From 14958be302ebbf16fc324cc0bdb5546e4af4c110 Mon Sep 17 00:00:00 2001
From: IK <ilia.klimentiev@gmail.com>
Date: Sun, 13 Sep 2026 15:14:21 +0700
Subject: [PATCH] security: externalize astro scripts and styles

---
 README.md                           |  4 ++--
 apps/web/astro.config.mjs           |  5 +++++
 apps/web/src/pages/report.astro     | 23 ++++++++++++++---------
 apps/web/src/pages/spots/[id].astro |  2 +-
 deploy/Caddyfile                    |  2 +-
 docs/ROADMAP.md                     |  2 +-
 docs/csp-inventory.md               | 13 +++++--------
 7 files changed, 29 insertions(+), 22 deletions(-)

diff --git a/README.md b/README.md
index b29048b..46208a4 100644
--- a/README.md
+++ b/README.md
@@ -46,7 +46,7 @@ RF4DB/RF4-STAT/RF4MAP/RF4 Posts сначала принимаются в изо
 
 `python -m rf4_research.media_cli --coverage` сравнивает manifest с датированным `data/media/catalog-baseline.json`: отдельно считает файлы, уникальные нормализованные подписи и кандидатов без подписи, поэтому дубли и общие учебные схемы не завышают покрытие. Сейчас не покрыты минимум 24 рыбы и все 19 водоёмов, а до ручного review не подтверждены 251 рыба и все 19 водоёмов. Общий target снастей остаётся `null`, пока разрешённый источник не отдаст проверяемый полный счётчик.
 
-Актуальный внешний ориентир — 19 водоёмов и 252 вида рыб; локальная альфа пока содержит 2+2 сущности. Media-manifest включает 452 кандидата: 228 изображений рыб, 149 приманок и 75 справочных изображений; подтверждённых entity-карт водоёмов пока нет. Вручную проверены и сопоставлены 1 рыба, 2 приманки и 1 официальная схема; 446 файлов остаются в очереди, 1 URL признан невалидным. Полное число «снастей» пока не заявляется: приманки — лишь одна часть каталога наряду с удилищами, катушками, лесками, крючками и оснастками.
+Актуальный внешний ориентир — 19 водоёмов и 252 вида рыб; локальная альфа пока содержит 2+2 сущности. Media-manifest включает 452 кандидата: 228 изображений рыб, 149 приманок и 75 справочных изображений; подтверждённых entity-карт водоёмов пока нет. Вручную проверены 20 ассетов: 1 рыба, 9 приманок/наживок и 10 справочных схем; 425 записей остаются в очереди, 1 файл ожидает ревью, 6 URL признаны невалидными. Полное число «снастей» пока не заявляется: приманки — лишь одна часть каталога наряду с удилищами, катушками, лесками, крючками и оснастками.
 
 Для измерений на собственном сервере подготовлен read-only `deploy/load-smoke.py`: он считает p50/p95/max и HTTP-коды для activity/records, а при наличии `ADMIN_TOKEN` — staging/moderation. Методика и безопасные ступени нагрузки описаны в [docs/load-testing.md](docs/load-testing.md); локальные цифры не выдаются за production baseline.
 
@@ -91,7 +91,7 @@ FastAPI ─ PostgreSQL 17
 
 Наружу production-профиль публикует только Caddy. PostgreSQL, API, Astro и MinIO находятся в Docker-сетях. Caddy завершает TLS и защищает административные страницы Basic Auth; административный API отдельно проверяет Bearer-токен в FastAPI. Basic не накладывается на API-запросы.
 
-Production CSP ограничивает browser-запросы текущим доменом и отдельным files-доменом для изображений, запрещает plugins, frames, inline handlers, eval, wildcard и HTTP. Оставшиеся inline script/style зависимости и путь к nonce/hash перечислены в [CSP inventory](docs/csp-inventory.md).
+Production CSP ограничивает browser-запросы текущим доменом и отдельным files-доменом для изображений, запрещает plugins, frames, inline handlers, eval, wildcard и HTTP. Page scripts и scoped styles принудительно выпускаются отдельными same-origin `_astro`-ассетами, поэтому `style-src` больше не допускает inline style elements; оставшиеся исключения и путь к nonce/hash перечислены в [CSP inventory](docs/csp-inventory.md).
 
 Gitea Actions workflow `.gitea/workflows/ci.yml` на каждый push и pull request проверяет Python, миграции на чистой PostgreSQL, Astro build и полный Compose/Playwright-сценарий. При падении E2E сохраняются логи контейнеров и Playwright-артефакты.
 
diff --git a/apps/web/astro.config.mjs b/apps/web/astro.config.mjs
index 1453311..1d0e886 100644
--- a/apps/web/astro.config.mjs
+++ b/apps/web/astro.config.mjs
@@ -7,4 +7,9 @@ export default defineConfig({
   output: "server",
   adapter: node({ mode: "standalone" }),
   server: { host: true, port: 4321 },
+  vite: {
+    // Keep executable scripts and compiled component styles in same-origin
+    // assets so production CSP does not need broad inline allowances.
+    build: { assetsInlineLimit: 0 },
+  },
 });
diff --git a/apps/web/src/pages/report.astro b/apps/web/src/pages/report.astro
index 4a55a8a..19ab4fd 100644
--- a/apps/web/src/pages/report.astro
+++ b/apps/web/src/pages/report.astro
@@ -7,6 +7,7 @@ const state = Astro.url.searchParams.get("state");
 const reportId = Astro.url.searchParams.get("report_id");
 ---
 <Layout title="Добавить улов Russian Fishing 4 — RF4 Spotter" description="Отправьте собственное наблюдение об улове RF4 на проверку и помогите игрокам находить актуальные точки.">
+  <span id="report-state" data-state={state ?? ""} hidden></span>
   <section class="form-hero"><div><span class="eyebrow"><b>+1</b> Помочь сообществу</span><h1>Добавить<br/><em>свой улов</em></h1></div><p>Около минуты — и рабочая точка появится в общей статистике после проверки модератором.</p></section>
   {state === "sent" && <div class="notice success">Улов отправлен на модерацию. Спасибо!</div>}
   {state === "screenshot_sent" && <div class="notice success">Скриншот добавлен к ранее созданной заявке.</div>}
@@ -20,13 +21,15 @@ const reportId = Astro.url.searchParams.get("report_id");
     <fieldset><legend>Главное <span>обязательно</span></legend><div class="form-grid"><label>Рыба *<select name="fish_slug" required>{fishes.map(x => <option value={x.slug}>{x.name_ru}</option>)}</select></label><label>Водоём *<select name="waterbody_slug" required>{waterbodies.map(x => <option value={x.slug}>{x.name_ru}</option>)}</select></label><label>Координата X *<input name="x" type="number" min="-10000" max="10000" placeholder="Например, 72" required /></label><label>Координата Y *<input name="y" type="number" min="-10000" max="10000" placeholder="Например, 84" required /></label><label>Вес, граммы *<input name="weight_g" type="number" min="1" max="3000000" placeholder="1250" required /></label><label>Приманка<input name="bait_name" maxlength="200" placeholder="Название в игре" /></label></div><p class="field-help">Координаты — два целых числа с карты. Вес: 1,25 кг = 1250 г.</p></fieldset>
     <details class="optional-fields"><summary>Дополнительные сведения <span>необязательно</span></summary><div class="form-grid"><label>Способ ловли<select name="fishing_method"><option value="">Не указан</option><option value="spinning">Спиннинг</option><option value="bottom">Донная</option><option value="float">Поплавочная</option></select></label><label>Проводка<input name="retrieve_method" maxlength="100" /></label><label>Скорость проводки<input name="retrieve_speed" type="number" min="0" max="100" /></label><label>Ник игрока<input name="player_name" maxlength="100" /></label></div><label class="wide">Комментарий<textarea name="comment" maxlength="1000" rows="4"></textarea></label><label class="wide">Скриншот, JPEG/PNG/WebP до 8 МБ<input name="screenshot" type="file" accept="image/jpeg,image/png,image/webp" /></label></details><label class="honeypot" aria-hidden="true">Сайт<input name="website" tabindex="-1" autocomplete="off" /></label><p class="privacy">Ник и скриншот необязательны. Из изображения удаляются EXIF и прочие метаданные.</p><label class="consent"><input name="consent" type="checkbox" required /> <span>Я отправляю собственное наблюдение и принимаю <a href="/rules" target="_blank">правила</a> и <a href="/privacy" target="_blank">политику конфиденциальности</a>.</span></label><button data-action="primary" type="submit">Отправить на проверку</button>
   </form>}
-  <script is:inline define:vars={{ state }}>
-    const form = document.querySelector(".report-form"); const key = "rf4-report-draft";
+  <script>
+    const form = document.querySelector<HTMLFormElement>(".report-form");
+    const state = document.querySelector<HTMLElement>("#report-state")?.dataset.state ?? "";
+    const key = "rf4-report-draft";
     // A05: Safe sessionStorage access with error handling
     const safeStorage = {
-      getItem: (k) => { try { return sessionStorage.getItem(k); } catch { return null; } },
-      setItem: (k, v) => { try { sessionStorage.setItem(k, v); } catch {} },
-      removeItem: (k) => { try { sessionStorage.removeItem(k); } catch {} },
+      getItem: (k: string) => { try { return sessionStorage.getItem(k); } catch { return null; } },
+      setItem: (k: string, v: string) => { try { sessionStorage.setItem(k, v); } catch {} },
+      removeItem: (k: string) => { try { sessionStorage.removeItem(k); } catch {} },
     };
     // A05: Restore draft on all error states that don't destroy the submission
     const recoverableStates = ["create_error", "rate_limited", "server_error", "timeout"];
@@ -35,17 +38,19 @@ const reportId = Astro.url.searchParams.get("report_id");
         const draft = JSON.parse(safeStorage.getItem(key) || "{}");
         for (const [name, value] of Object.entries(draft)) {
           const field = form.elements.namedItem(name);
-          if (field && "value" in field) field.value = value;
+          if (field instanceof HTMLInputElement || field instanceof HTMLSelectElement || field instanceof HTMLTextAreaElement) {
+            field.value = String(value);
+          }
         }
       } catch {}
-      document.querySelector("#form-error")?.focus();
+      document.querySelector<HTMLElement>("#form-error")?.focus();
     }
     if (state === "sent" || state === "screenshot_sent") safeStorage.removeItem(key);
     form?.addEventListener("submit", () => {
-      const btn = form.querySelector("button[type=submit]");
+      const btn = form.querySelector<HTMLButtonElement>("button[type=submit]");
       if (btn) { btn.disabled = true; btn.textContent = "Отправка..."; }
       // A05: Save draft before submit, handle sessionStorage unavailable
-      const draft = {};
+      const draft: Record<string, string> = {};
       try {
         for (const [name, value] of new FormData(form)) {
           if (typeof value === "string" && name !== "website") draft[name] = value;
diff --git a/apps/web/src/pages/spots/[id].astro b/apps/web/src/pages/spots/[id].astro
index 1a85b37..9979bbf 100644
--- a/apps/web/src/pages/spots/[id].astro
+++ b/apps/web/src/pages/spots/[id].astro
@@ -47,7 +47,7 @@ const breadcrumbs = spot ? { "@context": "https://schema.org", "@type": "Breadcr
     </section>
   </>}
 </Layout>
-<script is:inline>
+<script>
   document.querySelectorAll<HTMLButtonElement>("[data-copy-coordinates]").forEach((button) => {
     button.addEventListener("click", async () => {
       const value = button.dataset.copyCoordinates || "";
diff --git a/deploy/Caddyfile b/deploy/Caddyfile
index ed6da03..52cc169 100644
--- a/deploy/Caddyfile
+++ b/deploy/Caddyfile
@@ -52,7 +52,7 @@
     Permissions-Policy "camera=(), microphone=(), geolocation=()"
     X-Frame-Options "DENY"
     Cross-Origin-Opener-Policy "same-origin"
-    Content-Security-Policy "default-src 'self'; base-uri 'self'; object-src 'none'; frame-ancestors 'none'; form-action 'self'; connect-src 'self'; img-src 'self' data: https://{$FILES_DOMAIN}; font-src 'self'; media-src 'self'; manifest-src 'self'; script-src 'self' 'unsafe-inline'; script-src-attr 'none'; style-src 'self' 'unsafe-inline'; style-src-attr 'unsafe-inline'; upgrade-insecure-requests"
+    Content-Security-Policy "default-src 'self'; base-uri 'self'; object-src 'none'; frame-ancestors 'none'; form-action 'self'; connect-src 'self'; img-src 'self' data: https://{$FILES_DOMAIN}; font-src 'self'; media-src 'self'; manifest-src 'self'; script-src 'self' 'unsafe-inline'; script-src-attr 'none'; style-src 'self'; style-src-attr 'unsafe-inline'; upgrade-insecure-requests"
   }
 }
 
diff --git a/docs/ROADMAP.md b/docs/ROADMAP.md
index 3cef3cd..bd654ab 100644
--- a/docs/ROADMAP.md
+++ b/docs/ROADMAP.md
@@ -54,7 +54,7 @@
 - [x] **Q11 · Декомпозиция API.** Catalog, activity/spots, records/community/status/import-history, submissions и весь admin API вынесены в отдельные `APIRouter`. `main.py` оставляет composition root, middleware, health/readiness и временные совместимые экспорты rate-limit для тестового контракта; URL и OpenAPI сохранены.
 - [ ] **Q12 · Query-plan gate.** В рамках Q07 снять `EXPLAIN (ANALYZE, BUFFERS)` для activity, records, spot detail и public spot pages на реалистичном наборе данных. Существующие индексы миграции `0011_query_indexes` не дублировать; индекс с `fish_id`, SQL-агрегацию или materialized view добавлять только по измеренному плану и p95.
 - [x] **Q13 · Production bootstrap в CI.** Отдельный workflow запускает `deploy/test-production-bootstrap.sh` вручную или раз в неделю, а не на каждом push. Вывод bootstrap всегда сохраняется 14 дней; при падении добавляются Compose status и Playwright diagnostics.
-- [ ] **Q14 · Полная CSP — origin-policy внедрена.** Production ограничивает default/connect/form/font/media/manifest текущим доменом, изображения — self/data/`FILES_DOMAIN`, запрещает inline event handlers, eval, wildcard и HTTP. Инвентаризация зафиксировала динамический JSON-LD, page scripts, scoped styles и CSS variables; из-за них `unsafe-inline` временно остаётся только для script/style элементов и style attributes. Далее вынести page scripts, решить nonce/hash JSON-LD и убрать исключения поэтапно с bootstrap-проверкой report/admin/OG/screenshots.
+- [ ] **Q14 · Полная CSP — в работе.** Production ограничивает default/connect/form/font/media/manifest текущим доменом, изображения — self/data/`FILES_DOMAIN`, запрещает inline event handlers, eval, wildcard и HTTP. Page scripts переведены в Astro client modules, конфигурация формы передаётся через `data-*`, а `assetsInlineLimit: 0` гарантирует внешние `_astro`-ассеты для малых scripts/scoped styles. `unsafe-inline` удалён из `style-src`; остаются динамический JSON-LD в `script-src` и два вычисляемых CSS variable в `style-src-attr`. Далее внедрить nonce/hash и убрать оба исключения с bootstrap-проверкой report/admin/OG/screenshots.
 - [x] **Q15 · Частичная деградация главной.** SSR независимо получает activity, community signals и оба справочника через settled-результаты. Отказ секции показывает собственный `StatePanel`, сохраняет остальные данные и HTTP 200 с `X-RF4-Partial`/`Cache-Control: no-store`; только отказ всех четырёх частей возвращает 503, `Retry-After` и noindex. Client-side loading и optimistic UI не добавлялись.
 - [x] **Q16 · Контракт OpenAPI.** `apps/api/openapi.json` детерминированно генерируется из FastAPI; CI проверяет его актуальность после backend suite. Изменение artifact обязательно рассматривается вместе с реализацией, а ручное редактирование не используется.
 - [x] **Q17 · Эксплуатационные документы.** Зафиксированы ADR по Astro/FastAPI/PostgreSQL, локальному cache, scheduler/cooldown и разделению PostgreSQL/MinIO. Incident runbook покрывает заполнение диска, отказ PostgreSQL/MinIO, зависшие импорты, ошибки миграций, компрометацию секретов и критерии закрытия без опасных reset/recreate операций.
diff --git a/docs/csp-inventory.md b/docs/csp-inventory.md
index 84f11e2..49ea2ee 100644
--- a/docs/csp-inventory.md
+++ b/docs/csp-inventory.md
@@ -4,18 +4,15 @@
 
 ## Временные inline-зависимости
 
-- динамический JSON-LD в `Layout.astro`;
-- inline bootstrap в `report.astro` и `spots/[id].astro`;
-- page scripts главной и трёх admin-экранов;
-- scoped `<style>` Astro-компонентов;
+- динамический JSON-LD в `Layout.astro` остаётся единственным намеренно inline script;
 - вычисляемые CSS custom properties для шкалы активности и timeline.
 
-Текущая CSP поэтому временно допускает `unsafe-inline` отдельно для script/style elements и style attributes. Inline event handlers запрещены `script-src-attr 'none'`; `unsafe-eval`, wildcard, HTTP и сторонние connect/script origin отсутствуют.
+Vite собирает даже малые page scripts и scoped Astro styles в same-origin `_astro` assets (`assetsInlineLimit: 0`). Поэтому `style-src` уже ограничен `'self'`; временный `unsafe-inline` остаётся только для динамического JSON-LD в `script-src` и вычисляемых style attributes. Inline event handlers запрещены `script-src-attr 'none'`; `unsafe-eval`, wildcard, HTTP и сторонние connect/script origin отсутствуют.
 
 ## Путь к nonce/hash
 
-1. Перенести page scripts в импортируемые клиентские модули, конфигурацию передавать через безопасные `data-*`.
+1. Page scripts перенесены в собираемые клиентские модули; конфигурация формы передаётся через безопасный `data-state`. Нулевой inline limit запрещает Vite встраивать малые модули обратно в HTML.
 2. JSON-LD либо хэшировать на уровне SSR-заголовка, либо выдавать nonce из web-runtime; статический nonce запрещён.
-3. Оставить scoped styles в скомпилированных `_astro` assets; вычисляемые значения заменить классами/`data-*` или nonce style.
-4. Удалить `unsafe-inline` из `script-src`, затем из `style-src`; `style-src-attr` убрать последним.
+3. Scoped styles уже находятся в скомпилированных `_astro` assets, и `unsafe-inline` удалён из `style-src`; вычисляемые значения заменить классами/`data-*`.
+4. Удалить `unsafe-inline` из `script-src` после решения JSON-LD; `style-src-attr` убрать последним.
 5. Проверить report, spots, admin, JSON-LD и signed screenshots в production bootstrap. Не добавлять `blob:`, `*` или произвольные CDN для устранения ошибок.