Безопасность: остаток аудита — L2b, L3, L6, L7, L8, L10, L11, M4

- L2b: CSRF для изменяющих запросов админки — проверка Origin (иначе Referer)
  против Host на всех не-GET под /admin (sameOriginRequest в authMiddleware);
  за loopback-прокси учитывается X-Forwarded-Host. Второй слой поверх
  SameSite=Lax, без правки десятков форм настроек.
- L3: /back-to-admin меняет состояние — только POST + csrfOK (форма уже с токеном,
  проверки в обработчике не было).
- L6: EXEC процедуры DEPO по имени из настроек — через execProc с проверкой
  идентификатора (sqlident.go, см. коммит строчных событий).
- L7: сессия просмотра (impersonate) снимает IsAdmin цели — сотрудник не действует
  от имени другого администратора; свои действия — из своей сессии.
- L8: bootstrap администратора кабинета под замком lkBootstrapMu — два
  параллельных запроса не заведут двух админов (TOCTOU).
- L10: allowlist перезапуска служб не пропускает пустое имя.
- L11: ретранслятор — лимит тела проверяется по Content-Length до чтения и
  чтение ограничено RELAY_MAX_BODY+1.
- M4: .htaccess дополнительно запрещает *.lock (код установки), если данные
  оказались в веб-корне; nginx-запрет /data уже в README.

L4 (привязка сессии к сети по умолчанию выкл.) и L9 (косметическая cookie
bj_lk_admin, арбитр — ядро) оставлены как есть, отмечены в отчёте.

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL

internal/lkgateway/auth.go

@@ -917,6 +917,36 @@ func clientIP(r *http.Request) string {
 	return host
 }
 
+// sameOriginRequest — изменяющий запрос пришёл с нашего же сайта. Сверяем хост из
+// Origin (или Referer, если Origin нет) с Host запроса. Запрос без обоих заголовков
+// (curl, старые клиенты) пропускаем — CSRF из браузера без них не бывает.
+func sameOriginRequest(r *http.Request) bool {
+	src := r.Header.Get("Origin")
+	if src == "" || src == "null" {
+		src = r.Header.Get("Referer")
+	}
+	if src == "" {
+		return true
+	}
+	u, err := url.Parse(src)
+	if err != nil || u.Host == "" {
+		return false
+	}
+	if strings.EqualFold(u.Host, r.Host) {
+		return true
+	}
+	// За прокси Host может быть переписан; браузер же видит внешний адрес —
+	// его передаёт X-Forwarded-Host. Доверяем только от loopback-прокси.
+	if host, _, err := net.SplitHostPort(r.RemoteAddr); err == nil {
+		if ip := net.ParseIP(host); ip != nil && ip.IsLoopback() {
+			if fh := strings.TrimSpace(strings.Split(r.Header.Get("X-Forwarded-Host"), ",")[0]); fh != "" {
+				return strings.EqualFold(u.Host, fh)
+			}
+		}
+	}
+	return false
+}
+
 // reqIsHTTPS — запрос защищён TLS: напрямую или через доверенный (loopback)
 // TLS-терминирующий прокси, сообщивший X-Forwarded-Proto: https. Нужно, чтобы за
 // nginx на том же хосте кука сессии всё равно получала признак Secure.
@@ -946,6 +976,14 @@ func authMiddleware(rc *RuntimeConfig, next http.Handler) http.Handler {
 			next.ServeHTTP(w, r)
 			return
 		}
+		// CSRF для изменяющих запросов админки: cookie сессии — SameSite=Lax, а вторым
+		// слоем — источник запроса должен быть тем же сайтом (Origin, иначе Referer).
+		// Токена в формах нет, поэтому это единственная явная проверка; браузеры всегда
+		// шлют Origin на кросс-сайтовый POST.
+		if r.Method != http.MethodGet && r.Method != http.MethodHead && !sameOriginRequest(r) {
+			http.Error(w, "запрос с чужого сайта отклонён", http.StatusForbidden)
+			return
+		}
 		if firstRunPending() { // свежая установка: сначала администратор по одноразовому коду
 			if isAjax(r) {
 				http.Error(w, "требуется первичная настройка", http.StatusUnauthorized)