2 Commits

Author	SHA1	Message	Date
Дмитрий	f78a85595c	fix(http): IP allowlist fail-closed в production env (Plan 2.6 #ii) ... Закрывает CV.11 audit WARN #5 (пустой supplier_ip_allowlist '[]' = fail-open на production — любой IP пропускается). Изменение: SupplierWebhookController::verifyIpAllowlist — пустой allowlist возвращает true только если env != production. На production пустой allowlist блокирует (404). На dev/testing fail-open сохраняется (для localhost development). TDD: +2 теста (production env empty → 404; testing env empty → 202). Inline-warning header обновлён. phpstan-baseline: count: 6 → 8 (postJson() Pest TestCall PhpDoc-quirk). Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-10 23:08:16 +03:00
Дмитрий	e41c8f5aef	feat(http): SupplierWebhookController — platform-wide /api/webhook/supplier/{secret} ... Defense-in-depth: secret (≥32 chars system_setting) + IP allowlist (CIDR). Несовпадение → 404. UNIQUE vid → 200 OK на дубль (idempotency). Тесты пока FAIL (route регистрируется в Task 7 — пишем "красные" тесты заранее для TDD-цикла). Spec §5.1. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-05-10 19:38:18 +03:00