Кабинет клиента: документы и корпоративные действия, дистрибутив, обратный канал, защита

Данные
- корпоративные действия по бумагам клиента (U_CA_ACTS), готовые выписки (U_OP_INF_EXTRACT),
  заявки клиента на документ (lk.doc_requests) с оповещением сотрудникам; страница «Документы»
- дистрибутив кабинета из настроек ядра: архив с программой, службой, настройками,
  установщиком и инструкцией; ключ доступа на странице показан замаскированным

Связь без публичного адреса у ядра
- режим ожидания (BJ_MODE=agent): кабинет копит запросы, ядро само подключается к нему,
  выполняет их обработчиком /api/lk/* и возвращает ответы; 4 параллельных подключения,
  тот же ключ модуля в обе стороны, состояние канала в настройках
- сквозной тест: настоящий кабинет + настоящий цикл ядра

Защита (по итогам аудита)
- вход: лимит попыток по адресу и логину, одинаковое время ответа для несуществующего логина,
  пароль от 10 символов
- сессии ядра: на диске отпечаток токена и ссылка на учётную запись, без персональных данных;
  карточка клиента читается из БД на каждый запрос (блокировка действует сразу); абсолютный
  срок 24 ч; привязка к браузеру, к сети — по настройке
- вход сотрудника в кабинет клиента пишется в lk.audit и поднимает оповещение
- кабинет: CSRF на всех формах, /impersonate только POST, куки HttpOnly+Secure+SameSite=Strict,
  выход гасит все сессии, заголовки CSP/X-Frame-Options/nosniff/HSTS, no-store, таймауты сервера,
  ограничение тела, recover; сообщения через куку вместо адреса; /health наружу без подробностей
- шрифты вшиты в программу: страница не обращается к сторонним сайтам
- экранирование LIKE в выборках по номеру договора; ключ и токен без суррогата при отказе rand
- исправлено: ошибка входа не показывалась клиенту (шаблон ждал Error, приходил Flash)

Тесты: lksecurity_test, lkagent_test, lkdist_test, modules/lk (CSRF, заголовки, режим ожидания),
живые lkcoverage/lkunpriced, scripts/lk-sec-smoke.sh — проверка работающего кабинета снаружи.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

cmd/bj-lk/main.go

@@ -8,8 +8,12 @@
 //
 //	BJ_URL     адрес bj-server            (напр. https://bj.example.ru)
 //	BJ_KEY     ключ доступа модуля        (выдаётся в админке bj-server)
+//	BJ_MODE    direct | agent             (agent — ядро подключается к кабинету само)
 //	LISTEN     адрес прослушивания        (по умолчанию :8081)
 //	LK_TITLE   название кабинета в шапке  (по умолчанию «Личный кабинет»)
+//
+// Режим agent нужен, когда у ядра нет адреса, доступного из интернета: тогда адрес
+// ядра не задаётся, а кабинет ждёт, пока ядро подключится к нему само.
 package main
 
 import (
@@ -18,6 +22,7 @@ import (
 	"log"
 	"net/http"
 	"os"
+	"strings"
 	"time"
 
 	"git.zetit.ru/zuevav/Bridge-and-Join-s/modules/lk"
@@ -27,8 +32,10 @@ import (
 var version = "0.1.0"
 
 func main() {
-	cfg := lk.Config{BJURL: os.Getenv("BJ_URL"), BJKey: os.Getenv("BJ_KEY"), Title: os.Getenv("LK_TITLE")}
+	cfg := lk.Config{BJURL: os.Getenv("BJ_URL"), BJKey: os.Getenv("BJ_KEY"), Title: os.Getenv("LK_TITLE"),
+		Agent: strings.EqualFold(strings.TrimSpace(os.Getenv("BJ_MODE")), "agent")}
 	listen := os.Getenv("LISTEN")
+	flag.BoolVar(&cfg.Agent, "agent", cfg.Agent, "режим ожидания: ядро подключается к кабинету само")
 	flag.StringVar(&cfg.BJURL, "bj-url", cfg.BJURL, "адрес bj-server (https://...)")
 	flag.StringVar(&cfg.BJKey, "bj-key", cfg.BJKey, "ключ доступа модуля")
 	flag.StringVar(&listen, "listen", listen, "адрес прослушивания (:8081)")
@@ -47,10 +54,29 @@ func main() {
 		log.Fatalf("bj-lk: %v", err)
 	}
 	if !srv.Configured() {
-		log.Printf("bj-lk: не заданы BJ_URL и BJ_KEY — кабинет показывает страницу настройки (см. /etc/bj/lk.env)")
+		log.Printf("bj-lk: не заданы BJ_KEY и адрес ядра — кабинет показывает страницу настройки (см. /etc/bj-lk/lk.env)")
+	}
+	if srv.InsecureCore() {
+		// Не отказываем в запуске (бывают закрытые сети со своим шифрованием),
+		// но это надо видеть в журнале: по такому каналу идут ключ и токены сессий.
+		log.Printf("bj-lk: ВНИМАНИЕ — адрес ядра задан по открытому http (%s): ключ модуля и сессии клиентов пойдут по сети незашифрованными. Используйте https.", cfg.BJURL)
+	}
+	if cfg.Agent {
+		log.Printf("bj-lk %s (Личный кабинет) слушает %s, режим ожидания: ядро подключается само", version, listen)
+	} else {
+		log.Printf("bj-lk %s (Личный кабинет) слушает %s, ядро: %s", version, listen, cfg.BJURL)
+	}
+	// Таймауты обязательны: кабинет стоит в интернете, и без них медленный клиент
+	// может держать соединения сколько угодно. Ответ живёт дольше запроса — в режиме
+	// ожидания страница ждёт, пока ядро заберёт запрос и ответит.
+	hs := &http.Server{
+		Addr: listen, Handler: srv.Handler(),
+		ReadHeaderTimeout: 5 * time.Second,
+		ReadTimeout:       20 * time.Second,
+		WriteTimeout:      60 * time.Second,
+		IdleTimeout:       60 * time.Second,
+		MaxHeaderBytes:    32 << 10,
 	}
-	log.Printf("bj-lk %s (Личный кабинет) слушает %s, bj-server: %s", version, listen, cfg.BJURL)
-	hs := &http.Server{Addr: listen, Handler: srv.Handler(), ReadHeaderTimeout: 5 * time.Second}
 	if err := hs.ListenAndServe(); err != nil && err != http.ErrServerClosed {
 		log.Fatal(err)
 	}