5 Commits

Author	SHA1	Message	Date
Дмитрий	1bd33c09cf	fix: возврат чужой работы, которую откатило моё сведение ... Перед слиянием с main я откатил 4 файла к своей старой версии, чтобы сдвинуть с места застрявшее слияние — и слияние закрепило этот откат. Пострадала починка от 29.07: чтение связок поставщика из pivot (без неё 5 из 9 работающих проектов показывали жёлтое «Готовим к запуску» при живом заказе) и два набора тестов вебхука/сверки CSV. Файлы возвращены к состоянию main 7361d1ae3. На боевой откат НЕ уезжал — выкат был точечный, только 6 файлов воронки продаж; проверено на живом сервере: починка там на месте.	2026-08-01 14:21:21 +03:00
Дмитрий	802105089d	test: дозакрытие последних 5 — advisory-lock наблюдение, cap-3, webhook фаза-3, supplier-client URL ... Набор полностью зелёный (55 to 0; 1713 pass + 4 skip). Всё тест-сторона: - AuditChainRaceConditionTest: advisory-lock в audit_chain_hash РЕАЛЬНО присутствует (миграция 2026_05_30 применяется) — падало наблюдение: bind-параметр в SQL-сдвиге (? >> 32) не сдвигал → classid не совпадал. Декомпозицию ключа считаем в PHP. NB: db/schema.sql хранит функцию БЕЗ блокировки (минорный дрейф канона; прод через миграцию защищён) — стоит перегенерить schema.sql отдельно. - SupplierConnectionTest WARN#2: matchEligibleProjects ограничен cap=LeadDistributor::CAP=3; ждать 3 из 6 видимых тенантов (кросс-tenant видимость под BYPASSRLS; при RLS было бы 0). - SupplierWebhookTest + ValidationFormatTest: фаза 3 намеренно приняла проект без B-префикса как DIRECT (не теряем заявки) — тесты под новый контракт (202 / 422 по vid). - SupplierPortalClientTest: fake-паттерн под старый URL /admin/rt-projects-load; клиент зовёт /admin/visit/rt-projects-load — обновлён паттерн. Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>	2026-06-25 08:46:43 +03:00
Дмитрий	451a2944f7	fix(http): timestamp validation ±24h для partition guard (Plan 2.6 #iii) ... Закрывает CV.11 audit WARN minor #5 (Carbon::createFromTimestamp(time) без range guard → INSERT CRASH "no partition of relation deals found for row" для timestamp вне текущего месячного окна deals_2026_MM). Изменение: SupplierWebhookController::receive — добавлено min/max constraint на 'time' = [now-24h, now+24h] unix-timestamp. Timestamp вне окна → 422 ValidationException. ±24h: покрывает retry-задержки поставщика (network-сбой) + clock-drift серверов; шире окно (±48h+) = риск partition-промаха на стыке месяцев (нужен Plan 5 partition cron). TDD: +3 теста (-2 days → 422; +2 days → 422; -6h → 202). Regression-fix: existing test 'inserts supplier_lead row' использовал hardcoded 'time' => 1703781939 (Dec 28 2023) — теперь out-of-window. Заменено на time(). phpstan-baseline: postJson() count: 8 → 11 (+3 от Task 3 тестов). Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-10 23:11:26 +03:00
Дмитрий	f78a85595c	fix(http): IP allowlist fail-closed в production env (Plan 2.6 #ii) ... Закрывает CV.11 audit WARN #5 (пустой supplier_ip_allowlist '[]' = fail-open на production — любой IP пропускается). Изменение: SupplierWebhookController::verifyIpAllowlist — пустой allowlist возвращает true только если env != production. На production пустой allowlist блокирует (404). На dev/testing fail-open сохраняется (для localhost development). TDD: +2 теста (production env empty → 404; testing env empty → 202). Inline-warning header обновлён. phpstan-baseline: count: 6 → 8 (postJson() Pest TestCall PhpDoc-quirk). Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-10 23:08:16 +03:00
Дмитрий	e41c8f5aef	feat(http): SupplierWebhookController — platform-wide /api/webhook/supplier/{secret} ... Defense-in-depth: secret (≥32 chars system_setting) + IP allowlist (CIDR). Несовпадение → 404. UNIQUE vid → 200 OK на дубль (idempotency). Тесты пока FAIL (route регистрируется в Task 7 — пишем "красные" тесты заранее для TDD-цикла). Spec §5.1. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-10 19:38:18 +03:00