -0,0 +1,66 @@
+package release
+
+import (
+	"os"
+	"path/filepath"
+	"testing"
+)
+
+func writeComp(t *testing.T, root, name, body string) string {
+	t.Helper()
+	c, _ := ComponentByName(name)
+	p := c.PathAt(root)
+	if err := os.MkdirAll(filepath.Dir(p), 0o755); err != nil {
+		t.Fatal(err)
+	}
+	if err := os.WriteFile(p, []byte(body), 0o755); err != nil {
+		t.Fatal(err)
+	}
+	sha, _, err := HashFile(p)
+	if err != nil {
+		t.Fatal(err)
+	}
+	return sha
+}
+
+func state(states []ComponentState, name string) ComponentState {
+	for _, s := range states {
+		if s.Name == name {
+			return s
+		}
+	}
+	return ComponentState{}
+}
+
+func TestPlanIndependentVersions(t *testing.T) {
+	root := t.TempDir()
+	npr := writeComp(t, root, "bj-npr", "npr 1.0.0")
+	writeComp(t, root, "bj-server", "core old")
+	installed := map[string]Installed{
+		"bj-npr":    {Version: "1.0.0", SHA256: npr},
+		"bj-server": {Version: "2.0.0", SHA256: "другой файл"},
+	}
+	m := &Manifest{Version: "2026.09.1", Artifacts: []Artifact{
+		{Name: "bj-server", Version: "2.1.0", SHA256: "new-core"},
+		{Name: "bj-npr", Version: "1.0.0", SHA256: npr},
+		{Name: "bj-quikexport", Version: "1.2.0", SHA256: "qe"},
+	}}
+	st := Plan(root, m, installed, "2.0.0")
+
+	if s := state(st, "bj-npr"); !s.Present || s.Installed != "1.0.0" || !s.SameFile || s.Update {
+		t.Fatalf("bj-npr актуален и не должен обновляться: %+v", s)
+	}
+	// Запись об ядре не совпала по sha — берётся версия работающего bj-server, релиз новее.
+	if s := state(st, "bj-server"); s.Installed != "2.0.0" || s.Available != "2.1.0" || !s.Update {
+		t.Fatalf("ядро должно обновиться до 2.1.0: %+v", s)
+	}
+	// Модуль не установлен на этом сервере — не ставим.
+	if s := state(st, "bj-quikexport"); s.Present || s.Update {
+		t.Fatalf("неустановленный модуль не должен предлагаться: %+v", s)
+	}
+	// Старая версия в релизе не предлагается (без отката).
+	m.Artifacts[1] = Artifact{Name: "bj-npr", Version: "0.9.0", SHA256: "old"}
+	if s := state(Plan(root, m, installed, "2.0.0"), "bj-npr"); s.Update {
+		t.Fatalf("откат на 0.9.0 не должен предлагаться: %+v", s)
+	}
+}

internal/release/manifest.go

@@ -41,10 +41,10 @@ type Artifact struct {
 // Manifest — описание релиза. Подписывается целиком (каноничный JSON).
 type Manifest struct {
 	Schema     int        `json:"schema"`
-	Version    string     `json:"version"`            // версия релиза, напр. "1.2.0"
-	Channel    string     `json:"channel"`            // "stable" | "beta"
-	ReleasedAt time.Time  `json:"released_at"`        // время сборки релиза
-	Notes      string     `json:"notes,omitempty"`    // что нового (для UI)
+	Version    string     `json:"version"`               // версия релиза, напр. "1.2.0"
+	Channel    string     `json:"channel"`               // "stable" | "beta"
+	ReleasedAt time.Time  `json:"released_at"`           // время сборки релиза
+	Notes      string     `json:"notes,omitempty"`       // что нового (для UI)
 	MinVersion string     `json:"min_version,omitempty"` // мин. версия для прямого апгрейда
 	Artifacts  []Artifact `json:"artifacts"`
 }