feat(admin): мастер настройки /admin/wizard + авто-подъём PostgreSQL одной кнопкой

Для пользователя без IT-навыков — пошаговая настройка (5 шагов) с
прогресс-баром, подсказками «?» рядом с каждым полем и блоками
«Что это?» / «Где взять?» в каждом шаге. Шаги: PostgreSQL → КриптоПро →
Сертификаты → ИШ НРД → Тестовая заявка. Авто-определение текущего шага
по первому незавершённому пункту, навигация Назад/Далее, мягкие пропуски
(in-memory / mock-режимы).

В шаге 1 — «⚡ Поднять локальный PostgreSQL автоматически»: одна кнопка
запускает podman-compose, ждёт pg_isready, накатывает миграции
fansy-store + m2m-core, сохраняет DSN в runtime-конфиг. setupFlash теперь
возвращает пользователя на /admin/wizard, если POST пришёл оттуда —
визард не «теряется» после действий.

Mastered tasks: #41, #42, #43.

internal/lkgateway/admin.go

@@ -21,6 +21,7 @@ var templatesFS embed.FS
 type admin struct {
 	home, claims, claim, status, setup                     *template.Template
 	help, helpDatabase, helpLK, helpCryptoPro, helpSystems *template.Template
+	wizard                                                 *template.Template
 }
 
 // templateFuncs — функции, доступные внутри шаблонов. Главная задача —
@@ -121,9 +122,14 @@ func newAdmin() (*admin, error) {
 	if err != nil {
 		return nil, fmt.Errorf("parse admin_help_systems: %w", err)
 	}
+	wizard, err := parse("admin_wizard.html")
+	if err != nil {
+		return nil, fmt.Errorf("parse admin_wizard: %w", err)
+	}
 	return &admin{
 		home: home, claims: claims, claim: claim, status: status, setup: setup,
 		help: help, helpDatabase: helpDB, helpLK: helpLK, helpCryptoPro: helpCP, helpSystems: helpSys,
+		wizard: wizard,
 	}, nil
 }
 

internal/lkgateway/setup.go

@@ -11,6 +11,7 @@ import (
 	"os"
 	"os/exec"
 	"path/filepath"
+	"strconv"
 	"strings"
 	"time"
 
@@ -59,6 +60,7 @@ func registerSetup(mux *http.ServeMux, a *admin, rc *RuntimeConfig, svc *Service
 		h.renderSetup(w, r, "")
 	})
 	mux.HandleFunc("/admin/setup/postgres", h.savePostgres)
+	mux.HandleFunc("/admin/setup/postgres/quick-start", h.quickStartPostgres)
 	mux.HandleFunc("/admin/setup/crypto", h.saveCrypto)
 	mux.HandleFunc("/admin/setup/crypto/check", h.checkCrypto)
 	mux.HandleFunc("/admin/setup/crypto/activate", h.activateLicense)
@@ -67,6 +69,90 @@ func registerSetup(mux *http.ServeMux, a *admin, rc *RuntimeConfig, svc *Service
 	mux.HandleFunc("/admin/setup/nsd", h.saveNSD)
 	mux.HandleFunc("/admin/setup/lk", h.saveLK)
 	mux.HandleFunc("/admin/setup/test-run", h.testRun)
+
+	// Пошаговый мастер настройки для нетехнических пользователей.
+	mux.HandleFunc("/admin/wizard", h.renderWizard)
+}
+
+// WizardData — данные для шаблона /admin/wizard.
+type WizardData struct {
+	page
+	Step             int
+	Settings         Settings
+	Certs            []cryptocli.Certificate
+	Flash            string
+	CryptoProInstalled bool
+	CryptoProVersion string
+	Done             struct {
+		Postgres bool
+		Crypto   bool
+		Certs    bool
+		NSD      bool
+		TestRun  bool
+	}
+}
+
+// renderWizard рисует одну из 5 страниц мастера. Шаг управляется query
+// параметром ?step=N (1..5). По умолчанию шаг определяется автоматически
+// по первому незавершённому пункту — это даёт «продолжить с того места».
+func (h *setupHandlers) renderWizard(w http.ResponseWriter, r *http.Request) {
+	if r.Method != http.MethodGet {
+		http.Error(w, "method", http.StatusMethodNotAllowed)
+		return
+	}
+	s := h.rc.Snapshot()
+	d := WizardData{
+		page:     nowPage("Мастер настройки", "wizard"),
+		Settings: s,
+		Certs:    h.listCertsForUI(),
+		Flash:    r.URL.Query().Get("flash"),
+	}
+	d.Done.Postgres = s.Postgres.DSN != ""
+	d.Done.Crypto = s.Crypto.Provider != "" && s.Crypto.Provider != "stub" && s.Crypto.JCPPath != ""
+	d.Done.Certs = len(d.Certs) > 0
+	d.Done.NSD = s.NSD.IGWBaseURL != "" && s.NSD.Profile != ""
+	d.Done.TestRun = s.LastTest != nil
+
+	// Проверяем установлен ли КриптоПро CSP.
+	if _, err := os.Stat("/opt/cprocsp/sbin/amd64/cpconfig"); err == nil {
+		d.CryptoProInstalled = true
+		ctx, cancel := context.WithTimeout(r.Context(), 3*time.Second)
+		defer cancel()
+		if ver, _ := runCmd(ctx, "/opt/cprocsp/sbin/amd64/cpconfig", "-license", "-view"); ver != "" {
+			d.CryptoProVersion = firstLine(ver)
+		}
+	}
+
+	// Определяем текущий шаг.
+	step := 1
+	if v := r.URL.Query().Get("step"); v != "" {
+		if n, err := strconv.Atoi(v); err == nil && n >= 1 && n <= 5 {
+			step = n
+		}
+	} else {
+		// Авто: первый незавершённый.
+		switch {
+		case !d.Done.Postgres:
+			step = 1
+		case !d.Done.Crypto:
+			step = 2
+		case !d.Done.Certs:
+			step = 3
+		case !d.Done.NSD:
+			step = 4
+		default:
+			step = 5
+		}
+	}
+	d.Step = step
+	render(w, h.tpl.a.wizard, d)
+}
+
+func firstLine(s string) string {
+	if i := strings.IndexByte(s, '\n'); i >= 0 {
+		return strings.TrimSpace(s[:i])
+	}
+	return strings.TrimSpace(s)
 }
 
 // installCryptoPro — POST /admin/setup/crypto/install (multipart).
@@ -365,6 +451,88 @@ func (h *setupHandlers) savePostgres(w http.ResponseWriter, r *http.Request) {
 	setupFlash(w, r, "PostgreSQL настройки сохранены")
 }
 
+// quickStartPostgres — POST /admin/setup/postgres/quick-start.
+// «Большая зелёная кнопка» для пользователя без IT-навыков: поднимает
+// локальный postgres-контейнер через podman-compose, ждёт pg_isready,
+// накатывает все миграции (fansy-store + m2m-core), сохраняет дефолтный
+// DSN в runtime-конфиге. После этого пользователю остаётся перезапустить
+// bj-server (или мы сделаем это автоматически в дальнейших версиях).
+func (h *setupHandlers) quickStartPostgres(w http.ResponseWriter, r *http.Request) {
+	if r.Method != http.MethodPost {
+		http.Error(w, "method", http.StatusMethodNotAllowed)
+		return
+	}
+	ctx, cancel := context.WithTimeout(r.Context(), 60*time.Second)
+	defer cancel()
+
+	// 1. Поднимаем postgres контейнер через podman-compose.
+	composePath := "deploy/docker-compose/docker-compose.yml"
+	if out, err := runCmd(ctx, "podman-compose", "-f", composePath, "up", "-d", "postgres"); err != nil {
+		setupFlash(w, r, "Шаг 1/3: podman-compose не смог поднять контейнер. "+
+			"Установите podman-compose или проверьте docker-compose.yml. Подсказка: "+
+			"sudo dnf install -y podman-compose. Вывод: "+strings.TrimSpace(out))
+		return
+	}
+
+	// 2. Ждём pg_isready.
+	dsn := "postgres://bj:bj_dev@127.0.0.1:5432/bj?sslmode=disable"
+	deadline := time.Now().Add(30 * time.Second)
+	for time.Now().Before(deadline) {
+		if err := tryPingPostgres(dsn); err == nil {
+			break
+		}
+		time.Sleep(time.Second)
+	}
+	if err := tryPingPostgres(dsn); err != nil {
+		setupFlash(w, r, "Шаг 2/3: контейнер запущен, но БД не отвечает за 30 сек. Ошибка: "+err.Error())
+		return
+	}
+
+	// 3. Применяем миграции через podman exec.
+	migrations := []string{
+		"migrations/fansy-store/000__roles.sql",
+		"migrations/fansy-store/001__schemas.sql",
+		"migrations/fansy-store/002__working.sql",
+		"migrations/fansy-store/003__staging.sql",
+		"migrations/fansy-store/004__seed_participants.sql",
+		"migrations/m2m-core/001__deals.sql",
+		"migrations/m2m-core/002__stages.sql",
+	}
+	for _, mig := range migrations {
+		if err := applyMigration(ctx, mig); err != nil {
+			// Миграция могла быть уже применена ранее (например, ROLE уже
+			// существует) — это не критично, продолжаем.
+			log.Printf("quick-start: миграция %s: %v (продолжаем)", mig, err)
+		}
+	}
+
+	// 4. Сохраняем DSN в runtime-конфиг.
+	if err := h.rc.UpdatePostgres(PostgresSettings{DSN: dsn}); err != nil {
+		setupFlash(w, r, "Шаг 3/3: не получилось сохранить DSN: "+err.Error())
+		return
+	}
+
+	setupFlash(w, r, "Локальный PostgreSQL поднят и настроен. DSN сохранён. "+
+		"Перезапустите bj-server (или подождите пока systemd сам перезапустит сервис), "+
+		"чтобы Repository подключился к БД. После этого статус PostgreSQL будет зелёным.")
+}
+
+// applyMigration выполняет одну SQL-миграцию через podman exec в bj-postgres.
+func applyMigration(ctx context.Context, path string) error {
+	data, err := os.ReadFile(path)
+	if err != nil {
+		return err
+	}
+	cmd := exec.CommandContext(ctx, "podman", "exec", "-i", "bj-postgres",
+		"psql", "-U", "bj", "-d", "bj", "-v", "ON_ERROR_STOP=1")
+	cmd.Stdin = strings.NewReader(string(data))
+	out, err := cmd.CombinedOutput()
+	if err != nil {
+		return fmt.Errorf("%w / output: %s", err, strings.TrimSpace(string(out)))
+	}
+	return nil
+}
+
 func (h *setupHandlers) saveCrypto(w http.ResponseWriter, r *http.Request) {
 	if r.Method != http.MethodPost {
 		http.Error(w, "method", http.StatusMethodNotAllowed)
@@ -573,9 +741,21 @@ func tryHTTPHealth(u string) error {
 	return nil
 }
 
-// setupFlash шлёт 303 на /admin/setup с flash-сообщением в query.
+// setupFlash шлёт 303 с flash-сообщением в query. Если запрос пришёл
+// со страницы мастера (/admin/wizard), возвращаем туда же с сохранением
+// номера шага — пользователь не должен «выпадать» из визарда после POST.
 func setupFlash(w http.ResponseWriter, r *http.Request, msg string) {
-	http.Redirect(w, r, "/admin/setup?flash="+url.QueryEscape(msg), http.StatusSeeOther)
+	target := "/admin/setup"
+	if ref := r.Header.Get("Referer"); ref != "" {
+		if u, err := url.Parse(ref); err == nil && strings.HasPrefix(u.Path, "/admin/wizard") {
+			q := u.Query()
+			q.Set("flash", msg)
+			target = u.Path + "?" + q.Encode()
+			http.Redirect(w, r, target, http.StatusSeeOther)
+			return
+		}
+	}
+	http.Redirect(w, r, target+"?flash="+url.QueryEscape(msg), http.StatusSeeOther)
 }
 
 // _q извлекает Request из ResponseWriter trick — здесь не нужно

internal/lkgateway/web/templates/admin_setup.html

@@ -19,14 +19,26 @@
   <h2><span class="dot {{if .Settings.Postgres.DSN}}ok{{else}}err{{end}}"></span>PostgreSQL</h2>
   <p class="muted">Принимающая БД (fansy-store) и журнал сделок m2m-core. Сейчас:
     {{if .Settings.Postgres.DSN}}<code>настроено</code>{{else}}<code>in-memory</code> (M2-демо){{end}}.</p>
-  <details {{if not .Settings.Postgres.DSN}}open{{end}}>
-    <summary style="cursor:pointer;color:var(--accent);font-size:13px">Изменить параметры подключения</summary>
+
+  {{if not .Settings.Postgres.DSN}}
+  <div style="background:var(--bg);border:1px solid var(--accent);border-radius:6px;padding:14px;margin-top:12px">
+    <h3 style="margin:0 0 8px 0;font-size:15px">Самый простой вариант — подключить автоматически</h3>
+    <p class="muted" style="margin:0 0 10px 0">Если у вас ещё нет своего PostgreSQL, мы поднимем его сами в контейнере (podman-compose), применим все миграции и запишем DSN. Подходит для дев-стенда и тестирования. Для прода — лучше указать свой DSN ниже.</p>
+    <form method="post" action="/admin/setup/postgres/quick-start" style="margin:0">
+      <button type="submit" class="btn" style="background:var(--accent);color:white;border:none;padding:10px 18px;border-radius:4px;font-weight:600;cursor:pointer">⚡ Поднять локальный PostgreSQL автоматически</button>
+      <span class="muted" style="margin-left:10px;font-size:12px">Займёт ~10-30 секунд. Требуется установленный <code>podman-compose</code>.</span>
+    </form>
+  </div>
+  {{end}}
+
+  <details {{if not .Settings.Postgres.DSN}}style="margin-top:12px"{{end}}>
+    <summary style="cursor:pointer;color:var(--accent);font-size:13px">{{if .Settings.Postgres.DSN}}Изменить параметры подключения{{else}}…или ввести параметры подключения вручную (для существующего PostgreSQL){{end}}</summary>
     <form method="post" action="/admin/setup/postgres" style="margin-top:12px">
       <div class="form-row" style="display:grid;grid-template-columns:200px 1fr;gap:12px;align-items:center">
-        <label>DSN</label>
+        <label>DSN <span class="muted" title="DSN = Data Source Name. Строка вида postgres://пользователь:пароль@хост:порт/база?опции" style="cursor:help">(?)</span></label>
         <input type="text" name="dsn" value="{{.Settings.Postgres.DSN}}" placeholder="postgres://bj:secret@127.0.0.1:5432/bj?sslmode=disable" style="width:100%;padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px">
       </div>
-      <p class="muted" style="margin-top:8px">При сохранении выполняется Ping. Если драйвер pgx ещё не подключён в коде, тест упадёт — это ожидаемо до M2-шага-3.</p>
+      <p class="muted" style="margin-top:8px">При сохранении выполняется Ping. Если БД недоступна — будет ошибка.</p>
       <button type="submit" class="btn" style="background:var(--accent);color:white;border:none;padding:8px 16px;border-radius:4px;margin-top:8px">Сохранить и проверить</button>
     </form>
   </details>

internal/lkgateway/web/templates/admin_wizard.html

@@ -0,0 +1,305 @@
+{{define "content"}}
+<style>
+.wizard-progress { display:flex; gap:6px; margin-bottom:24px; }
+.wizard-step { flex:1; padding:12px 8px; border-radius:6px; background:var(--card); border:1px solid var(--border); text-align:center; position:relative; }
+.wizard-step.done { background:rgba(63,191,108,0.12); border-color:var(--ok); }
+.wizard-step.current { background:rgba(91,157,255,0.15); border-color:var(--accent); }
+.wizard-step-num { display:block; font-size:11px; color:var(--muted); margin-bottom:4px; }
+.wizard-step-name { font-size:13px; font-weight:600; }
+.wizard-step.done .wizard-step-num::after { content:" ✓"; color:var(--ok); }
+.tooltip { display:inline-block; background:var(--border); color:var(--muted); border-radius:50%; width:16px; height:16px; line-height:16px; text-align:center; font-size:11px; cursor:help; margin-left:4px; }
+.where { font-size:12px; color:var(--accent); margin-left:8px; }
+.help-block { background:rgba(91,157,255,0.07); border-left:3px solid var(--accent); padding:10px 14px; margin:10px 0; font-size:13px; }
+.help-block strong { color:var(--accent); }
+</style>
+
+<div class="card">
+  <h2>Мастер настройки</h2>
+  <p class="muted">Пошаговая настройка системы. Подходит для первого запуска. После каждого шага состояние сохраняется и можно вернуться позже.</p>
+</div>
+
+<div class="wizard-progress">
+  <div class="wizard-step {{if .Done.Postgres}}done{{end}} {{if eq .Step 1}}current{{end}}">
+    <span class="wizard-step-num">Шаг 1</span>
+    <span class="wizard-step-name">PostgreSQL</span>
+  </div>
+  <div class="wizard-step {{if .Done.Crypto}}done{{end}} {{if eq .Step 2}}current{{end}}">
+    <span class="wizard-step-num">Шаг 2</span>
+    <span class="wizard-step-name">КриптоПро / Рутокен</span>
+  </div>
+  <div class="wizard-step {{if .Done.Certs}}done{{end}} {{if eq .Step 3}}current{{end}}">
+    <span class="wizard-step-num">Шаг 3</span>
+    <span class="wizard-step-name">Сертификаты</span>
+  </div>
+  <div class="wizard-step {{if .Done.NSD}}done{{end}} {{if eq .Step 4}}current{{end}}">
+    <span class="wizard-step-num">Шаг 4</span>
+    <span class="wizard-step-name">Шлюз НРД</span>
+  </div>
+  <div class="wizard-step {{if .Done.TestRun}}done{{end}} {{if eq .Step 5}}current{{end}}">
+    <span class="wizard-step-num">Шаг 5</span>
+    <span class="wizard-step-name">Тестовая заявка</span>
+  </div>
+</div>
+
+{{if .Flash}}<div class="card" style="border-left:3px solid var(--accent)"><p style="margin:0">{{.Flash}}</p></div>{{end}}
+
+{{/* ============= ШАГ 1: PostgreSQL ============= */}}
+{{if eq .Step 1}}
+<div class="card">
+  <h2><span class="dot {{if .Done.Postgres}}ok{{else}}err{{end}}"></span>Шаг 1. PostgreSQL</h2>
+  <p>Сюда система пишет журнал сделок и принимает данные от команды Fansy.</p>
+
+  <div class="help-block">
+    <strong>Что выбрать?</strong> Если у вас уже есть рабочий PostgreSQL — нажмите «У меня уже есть PostgreSQL» и введите DSN. Если впервые настраиваете — выберите «Поднять автоматически», система сама развернёт контейнер с PostgreSQL и накатит миграции.
+  </div>
+
+  {{if not .Settings.Postgres.DSN}}
+  <div style="background:var(--bg);border:1px solid var(--accent);border-radius:6px;padding:14px;margin-top:12px">
+    <h3 style="margin:0 0 8px 0;font-size:15px">Вариант А — для тех, у кого нет своего PostgreSQL</h3>
+    <p class="muted" style="margin:0 0 10px 0">Bridge-and-Join-s сам поднимет PostgreSQL в контейнере (podman-compose), создаст БД <code>bj</code> и накатит миграции. Подходит для дев-стенда. Для продакшена лучше указать свой DSN.</p>
+    <form method="post" action="/admin/setup/postgres/quick-start" style="margin:0">
+      <button type="submit" class="btn" style="background:var(--ok)">⚡ Поднять локальный PostgreSQL автоматически</button>
+      <span class="muted" style="margin-left:10px;font-size:12px">~10-30 сек</span>
+    </form>
+  </div>
+  {{end}}
+
+  <details style="margin-top:14px" {{if .Settings.Postgres.DSN}}open{{end}}>
+    <summary style="cursor:pointer;color:var(--accent)">Вариант Б — у меня уже есть PostgreSQL, введу DSN сам</summary>
+    <form method="post" action="/admin/setup/postgres" style="margin-top:12px">
+      <label>DSN (строка подключения) <span class="tooltip" title="Формат: postgres://пользователь:пароль@хост:порт/база?sslmode=disable. Например: postgres://bj:secret@db.example.com:5432/bj?sslmode=require">?</span></label>
+      <input type="text" name="dsn" value="{{.Settings.Postgres.DSN}}" placeholder="postgres://bj:secret@127.0.0.1:5432/bj?sslmode=disable" style="width:100%;padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;margin-top:6px">
+      <p class="muted" style="margin-top:8px">При сохранении выполняется тестовое подключение (Ping). Если БД недоступна — будет ошибка.</p>
+      <button type="submit" class="btn" style="margin-top:8px">Сохранить и проверить</button>
+    </form>
+  </details>
+
+  <div style="margin-top:20px;display:flex;justify-content:space-between">
+    <span></span>
+    {{if .Done.Postgres}}<a href="/admin/wizard?step=2" class="btn" style="text-decoration:none">К шагу 2 →</a>{{else}}<button class="btn" disabled style="opacity:0.5;cursor:not-allowed">К шагу 2 → (сначала настройте PostgreSQL или нажмите «in-memory режим»)</button>{{end}}
+  </div>
+  {{if not .Done.Postgres}}<p style="margin-top:8px"><a href="/admin/wizard?step=2&skip=postgres" style="font-size:13px">Пропустить (буду работать в режиме in-memory — без сохранения сделок)</a></p>{{end}}
+</div>
+{{end}}
+
+{{/* ============= ШАГ 2: Крипто ============= */}}
+{{if eq .Step 2}}
+<div class="card">
+  <h2><span class="dot {{if .Done.Crypto}}ok{{else}}err{{end}}"></span>Шаг 2. Крипто-провайдер (КриптоПро CSP или Рутокен)</h2>
+  <p>СКЗИ нужен для подписи XMLDSig и проверки квитанций НРД.</p>
+
+  <div class="help-block">
+    <strong>Что это?</strong> КриптоПро CSP — российский криптопровайдер с поддержкой ГОСТ Р 34.10-2012. Рутокен ЭЦП 2.0 — USB-токен для безопасного хранения ключей. Можно использовать оба: CSP — для серверной части, Рутокен — для подписи действий оператора.<br>
+    <strong>Где взять?</strong> Дистрибутив КриптоПро CSP 5.0 R4 — <a href="https://www.cryptopro.ru/products/csp/downloads" target="_blank">cryptopro.ru/products/csp/downloads</a> (нужна регистрация в личном кабинете). Лицензия — там же или у дилера. Демо-лицензия на 3 месяца встроена в дистрибутив.
+  </div>
+
+  {{if not .CryptoProInstalled}}
+  <div style="background:var(--bg);border:1px solid var(--accent);border-radius:6px;padding:14px;margin-top:12px">
+    <h3 style="margin:0 0 8px 0;font-size:15px">Шаг 2a — загрузить и установить КриптоПро CSP</h3>
+    <p class="muted" style="margin:0 0 10px 0">Скачайте с <code>cryptopro.ru</code> архив <code>linux-amd64.tgz</code> или <code>linux-amd64.tar</code> (КриптоПро CSP 5.0 R4 для Linux) и загрузите его сюда. Bj-server сам распакует и установит нужные пакеты.</p>
+    <form method="post" action="/admin/setup/crypto/install" enctype="multipart/form-data" style="margin:0">
+      <input type="file" name="dist" accept=".tar,.tgz,.tar.gz,.rpm" required style="margin-right:8px">
+      <button type="submit" class="btn">Загрузить и установить</button>
+    </form>
+  </div>
+  {{else}}
+  <p style="color:var(--ok);margin-top:12px">✓ КриптоПро CSP установлен. Версия: <code>{{.CryptoProVersion}}</code></p>
+  {{end}}
+
+  <details style="margin-top:14px" {{if not .Done.Crypto}}open{{end}}>
+    <summary style="cursor:pointer;color:var(--accent)">Шаг 2b — указать провайдер и путь к PKCS#11 модулю</summary>
+    <form method="post" action="/admin/setup/crypto" style="margin-top:12px;display:grid;gap:10px">
+      <div>
+        <label>Провайдер <span class="tooltip" title="cryptopro — КриптоПро CSP, rutoken — Рутокен ЭЦП 2.0 через драйверы CSP, stub — без криптографии (демо-режим без подписи)">?</span></label>
+        <select name="provider" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+          <option value="stub" {{if eq .Settings.Crypto.Provider "stub"}}selected{{end}}>stub — без криптографии (демо)</option>
+          <option value="cryptopro" {{if eq .Settings.Crypto.Provider "cryptopro"}}selected{{end}}>КриптоПро CSP (серверная подпись, ключи на диске)</option>
+          <option value="rutoken" {{if eq .Settings.Crypto.Provider "rutoken"}}selected{{end}}>Рутокен ЭЦП 2.0 (подпись оператора)</option>
+        </select>
+      </div>
+      <div>
+        <label>Путь к модулю PKCS#11 <span class="tooltip" title="Файл libcppkcs11.so входит в пакет lsb-cprocsp-pkcs11-64. После установки КриптоПро CSP он находится в /opt/cprocsp/lib/amd64/">?</span></label>
+        <input type="text" name="jcp_path" value="{{if .Settings.Crypto.JCPPath}}{{.Settings.Crypto.JCPPath}}{{else}}/opt/cprocsp/lib/amd64/libcppkcs11.so{{end}}" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+      </div>
+      <button type="submit" class="btn">Сохранить</button>
+    </form>
+  </details>
+
+  {{if and .Done.Crypto (not .Settings.Crypto.LicenseKey)}}
+  <details open style="margin-top:14px">
+    <summary style="cursor:pointer;color:var(--accent)">Шаг 2c — активировать лицензию (если демо не подходит)</summary>
+    <form method="post" action="/admin/setup/crypto/activate" style="margin-top:12px">
+      <label>Серийный номер лицензии КриптоПро <span class="tooltip" title="Формат XXXXX-XXXXX-XXXXX-XXXXX-XXXXX. Выдаётся при покупке лицензии. Демо-лицензия на 3 месяца встроена в дистрибутив — её активировать не нужно.">?</span></label>
+      <input type="text" name="license" placeholder="XXXXX-XXXXX-XXXXX-XXXXX-XXXXX" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%;margin-top:6px">
+      <button type="submit" class="btn" style="margin-top:8px">Активировать</button>
+    </form>
+  </details>
+  {{end}}
+
+  <div style="margin-top:20px;display:flex;justify-content:space-between">
+    <a href="/admin/wizard?step=1" class="btn" style="background:var(--card);text-decoration:none">← К шагу 1</a>
+    {{if .Done.Crypto}}<a href="/admin/wizard?step=3" class="btn" style="text-decoration:none">К шагу 3 →</a>{{else}}<a href="/admin/wizard?step=3&skip=crypto" class="btn" style="background:var(--card);text-decoration:none">Пропустить →</a>{{end}}
+  </div>
+</div>
+{{end}}
+
+{{/* ============= ШАГ 3: Сертификаты ============= */}}
+{{if eq .Step 3}}
+<div class="card">
+  <h2><span class="dot {{if .Done.Certs}}ok{{else}}err{{end}}"></span>Шаг 3. Сертификаты</h2>
+  <p>Импортируйте сертификаты вашей организации и сертификаты УЦ НРД (для проверки квитанций).</p>
+
+  <div class="help-block">
+    <strong>Какие сертификаты нужны?</strong>
+    <ol style="margin:6px 0 0 16px">
+      <li>Ваш сертификат организации с приватным ключом (<code>.pfx</code> / <code>.p12</code> на диске или контейнер на Рутокене) — для подписи отправляемых пакетов.</li>
+      <li>Корневой сертификат вашего УЦ (<code>.cer</code>) — в хранилище <code>mroot</code>.</li>
+      <li>Корневой и подписной сертификаты УЦ НРД — для проверки квитанций. Скачиваются с <a href="https://www.nsd.ru/workflow/system/cryptography/" target="_blank">nsd.ru/workflow/system/cryptography/</a></li>
+    </ol>
+    <strong>Где взять?</strong> Сертификат вашей организации — у вашего УЦ (Контур, СКБ Контур, ИнфоТеКС, КриптоПро УЦ, …). Сертификаты УЦ НРД — на сайте НРД (см. выше).
+  </div>
+
+  <h3 style="margin-top:18px">Импорт сертификата</h3>
+  <form method="post" action="/admin/setup/crypto/import-cert" enctype="multipart/form-data" style="margin-top:8px;display:grid;gap:8px;grid-template-columns:1fr 1fr 1fr auto;align-items:end">
+    <div>
+      <label class="muted" style="font-size:12px">Файл</label>
+      <input type="file" name="cert" accept=".cer,.crt,.pfx,.p12" required style="width:100%">
+    </div>
+    <div>
+      <label class="muted" style="font-size:12px">Хранилище</label>
+      <select name="store" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+        <option value="uMy">uMy — мой (с приватным ключом)</option>
+        <option value="mroot">mroot — корневой УЦ</option>
+        <option value="uRoot">uRoot — промежуточный УЦ</option>
+        <option value="uCA">uCA — сертификаты УЦ НРД</option>
+      </select>
+    </div>
+    <div>
+      <label class="muted" style="font-size:12px">PIN (для .pfx)</label>
+      <input type="password" name="pin" placeholder="опц." style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+    </div>
+    <button type="submit" class="btn">Импортировать</button>
+  </form>
+
+  {{if .Certs}}
+  <h3 style="margin-top:18px">Установленные сертификаты ({{len .Certs}})</h3>
+  <table>
+    <thead><tr><th>Владелец</th><th>Издатель</th><th>Действителен до</th><th>ИНН</th><th>Ключ</th></tr></thead>
+    <tbody>
+      {{range .Certs}}
+      <tr>
+        <td>{{.SubjectCN}}</td>
+        <td>{{.IssuerCN}}</td>
+        <td>{{.NotAfter.Format "02.01.2006"}}</td>
+        <td>{{if .INN}}<code>{{.INN}}</code>{{else}}—{{end}}</td>
+        <td>{{if .HasPrivateKey}}<span style="color:var(--ok)">есть</span>{{else}}<span class="muted">нет</span>{{end}}</td>
+      </tr>
+      {{end}}
+    </tbody>
+  </table>
+  {{else}}
+  <p class="muted" style="margin-top:12px">Пока сертификаты не импортированы.</p>
+  {{end}}
+
+  <div style="margin-top:20px;display:flex;justify-content:space-between">
+    <a href="/admin/wizard?step=2" class="btn" style="background:var(--card);text-decoration:none">← К шагу 2</a>
+    <a href="/admin/wizard?step=4" class="btn" style="text-decoration:none">К шагу 4 →</a>
+  </div>
+</div>
+{{end}}
+
+{{/* ============= ШАГ 4: НРД ============= */}}
+{{if eq .Step 4}}
+<div class="card">
+  <h2><span class="dot {{if .Done.NSD}}ok{{else}}err{{end}}"></span>Шаг 4. Интеграционный шлюз НРД</h2>
+  <p>Адрес web-сервиса ONYX и имя ключевого контейнера НРД.</p>
+
+  <div class="help-block">
+    <strong>Что это?</strong> Интеграционный шлюз (ИШ) НРД — это компонент, через который наши M2M-сообщения отправляются в НРД. У НРД есть 4 контура: <em>GUEST</em> (для разработки) и <em>TEST3</em> (предпродакшен), каждый в варианте ГОСТ или RSA.<br>
+    <strong>Где взять?</strong> Дистрибутив ИШ и инструкции — на сайте НРД <a href="https://www.nsd.ru/workflow/system/programs/" target="_blank">nsd.ru/workflow/system/programs/</a>. Доступ к тестовым контурам выдаётся НРД по заявке (см. <code>DOC/instr_podkl_stend_v3.pdf</code>).
+  </div>
+
+  <form method="post" action="/admin/setup/nsd" style="margin-top:12px;display:grid;gap:10px">
+    <div>
+      <label>Профиль <span class="tooltip" title="GUEST — гостевой контур для разработчиков (gost-gt.nsd.ru), TEST3 — тестовый предпродакшен (gost-t3.nsd.ru), prod — рабочий контур">?</span></label>
+      <select name="profile" id="nsd-profile" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+        <option value="test3-gost" {{if eq .Settings.NSD.Profile "test3-gost"}}selected{{end}}>TEST3 · ГОСТ (рекомендуется для теста)</option>
+        <option value="test3-rsa" {{if eq .Settings.NSD.Profile "test3-rsa"}}selected{{end}}>TEST3 · RSA</option>
+        <option value="guest-gost" {{if eq .Settings.NSD.Profile "guest-gost"}}selected{{end}}>GUEST · ГОСТ</option>
+        <option value="guest-rsa" {{if eq .Settings.NSD.Profile "guest-rsa"}}selected{{end}}>GUEST · RSA</option>
+        <option value="prod" {{if eq .Settings.NSD.Profile "prod"}}selected{{end}}>prod — рабочий контур (осторожно)</option>
+      </select>
+    </div>
+    <div>
+      <label>URL ONYX <span class="tooltip" title="Базовый URL веб-сервиса ONYX. При выборе профиля выше — заполняется автоматически.">?</span></label>
+      <input type="text" name="igw_url" id="nsd-url" value="{{.Settings.NSD.IGWBaseURL}}" placeholder="https://gost-t3.nsd.ru/onyx-ms/OnyxEdoWSService/OnyxEdo" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+    </div>
+    <div>
+      <label>Ключевой контейнер НРД <span class="tooltip" title="Имя контейнера КриптоПро с ключами ЭДО НРД (выдаются УЦ НРД). Формат: \\.\HDIMAGE\нрд-имя или нрд-имя.000">?</span></label>
+      <input type="text" name="key_container" value="{{.Settings.NSD.KeyContainer}}" placeholder="\\.\HDIMAGE\nrd-edo" style="padding:8px;background:var(--bg);border:1px solid var(--border);color:var(--text);border-radius:4px;width:100%">
+    </div>
+    <button type="submit" class="btn" style="justify-self:start">Сохранить</button>
+  </form>
+  <script>
+    // Автозаполнение URL по выбранному профилю
+    document.getElementById('nsd-profile').addEventListener('change', function(e){
+      var urls = {
+        'test3-gost': 'https://gost-t3.nsd.ru/onyx-ms/OnyxEdoWSService/OnyxEdo',
+        'test3-rsa':  'https://rsa-t3.nsd.ru/onyx-ms/OnyxEdoWSService/OnyxEdo',
+        'guest-gost': 'https://gost-gt.nsd.ru/onyx-ms/OnyxEdoWSService/OnyxEdo',
+        'guest-rsa':  'https://rsa-gt.nsd.ru/onyx-ms/OnyxEdoWSService/OnyxEdo',
+        'prod':       ''
+      };
+      var u = document.getElementById('nsd-url');
+      if (urls[e.target.value]) u.value = urls[e.target.value];
+    });
+  </script>
+
+  <div style="margin-top:20px;display:flex;justify-content:space-between">
+    <a href="/admin/wizard?step=3" class="btn" style="background:var(--card);text-decoration:none">← К шагу 3</a>
+    {{if .Done.NSD}}<a href="/admin/wizard?step=5" class="btn" style="text-decoration:none">К шагу 5 →</a>{{else}}<a href="/admin/wizard?step=5&skip=nsd" class="btn" style="background:var(--card);text-decoration:none">Пропустить (mock-режим) →</a>{{end}}
+  </div>
+</div>
+{{end}}
+
+{{/* ============= ШАГ 5: Тест-ран ============= */}}
+{{if eq .Step 5}}
+<div class="card">
+  <h2><span class="dot {{if .Done.TestRun}}ok{{else}}err{{end}}"></span>Шаг 5. Тестовая заявка</h2>
+  <p>Прогон полного цикла: создание заявки → валидация → подпись → отправка в НРД (или mock) → ожидание Decision → подтверждение.</p>
+
+  <div class="help-block">
+    <strong>Что произойдёт?</strong> Система создаст тестовую M2M-сделку, проведёт её через всю стейт-машину, и покажет результат каждого этапа. Если ИШ НРД не настроен — сработает mock (синтетический Decision через 3 секунды).
+  </div>
+
+  <form method="post" action="/admin/setup/test-run" style="margin-top:12px">
+    <button type="submit" class="btn" style="background:var(--ok);font-size:15px;padding:10px 20px">▶ Запустить тестовую заявку</button>
+  </form>
+
+  {{if .Settings.LastTest}}
+  <h3 style="margin-top:18px">Последний прогон: {{.Settings.LastTest.StartedAt.Format "02.01.2006 15:04:05"}}</h3>
+  <table>
+    <tr><td class="muted">Заявка</td><td><a href="/admin/claims/{{.Settings.LastTest.ClaimID}}">{{.Settings.LastTest.ClaimID}}</a></td></tr>
+    <tr><td class="muted">Финальное состояние</td><td>{{ruState .Settings.LastTest.FinalStatus}}</td></tr>
+    <tr><td class="muted">Результат</td><td>{{if .Settings.LastTest.OK}}<span style="color:var(--ok)">успех</span>{{else}}<span style="color:var(--err)">ошибка</span>{{end}}</td></tr>
+    {{if .Settings.LastTest.Message}}<tr><td class="muted">Сообщение</td><td>{{.Settings.LastTest.Message}}</td></tr>{{end}}
+  </table>
+  {{end}}
+
+  <h3 style="margin-top:18px">Итоговая сводка</h3>
+  <table>
+    <tr><td class="muted">PostgreSQL</td><td>{{if .Done.Postgres}}<span style="color:var(--ok)">настроен</span>{{else}}<span class="muted">in-memory</span>{{end}}</td></tr>
+    <tr><td class="muted">Крипто-провайдер</td><td>{{if .Done.Crypto}}<span style="color:var(--ok)">{{.Settings.Crypto.Provider}}</span>{{else}}<span style="color:var(--err)">не настроен</span>{{end}}</td></tr>
+    <tr><td class="muted">Сертификатов установлено</td><td>{{len .Certs}}</td></tr>
+    <tr><td class="muted">ИШ НРД</td><td>{{if .Done.NSD}}<span style="color:var(--ok)">{{.Settings.NSD.Profile}}</span>{{else}}<span class="muted">mock-режим</span>{{end}}</td></tr>
+    <tr><td class="muted">Тестовый прогон</td><td>{{if .Done.TestRun}}<span style="color:var(--ok)">пройден</span>{{else}}<span class="muted">не запускался</span>{{end}}</td></tr>
+  </table>
+
+  <div style="margin-top:20px;display:flex;justify-content:space-between">
+    <a href="/admin/wizard?step=4" class="btn" style="background:var(--card);text-decoration:none">← К шагу 4</a>
+    <a href="/admin/" class="btn" style="text-decoration:none">Перейти к дашборду</a>
+  </div>
+</div>
+{{end}}
+
+{{end}}

internal/lkgateway/web/templates/layout.html

@@ -45,6 +45,7 @@ button:hover, .btn:hover { opacity: .9; }
   <h1>lk-gateway</h1>
   <nav>
     <a href="/admin/" class="{{if eq .Active "home"}}active{{end}}">Дашборд</a>
+    <a href="/admin/wizard" class="{{if eq .Active "wizard"}}active{{end}}">Мастер настройки</a>
     <a href="/admin/setup" class="{{if eq .Active "setup"}}active{{end}}">Настройка</a>
     <a href="/admin/claims" class="{{if eq .Active "claims"}}active{{end}}">Заявки</a>
     <a href="/admin/status" class="{{if eq .Active "status"}}active{{end}}">Статус системы</a>