[{"_1":2,"_3":-5,"_4":-5},"loaderData",{"_5":6,"_7":8},"actionData","errors","root",{"_104":105,"_106":107},"routes/embed.x.$handle.$name.$",{"_9":10,"_11":12,"_13":14,"_15":16,"_17":18,"_19":20,"_21":-5},"handle","umgroupkzcommits","name","uls-radar-reklamy","path","dash.ts","project",{"_22":46,"_11":12,"_33":47,"_48":-5,"_49":42,"_50":51,"_52":51,"_53":54,"_55":-5,"_56":57,"_58":25,"_59":32,"_60":-5,"_61":-5,"_62":63,"_64":65,"_66":-5,"_67":-5,"_68":-5,"_69":-5,"_70":71,"_72":71,"_73":74,"_75":74,"_76":74,"_77":71,"_78":71,"_79":80,"_81":82,"_83":84,"_85":42},"file",{"_22":23,"_11":14,"_24":25,"_26":-5,"_27":28,"_29":30,"_31":32,"_33":34,"_35":36,"_37":38,"_39":40,"_41":42,"_43":44,"_13":45},"permalink","https://www.val.town/x/umgroupkzcommits/uls-radar-reklamy/code/dash.ts","extension","id","bb923532-68a0-4daa-8e25-f5bcf685349c","fileId","426b02f0-aac6-11f1-9f81-1607ee4eb77e","parentId","branchId","bfd39142-8f6a-4087-8abb-f6da5f96742a","branchVersion",28,"latest",true,"createdAt",["D",1788847925864],"version",1,"fileType","http","content","import { envOpt } from \"./src/env.ts\";\r\nimport { getPortal } from \"./src/portals.ts\";\r\nimport { ответСКукой, пропущен, сравнитьУстойчиво, страницаВхода } from \"./src/dash/auth.ts\";\r\nimport {\r\n type СнимокРаботы,\r\n снимокРекламы,\r\n type СнимокСостояния,\r\n собратьРаботу,\r\n собратьСостояние,\r\n} from \"./src/dash/state.ts\";\r\nimport { дляЭкрана, параметрыЗапроса } from \"./src/dash/screen.ts\";\r\nimport { страница } from \"./src/dash/page.ts\";\r\nimport { СТИЛИ, СЦЕНАРИЙ } from \"./src/dash/assets.ts\";\r\nimport { Кэш } from \"./src/dash/cache.ts\";\r\nimport { вCsv, сделкиВCsv } from \"./src/dash/csv.ts\";\r\nimport { лента } from \"./src/dash/card.ts\";\r\nimport {\r\n написатьКомментарий,\r\n ОшибкаПроверки,\r\n причиныОтказа,\r\n проставитьПричину,\r\n} from \"./src/dash/write.ts\";\r\n\r\nconst ПЯТЬ_МИНУТ = 5 * 60 * 1000;\r\n/** Два снимка с разной жизнью (Р3): состояние одно на всех и переживает\r\n * смену периода, работа за период — своя на каждый диапазон. */\r\nconst КЭШ_СОСТОЯНИЯ = new Кэш<СнимокСостояния>(ПЯТЬ_МИНУТ);\r\nconst КЭШ_РАБОТЫ = new Кэш<СнимокРаботы>(ПЯТЬ_МИНУТ);\r\n\r\n/** Пока по ключу идёт сборка, второй одновременный запрос ждёт тот же промис\r\n * (находка 8 ревью задачи 11): холодный кэш и три вкладки не должны\r\n * запускать три выкачивания портала. */\r\nconst ВЫПОЛНЯЕТСЯ = new Map>();\r\n\r\nasync function однажды(ключ: string, сборка: () => Promise): Promise {\r\n let промис = ВЫПОЛНЯЕТСЯ.get(ключ) as Promise | undefined;\r\n if (!промис) {\r\n промис = сборка().finally(() => ВЫПОЛНЯЕТСЯ.delete(ключ));\r\n ВЫПОЛНЯЕТСЯ.set(ключ, промис);\r\n }\r\n return await промис;\r\n}\r\n\r\nfunction сброситьКэши(): void {\r\n КЭШ_СОСТОЯНИЯ.сбросить();\r\n КЭШ_РАБОТЫ.сбросить();\r\n // refresh обязан оборвать и сборку, идущую прямо сейчас (находка F9): иначе\r\n // однажды() отдаст всем ожидающим устаревший промис, запущенный до сброса.\r\n ВЫПОЛНЯЕТСЯ.clear();\r\n}\r\n\r\n/** Статика отдаётся из строковых констант в памяти (src/dash/assets.ts), а не\r\n * читается с диска (находка C1, Critical): на Val Town нет файловой системы —\r\n * там нет `Deno.readFile`/`readTextFile`, а `import.meta.url` там https-адрес,\r\n * а не `file://`, так что `new URL(...)` даже не собрал бы валидный путь для\r\n * чтения. Раздача из памяти работает одинаково локально и на Val Town. */\r\nconst СТАТИКА: Record = {\r\n \"/dash.css\": { тело: СТИЛИ, тип: \"text/css; charset=utf-8\" },\r\n \"/dash.js\": { тело: СЦЕНАРИЙ, тип: \"text/javascript; charset=utf-8\" },\r\n};\r\n\r\n/** Читает JSON тела запроса, не бросая исключение наружу (находка 4): битое\r\n * или пустое тело — это ошибка клиента (400), а не необработанное падение. */\r\nasync function прочестьJson(req: Request): Promise<{ ok: true; тело: unknown } | { ok: false }> {\r\n try {\r\n return { ok: true, тело: await req.json() };\r\n } catch {\r\n return { ok: false };\r\n }\r\n}\r\n\r\nfunction объект(v: unknown): v is Record {\r\n return typeof v === \"object\" && v !== null && !Array.isArray(v);\r\n}\r\n\r\n/** Заголовок Origin у обычного запроса со страницы дашборда есть всегда и\r\n * совпадает с адресом самого дашборда. Отсутствие или расхождение — признак\r\n * запроса с чужого сайта (находка 1, Critical): SameSite=Strict у куки этот\r\n * сценарий уже закрывает для большинства браузеров, но для маршрутов, которые\r\n * пишут в боевую CRM клиента, полагаться на одну лишь настройку куки нельзя.\r\n *\r\n * Сравниваются ИМЕНА ХОСТОВ, а не адреса целиком (переревью, находка про\r\n * прод): вал разворачивается за обратным прокси-терминатором TLS — снаружи\r\n * браузер обращается по https и присылает Origin со схемой https, а внутрь\r\n * приложения запрос приходит по http. Сравнение полных origin никогда бы не\r\n * сошлось и валило бы 403 у всех пользователей в проде, хотя запрос идёт со\r\n * своей же страницы. Схема здесь никакой защиты не даёт: чужой сайт не может\r\n * подделать имя хоста в заголовке Origin — его ставит браузер, а не код\r\n * страницы; значение заголовка полностью вне контроля JS с чужого домена.\r\n * Ожидаемый хост берётся из заголовка Host запроса (это и есть то, к чему\r\n * реально обратился браузер, прокси его не переписывает), а если заголовка\r\n * нет — из адреса самого запроса, как раньше.\r\n *\r\n * Отсутствие заголовка Origin — тоже отказ, и это осознанное решение, а не\r\n * недосмотр: у дашборда один пользователь, работает из обычного браузера,\r\n * а браузер всегда шлёт Origin у запроса, отправленного со страницы (fetch/\r\n * XHR/form). Часть нестандартных клиентов (curl, некоторые расширения) его\r\n * не пришлют и потеряют возможность записи — это принято сознательно: для\r\n * операции, меняющей боевую CRM клиента, строгий отказ правильнее, чем\r\n * смягчение проверки ради клиента, который здесь никогда и не появится.\r\n * Следующему читателю: не убирать эту строгость, увидев жалобу «Origin не\r\n * пришёл» — обычный браузер эту жалобу никогда не produces. */\r\nfunction источникВерен(req: Request, url: URL): boolean {\r\n const origin = req.headers.get(\"origin\");\r\n if (origin === null) return false;\r\n\r\n let хостОригина: string;\r\n try {\r\n // Значение может быть строкой \"null\" (так браузер помечает запросы из\r\n // песочницы) или произвольным мусором — в обоих случаях new URL бросает,\r\n // и это тоже отказ, а не повод разбирать вручную.\r\n хостОригина = new URL(origin).host;\r\n } catch {\r\n return false;\r\n }\r\n\r\n const хостОжидаемый = req.headers.get(\"host\") ?? url.host;\r\n return хостОригина === хостОжидаемый;\r\n}\r\n\r\n/** Наружу — короткий безопасный текст; полный текст исключения (адрес\r\n * вебхука, внутренние поля, данные клиента) — только в консоль сервера\r\n * (находка 6). Исключение — ОшибкаПроверки: её текст мы писали сами в\r\n * write.ts, он безопасен и полезен пользователю. */\r\nfunction ответНаОшибкуПортала(е: unknown): Response {\r\n if (е instanceof ОшибкаПроверки) {\r\n return Response.json({ error: е.message }, { status: 400 });\r\n }\r\n console.error(е);\r\n return Response.json(\r\n { error: \"Портал отклонил запрос, подробности в журнале сервера\" },\r\n { status: 400 },\r\n );\r\n}\r\n\r\n/** Имя метода из ошибки REST-слоя, без остального текста: в исключении\r\n * BitrixError лежит и адрес вебхука. rest.ts кладёт метод в поле `method`\r\n * (проверить в src/errors.ts; если поля нет — вернуть «портал»). */\r\nfunction названиеЗапроса(е: unknown): string {\r\n const m = (е as { method?: unknown })?.method;\r\n return typeof m === \"string\" && m ? m : \"портал\";\r\n}\r\n\r\nexport default async function (req: Request): Promise {\r\n const пароль = envOpt(\"DASH_PASSWORD\");\r\n const слаг = envOpt(\"DASH_PORTAL\") ?? \"uls\";\r\n if (!пароль) {\r\n return Response.json({ error: \"DASH_PASSWORD не задан в переменных окружения\" }, {\r\n status: 500,\r\n });\r\n }\r\n const url = new URL(req.url);\r\n\r\n if (url.pathname === \"/login\" && req.method === \"POST\") {\r\n const форма = await req.formData();\r\n // Устойчивое ко времени сравнение (находка 2): обычное === раскрывает\r\n // совпавший префикс пароля через время ответа.\r\n return сравнитьУстойчиво(String(форма.get(\"p\") ?? \"\"), пароль)\r\n ? await ответСКукой(пароль, \"/\")\r\n : страницаВхода(\"Пароль не подошёл\");\r\n }\r\n // Все пути, кроме /login, закрыты проверкой пропущен() — включая статику:\r\n // дашборд с телефонами клиентов не должен отдавать даже вёрстку и скрипт\r\n // тому, кто не вошёл.\r\n if (!(await пропущен(req, пароль))) return страницаВхода();\r\n\r\n const статика = СТАТИКА[url.pathname];\r\n if (статика) {\r\n return new Response(статика.тело, { headers: { \"content-type\": статика.тип } });\r\n }\r\n\r\n const портал = getPortal(слаг);\r\n\r\n // Причина отказа: имя поля берётся только из переменной окружения, никогда\r\n // из запроса браузера — иначе испорченный или подделанный запрос мог бы\r\n // записать значение в произвольное поле лида на боевом портале.\r\n const полеПричины = envOpt(\"REFUSAL_FIELD\");\r\n\r\n if (url.pathname === \"/reasons\" && req.method === \"GET\") {\r\n if (!полеПричины) {\r\n return Response.json(\r\n { error: \"REFUSAL_FIELD не задан — причины отказа отключены\" },\r\n { status: 404 },\r\n );\r\n }\r\n try {\r\n const список = await причиныОтказа(портал, полеПричины);\r\n return Response.json(список);\r\n } catch (е) {\r\n return ответНаОшибкуПортала(е);\r\n }\r\n }\r\n\r\n if (url.pathname === \"/refusal\" && req.method === \"POST\") {\r\n if (!источникВерен(req, url)) {\r\n return Response.json({ error: \"Запрос не с этой страницы (Origin не совпадает)\" }, {\r\n status: 403,\r\n });\r\n }\r\n if (!полеПричины) {\r\n return Response.json(\r\n { error: \"REFUSAL_FIELD не задан — запись причины отказа отключена\" },\r\n { status: 500 },\r\n );\r\n }\r\n const разбор = await прочестьJson(req);\r\n if (!разбор.ok || !объект(разбор.тело)) {\r\n return Response.json({ error: \"Тело запроса не является JSON-объектом\" }, { status: 400 });\r\n }\r\n const { лид, значение } = разбор.тело as Record;\r\n if (typeof лид !== \"string\" || лид.trim().length === 0) {\r\n return Response.json({ error: \"Поле «лид» обязано быть непустой строкой\" }, {\r\n status: 400,\r\n });\r\n }\r\n if (typeof значение !== \"string\" || значение.trim().length === 0) {\r\n return Response.json({ error: \"Поле «значение» обязано быть непустой строкой\" }, {\r\n status: 400,\r\n });\r\n }\r\n try {\r\n await проставитьПричину(портал, лид, полеПричины, значение);\r\n сброситьКэши();\r\n return Response.json({ ok: true });\r\n } catch (е) {\r\n return ответНаОшибкуПортала(е);\r\n }\r\n }\r\n\r\n if (url.pathname === \"/card\") {\r\n const лид = url.searchParams.get(\"lead\");\r\n const сделка = url.searchParams.get(\"deal\");\r\n return Response.json(await лента(портал, лид, сделка));\r\n }\r\n\r\n if (url.pathname === \"/comment\" && req.method === \"POST\") {\r\n if (!источникВерен(req, url)) {\r\n return Response.json({ error: \"Запрос не с этой страницы (Origin не совпадает)\" }, {\r\n status: 403,\r\n });\r\n }\r\n const разбор = await прочестьJson(req);\r\n if (!разбор.ok || !объект(разбор.тело)) {\r\n return Response.json({ error: \"Тело запроса не является JSON-объектом\" }, { status: 400 });\r\n }\r\n const { тип, id, текст } = разбор.тело as Record;\r\n if (тип !== \"lead\" && тип !== \"deal\") {\r\n return Response.json({ error: \"Поле «тип» обязано быть lead или deal\" }, { status: 400 });\r\n }\r\n if (typeof id !== \"string\" || id.trim().length === 0) {\r\n return Response.json({ error: \"Поле «id» обязано быть непустой строкой\" }, {\r\n status: 400,\r\n });\r\n }\r\n if (typeof текст !== \"string\") {\r\n return Response.json({ error: \"Поле «текст» обязано быть строкой\" }, { status: 400 });\r\n }\r\n if (текст.length > 10_000) {\r\n return Response.json({ error: \"Комментарий длиннее 10000 символов\" }, { status: 400 });\r\n }\r\n try {\r\n const id_ = await написатьКомментарий(портал, тип, id, текст);\r\n сброситьКэши();\r\n return Response.json({ ok: true, id: id_ });\r\n } catch (е) {\r\n return ответНаОшибкуПортала(е);\r\n }\r\n }\r\n\r\n // Снимок собирается только для двух вещей ниже — главной страницы и\r\n // выгрузки CSV (находка 3): /card и /comment его не используют и не должны\r\n // ждать выкачивание восьми сотен лидов и сотни сделок ради ленты событий\r\n // или одного комментария.\r\n if (url.pathname !== \"/\" && url.pathname !== \"/csv\") {\r\n return Response.json({ error: \"Неизвестный путь\" }, { status: 404 });\r\n }\r\n\r\n const сейчас = new Date();\r\n const разборП = параметрыЗапроса(url, сейчас);\r\n if (!разборП.ok) return Response.json({ error: разборП.ошибка }, { status: 400 });\r\n const п = разборП.п;\r\n if (url.searchParams.has(\"refresh\")) сброситьКэши();\r\n\r\n // Состояние без портала не строится вовсе: половинчатая воронка хуже\r\n // отсутствующей. Наружу — какой запрос упал, без текста исключения\r\n // (в нём адрес вебхука).\r\n let состояние = КЭШ_СОСТОЯНИЯ.взять(\"состояние\");\r\n if (!состояние) {\r\n try {\r\n состояние = await однажды(\"состояние\", () => собратьСостояние(портал, сейчас));\r\n КЭШ_СОСТОЯНИЯ.положить(\"состояние\", состояние);\r\n } catch (е) {\r\n console.error(е);\r\n return Response.json(\r\n { error: `Портал не ответил на запрос состояния: ${названиеЗапроса(е)}` },\r\n { status: 502 },\r\n );\r\n }\r\n }\r\n\r\n // Работа за период — с плашкой вместо отказа: воронку владелец должен\r\n // видеть, даже если история стадий сегодня не отвечает.\r\n const ключРаботы = `работа:${п.с}:${п.по}`;\r\n let работа: СнимокРаботы | null = КЭШ_РАБОТЫ.взять(ключРаботы) ?? null;\r\n const недоступно: string[] = [];\r\n if (!работа) {\r\n try {\r\n работа = await однажды(ключРаботы, () => собратьРаботу(портал, п.с, п.по, сейчас));\r\n КЭШ_РАБОТЫ.положить(ключРаботы, работа);\r\n } catch (е) {\r\n console.error(е);\r\n недоступно.push(названиеЗапроса(е));\r\n работа = null;\r\n }\r\n }\r\n\r\n const экран = дляЭкрана(состояние, работа, п, сейчас, недоступно);\r\n\r\n if (url.pathname === \"/csv\") {\r\n const сделки = п.вкладка === \"сделки\";\r\n const реклама = снимокРекламы(состояние, сейчас);\r\n const тело = сделки\r\n ? сделкиВCsv(экран.сделки, портал.domain)\r\n : вCsv(реклама.обращения, состояние.справочники, реклама.люди);\r\n return new Response(тело, {\r\n headers: {\r\n \"content-type\": \"text/csv; charset=utf-8\",\r\n \"content-disposition\": `attachment; filename=\"${сделки ? \"sdelki\" : \"obrashcheniya\"}.csv\"`,\r\n },\r\n });\r\n }\r\n\r\n return new Response(страница(экран, портал.domain), {\r\n headers: { \"content-type\": \"text/html; charset=utf-8\" },\r\n });\r\n}\r\n","deleted",false,"label","uls-radar",[14],"0d66920f-8240-4395-a231-63f86e6c3888",["D",1788790280130],"deletedAt","legacyEnvVars","privacy","public","httpPrivacy","description","Радар рекламных лидов ULS: живая страница из Битрикс24","imageUrl","userId","ce244983-5dfc-4662-ad1a-ca34d2e798a0","pinnedFileId","pinPreview","pinMigrated","screenshotVersion","likeCount",0,"orgId","019fa853-4d22-71bf-b5fe-af55df9678e6","tursoName","tursoHostname","tursoMeasuredAt","pinned","userPerm","r","valPerm","blobPerm","rw","emailPerm","sqlitePerm","projectPerm","telemetryPerm","user",{"_9":10,"_103":99},"org",{"_9":10,"_96":97,"_98":99,"_56":57,"_100":101,"_102":42},"branch",{"_35":86,"_11":87,"_22":28,"_88":46,"_89":-5,"_90":-5,"_91":-5,"_92":-5,"_93":-5,"_94":12,"_95":10},"isOwned",54,"main","projectId","forkedBranchId","forkedBranchVersion","forkedProjectPrivacy","forkedProjectId","forkedProjectOrgId","projectName","userHandle","displayName","umgroupkz-commits","avatar","https://avatars.githubusercontent.com/u/279207781?v=4","tier","free","canRestrictVals","profileImageUrl","ctx",{"_79":-5,"_137":138,"_139":140,"_141":142,"_143":42,"_144":42,"_145":42,"_146":32,"_147":-5,"_148":-7,"_149":-7,"_150":63,"_151":42,"_152":42,"_153":-5,"_154":42,"_155":42,"_156":42,"_157":-5},"ENV",{"_108":109,"_110":111,"_112":87,"_113":114,"_115":116,"_117":118,"_119":120,"_121":122,"_123":124,"_125":126,"_127":128,"_129":130,"_131":132,"_133":134,"_135":136},"REACT_APP_SENTRY_DSN","https://586020d86f05489db63a554690acf1e9@o1398359.ingest.sentry.io/6724499","RENDER_GIT_COMMIT","e87eb04e707cf64e7e532c8e8ec395f209e17f15","RENDER_GIT_BRANCH","POSTHOG_API_TOKEN","phc_nmoyuAkStEZuUp69rYlg1DZgrIt19Gx0Y4Hwf8tGgJP","POSTHOG_API_HOST","https://wart.val.town","WEB_API_TEMPLATE","https://{val}.web.val.run","APP_URL","https://www.val.town","MODULE_URL","https://esm.town","VANITY_WEB_API_TEMPLATE","https://{label}.val.run/","DENOLS_URL","https://lsp.val.town","NODE_ENV","production","CLOUDFLARE_TURNSTILE_SITE_KEY","0x4AAAAAACtaIZJH7s9rBMZ6","GOOGLE_CLIENT_ID","875989696899-jtsqkhlbdv5jrlsk8631p7ipjg3c6o62.apps.googleusercontent.com","STRIPE_PUBLISHABLE_KEY","pk_live_51N2zvWEpZTTLipIkVEwXrUG9AT0yeOOEYxszarZT1jpsZV58Ly6wlg3SltZpHN26CUalOBmUSY7adQRQiSkCZz2500qSXNkf8Y","API_URL","https://api.val.town","orgs",[],"preferencesKeybindings","default","preferencesTheme","light","preferencesFixers","preferencesCopilot","preferencesSelectionAi","preferencesCloseBrackets","preferencesChatPanelState","preferencesDprint","preferencesDenofmt","notificationCount","flagDenols","isBusinessOrgMember","businessOrgHandle","isBusinessOrgAdmin","isHigherTownieTier","navCollapsed","currentOrgId"]