Защита рецептов: SQL DEPO/SPECTRE/QUIK вынесен в пакет fsql под garble

Реализация варианта B из аудита защиты знаний. Прямой garble всего bj-server
ломает html/template (он обращается к полям структур по имени, garble их
переименовывает). Решение — селективная обфускация: GOGARBLE обфусцирует ТОЛЬКО
пакет с секретами, шаблоны и обработчики не затрагиваются.

95 SQL-запросов к DEPO/SPECTRE/QUIK и трансферным таблицам FTV_M2M вынесены из
lkgateway в отдельный пакет internal/lkgateway/fsql как переменные (именно var,
не const: const компилятор вставил бы обратно в необфусцируемый пакет, и
шифрование бы не сработало — проверено). Сами обработчики, типы и параметры
sql.Named остались на месте; пакет держит только строки запросов.

build-release.sh собирает bj-server с `GOGARBLE=.../fsql garble -literals`
(нужен отдельный SDK go1.26 — модуль-кэшный тулчейн garble не подходит); если
garble/go1.26 не найдены — обычная сборка с предупреждением.

Проверено на реальном garble-бинаре (запускается, /admin и страницы на
структурах работают): рецепт чтения чужих систем из бинаря исчез —
OD_RESTS 13→0, OD_WIRING 5→0, OD_TURNS 1→0, OD_BALANCES 3→0, D_B_CONTRACTS 1→0,
OD_CLIENTS_PORTS 10→0, DepoLimits/MoneyLimits →0. Остаток FTV_M2M — упоминания
имён таблиц в операторских embed-шаблонах и логах, не сам рецепт.

Стенд собран обычной сборкой (без garble) — трассировки остаются читаемыми.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01Q4YVo4UMopqT5DzicqpPjL

internal/lkgateway/depo_check.go

@@ -25,6 +25,7 @@ import (
 	"database/sql"
 	"errors"
 	"fmt"
+	"git.zetit.ru/zuevav/Bridge-and-Join-s/internal/lkgateway/fsql"
 	"strconv"
 	"strings"
 	"time"
@@ -113,8 +114,7 @@ func depoResolveParty(ctx context.Context, db *sql.DB, fs FancyMSSQLSettings, se
 		e := db.QueryRowContext(ctx,
 			// Карточка лица в DEPO версионная: действующая версия (LAST_FLAG=1) даёт ФИО и дату рождения,
 			// а счета и опции привязаны к исходной записи (SELF_ID).
-			`SELECT TOP 1 ISNULL(NULLIF(SELF_ID,0),ID), ISNULL(NAME,''), DATE_BIRTH FROM OD_FACES WHERE REPLACE(ISNULL(DOC_SER,''),' ','')=@p1 AND DOC_NUM=@p2
-			 ORDER BY ISNULL(LAST_FLAG,0) DESC, ID DESC`,
+			fsql.Chk01,
 			sql.Named("p1", ser), sql.Named("p2", num)).Scan(&p.faceID, &p.faceName, &p.birth)
 		p.faceOK = e == nil
 	}
@@ -122,7 +122,7 @@ func depoResolveParty(ctx context.Context, db *sql.DB, fs FancyMSSQLSettings, se
 
 	if p.faceOK {
 		rows, e := db.QueryContext(ctx,
-			`SELECT ID, ISNULL(NUMBER,''), ISNULL(STATE,-1), D_CLOSE FROM OD_CLIENTS WHERE FACE=@p1 AND NUMBER LIKE N'ВТНКЦ%' ORDER BY ID`,
+			fsql.Chk02,
 			sql.Named("p1", p.faceID))
 		if e == nil {
 			for rows.Next() {
@@ -177,10 +177,7 @@ var depoQualKinds = []string{
 // маска видов бумаг (511 и -1 — все виды, 0 — ни одного). Возвращает (предупреждение, по всем видам, пояснение).
 func depoFaceQualified(ctx context.Context, db *sql.DB, faceID int64) (warn, all bool, det string) {
 	var val sql.NullString
-	err := db.QueryRowContext(ctx, `SELECT TOP 1 CAST(o.VAL AS varchar(20)) FROM OD_OPTIONS o
-		JOIN OP_FIELDS f ON f.ID = o.DESCR AND f.AS_NAME = 'IS_QUAL'
-		WHERE o.OBJECT = @p1 AND o.B_DATE <= GETDATE() AND (o.E_DATE IS NULL OR o.E_DATE > GETDATE())
-		ORDER BY o.B_DATE DESC`, sql.Named("p1", faceID)).Scan(&val)
+	err := db.QueryRowContext(ctx, fsql.Chk03, sql.Named("p1", faceID)).Scan(&val)
 	const notQual = " — если бумага только для квал., нужен отказ M2M08; решает оператор"
 	if errors.Is(err, sql.ErrNoRows) {
 		return true, false, "инвестор НЕ квалифицированный (нет опции «Вхождение в реестр квалифицированных инвесторов» в DEPO)" + notQual
@@ -214,7 +211,7 @@ func depoAccountIIS(ctx context.Context, db *sql.DB, fs FancyMSSQLSettings, clie
 	if clientID == 0 {
 		return true, "не проверяется — нет открытого счёта клиента"
 	}
-	rows, err := db.QueryContext(ctx, `SELECT ISNULL(PORT_NUM,'') FROM OD_CLIENTS_PORTS WHERE CLIENT=@p1`, sql.Named("p1", clientID))
+	rows, err := db.QueryContext(ctx, fsql.Chk04, sql.Named("p1", clientID))
 	if err != nil {
 		return true, "договор счёта не прочитан: " + quikErrorDetail(err)
 	}
@@ -245,7 +242,7 @@ func depoAccountIIS(ctx context.Context, db *sql.DB, fs FancyMSSQLSettings, clie
 // depoSecurity — бумага в справочнике DEPO.
 func depoSecurity(ctx context.Context, db *sql.DB, isin string) (id int64, name string, found, accepted bool) {
 	var isIn sql.NullInt64
-	e := db.QueryRowContext(ctx, `SELECT TOP 1 ID, ISNULL(NAME,''), IS_IN FROM OD_VALUES WHERE ISIN=@p1`,
+	e := db.QueryRowContext(ctx, fsql.Chk05,
 		sql.Named("p1", isin)).Scan(&id, &name, &isIn)
 	found = e == nil
 	accepted = found && isIn.Valid && isIn.Int64 == 1
@@ -256,10 +253,7 @@ func depoSecurity(ctx context.Context, db *sql.DB, isin string) (id int64, name
 // опция бумаги RESTRICTED («Ограничение ценной бумаги по обращению», 1 — для квал. инвесторов).
 func depoSecurityQualOnly(ctx context.Context, db *sql.DB, valID int64) (bool, string) {
 	var val sql.NullString
-	err := db.QueryRowContext(ctx, `SELECT TOP 1 CAST(o.VAL AS varchar(20)) FROM OD_OPTIONS o
-		JOIN OP_FIELDS f ON f.ID = o.DESCR AND f.AS_NAME = 'RESTRICTED'
-		WHERE o.OBJECT = @p1 AND o.B_DATE <= GETDATE() AND (o.E_DATE IS NULL OR o.E_DATE > GETDATE())
-		ORDER BY o.B_DATE DESC`, sql.Named("p1", valID)).Scan(&val)
+	err := db.QueryRowContext(ctx, fsql.Chk06, sql.Named("p1", valID)).Scan(&val)
 	switch {
 	case errors.Is(err, sql.ErrNoRows):
 		return false, "ограничений по обращению нет (опция DEPO)"
@@ -321,9 +315,7 @@ func depoBlocking(ctx context.Context, db *sql.DB, valID, clientID int64) (ok bo
 	var balAcc sql.NullInt64
 	var k sql.NullFloat64
 	er := db.QueryRowContext(ctx,
-		`SELECT TOP 1 r.BLOCK_DATE, r.BLOCK_REASON, r.BAL_ACC, CAST(r.K AS float)
-		 FROM OD_RESTS r WHERE r.VALUE_ID=@p1 AND r.REG_1=@p2
-		 ORDER BY CASE WHEN r.BLOCK_DATE IS NOT NULL THEN 0 WHEN r.BAL_ACC IN (837,3410,4342,5647) AND CAST(r.K AS float)<>0 THEN 1 ELSE 2 END`,
+		fsql.Chk07,
 		sql.Named("p1", valID), sql.Named("p2", clientID)).Scan(&blockDate, &blockReason, &balAcc, &k)
 	if er != nil {
 		return true, "регистра бумаги на счёте нет — блокировок нет"
@@ -500,7 +492,7 @@ func runDepoCheckOutAccount(last, first, middle, ser, num, birth string, secs []
 		default:
 			var id, state int64
 			var dclose sql.NullTime
-			err := db.QueryRowContext(ctx, `SELECT TOP 1 ID, ISNULL(STATE,-1), D_CLOSE FROM OD_CLIENTS WHERE FACE=@p1 AND UPPER(NUMBER)=@p2 ORDER BY ID`,
+			err := db.QueryRowContext(ctx, fsql.Chk08,
 				sql.Named("p1", p.faceID), sql.Named("p2", want)).Scan(&id, &state, &dclose)
 			switch {
 			case err != nil:
@@ -578,7 +570,7 @@ func runDepoCheckOutAccount(last, first, middle, ser, num, birth string, secs []
 		if p.accOpen != "" && found {
 			var have float64
 			_ = db.QueryRowContext(ctx,
-				`SELECT ISNULL(SUM(CAST(K AS float)),0) FROM OD_RESTS WHERE VALUE_ID=@p1 AND REG_1=@p2 AND BAL_ACC=@p3`,
+				fsql.Chk09,
 				sql.Named("p1", valID), sql.Named("p2", p.clientID), sql.Named("p3", depoTradeBalAcc)).Scan(&have)
 			qtyOK = have >= need && need > 0
 			qtyDet = fmt.Sprintf("на торговом счёте %s: %.0f шт., списываем %.0f", p.accOpen, have, need)