portal/app/routes/web.php

<?php

use Illuminate\Support\Facades\Route;

// Laravel 13 string-based lazy-loading контроллеров (Sprint 2 Phase A, O-stack-03).
//
// Контроллеры передаются как строки 'FQN@method' вместо
// [Class::class, 'method']. При таком синтаксисе Laravel НЕ автозагружает
// класс при boot'е route'ов — резолвит из строки только при матче маршрута.
// Экономит ~50-100 ms на cold-boot для middleware-пайплайна с 20+ контроллерами.
//
// Почему именно строки, а не FQN-class:
//   - Pint default preset (Laravel) применяет fixer fully_qualified_strict_types,
//     который сворачивает \App\Http\...\X::class обратно в use-импорт.
//     На строки этот fixer не действует — синтаксис стабилен под форматтером.
//
// SPA-API маршруты auth-flow. Размещены в web.php (а не api.php), потому
// что Sanctum SPA mode использует session-cookie auth, а session middleware
// добавляется только к web-группе. См. laravel.com/docs/sanctum#spa-authentication.
Route::prefix('/api/auth')->group(function () {
    Route::post('/login', 'App\Http\Controllers\Api\AuthController@login');
    Route::post('/register', 'App\Http\Controllers\Api\AuthController@register');
    // /2fa/verify публичный — у user'а ещё нет полноценной session-auth, только
    // pending_user_id в session. Verify завершает login после проверки TOTP.
    //
    // Sprint 3 Phase B (audit O-refactor-02): 2FA verify/recovery-use вынесены
    // из AuthController в TwoFactorController; forgot/reset — в PasswordResetController.
    // URL без изменений.
    Route::post('/2fa/verify', 'App\Http\Controllers\Api\TwoFactorController@verifyTwoFactor');
    // /2fa/recovery-use — публичный (нет полноценной session-auth до verify).
    Route::post('/2fa/recovery-use', 'App\Http\Controllers\Api\TwoFactorController@useRecoveryCode');
    // /forgot — публичный (anti-enumeration unified-ответ + rate-limit).
    Route::post('/forgot', 'App\Http\Controllers\Api\PasswordResetController@forgotPassword');
    // /reset-password — публичный (deep-link из email с token+email+password).
    Route::post('/reset-password', 'App\Http\Controllers\Api\PasswordResetController@resetPassword');
    Route::middleware('auth:sanctum')->group(function () {
        Route::get('/me', 'App\Http\Controllers\Api\AuthController@me');
        Route::patch('/me', 'App\Http\Controllers\Api\AuthController@updateProfile');
        Route::post('/logout', 'App\Http\Controllers\Api\AuthController@logout');
        Route::patch('/me/notification-preferences', 'App\Http\Controllers\Api\AuthController@updateNotificationPreferences');
    });
});

// In-app уведомления (P0 этап 2b). Все endpoint'ы под Sanctum SPA auth —
// уведомления USER-personal, читать/писать может только сам user.
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/notifications')->group(function () {
    Route::get('/', 'App\Http\Controllers\Api\InAppNotificationController@index');
    Route::patch('/{id}/read', 'App\Http\Controllers\Api\InAppNotificationController@markRead')->where('id', '[0-9]+');
    Route::post('/mark-all-read', 'App\Http\Controllers\Api\InAppNotificationController@markAllRead');
    Route::delete('/{id}', 'App\Http\Controllers\Api\InAppNotificationController@destroy')->where('id', '[0-9]+');
});

// Reminders (P0 этап 4) — schema v8.10 §17.5. Auth обязательный.
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/reminders')->group(function () {
    Route::get('/', 'App\Http\Controllers\Api\ReminderController@index');
    Route::post('/', 'App\Http\Controllers\Api\ReminderController@store');
    Route::patch('/{id}', 'App\Http\Controllers\Api\ReminderController@update')->where('id', '[0-9]+');
    Route::post('/{id}/complete', 'App\Http\Controllers\Api\ReminderController@complete')->where('id', '[0-9]+');
    Route::delete('/{id}', 'App\Http\Controllers\Api\ReminderController@destroy')->where('id', '[0-9]+');
});

// Reports backend. Schema §13.5 report_jobs. Auth обязательный.
// Этапы 1+2 (CRUD + provider/formatter) + этап 3 (retry/cancel/delete +
// retention cron `reports:cleanup-expired`).
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/reports/jobs')->group(function () {
    Route::get('/', 'App\Http\Controllers\Api\ReportJobController@index');
    Route::post('/', 'App\Http\Controllers\Api\ReportJobController@store');
    Route::get('/{id}', 'App\Http\Controllers\Api\ReportJobController@show')->where('id', '[0-9]+');
    Route::post('/{id}/retry', 'App\Http\Controllers\Api\ReportJobController@retry')->where('id', '[0-9]+');
    Route::post('/{id}/cancel', 'App\Http\Controllers\Api\ReportJobController@cancel')->where('id', '[0-9]+');
    Route::delete('/{id}', 'App\Http\Controllers\Api\ReportJobController@destroy')->where('id', '[0-9]+');
});

// F2 (audit): скачивание готового файла отчёта по signed URL (24 ч, OPEN-И-20).
// НЕ под auth:sanctum — подпись URL = capability-token (генерируется только
// в ReportJobController::toResource() для отчётов своего тенанта).
Route::get('/api/reports/jobs/{id}/file', 'App\Http\Controllers\Api\ReportJobController@download')
    ->where('id', '[0-9]+')
    ->name('reports.download')
    ->middleware('signed');

// J2 (Sprint 3F): стаб-гейт SaaS-admin зоны. EnsureSaasAdmin — dev/testing
// пропускает, production fail-closed 503. Реальный Yandex 360 SSO — TODO под
// Б-1+DO-4. admin_user_id внутри контроллеров (трейт ResolvesAdminUserId)
// стаб не меняет — это отдельная зона ответственности.
Route::middleware('saas-admin')->group(function () {
    // SaaS-admin impersonation flow (Ю-1). На MVP без middleware (saas-admin auth
    // не реализован), production: middleware('auth:saas-admin') + role('compliance' if needed).
    Route::prefix('/api/admin/impersonation')->group(function () {
        Route::get('/active', 'App\Http\Controllers\Api\ImpersonationController@active');
        Route::get('/recent', 'App\Http\Controllers\Api\ImpersonationController@recent');
        Route::post('/init', 'App\Http\Controllers\Api\ImpersonationController@init');
        Route::post('/verify', 'App\Http\Controllers\Api\ImpersonationController@verify');
        Route::post('/end', 'App\Http\Controllers\Api\ImpersonationController@end');
    });

    // SaaS-admin → Тенанты: lookup + детали для AdminTenantsView/AdminTenantDetailView.
    Route::get('/api/admin/tenants', 'App\Http\Controllers\Api\AdminTenantsController@index');
    Route::get('/api/admin/tenants/{subdomain}', 'App\Http\Controllers\Api\AdminTenantsController@show')
        ->where('subdomain', '[a-z0-9_-]+');
    Route::patch('/api/admin/tenants/{id}/balance', 'App\Http\Controllers\Api\AdminTenantsController@updateBalance')
        ->where('id', '[0-9]+');

    // SaaS-admin → Биллинг: aggregates пополнений/списаний за текущий месяц.
    Route::get('/api/admin/billing', 'App\Http\Controllers\Api\AdminBillingController@index');

    // Sprint 3D (G4): SaaS-admin billing row-actions — приостановка/возврат/смена тарифа.
    Route::get('/api/admin/billing/tariff-plans', 'App\Http\Controllers\Api\AdminBillingController@tariffPlans');
    Route::patch('/api/admin/billing/tenants/{id}/status', 'App\Http\Controllers\Api\AdminBillingController@updateStatus')
        ->where('id', '[0-9]+');
    Route::post('/api/admin/billing/tenants/{id}/refund', 'App\Http\Controllers\Api\AdminBillingController@refund')
        ->where('id', '[0-9]+');
    Route::patch('/api/admin/billing/tenants/{id}/tariff', 'App\Http\Controllers\Api\AdminBillingController@changeTariff')
        ->where('id', '[0-9]+');

    // SaaS-admin → Инциденты: чтение incidents_log для AdminIncidentsView.
    Route::get('/api/admin/incidents', 'App\Http\Controllers\Api\AdminIncidentsController@index');

    // Sprint 3D (G5): SaaS-admin incident detail-view drill-down.
    Route::get('/api/admin/incidents/{id}', 'App\Http\Controllers\Api\AdminIncidentsController@show')
        ->where('id', '[0-9]+');

    // Sprint 3D (G6): РКН-notify endpoint (152-ФЗ).
    Route::post('/api/admin/incidents/{id}/rkn-notify', 'App\Http\Controllers\Api\AdminIncidentsController@notifyRkn')
        ->where('id', '[0-9]+');

    // SaaS-admin → Система: edit-flow для system_settings + audit-log (4-eyes-pattern).
    // На MVP без auth-middleware (admin_user_id параметром); production: middleware('auth:saas-admin').
    Route::prefix('/api/admin/system-settings')->group(function () {
        Route::get('/', 'App\Http\Controllers\Api\AdminSystemSettingsController@index');
        Route::put('/{key}', 'App\Http\Controllers\Api\AdminSystemSettingsController@update')->where('key', '[a-z0-9_\.]+');
    });

    // Plan 4: SaaS-admin pricing-tiers editor.
    // CRUD для 7-ступенчатого тарифа. effective_from auto-computed = 1-е число
    // следующего месяца (МСК). Audit-trail в saas_admin_audit_log.
    Route::prefix('/api/admin/pricing-tiers')->group(function () {
        Route::get('/', 'App\Http\Controllers\Api\AdminPricingTiersController@index');
        Route::post('/', 'App\Http\Controllers\Api\AdminPricingTiersController@store');
        Route::delete('/scheduled/{effective_from}',
            'App\Http\Controllers\Api\AdminPricingTiersController@deleteScheduled')
            ->where('effective_from', '\d{4}-\d{2}-\d{2}');
    });

    // Plan 4 Task 10: SaaS-admin supplier prices editor.
    // CRUD для B1/B2/B3 закупочных цен. Audit-trail в saas_admin_audit_log.
    Route::get('/api/admin/suppliers', 'App\Http\Controllers\Api\AdminSuppliersController@index');
    Route::patch('/api/admin/suppliers/{id}', 'App\Http\Controllers\Api\AdminSuppliersController@update')
        ->where('id', '[0-9]+');

    // Резервный CSV-канал (Путь 2): здоровье канала + ручной запуск сверки.
    Route::get('/api/admin/supplier-integration', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@index');
    Route::post('/api/admin/supplier-integration/reconcile', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@reconcile');

    // Резерв канала миграции проектов (ярус 3): ручная очередь оператора.
    Route::get('/api/admin/supplier-integration/manual-queue', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@manualQueueIndex');
    Route::post('/api/admin/supplier-integration/manual-queue/{id}/resolve', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@manualQueueResolve')
        ->where('id', '[0-9]+');

    // Plan 4 Task 1: глобальный тумблер режима экспорта проектов (online|batch).
    Route::get('/api/admin/supplier-integration/export-mode', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@getExportMode');
    Route::post('/api/admin/supplier-integration/export-mode', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@setExportMode');

    // Plan 4 Task 2: экран «Проекты у поставщика» — список + bulk-delete.
    Route::get('/api/admin/supplier-integration/projects', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@projectsIndex');
    Route::post('/api/admin/supplier-integration/projects/delete', 'App\Http\Controllers\Api\AdminSupplierIntegrationController@projectsDestroy');

    // 152-ФЗ: обращения субъектов ПДн + анонимизация (дыра #4).
    Route::prefix('/api/admin/pd-subject-requests')->group(function () {
        Route::get('/', 'App\Http\Controllers\Api\AdminPdSubjectRequestsController@index');
        Route::post('/', 'App\Http\Controllers\Api\AdminPdSubjectRequestsController@store');
        Route::get('/{id}', 'App\Http\Controllers\Api\AdminPdSubjectRequestsController@show')
            ->where('id', '[0-9]+');
        Route::post('/{id}/erase', 'App\Http\Controllers\Api\AdminPdSubjectRequestsController@executeErasure')
            ->where('id', '[0-9]+');
    });
});

// Plan 4 Task 11: tenant charges ledger (read-only + CSV export).
// RLS изоляция через SetTenantContext (auth:sanctum + tenant) — текущий tenant
// видит только свои lead_charges. Pagination 20/page, фильтры period/source.
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/billing/charges')->group(function () {
    Route::get('/', 'App\Http\Controllers\Api\TenantChargesController@index');
    Route::post('/export', 'App\Http\Controllers\Api\TenantChargesController@export');
});

// Биллинг тенанта: пополнение/кошелёк/транзакции/счета (audit E1/E3).
// RLS на balance_transactions / saas_invoices требует tenant middleware.
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/billing')->group(function () {
    Route::post('/topup', 'App\Http\Controllers\Api\BillingController@topup');
    Route::get('/wallet', 'App\Http\Controllers\Api\BillingController@wallet');
    Route::get('/balance-status', 'App\Http\Controllers\Api\BillingController@balanceStatus');
    Route::get('/transactions', 'App\Http\Controllers\Api\BillingController@transactions');
    Route::get('/invoices', 'App\Http\Controllers\Api\BillingController@invoices');
});

// API-ключи тенанта (audit D2/D3/J5). RLS на api_keys требует tenant middleware.
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/api-keys')->group(function () {
    Route::get('/', 'App\Http\Controllers\Api\ApiKeyController@index');
    Route::post('/regenerate', 'App\Http\Controllers\Api\ApiKeyController@regenerate');
});

// Настройки исходящего webhook'а тенанта (audit D4/D5/J5).
Route::middleware(['auth:sanctum', 'tenant'])->group(function () {
    Route::get('/api/tenants/me/webhook-settings', 'App\Http\Controllers\Api\WebhookSettingsController@show');
    Route::put('/api/tenants/me/webhook-settings', 'App\Http\Controllers\Api\WebhookSettingsController@update');
    Route::post('/api/webhooks/test', 'App\Http\Controllers\Api\WebhookSettingsController@test');
});

// Дашборд — агрегат KPI/баланса/активности/воронки (audit J3). Go-live: auth:sanctum
// + tenant; tenant_id из auth()->user()->tenant_id (SetTenantContext), НЕ из параметра
// запроса — закрывает кросс-tenant утечку KPI (как DealController J1).
Route::middleware(['auth:sanctum', 'tenant'])->group(function () {
    Route::get('/api/dashboard/summary', 'App\Http\Controllers\Api\DashboardController@summary');
});

// Сделки — single-resource CRUD + bulk + export. J1 (Sprint 3F, audit):
// auth:sanctum + tenant. tenant_id берётся из auth()->user()->tenant_id
// (SetTenantContext), НЕ из параметра запроса — закрывает кросс-tenant утечку.
//
// Sprint 3 Phase A (audit O-refactor-01): single-resource CRUD в
// DealController, bulk (transition/destroy/restore) — в
// DealBulkActionController, export — в DealExportController.
Route::middleware(['auth:sanctum', 'tenant'])->group(function () {
    Route::get('/api/deals', 'App\Http\Controllers\Api\DealController@index');
    Route::get('/api/deals/{id}', 'App\Http\Controllers\Api\DealController@show')->where('id', '[0-9]+');
    Route::post('/api/deals', 'App\Http\Controllers\Api\DealController@store');
    Route::post('/api/deals/export', 'App\Http\Controllers\Api\DealExportController@export');
    Route::post('/api/deals/transition', 'App\Http\Controllers\Api\DealBulkActionController@transition');
    Route::patch('/api/deals/{id}', 'App\Http\Controllers\Api\DealController@update')->where('id', '[0-9]+');
    Route::delete('/api/deals', 'App\Http\Controllers\Api\DealBulkActionController@destroy');
    Route::post('/api/deals/restore', 'App\Http\Controllers\Api\DealBulkActionController@restore');
});

// Sprint 4 — CSV-импорт исторических лидов (ТЗ §6).
// ВАЖНО: /unknown-statuses и /unknown-statuses/resolve объявлены ДО
// /{importLog}, иначе литеральный сегмент перехватывается параметром.
Route::middleware(['auth:sanctum', 'tenant'])->group(function () {
    Route::get('/api/imports/unknown-statuses', 'App\Http\Controllers\Api\ImportController@unknownStatuses');
    Route::post('/api/imports/unknown-statuses/resolve', 'App\Http\Controllers\Api\ImportController@resolveUnknownStatuses');
    Route::get('/api/imports', 'App\Http\Controllers\Api\ImportController@index');
    Route::post('/api/imports', 'App\Http\Controllers\Api\ImportController@store');
    Route::get('/api/imports/{importLog}', 'App\Http\Controllers\Api\ImportController@show');
});

// Lookup endpoints — заполняют v-select'ы (NewDealDialog, smart-filters).
// Go-live: auth:sanctum. /api/managers — tenant-scoped (tenant_id из authed-user, НЕ из
// параметра — закрывает кросс-tenant утечку списка пользователей); /api/lead-statuses —
// глобальная таблица (без tenant_id), нужен только auth:sanctum.
Route::middleware(['auth:sanctum', 'tenant'])->group(function () {
    Route::get('/api/managers', 'App\Http\Controllers\Api\ManagerController@index');
});
Route::middleware('auth:sanctum')->group(function () {
    Route::get('/api/lead-statuses', 'App\Http\Controllers\Api\LeadStatusController@index');
});

// Plan 5 Task 2: Projects CRUD — расширенный API с auth:sanctum + RLS.
// Заменяет старый GET /api/projects?tenant_id={id} (без auth, MVP-версия).
// ⚠️ NewDealDialog использовал старый endpoint (tenant_id param, без auth) —
// после этой замены получит 401. Defer fix до Task 7 (frontend phase).
Route::middleware(['auth:sanctum', 'tenant'])->prefix('/api/projects')->group(function () {
    Route::get('/', 'App\Http\Controllers\Api\ProjectController@index')->name('projects.index');
    Route::post('/', 'App\Http\Controllers\Api\ProjectController@store')->name('projects.store');
    // /bulk MUST be declared before /{id} parameterized routes so the literal
    // segment matches before the regex placeholder is even considered.
    Route::post('/bulk', 'App\Http\Controllers\Api\ProjectController@bulk')->name('projects.bulk');
    Route::get('/{id}', 'App\Http\Controllers\Api\ProjectController@show')->name('projects.show')->where('id', '[0-9]+');
    Route::patch('/{id}', 'App\Http\Controllers\Api\ProjectController@update')->name('projects.update')->where('id', '[0-9]+');
    Route::delete('/{id}', 'App\Http\Controllers\Api\ProjectController@destroy')->name('projects.destroy')->where('id', '[0-9]+');
    Route::post('/{id}/sync', 'App\Http\Controllers\Api\ProjectController@sync')->name('projects.sync')->where('id', '[0-9]+');
    Route::patch('/{id}/toggle-active', 'App\Http\Controllers\Api\ProjectController@toggleActive')->name('projects.toggle')->where('id', '[0-9]+');
});

// Supplier-integration webhook (Plan 2/5, spec §5.1).
// Platform-wide endpoint: единый {secret} в URL для всех лидов от crm.bp-gr.ru.
// Auth: secret (system_settings.supplier_webhook_secret) + IP allowlist
// (system_settings.supplier_ip_allowlist). Не пересекается с legacy /api/webhook/{token}.
Route::post('/api/webhook/supplier/{secret}', 'App\Http\Controllers\Api\SupplierWebhookController@receive')
    ->where('secret', '[A-Za-z0-9_\-]+');

// 2FA setup wizard — все эндпоинты под auth:sanctum (только для уже залогиненных).
Route::prefix('/api/2fa')->middleware('auth:sanctum')->group(function () {
    Route::post('/init', 'App\Http\Controllers\Api\TwoFactorSetupController@init');
    Route::post('/confirm', 'App\Http\Controllers\Api\TwoFactorSetupController@confirm');
    Route::post('/disable', 'App\Http\Controllers\Api\TwoFactorSetupController@disable');
    Route::post('/regenerate-recovery-codes', 'App\Http\Controllers\Api\TwoFactorSetupController@regenerateRecoveryCodes');
});

// SPA-страницы: каждый путь отдаёт Vue-shell (один Blade-template `welcome`).
// Vue Router (createWebHistory) разруливает /login, /register и т.п. на фронте.
//
// Регистрируем явно, а не catch-all `/{any?}` — иначе тесты, регистрирующие
// runtime routes через `Route::get(...)` в beforeEach (например _test/...),
// будут перехвачены catch-all'ом и вернут welcome view вместо expected response.
Route::view('/', 'welcome');
Route::view('/login', 'welcome');
Route::view('/register', 'welcome');
Route::view('/forgot', 'welcome');
Route::view('/reset', 'welcome'); // SPA-router рендерит ResetPasswordView для /reset/{token}
Route::view('/2fa', 'welcome');
Route::view('/recovery-use', 'welcome');
Route::view('/legal/offer', 'welcome');
Route::view('/legal/privacy', 'welcome');
Route::view('/dashboard', 'welcome');
Route::view('/deals', 'welcome');
Route::view('/kanban', 'welcome');
Route::view('/projects', 'welcome');
Route::view('/billing', 'welcome');
Route::view('/settings', 'welcome');
Route::view('/reports', 'welcome');
Route::view('/reminders', 'welcome');
Route::view('/import', 'welcome'); // Sprint 4 — CSV-импорт исторических лидов §6
Route::view('/admin', 'welcome');
Route::view('/admin/tenants', 'welcome');
Route::view('/admin/billing', 'welcome');
Route::view('/admin/incidents', 'welcome');
Route::view('/admin/system', 'welcome');
Route::view('/admin/pricing-tiers', 'welcome');
Route::view('/admin/supplier-prices', 'welcome');
Route::view('/admin/supplier-integration', 'welcome');
Route::view('/admin/impersonation', 'welcome');
Route::view('/403', 'welcome');
Route::view('/500', 'welcome');

// Fallback для всех неизвестных путей — Vue Router catch-all отрисует 404.
// Срабатывает ПОСЛЕ всех явных route'ов выше и runtime-route'ов от Pest
// beforeEach (они регистрируются в момент теста, до запроса).
Route::fallback(fn () => view('welcome'));