3b142f9375
Webhook (PaymentWebhookController): строгий матч gatewayPaymentId===paymentId (confused-deputy), проверка валюты RUB (WebhookVerifyResult.currency), IP-allowlist services.yookassa.webhook_ip_allowlist (fail-open при пустом). web.php: убраны устаревшие «MVP без auth» комментарии — saas-admin зона fail-closed (nginx-basic + M-1 REMOTE_USER allowlist, проверено на проде). +3 теста, 11/11 зелёные. Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>