feat: prod web image + Gitea Actions, demo chips removed

2026-10-18 22:44:06 +03:00 · 2026-10-18 22:44:06 +03:00 · ca3392157a
commit ca3392157a
10 changed files with 2924 additions and 0 deletions
--- a/.gitea/workflows/ci.yml
+++ b/.gitea/workflows/ci.yml
@ -0,0 +1,70 @@
+# CI/CD веба через Gitea Actions (встроенный в Gitea, раннер на сервере).
+#
+# push/PR: проверка синтаксиса JS + сборка прод-образа (локальные теги
+#   latest и короткий SHA, реестр не используется).
+# Деплой — ТОЛЬКО ручной запуск workflow (кнопка Run workflow): job скачивает
+#   compose-файлы репо бэкенда по API (секреты GITEA_HOST/GITEA_USER/
+#   GITEA_TOKEN) и перезапускает web-сервис стека свежим образом.
+#
+# Требования к раннеру (см. README бэкенда, раздел «CI/CD (Gitea Actions)»):
+#   runner.labels: [docker]  — совпадает с runs-on ниже;
+#   container.valid_volumes: /var/run/docker.sock, /opt/building-mgmt —
+#     сокет docker для сборки/деплоя и каталог стека с .env.
+name: web
+
+on:
+  push:
+    branches: [main]
+  pull_request:
+  workflow_dispatch:
+
+jobs:
+  check:
+    runs-on: docker
+    container: node:20-alpine
+    steps:
+      - uses: actions/checkout@v4
+      - name: Синтаксис JS
+        run: |
+          node --check js/api.js
+          node --check js/app.js
+
+  build-web:
+    runs-on: docker
+    container: docker:27-cli
+    steps:
+      - uses: actions/checkout@v4
+      - name: Сборка прод-образа
+        run: |
+          short="$(echo "$GITHUB_SHA" | cut -c1-7)"
+          docker build -t building-mgmt-web:latest -t "building-mgmt-web:${short}" .
+
+  deploy:
+    if: github.event_name == 'workflow_dispatch'
+    needs: build-web
+    runs-on: docker
+    container: docker:27-cli
+    env:
+      GITEA_HOST: ${{ secrets.GITEA_HOST }}
+      GITEA_USER: ${{ secrets.GITEA_USER }}
+      GITEA_TOKEN: ${{ secrets.GITEA_TOKEN }}
+    steps:
+      - name: Compose-файлы бэкенда (compose.prod.yaml)
+        run: |
+          # compose-CLI и утилиты в джоб-контейнере; docker — через
+          # смонтированный сокет хоста (valid_volumes у раннера).
+          apk add --no-cache docker-cli-compose
+          auth="$(printf '%s:%s' "$GITEA_USER" "$GITEA_TOKEN" | base64 | tr -d '\n')"
+          wget -q -O /tmp/axe.tar.gz \
+            --header="Authorization: Basic ${auth}" \
+            "http://${GITEA_HOST}/api/v1/repos/edadmin/axe/tarball/main"
+          mkdir -p /opt/building-mgmt
+          tar -xzf /tmp/axe.tar.gz -C /tmp
+          cp /tmp/axe-*/compose.prod.yaml /opt/building-mgmt/
+      - name: Перезапуск web-сервиса стека
+        # --no-deps: трогаем только web, api/db/minio не пересоздаются.
+        run: |
+          docker compose -p building-mgmt \
+            --env-file /opt/building-mgmt/.env \
+            -f /opt/building-mgmt/compose.prod.yaml \
+            up -d --no-deps web
--- a/16
+++ b/16
@ -0,0 +1,16 @@
+# Прод-образ веба: статика копируется в образ (в dev- compose она
+# монтируется bind-mount'ом — здесь иммутабельная копия).
+# Сборка: docker build -t building-mgmt-web:latest .
+#
+# Образ входит в стек building-mgmt-backend (compose.prod.yaml):
+# прокси API — на контейнер api (http://api:8080) внутри сети compose.
+
+FROM nginx:1.27-alpine
+
+# Подменяем дефолтный конфиг nginx: прод-прокси вместо dev-прокси
+# на хост разработчика.
+COPY nginx.prod.conf /etc/nginx/conf.d/default.conf
+
+COPY index.html /usr/share/nginx/html/index.html
+COPY css/ /usr/share/nginx/html/css/
+COPY js/ /usr/share/nginx/html/js/
--- a/README.md
+++ b/README.md
@ -0,0 +1,171 @@
+# building-mgmt-web — веб приложения «Обслуживание зданий»
+
+Простой HTML+JS **без сборки и зависимостей** для
+building-mgmt-backend: логин, заявки (фильтры/страницы/переходы/журнал),
+проекты (объекты и мастера), приглашения, фотоотчёт (S3), самостоятельное
+взятие заявки мастером, создание клиентов админом, разделы админа
+«Мастера» и «Клиенты» с удалением/отключением аккаунтов и сбросом
+пароля (ссылкой либо напрямую), удаление проекта админом.
+
+Стек: чистые ES-модули в два файла (`js/api.js` — транспорт,
+`js/app.js` — экраны), статику отдаёт nginx в контейнере.
+
+## Запуск (3 шага)
+
+```powershell
+# 1. БД + API (в репо building-mgmt-backend)
+docker compose up -d          # postgres на :5433
+go run ./cmd/migrate          # миграции (0001..0016)
+go run ./cmd/seed --force --yes   # демо-данные (пароль demo-password-123)
+go run ./cmd/api              # API на :8080
+
+# 2. Веб (здесь)
+docker compose up -d          # nginx на :3000
+
+# 3. Браузер
+#    http://localhost:3000
+```
+
+Фронт ходит в API **на том же origin** (`BASE=''` в `js/api.js`):
+nginx проксирует API-пути (`/auth`, `/users`, `/tickets`, …) на бэкенд
+`host.docker.internal:8080` — см. `nginx.conf`. Поэтому CORS не нужен,
+но `CORS_ORIGINS` в `.env` бэкенда безвреден (страховка для прямых
+обращений на :8080). Прокси перезаписывает `X-Forwarded-For` — для
+бэкенда это значит: укажите `TRUSTED_PROXIES` (подсеть docker) в `.env`
+бэкенда, и лимиты/логи увидят реальный IP.
+
+Правки `index.html`/`js/*`/`css/*` видны после **F5** — контейнер
+монтирует каталог напрямую, пересборка не нужна. Правка `nginx.conf`
+видна после перезапуска контейнера: `docker compose restart`.
+
+## Прод-образ и CI
+
+- `Dockerfile` — прод-образ: статика копируется внутрь (в деве она
+  монтируется bind-mount'ом), конфиг — `nginx.prod.conf`. Сборка:
+  `docker build -t building-mgmt-web:latest .`
+- `nginx.prod.conf` — отличия от dev `nginx.conf`: прокси API на
+  контейнер `api` (`http://api:8080` внутри сети compose, вместо
+  `host.docker.internal:8080`) и security-заголовки
+  (nosniff/frame/referrer) поверх HSTS. Образ входит в стек
+  `compose.prod.yaml` репо бэкенда: наружу стек отдаёт только этот
+  nginx (порт 80, TLS-терминал перед ним), postgres/API/minio видны
+  только внутри сети.
+- `.gitea/workflows/ci.yml` — CI/CD через **Gitea Actions** (встроенный в
+  Gitea): push/PR делают `node --check` и собирают образ
+  `building-mgmt-web:latest`+SHA (локальные теги, без реестра);
+  **деплой — только ручным запуском** workflow (кнопка Run workflow):
+  шаг скачивает compose-файлы репо бэкенда по API (секреты репо
+  `GITEA_HOST`/`GITEA_USER`/`GITEA_TOKEN`) и перезапускает web-сервис
+  стека свежим образом. Подробности — README бэкенда, раздел
+  «CI/CD (Gitea Actions)».
+
+## Демо-аккаунты
+
+| Роль | Email | Что проверять |
+|---|---|---|
+| клиент | `demo@example.com` | заявки, проекты, приглашение мастеров |
+| мастер | `demo-worker@example.com` | назначенные заявки, переходы, приглашения |
+| мастер 2 | `demo-worker2@example.com` | приглашение → принять/отклонить |
+| админ | `demo-admin@example.com` | все проекты/заявки, сброс пароля мастерам и клиентам (ссылкой либо напрямую), разделы «Мастера» и «Клиенты» |
+
+Пароль у всех: `demo-password-123` (вводится на экране входа вручную).
+
+## Сценарий для проверки логики
+
+1. **Клиент** → «Проекты» → «Демо-проект» → в блоке «Пригласить мастера»
+   **поиск по имени/email** (например, `demo-worker2` — он уже в базе, но
+   свободен) → «Пригласить». Либо создать нового мастера прямо в форме.
+2. **Мастер 2** → «Приглашения» → «Принять».
+3. **Клиент** → «Заявки» → «+ Новая заявка» (компактное модальное окно
+   поверх списка: закрывается крестиком, Escape или кликом по фону;
+   галочка «Повторяющаяся заявка» открывает **отдельное окно условий
+   повтора** — дата-время первого запуска и период в днях/неделях, см. 11а) → в деталях «Назначить»
+   (мастер обязан быть принявшим приглашение — иначе 400 с объяснением).
+   В таблице «Мастера» проекта есть локальный фильтр по имени/email.
+3а. **Мастер** видит в списке свободные заявки своих проектов (бейдж «новая»)
+   и берёт их кнопкой «Взять заявку» — дальше «Начать работу» как обычно.
+4. **Мастер** → «Начать работу» → «Работа выполнена». Фотоотчёт — только
+   в работе: после «Работа выполнена» загрузка и удаление закрыты
+   (после отклонения клиентом открываются снова со «Начать работу»).
+5. **Клиент** → «Принять работу» (или «Отклонить» с причиной — тогда
+   мастер на заявке «на доработке» видит баннер с причиной и кнопку
+   «Начать работу»: берёт второй круг, после переделки снова «Работа
+   выполнена», и клиент принимает работу).
+6. Журнал событий под заявкой показывает всю хронологию с авторами.
+7. **Админ** → «Клиенты» → «+ Клиент»: создание аккаунта клиента —
+   единственный способ завести клиента (саморегистрации нет).
+8. **Админ** → «Мастера»/«Клиенты» → в строке: «Сброс пароля» — окно с
+   двумя способами: «Выпустить ссылку» (одноразовый адрес
+   `#/reset-password?token=…`, живёт 24 часа, кнопка «Копировать» —
+   адрес передаётся пользователю сам) либо «Задать пароль напрямую»
+   (сервер ставит его сразу: все сессии пользователя закрываются,
+   неиспользованные токены сброса гаснут). Кнопку видит только админ —
+   раздел «Мастера» есть и у клиента, а эндпоинт закрыт ролью.
+   Дальше в строке: «Удалить» (чистый
+   аккаунт удаляется; есть заявки/проекты → диалог «Отключить вместо
+   удаления?»), «Отключить»/«Включить». Отключённые остаются в списке
+   с бейджем «отключён» и включаются обратно.
+9. **Клиент** → «Проекты» → проект → «Мастера»: «Отключить» (мастер
+   теряет доступ во всех проектах) и «Убрать» (из проекта) — обе кнопки
+   с подтверждением; отключённый мастер виден с бейджем «отключён».
+10. **Вход** → «Забыли пароль?» → email → письмо со ссылкой →
+    `#/reset-password?token=…` → новый пароль. Ответ сервера одинаков
+    для существующего и несуществующего адреса, так что перебор
+    ящиков не работает; 4 попытки подряд → 429.
+11. **Админ** → «Проекты» → проект → «Удалить проект»: подтверждение
+    предупреждает, что вместе с проектом уйдут объекты, участия мастеров
+    и все заявки. У клиента кнопки нет (роут закрыт ролью `admin`),
+    повторное удаление — 404.
+11а. **Клиент** → «Заявки» → «+ Новая заявка» → галочка
+    «Повторяющаяся заявка» открывает **отдельное окно с условиями
+    повтора**: **дата-время первого запуска** (нативный календарь, по
+    умолчанию «сейчас + 7 дней, 10:00»), **период** — «каждые N
+    дней/недель» (единицы согласуются: «1 день», «2 недели») и текст
+    условий. «Применить» закрывает окно и ставит галку — под ней строка
+    «Расписание: каждые 14 недель с 15.10.2026, 10:00» со ссылкой
+    «Изменить»; выход без применения (крестик, Escape, фон, «Отмена»)
+    галку снимает. Заявка создаётся вместе с
+    правилом повторения — одной операцией, без отдельной секции в
+    проекте. Управление — на странице самой заявки, блок
+    «Повторяющаяся заявка»: расписание («каждые 14 дней с 15.10.2026,
+    10:00»), ближайший запуск, «Выключить»/«Включить» (выключенное
+    правило планировщик пропускает) и «История» (модалка: какие заявки
+    создавались по правилу и когда, ссылки на заявки). Мастеру блок
+    виден без кнопок. Новая заявка по правилу появляется сама —
+    фоновый планировщик сервера бежит раз в сутки, создавая заявку
+    **по периоду от этой даты-времени** (точность до суток — выбранное
+    время ориентировочное) и **ждёт закрытия прошлой заявки**,
+    поэтому дубликатов не будет; клиенту при этом приходит уведомление
+    в Telegram, как при обычных напоминаниях.
+12. **Любая роль** → «Настройки» → «Уведомления в Telegram»: заявка,
+    пролежавшая в статусе «новая» больше суток, уходит клиенту в Telegram.
+    Первым делом — блок «Свой бот»: вставляете токен от @BotFather,
+    сервер проверяет его и шифрует, дальше уведомления идут через вашего
+    бота (поле `type=password`, токен никогда не показывается обратно —
+    только имя бота и кнопка «Отключить бота»). Дальше две цели:
+    «Получить код привязки» (одноразовый код и ссылка
+    `t.me/<bot>?start=…` → бот привязывает этот чат) и поле
+    «Группа или канал» (бот должен состоять в группе). Если на сервере
+    нет ни `TELEGRAM_BOT_TOKEN`, ни `DATA_ENCRYPTION_KEY`, экран честно
+    пишет, что фича выключена; 400 по токену → «Токен не принят…»,
+    400 по цели → «Бот не видит этот чат…», 429 → «Слишком много…».
+
+Ошибки API (400/403/409/429) всплывают как есть — их короткий текст
+и есть проверка серверных правил.
+
+## Структура
+
+```
+Dockerfile        прод-образ: nginx:alpine + копия статики и конфига
+compose.yaml      nginx-контейнер на :3000 (лимиты: 256m памяти, 0.5 ядра)
+nginx.conf        статика + no-cache + rate-limit (10 r/s и 20 соединений
+                  на IP → 429 сверху) + прокси API-путей на бэкенд
+nginx.prod.conf   прод-конфиг: прокси на контейнер api + security-заголовки
+.gitea/workflows/ci.yml CI/CD: node --check, сборка образа, деплой по ручному запуску
+index.html        два экрана: вход и приложение
+css/style.css     минимум стилей
+js/api.js         fetch (BASE='' — тот же origin), хранение сессии, тихий refresh при 401
+js/app.js         маршруты в hash, рендер секций, кнопки по ролям; «Настройки»
+                  — свои боты и привязка Telegram (tgStatus/tgCode/tgSet/tgUnbind/
+                  tgSetBot/tgDelBot)
+```
--- a/compose.yaml
+++ b/compose.yaml
@ -0,0 +1,22 @@
+# Статика тестового веба в nginx — отдельный контейнер отдельного репо.
+# Запуск:  docker compose up -d      Стоп:  docker compose down
+#
+# Порт 3000: страница и API на одном origin — nginx.conf проксирует
+# API-пути на бэкенд хоста (host.docker.internal:8080), CORS не нужен.
+services:
+  web:
+    image: nginx:alpine
+    container_name: building-mgmt-web
+    ports:
+      - "3000:80"
+    # Ресурсные потолки: статика не должна сожрать больше половины
+    # ядра и четверти гигабайта — иначе случайный поток запросов
+    # (или gzip) мог бы тянуть память машины.
+    mem_limit: 256m
+    cpus: 0.5
+    volumes:
+      # Файлы монтируются напрямую: правки HTML/JS/CSS видны после F5,
+      # пересборка не нужна.
+      - ./:/usr/share/nginx/html:ro
+      - ./nginx.conf:/etc/nginx/conf.d/default.conf:ro
+    restart: unless-stopped
--- a/css/style.css
+++ b/css/style.css
@ -0,0 +1,310 @@
+/* Минимальные стили: читаемость важнее красоты. */
+* { box-sizing: border-box; }
+
+body {
+  margin: 0;
+  font: 15px/1.45 system-ui, -apple-system, "Segoe UI", sans-serif;
+  background: #f2f4f7;
+  color: #1c2733;
+}
+
+.hidden { display: none !important; }
+
+h1 { margin: 0 0 4px; font-size: 24px; }
+h2 { margin: 0; font-size: 20px; }
+h3 { margin: 0 0 10px; font-size: 17px; }
+
+.hint { margin: 0 0 16px; color: #64748b; }
+/* Баннер второго круга на заявке «на доработке»: мастеру видно, что
+   делать дальше; цветом отличается от серых подсказок. */
+.notice {
+  margin: 0 0 12px;
+  padding: 10px 12px;
+  background: #fef3c7;
+  border: 1px solid #fcd34d;
+  border-radius: 8px;
+  color: #92400e;
+}
+/* Ссылка-кнопка внутри подсказки («Изменить расписание»). */
+button.link {
+  background: none;
+  border: 0;
+  padding: 0;
+  font: inherit;
+  color: #2563eb;
+  cursor: pointer;
+}
+button.link:hover { text-decoration: underline; }
+.empty { color: #64748b; padding: 12px 0; }
+.error { color: #b42318; min-height: 18px; font-size: 13px; }
+
+/* --- карточки --- */
+.card {
+  background: #fff;
+  border: 1px solid #e2e8f0;
+  border-radius: 10px;
+  padding: 16px;
+  margin-bottom: 16px;
+}
+
+/* --- модальное окно (создание заявки) --- */
+/* Затемнённый фон + узкий диалог по центру: форма не разворачивается
+   на всё окно и не уезжает под низ списка. */
+.modal-overlay {
+  position: fixed;
+  inset: 0;
+  background: rgba(15, 23, 42, 0.45);
+  display: flex;
+  align-items: flex-start;
+  justify-content: center;
+  padding: 48px 16px 16px;
+  z-index: 20;
+  overflow-y: auto;
+}
+.modal {
+  background: #fff;
+  border: 1px solid #e2e8f0;
+  border-radius: 10px;
+  padding: 18px;
+  width: 100%;
+  max-width: 440px;
+  box-shadow: 0 12px 32px rgba(15, 23, 42, 0.18);
+}
+.modal-head {
+  display: flex;
+  align-items: center;
+  justify-content: space-between;
+  gap: 12px;
+  margin-bottom: 12px;
+}
+.modal-head h3 { margin: 0; }
+.modal-close {
+  border: 0;
+  background: transparent;
+  font-size: 20px;
+  line-height: 1;
+  color: #64748b;
+  cursor: pointer;
+  padding: 4px 6px;
+  border-radius: 6px;
+}
+.modal-close:hover { background: #f1f5f9; color: #1c2733; }
+/* Диалог один: поля в столбик, чтобы не распирали его вширь. */
+.modal .form { flex-direction: column; align-items: stretch; gap: 10px; }
+.modal .form label { flex: 1 1 auto; }
+/* Строка «Каждые N [единица]» в окне условий: поля рядом, без растяжки. */
+#sched .row label { flex: 0 0 auto; }
+/* Окно сброса пароля: два способа в одном диалоге — второй отделён
+   линией, блок со ссылкой раскрывается после выпуска токена. */
+#pr-wrap .form + .form {
+  margin-top: 14px;
+  border-top: 1px solid #e2e8f0;
+  padding-top: 14px;
+}
+#pr-link-box { margin-top: 4px; }
+
+/* --- экран входа --- */
+#login-view {
+  min-height: 100vh;
+  display: flex;
+  align-items: center;
+  justify-content: center;
+  padding: 16px;
+}
+.login-card { width: 100%; max-width: 380px; padding: 24px; }
+
+/* --- шапка --- */
+.topbar {
+  display: flex;
+  align-items: center;
+  gap: 20px;
+  background: #0f172a;
+  color: #fff;
+  padding: 10px 16px;
+  position: sticky;
+  top: 0;
+  z-index: 5;
+}
+.brand { font-weight: 600; }
+#nav { display: flex; gap: 4px; flex: 1; }
+.nav-link {
+  color: #cbd5e1;
+  text-decoration: none;
+  padding: 6px 12px;
+  border-radius: 8px;
+}
+.nav-link:hover { background: #1e293b; color: #fff; }
+.nav-link.active { background: #334155; color: #fff; }
+.who { display: flex; align-items: center; gap: 10px; font-size: 13px; color: #cbd5e1; }
+
+main { max-width: 1080px; margin: 20px auto; padding: 0 16px; }
+
+/* --- формы --- */
+label { display: flex; flex-direction: column; gap: 4px; font-size: 13px; color: #475569; }
+input, select, textarea {
+  font: inherit;
+  padding: 7px 9px;
+  border: 1px solid #cbd5e1;
+  border-radius: 8px;
+  background: #fff;
+  color: #1c2733;
+}
+textarea { min-height: 70px; resize: vertical; }
+input:focus, select:focus, textarea:focus { outline: 2px solid #93c5fd; border-color: #60a5fa; }
+
+.form, .filters { display: flex; flex-wrap: wrap; gap: 10px; align-items: end; }
+.form label, .filters label { flex: 1 1 160px; }
+.filters { margin: 12px 0; }
+.wide { flex-basis: 100% !important; }
+
+/* --- кнопки --- */
+button {
+  font: inherit;
+  padding: 7px 14px;
+  border: 1px solid #cbd5e1;
+  border-radius: 8px;
+  background: #fff;
+  color: #1c2733;
+  cursor: pointer;
+}
+button:hover { background: #f1f5f9; }
+button:disabled { opacity: .45; cursor: default; }
+button.primary { background: #2563eb; border-color: #2563eb; color: #fff; }
+button.primary:hover { background: #1d4ed8; }
+button.danger { background: #fff; border-color: #fca5a5; color: #b42318; }
+button.danger:hover { background: #fef2f2; }
+button.ghost { background: transparent; border-color: #475569; color: inherit; }
+button.ghost:hover { background: #1e293b; }
+
+.row { display: flex; gap: 10px; align-items: center; flex-wrap: wrap; }
+.row.head { justify-content: space-between; margin-bottom: 8px; }
+.row.actions { margin-top: 14px; }
+
+/* --- таблицы --- */
+.table { width: 100%; border-collapse: collapse; font-size: 14px; }
+.table th, .table td { text-align: left; padding: 8px 10px; border-bottom: 1px solid #e2e8f0; }
+/* Две кнопки действий в одной ячейке — разводим, иначе слипаются. */
+.table td button + button { margin-left: 6px; }
+.table th { font-size: 12px; text-transform: uppercase; letter-spacing: .04em; color: #64748b; }
+.table tbody tr.link { cursor: pointer; }
+.table tbody tr.link:hover { background: #f8fafc; }
+
+.pager { display: flex; gap: 12px; align-items: center; margin-top: 12px; font-size: 14px; }
+
+/* --- бейджи --- */
+.badge {
+  display: inline-block;
+  padding: 2px 9px;
+  border-radius: 999px;
+  font-size: 12px;
+  background: #e2e8f0;
+}
+.s-new { background: #e0f2fe; color: #075985; }
+.s-assigned { background: #ede9fe; color: #5b21b6; }
+.s-in_progress { background: #fef3c7; color: #92400e; }
+.s-done { background: #dcfce7; color: #166534; }
+.s-rejected { background: #fee2e2; color: #991b1b; }
+.s-closed { background: #e2e8f0; color: #475569; }
+.m-invited { background: #fef3c7; color: #92400e; }
+.m-active { background: #dcfce7; color: #166534; }
+.m-declined { background: #fee2e2; color: #991b1b; }
+.s-pending { background: #fef3c7; color: #92400e; }
+.p-high { color: #b42318; font-weight: 600; }
+.p-low { color: #64748b; }
+
+/* --- детали заявки --- */
+.detail-grid {
+  display: grid;
+  grid-template-columns: repeat(auto-fit, minmax(210px, 1fr));
+  gap: 10px 20px;
+  margin: 12px 0;
+}
+.detail-grid .k { font-size: 12px; color: #64748b; text-transform: uppercase; letter-spacing: .04em; }
+.desc-block { background: #f8fafc; border: 1px solid #e2e8f0; border-radius: 8px; padding: 10px 12px; margin-top: 10px; }
+
+/* --- журнал событий --- */
+.events { list-style: none; margin: 8px 0 0; padding: 0; }
+.events li {
+  display: flex;
+  gap: 10px;
+  flex-wrap: wrap;
+  padding: 7px 0;
+  border-bottom: 1px dashed #e2e8f0;
+  font-size: 14px;
+}
+.events .when { color: #64748b; white-space: nowrap; }
+.events .who { color: #334155; font-weight: 600; }
+.events .arrow { color: #64748b; }
+.events .why { color: #b42318; }
+
+/* --- всплывающее сообщение --- */
+.flash {
+  position: fixed;
+  left: 50%;
+  bottom: 24px;
+  transform: translateX(-50%);
+  max-width: 90vw;
+  padding: 10px 18px;
+  border-radius: 10px;
+  font-size: 14px;
+  box-shadow: 0 8px 24px rgba(15, 23, 42, .18);
+  z-index: 50;
+}
+.flash.ok { background: #14532d; color: #fff; }
+.flash.err { background: #7f1d1d; color: #fff; }
+
+/* --- блоки секций проекта --- */
+.section-head { display: flex; justify-content: space-between; align-items: center; margin: 18px 0 8px; }
+.invite-box { background: #f8fafc; border: 1px dashed #cbd5e1; border-radius: 8px; padding: 12px; margin-top: 12px; }
+code { background: #eef2f7; padding: 1px 5px; border-radius: 4px; }
+
+/* --- фотоотчёт --- */
+.photo-actions { margin-bottom: 12px; }
+.photos {
+  display: grid;
+  grid-template-columns: repeat(auto-fill, minmax(160px, 1fr));
+  gap: 12px;
+}
+.photo {
+  margin: 0;
+  border: 1px solid #e2e8f0;
+  border-radius: 8px;
+  overflow: hidden;
+  background: #f8fafc;
+}
+.photo a { display: block; }
+.photo img { display: block; width: 100%; height: 140px; object-fit: cover; }
+.photo-broken {
+  height: 140px;
+  display: flex;
+  align-items: center;
+  justify-content: center;
+  color: #64748b;
+  font-size: 13px;
+}
+.photo figcaption {
+  display: flex;
+  align-items: center;
+  gap: 6px;
+  padding: 6px 8px;
+  font-size: 12px;
+}
+.photo figcaption .who {
+  flex: 1;
+  min-width: 0;
+  color: #334155;
+  font-weight: 600;
+  overflow: hidden;
+  text-overflow: ellipsis;
+  white-space: nowrap;
+}
+.photo figcaption .when { color: #64748b; white-space: nowrap; }
+.photo-del {
+  border: none;
+  background: transparent;
+  color: #94a3b8;
+  font-size: 16px;
+  line-height: 1;
+  padding: 2px 6px;
+}
+.photo-del:hover { color: #b42318; background: #fef2f2; }
--- a/index.html
+++ b/index.html
@ -0,0 +1,71 @@
+<!DOCTYPE html>
+<html lang="ru">
+<head>
+  <meta charset="utf-8">
+  <meta name="viewport" content="width=device-width, initial-scale=1">
+  <title>Обслуживание зданий</title>
+  <link rel="stylesheet" href="css/style.css">
+</head>
+<body>
+  <!-- Экран входа -->
+  <div id="login-view" class="view">
+    <form id="login-form" class="card login-card" autocomplete="on">
+      <h1>Обслуживание зданий</h1>
+      <label>Email
+        <input type="email" id="login-email" required autocomplete="username">
+      </label>
+      <label>Пароль
+        <input type="password" id="login-password" required autocomplete="current-password">
+      </label>
+      <div id="login-error" class="error" role="alert"></div>
+      <button type="submit" class="primary wide">Войти</button>
+      <button type="button" class="ghost wide" id="show-forgot">Забыли пароль?</button>
+    </form>
+
+    <!-- Забыли пароль: письмо со ссылкой на форму сброса -->
+    <form id="forgot-form" class="card login-card hidden" autocomplete="on">
+      <h1>Забыли пароль?</h1>
+      <p class="hint">Укажите email — пришлём ссылку для смены пароля. Если аккаунта нет, письмо не придёт (так адреса не перебирают).</p>
+      <label>Email
+        <input type="email" id="forgot-email" required autocomplete="username">
+      </label>
+      <div id="forgot-error" class="error" role="alert"></div>
+      <button type="submit" class="primary wide">Отправить ссылку</button>
+      <button type="button" class="ghost wide" id="back-login">Вернуться ко входу</button>
+    </form>
+
+    <!-- Сброс пароля по ссылке из письма: токен приходит в хеш-маршруте -->
+    <form id="reset-form" class="card login-card hidden" autocomplete="on">
+      <h1>Новый пароль</h1>
+      <p class="hint">Пароль: мин. 10 символов, буквы и цифры. Ссылка одноразовая и живёт сутки.</p>
+      <label>Пароль
+        <input type="password" id="reset-password" required minlength="10" autocomplete="new-password">
+      </label>
+      <label>Повторите пароль
+        <input type="password" id="reset-password2" required minlength="10" autocomplete="new-password">
+      </label>
+      <div id="reset-error" class="error" role="alert"></div>
+      <button type="submit" class="primary wide">Сменить пароль</button>
+    </form>
+  </div>
+
+  <!-- Приложение -->
+  <div id="app-view" class="view hidden">
+    <header class="topbar">
+      <div class="brand">Заявки в здании</div>
+      <nav id="nav"></nav>
+      <div class="who">
+        <span id="who"></span>
+        <button id="logout" class="ghost" type="button">Выйти</button>
+      </div>
+    </header>
+    <main id="main"></main>
+  </div>
+
+  <!-- Всплывающие сообщения (ошибки API и успех) -->
+  <div id="flash" class="flash hidden"></div>
+
+  <script src="js/api.js"></script>
+  <script src="js/app.js"></script>
+</body>
+</html>
--- a/js/api.js
+++ b/js/api.js
@ -0,0 +1,182 @@
+'use strict';
+// api.js — обёртка над HTTP к бэкенду: хранение сессии, тихий refresh,
+// единый формат ошибок. Никакой бизнес-логики — только транспорт.
+
+const API = (() => {
+  // Пустой BASE = API на том же origin, что и страница: nginx (см.
+  // nginx.conf) проксирует API-пути на бэкенд. Фронту не нужны CORS и
+  // отдельный порт — один домен и локально, и в проде.
+  const BASE = '';
+  const STORE = 'building-mgmt.session';
+
+  // Ошибка API: status + короткий `error` из ответа (или HTTP N).
+  class ApiError extends Error {
+    constructor(status, message) {
+      super(message);
+      this.status = status;
+    }
+  }
+
+  function load() {
+    try { return JSON.parse(localStorage.getItem(STORE)); } catch (e) { return null; }
+  }
+  function save(sess) { localStorage.setItem(STORE, JSON.stringify(sess)); }
+  function clear() { localStorage.removeItem(STORE); }
+
+  // Текущий профиль или null (не залогинен).
+  function user() {
+    const s = load();
+    return s ? s.user : null;
+  }
+  function session() { return load(); }
+
+  // Запомнить результат входа/обновления: в localStorage живут только
+  // access-токен, срок и профиль. Refresh-токен сюда никогда не попадает —
+  // он в httpOnly-куке, из JavaScript недоступен (защита от XSS).
+  function store(data) {
+    save(Object.assign({}, data, { expires_at: Date.now() + data.expires_in * 1000 }));
+  }
+
+  async function login(email, password) {
+    const data = await request('POST', '/auth/login', { email, password }, { auth: false });
+    store(data);
+    return data.user;
+  }
+
+  // «Забыли пароль»: сервер всегда отвечает одинаково ({ ok: true }) —
+  // ответ не перечисляет существующие ящики. 429 — лимит попыток (IP
+  // плюс 3 письма в сутки на один адрес).
+  async function forgotPassword(email) {
+    return request('POST', '/auth/forgot-password', { email }, { auth: false });
+  }
+
+  // Сброс по токену из письма. 400 — токен неизвестен, уже
+  // использован или истёк; слабый пароль тоже 400 с тем же кодом.
+  async function resetPassword(token, password) {
+    return request('POST', '/auth/reset-password', { token, password }, { auth: false });
+  }
+
+  // --- Telegram: уведомления о заявках, не взятых в работу за 24 часа ---
+
+  // Состояние своей привязки: enabled (настроен ли бот), bound/target,
+  // имя бота для ссылки. Чужим это поле сервер не отдаёт.
+  const tgStatus = () => get('/auth/telegram');
+
+  // Одноразовый код привязки + ссылка t.me/<bot>?start=<code>.
+  // 400 — бот не настроен, 429 — лимит (5 кодов за 5 минут).
+  const tgCode = () => post('/auth/telegram/code', {});
+
+  // Ручная цель (@группа или chat_id); пустая строка — отключить.
+  // 400 — формат не тот либо бот не видит чат.
+  const tgSet = (target) => request('PUT', '/auth/telegram', { target });
+
+  // То же, что tgSet(''): убрать цель и перестать слать уведомления.
+  const tgUnbind = () => del('/auth/telegram');
+
+  // Свой бот: токен от @BotFather. Сервер проверяет его через getMe,
+  // шифрует и запускает поллер. 400 — нет DATA_ENCRYPTION_KEY / формат
+  // не тот / getMe не принял, 429 — лимит попыток (5 за 5 минут).
+  const tgSetBot = (token) => post('/auth/telegram/bot', { token });
+
+  // Отключить своего бота: токен стирается, поллер гасится, дальше
+  // уведомления (если цель осталась) пойдут через бота сервера.
+  const tgDelBot = () => del('/auth/telegram/bot');
+
+  // Выход: гасим сессию на сервере (не даём ошибке сбить локальный выход).
+  // Тело не нужно: сервер берёт refresh-токен из куки и очищает её.
+  async function logout() {
+    clear();
+    try {
+      await request('POST', '/auth/logout', null, { auth: false, noRetry: true });
+    } catch (e) { /* локально уже вышли — серверная ошибка не мешает */ }
+  }
+
+  // Принудительный refresh (когда access-токен протух). Токен в теле
+  // не шлём — сервер читает refresh-куку (same-origin, кука уходит сама).
+  async function refreshNow() {
+    const s = load();
+    if (!s) throw new ApiError(401, 'no token');
+    const data = await request('POST', '/auth/refresh', null, { auth: false, noRetry: true });
+    store(data);
+    return data;
+  }
+
+  // Тихий refresh до запроса, если токен вот-вот протухнет.
+  async function ensureFresh() {
+    const s = load();
+    if (!s) throw new ApiError(401, 'no token');
+    if (s.expires_at - Date.now() > 15000) return;
+    await refreshNow();
+  }
+
+  // request(method, path, body, opts) — основной вызов.
+  //   opts.auth    — слать ли Authorization (по умолчанию да)
+  //   opts.noRetry — не пробовать refresh при 401
+  async function request(method, path, body, opts) {
+    opts = opts || {};
+    const withAuth = opts.auth !== false;
+    if (withAuth) await ensureFresh();
+
+    // FormData (multipart, загрузка фото) не оборачиваем в JSON и не
+    // задаём Content-Type сами: браузер сам поставит boundary.
+    const isForm = (typeof FormData !== 'undefined') && (body instanceof FormData);
+    const headers = {};
+    if (!isForm) headers['Content-Type'] = 'application/json';
+    if (withAuth) {
+      const s = load();
+      if (s) headers.Authorization = 'Bearer ' + s.token;
+    }
+
+    let res;
+    try {
+      res = await fetch(BASE + path, {
+        method,
+        headers,
+        body: (body === undefined || body === null) ? undefined : (isForm ? body : JSON.stringify(body)),
+        // Куки (refresh-токен, Path=/auth) уходят только на своих —
+        // same-origin и есть поведение по умолчанию, но помечаем явно:
+        // вся сессия держится на этой куке.
+        credentials: 'same-origin',
+      });
+    } catch (e) {
+      // Это не ответ API, а обрыв связи (упал сервер/прокси): сырой
+      // "Failed to fetch" пользователю ничего не говорит.
+      throw new ApiError(0, 'сервер недоступен, попробуйте ещё раз');
+    }
+
+    if (res.status === 204) return null;
+
+    const text = await res.text();
+    let data = null;
+    if (text) { try { data = JSON.parse(text); } catch (e) { data = null; } }
+
+    if (!res.ok) {
+      // 401 при живой сессии — пробуем refresh ровно один раз.
+      if (res.status === 401 && withAuth && !opts.noRetry && !opts.retried) {
+        try {
+          await refreshNow();
+        } catch (e) {
+          clear(); // сессия мертва — на экран входа
+          throw new ApiError(401, 'no token');
+        }
+        return request(method, path, body, Object.assign({}, opts, { retried: true }));
+      }
+      throw new ApiError(res.status, (data && data.error) || ('HTTP ' + res.status));
+    }
+    return data;
+  }
+
+  const get = (path) => request('GET', path);
+  const post = (path, body) => request('POST', path, body);
+  const patch = (path, body) => request('PATCH', path, body);
+  const del = (path) => request('DELETE', path);
+  // Загрузка файла: тело — FormData, остальное (refresh, формат ошибок)
+  // — те же пути, что у request.
+  const upload = (path, formData) => request('POST', path, formData);
+
+  return {
+    user, login, forgotPassword, resetPassword, logout,
+    tgStatus, tgCode, tgSet, tgUnbind, tgSetBot, tgDelBot,
+    get, post, patch, del, upload,
+  };
+})();
--- a/js/app.js
+++ b/js/app.js
--- a/nginx.conf
+++ b/nginx.conf
@ -0,0 +1,69 @@
+# Отдача статики тестового веба.
+# Роутинг у нас hash-based (#/tickets), но на всякий случай любой
+# несуществующий путь ведём на index.html — случайный 404 мешает отладке.
+
+# Зоны лимитов лежат здесь (файл подключается в http-контексте через
+# conf.d): 10 запросов/сек на IP и до 20 одновременных соединений.
+# Браузеру с запасом хватает, а зациклившийся retry фронта упрётся
+# в потолок, а не будет долбить статику бесконечно.
+limit_req_zone  $binary_remote_addr zone=perip:1m rate=10r/s;
+limit_conn_zone $binary_remote_addr zone=addr:1m;
+
+server {
+    listen       80;
+    server_name  _;
+    root         /usr/share/nginx/html;
+    index        index.html;
+
+    gzip on;
+    gzip_types       text/css application/javascript application/json;
+    gzip_min_length  1024;
+
+    # HSTS: по HTTP браузер заголовок игнорирует, поэтому локально он
+    # безвреден, а с TLS (домен и сертификат — при деплое) заставит
+    # браузер держать сайт только по https. includeSubDomains — потому
+    # что на одном домене будут и API, и фото-прокси.
+    # ВНИМАНИЕ: add_header на уровне server перекрывается ЛЮБЫМ
+    # add_header внутри location — поэтому в location / заголовки
+    # продублированы явно.
+    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+
+    # burst — на пачку файлов при первой загрузке страницы (~5 запросов),
+    # сверх лимита — сразу 429, а не неопределённое ожидание.
+    limit_req  zone=perip burst=30 nodelay;
+    limit_req_status 429;
+    limit_conn addr 20;
+    limit_conn_status 429;
+
+    # API на том же origin (BASE='' в js/api.js): проксируем API-пути
+    # бэкенда, остальное — статика. Regex-локация важнее prefix /.
+    # X-Forwarded-For ПЕРЕЗАПИСЫВАЕМ ($remote_addr), а не дополняем:
+    # gin берёт левый элемент и по нему считает лимиты и client_ip в
+    # логах — дописанный клиентом мусор останется левым элементом.
+    # local dev: бэкенд на хосту (host.docker.internal:8080);
+    # в проде адрес подставит app-nginx.prod.
+    location ~ ^/(auth|users|projects|objects|tickets|invitations|recurring|ping|db-ping|swagger)(/|$) {
+        proxy_pass http://host.docker.internal:8080;
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        proxy_set_header X-Forwarded-For   $remote_addr;
+        proxy_set_header X-Forwarded-Proto $scheme;
+        # Фотоотчёт: до 10 МБ + запас на multipart-обвязку.
+        client_max_body_size 12m;
+    }
+
+    location / {
+        try_files $uri $uri/ /index.html;
+        # Кэш мешает отладке: отдаём всегда свежее.
+        # add_header в этой локации перекрывает серверный (nginx не
+        # смешивает уровни) — заголовки дублируем здесь явно.
+        add_header Cache-Control "no-cache";
+        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+        add_header X-Content-Type-Options "nosniff" always;
+        add_header X-Frame-Options "SAMEORIGIN" always;
+        add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+    }
+}
--- a/nginx.prod.conf
+++ b/nginx.prod.conf
@ -0,0 +1,69 @@
+# Прод-конфиг веба: статика + прокси API на контейнер api внутри сети
+# compose (строка api резолвится docker- DNS). Порт наружу — 80, TLS
+# терминалирует перед этим nginx (балансировщик / Caddy / Traefik).
+#
+# Отличия от dev nginx.conf:
+#   - proxy_pass http://api:8080 вместо host.docker.internal:8080;
+#   - security-заголовки (nosniff / frame / referrer) поверх HSTS.
+#
+# Хост, который не относится к нашему origin (Host-заголовок чужой),
+# nginx отдаёт сюда же — server_name _; выделенного виртуального хоста
+# под чужой домен нет, это осознанно.
+
+# Зоны лимитов: 10 запросов/сек на IP и до 20 одновременных соединений.
+limit_req_zone  $binary_remote_addr zone=perip:1m rate=10r/s;
+limit_conn_zone $binary_remote_addr zone=addr:1m;
+
+server {
+    listen       80;
+    server_name  _;
+    root         /usr/share/nginx/html;
+    index        index.html;
+
+    gzip on;
+    gzip_types       text/css application/javascript application/json;
+    gzip_min_length  1024;
+
+    # HSTS браузер игнорирует по HTTP, а с TLS заставит держать сайт
+    # только по https; includeSubDomains — API и статика на одном домене.
+    # ВНИМАНИЕ: add_header на уровне server перекрывается ЛЮБЫМ
+    # add_header внутри location — поэтому в location / заголовки
+    # продублированы явно.
+    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+
+    # burst — на пачку файлов при первой загрузке страницы, сверх
+    # лимита — сразу 429, а не неопределённое ожидание.
+    limit_req  zone=perip burst=30 nodelay;
+    limit_req_status 429;
+    limit_conn addr 20;
+    limit_conn_status 429;
+
+    # API на том же origin (BASE='' в js/api.js): проксируем API-пути
+    # бэкенда, остальное — статика. Regex-локация важнее prefix /.
+    # X-Forwarded-For ПЕРЕЗАПИСЫВАЕМ ($remote_addr), а не дополняем:
+    # gin берёт левый элемент и по нему считает лимиты и client_ip в
+    # логах — дописанный клиентом мусор останется левым элементом.
+    location ~ ^/(auth|users|projects|objects|tickets|invitations|recurring|ping|db-ping|swagger)(/|$) {
+        proxy_pass http://api:8080;
+        proxy_set_header Host              $host;
+        proxy_set_header X-Real-IP         $remote_addr;
+        proxy_set_header X-Forwarded-For   $remote_addr;
+        proxy_set_header X-Forwarded-Proto $scheme;
+        # Фотоотчёт: до 10 МБ + запас на multipart-обвязку.
+        client_max_body_size 12m;
+    }
+
+    location / {
+        try_files $uri $uri/ /index.html;
+        # Кэш мешает отладке: отдаём всегда свежее.
+        # Дублируем заголовки: add_header в location перекрывает серверный.
+        add_header Cache-Control "no-cache";
+        add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+        add_header X-Content-Type-Options "nosniff" always;
+        add_header X-Frame-Options "SAMEORIGIN" always;
+        add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+    }
+}