63b45217dcdfd25a46e901fae288e39d91a8d739
§22.2 Транспортный уровень: CSP-строка расширена до полной политики (script-src без 'unsafe-inline', object-src 'none', frame-ancestors 'none', report-uri /csp-report). §22.11 «Защита от prompt injection в DOM» (новый, 4 уровня): - 22.11.1 — полная CSP-политика с 13 директивами - 22.11.2 — CI-линтер запрещает в DOM элементы с ID/class на префиксы claude-/gpt-/agent-/ai- - 22.11.3 — DOMPurify-конфиг для всех v-html - 22.11.4 — методология аудита third-party скриптов (31 keyword grep + SRI-хеши + ежеквартальный re-audit) - 22.11.5 — что НЕ делаем (не блокируем легитимных AI-агентов) Контекст — атака `claude-agent-stop-container/glow-border/animation-styles`, найденная во ВСЕХ страницах crm.bp-gr.ru (партии 10, 12-15 аудита). §22.12 «Антипаттерны оригинала» (новый): - 22.12.1 — защита формы смены пароля (vs пароль в `<input type="text">` оригинала, партия 14.3.4) - 22.12.2 — защита форм интеграций (vs API credentials в `<input type="text">` всех 5 карточек оригинала, партия 15.2.3) - 22.12.3 — code review checklist (7 пунктов) Шапка narrative обновлена. План v8.4: 7/13 ✅ (было 6/13). cspell-words.txt: +санитизация, +санитизируются. Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
Прил. Л — HTML-прототипы Лидпоток
Самодостаточные HTML-прототипы 8 ключевых экранов клиентского приложения и админки SaaS. Это не боевой код — это референс для дизайнера (Диз-1) и рабочая заготовка для frontend-команды в спринтах 1, 4, 5, 8, 14.
Как пользоваться
открыть web/index.html → выбрать экран → двойной клик
Структура проекта
lidpotok/
├── README.md ← этот файл (про прототипы)
├── CLAUDE.md ← оперативная карта для Claude Code (приоритет правил, 28 инструментов)
├── docs/ ← документация, инструкции, аудиты, брендбук, Прил. Н (tooling)
├── web/ ← HTML-прототипы экранов
└── db/ ← schema.sql и changelog схемы
Каждый прототип:
- Полностью офлайн-самодостаточный, кроме одного запроса к Google Fonts за
InterиJetBrains Mono(можно заменить на локальный fallback за минуту). - Содержит «пилюлю i» в правом нижнем углу — открывает спецификацию экрана: состояния, API-контракты, требования безопасности, что не реализовано.
- Использует только токены из
brandbook.mdv1.1. Если в проекте появятся новые токены — править надо брендбук, не прототип.
Источники истины
| Что | Где |
|---|---|
| Палитра, типографика, размерная сетка | brandbook.md v1.1 §3, §4, §5, §8 |
| SVG-логотипы | brandbook.md §9.1–9.5 |
| Поведение экранов | CRM_bp-gr_Инструкция_v8_3.md v8.3.1 |
| Админка SaaS (экран 08) | Админка_SaaS_v8_2.md |
| Открытые вопросы по дизайну | Открытые_вопросы_v8_3.md Диз-1, Диз-3 |
Статус экранов
| # | Экран | Статус | Сессия |
|---|---|---|---|
| 01 | Логин · Регистрация · 2FA · Recovery | ✅ Готово | 05.05.2026 |
| 02 | Дашборд | ⏸ В очереди | — |
| 03 | Список сделок | ⏸ В очереди | — |
| 04 | Карточка сделки | ⏸ В очереди | — |
| 05 | Канбан-доска | ⏸ В очереди | — |
| 06 | Биллинг и тарифы | ⏸ В очереди | — |
| 07 | Настройки тенанта | ⏸ В очереди | — |
| 08 | Админка SaaS | ⏸ В очереди | — |
Прототипы выпускаются по одному за сессию.
Что прототип НЕ делает
- Не подключается к API. Все формы отправляют заглушки (
alertили симулированный успех). - Не использует Vue/Vuetify — это сознательно, чтобы прототип открывался в браузере и читался без npm.
- Не покрывает все пограничные состояния (loading skeletons, ошибки сети). Эти состояния перечислены в spec-аннотации каждого экрана.
- Не финализирует слабо проработанные в ТЗ места — их я отмечаю в спецификации тегом
[?](по соглашениюPravila_raboty_Claude_v1_1.md§3.1).
Что брать из прототипа в боевой код
- CSS-переменные из
:root— копировать вresources/css/brand.cssVue-проекта (но единственный источник истины —brandbook.md §8.1). - Структура DOM и aria-атрибуты — переносить в
.vueкомпоненты как есть. - JavaScript-логику — переписывать на Composition API, но логика валидаций (zxcvbn-эвристика, TOTP-таймер, ввод по 1 цифре с автопереходом) уже близка к боевой.
Версионирование
Каждый файл прототипа фиксирует свою версию в шапке (<!-- Версия: vX.Y от ДД.ММ.ГГГГ -->). При смене узла брендбука или narrative — обновляем затронутые прототипы и фиксируем в этой таблице:
| Дата | Что изменилось |
|---|---|
| 05.05.2026 | v0.1 — прототип №01 (Логин/Регистрация/2FA/Recovery) |
| 05.05.2026 | v0.2 — прототип №02 (Дашборд) |
| 06.05.2026 | v0.3 — добавлен корневой CLAUDE.md и docs/Tooling_v8_3.md (Прил. Н v1.0). Архив документации v8.3.2 → v8.3.3. Прототипы не менялись. |
Прил. Л v0.1 от 05.05.2026 — старт серии прототипов.
Документация для разработчика
| Документ | Что в нём |
|---|---|
| CLAUDE.md | Оперативная карта для Claude Code: приоритет правил (5 уровней), стек проекта, карта 28 инструментов «когда что использовать», 10 запретов, текущая фаза |
| docs/Tooling_v8_3.md | Прил. Н v1.0 — полный реестр 28 инструментов в 4 фазах (фаза 0 — сейчас, +1 Laravel, +2 Vue, +3 pre-prod), конфликты и решения, процедура перехода между фазами, особенности Windows + PowerShell |
| docs/Pravila_raboty_Claude_v1_1.md v1.2 | Продуктовые правила работы Claude в проекте |
| docs/README_АРХИВ_v8_3.md v8.3.3 | Состав архива, навигатор по документам |
| docs/CRM_bp-gr_Инструкция_v8_3.md v8.3.1 | Главное ТЗ из 28 разделов |
| db/schema.sql v8.3 | Схема БД PostgreSQL 16 (51 таблица + 12 партиций, 81 индекс, 31 RLS-политика) |
Репозиторий
Description
Languages
PHP
41.3%
JavaScript
18.4%
HTML
16.1%
TypeScript
11.6%
Vue
9.9%
Other
2.6%