Кабинет клиента: документы и корпоративные действия, дистрибутив, обратный канал, защита

Данные
- корпоративные действия по бумагам клиента (U_CA_ACTS), готовые выписки (U_OP_INF_EXTRACT),
  заявки клиента на документ (lk.doc_requests) с оповещением сотрудникам; страница «Документы»
- дистрибутив кабинета из настроек ядра: архив с программой, службой, настройками,
  установщиком и инструкцией; ключ доступа на странице показан замаскированным

Связь без публичного адреса у ядра
- режим ожидания (BJ_MODE=agent): кабинет копит запросы, ядро само подключается к нему,
  выполняет их обработчиком /api/lk/* и возвращает ответы; 4 параллельных подключения,
  тот же ключ модуля в обе стороны, состояние канала в настройках
- сквозной тест: настоящий кабинет + настоящий цикл ядра

Защита (по итогам аудита)
- вход: лимит попыток по адресу и логину, одинаковое время ответа для несуществующего логина,
  пароль от 10 символов
- сессии ядра: на диске отпечаток токена и ссылка на учётную запись, без персональных данных;
  карточка клиента читается из БД на каждый запрос (блокировка действует сразу); абсолютный
  срок 24 ч; привязка к браузеру, к сети — по настройке
- вход сотрудника в кабинет клиента пишется в lk.audit и поднимает оповещение
- кабинет: CSRF на всех формах, /impersonate только POST, куки HttpOnly+Secure+SameSite=Strict,
  выход гасит все сессии, заголовки CSP/X-Frame-Options/nosniff/HSTS, no-store, таймауты сервера,
  ограничение тела, recover; сообщения через куку вместо адреса; /health наружу без подробностей
- шрифты вшиты в программу: страница не обращается к сторонним сайтам
- экранирование LIKE в выборках по номеру договора; ключ и токен без суррогата при отказе rand
- исправлено: ошибка входа не показывалась клиенту (шаблон ждал Error, приходил Flash)

Тесты: lksecurity_test, lkagent_test, lkdist_test, modules/lk (CSRF, заголовки, режим ожидания),
живые lkcoverage/lkunpriced, scripts/lk-sec-smoke.sh — проверка работающего кабинета снаружи.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

internal/lkgateway/runtimeconfig.go

@@ -247,6 +247,17 @@ type LKSettings struct {
 	// Модуль ставится на веб-сервер клиента и обращается к bj-server по этому
 	// ключу (заголовок X-BJ-Key). Пустой ключ = модульный API выключен.
 	APIKey string `json:"lk_api_key"`
+	// CoreURL — адрес ядра bj, по которому кабинет к нему обращается (кабинет стоит
+	// на отдельном веб-сервере). Пусто — подставляем адрес текущего сервера.
+	CoreURL string `json:"lk_core_url,omitempty"`
+	// AgentMode — режим ожидания: у ядра нет адреса, доступного из интернета,
+	// поэтому не кабинет обращается к ядру, а ядро само подключается к кабинету.
+	AgentMode bool `json:"lk_agent_mode,omitempty"`
+	// CabinetURL — адрес кабинета на хостинге, куда подключается ядро в режиме ожидания.
+	CabinetURL string `json:"lk_cabinet_url,omitempty"`
+	// BindNetwork — привязывать сессию клиента не только к браузеру, но и к сети /24.
+	// Строже, но мобильных клиентов будет выбрасывать при смене адреса оператором.
+	BindNetwork bool `json:"lk_bind_network,omitempty"`
 
 	// Интеграция с ЛК (потребление back_office API платформы): два окружения.
 	ActiveEnv string     `json:"lk_active_env"` // "test" | "prod"