Закрыть слабые места MVP: токены доступа, стойкие коды, отмена брони, правила протухания, a11y

[devin-ai-integration]

Summary

Закрывает найденные минусы MVP (кроме реальной оплаты Kaspi — это отдельный этап с ключами/хостингом).

Безопасность / доступ

• Партнёрские эндпоинты (POST /boxes, /partners/{id}/boxes|orders, /redeem, новый POST /partner/boxes/{id}/close) требуют X-Partner-Token; redeem/боксы проверяют владение (require_partner → pid). Токены в колонке partners.token (миграция через PRAGMA table_info + ALTER TABLE), сидятся как pt-p1-demo… (в проде PARTNER_TOKEN_P1 и т.п.). Добавлен GET /partner/me.
• Админка (/admin/*) требует X-Admin-Token (ADMIN_TOKEN, сравнение через secrets.compare_digest).
• Коды выдачи: было uuid4().hex[:4] (65k вариантов) → secrets.choice × 6 из алфавита без 0/O/1/I/L (~10^9); при коллизии UNIQUE ретрай с новым кодом внутри той же транзакции (code_factory).

Бизнес-логика

• Протухшие боксы скрыты из /boxes, бронь на них отклоняется (409); refund возвращает бокс в наличие только пока окно не закрылось.
• Новое: отмена брони покупателем POST /orders/{code}/cancel (только статус paid, бокс возвращается в продажу) и снятие бокса с продажи партнёром.
• Валидация: телефон по regex +7 7XX…, окно самовывоза — ISO, конец > начало и не в прошлом.

Фронтенды (обе версии: app/static/index.html и Pages-демо docs/index.html)

• Ввод/хранение токенов партнёра и админа (backend-версия), кабинет партнёра привязан к токену через /partner/me.
• Повторный показ QR из «Моих заказов» (GET /orders/{code}/qr), кнопка «Отменить бронь», кнопка «Снять» бокс.
• Демо на Pages: крипто-коды (crypto.getRandomValues), автопересев если все боксы протухли, фильтр протухших, SRI-хеш на CDN-скрипт qrcode.
• A11y/качество: закрытие модалки по Esc, role="dialog", автофокус, aria-label, data-*-обработчики вместо inline onclick, консистентный esc(), favicon + description/og-теги.

Тесты: +7 кейсов (бронь протухшего, отмена, отмена после окна, close_box, токены партнёра, refund после окна, ретрай коллизии кода) — 14 passed.

Link to Devin session: https://app.devin.ai/sessions/56d5c80a4b774d5d87cb2c0a92705728
Requested by: @wpalish

[devin-ai-integration]

🤖 Devin AI Engineer

I'll be helping with this pull request! Here's what you should know:

✅ I will automatically:

• Address comments on this PR. Add '(aside)' to your comment to have me ignore it.
• Look at CI failures and help fix them

Note: I can only respond to comments from users who have write access to this repository.

⚙️ Control Options:

• Disable automatic comment, CI, and merge conflict monitoring

[devin-ai-integration]

Результаты e2e-тестирования

Локальный бэкенд (uvicorn app.main:app, свежая БД + сид), Chrome, весь флоу пройден через UI. Полный отчёт и видео — в Devin-сессии.

• ✔ Валидация телефона: «123» → тост «Телефон в формате +7 7XX XXX XX XX», заказ не создан; «+7 701 123 45 67» — бронь успешна
• ✔ Код нового формата SB-3RZGSK (6 символов, алфавит без 0/O/1/I/L)
• ✔ Повторный QR из «Мои заказы» — тот же код и QR
• ✔ Отмена брони: тег «отменён», количество восстановлено (осталось 2 → 3)
• ✔ Токен партнёра: неверный → «Неверный токен партнёра»; pt-p1-demo → кабинет Coffee Point, только свои боксы
• ✔ Чужой заказ не выдаётся («✕ Этот заказ оформлен в другом заведении»); свой — «✓ Выдано»; повторно — «✕ Этот заказ уже выдан»
• ✔ «Снять» бокс — исчез из каталога магазина
• ✔ Токен админа: неверный → «Неверный токен админа», пустая статистика; admin-demo → метрики и заказы; возврат → тег «возврат», GMV пересчитан
• ✔ pytest — 14 passed (протухшие боксы, возврат после окна без рестока, retry коллизии кода)

Не тестировалось: реальная оплата Kaspi Pay (демо), Pages-версия docs/index.html.

Ключевые скриншоты

🔴 Невалидный телефон отклонён	🟢 Бронь с кодом SB-3RZGSK

Токены и доступы партнёра/админа

🟢 Кабинет Coffee Point (pt-p1-demo)	🔴 Чужой заказ не выдаётся

🟢 Отмена: qty восстановлен	🟢 Админ: возврат оформлен