s2s: HMAC-подпись доставок (схема gnexus-auth) + description у источников/целей ...

- docs/05: раздел «Доставка s2s» — подпись t=<unix>,v1=hmac_sha256(secret,
  "<t>.<body>") с константным сравнением и окном свежести, заголовки как у
  gnexus-auth (X-Gnexus-Event-*) плюс X-Synapse-Source; секрет per-target,
  в БД только token_ref; тело доставки несёт source_description.
- model/миграция: description (Text) у sources и channel_targets — кто это,
  для ИИ-агента и человека, не гадать по названию.
- CLI: --description у create-source и add-target.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Ingestion (#31): приём событий по контракту docs/05 ...

- POST /api/v1/events: Bearer-ключ -> source, анти-спуфинг (401/403/422),
  дедуп по dedup_key в окне (DEDUP_WINDOW_SECONDS, дефолт 24ч), 202 мгновенно
- POST /api/v1/events/batch: честная частичная валидация по индексам,
  202 при хоть одном принятом, dispatch строго после коммита
- GET /api/v1/events/{id}: статус + доставки, только своему источнику
- synapse.ingest: Routing Engine MVP — первое подошедшее правило по weight,
  internal_log исполняется сразу (Jinja-рендер), каналы — #29/#28
- app/cli.py: create-source/create-key/add-type/add-target/add-rule для dev

Co-Authored-By: Claude Code <noreply@anthropic.com>

Схема БД v1 (#34): 7 таблиц + миграция в alembic ...

Конфигурация: sources, api_keys (sha256-хэши, ротация), notification_types
(уникальная тройка source/subject/action), channel_targets (креды каналов —
не здесь, в .env), routing_rules (+actions, условия JSONB, weight).
Поток: events (UUID, dedup-индекс, expires_at, CHECK-статусы), deliveries
(attempts/next_retry_at, rendered_message — аудит).

- alembic upgrade head из пустой базы — проверено в контейнере
- ORM roundtrip всей цепочки — проверен, демо-данные вычищены
- docs/04-database.md: схема, решения, что сознательно не в таблицах

Co-Authored-By: Claude Code <noreply@anthropic.com>

docs/05: контракт Ingestion API v1 — принят ...

- инвариант: источник не знает получателей/каналов; routing целиком в правилах
- source — явное поле, ключ — удостоверение; правила матчают имя, не токен
- subject/action отдельными полями; priority — шкала; payload валидируется мягко
- dedup_key/ttl_seconds в v1, scheduled_at — резерв; tags убраны; topics/recipients
  в клиентском контракте не существуют

Co-Authored-By: Claude Code <noreply@anthropic.com>

Страница входа — navi-style sign-in gate как на creds.gnexus.space ...

Центрированная карточка article.card (380px), логотип GNexus 56px,
«Добро пожаловать в Synapse» + подзаголовок и одна кнопка «Войти через
GNEXUS»; OAuth стартует только по клику. Пиксельная сетка creds переведена
на токены --gn-space-*.

Co-Authored-By: Claude Code <noreply@anthropic.com>

Футер дровера — паттерн «Navigation Shell Profile Footer» из кита ...

- a.profile-identity -> GnIdentity (display_name/username/email из userinfo
  scope profile, аватар src или initials, sm + online) + GnIconButton «Выйти»
- /api/v1/admin/me отдаёт username/display_name/avatar_url и account_url
  (страница профиля gnexus-auth), карточка больше не живёт на почте

Co-Authored-By: Claude Code <noreply@anthropic.com>

Правки каркаса по макету: профиль в дровере, подсветка навигации, ширина 1440 ...

- футер дровера: GnUserCard (compact) с аватаром-initials, email и кнопкой
  «Выйти» вместо текстовых footerLeft/footerRight
- активный пункт навигации подсвечивается: обход не-реактивного $route в
  GnNavList (:key="route.path" на шеле + router.isReady() перед монтированием)
- контентный контейнер — максимум 1440px
- из страницы убраны кнопка «Выйти» и метрика «Вы вошли как»: профиль теперь
  в карточке дровера; heartbeat сессии перенесён в App.vue (один на приложение)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SPA на каркасе gnexus-ui-kit: GnNavigationShell + GnPageHeader ...

- App.vue: каркас GnNavigationShell (topbar+drawer+footer), bare-страницы
  входа/отсечения/коллбэка через route.meta.bare
- router.js: meta.bare для /login /denied /oauth/callback
- DashboardView: GnPageHeader + GnMetricCard/GnStatusCard, контент в #content
- frontend/public/assets/imgs/gnexus-mark.svg: логотип по контракту кита (/assets)

По канону vue-адаптера кита: только именованные импорты, иконки ph-*,
варианты primary/secondary/error/info, scoped-стили только на var(--gn-*).

Co-Authored-By: Claude Code <noreply@anthropic.com>

SPA-fallback вместо StaticFiles(html=True): /oauth/callback и прочие SPA-роуты отдают index.html ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

dev-порт vite 5173 -> 5174 (5173 занят на машине) ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

vite-прокси dev-режима: /api и /auth на порт api (SYNAPSE_API_PORT, дефолт 8013) ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

SPA-редирект после callback на тот же origin (дефолт SPA_PUBLIC_URL пустой); порт 8013 ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

Single sign-out: logout gnexus-auth отзывает токены Synapse через вебхуки ...

- logout в gnexus-auth НЕ отзывает OAuth-токены (проверено в его коде:
  isUsable = только expiry/revoked) — значит SSO-выход доедает вебхук
- store_login: выданные при callback токены лежат в Redis по user_id (TTL 30d)
- webhook auth.logout / auth.global_logout / session.revoked ->
  revoke access+refresh всех логинов пользователя на gnexus-auth + очистка
- POST /auth/logout: выход из Synapse отзывает все входы пользователя
- SPA: heartbeat adminMe каждые 45 c — 401 после logout в auth убивает
  сессию SPA автоматически; 403 ведёт на denied
- порт 8001 -> 8012 (на локальной машине занят другим проектом)

Co-Authored-By: Claude Code <noreply@anthropic.com>

Локальный gnexus-auth: host-gateway для gnexus-auth.local в docker-compose ...

Co-Authored-By: Claude Code <noreply@anthropic.com>

Вебхуки gnexus-auth: POST /auth/webhooks с HMAC-верификацией через gnexus-gauth ...

- секрет в GAUTH_WEBHOOK_SECRET (env); 503 без секрета, 400 при битой подписи
- события user.*/role.*/client.*/webhook.test логируются (база для
  инвалидации кэша userinfo при появлении кэша)

Co-Authored-By: Claude Code <noreply@anthropic.com>

SSO через gnexus-auth-client-py: OAuth-поток на сервере, без ввода токенов в UI ...

- /auth/login: state+PKCE в Redis (переживает рестарты), redirect на authorize
- /auth/callback: обмен кода, проверка system_role до выдачи токена,
  не-админу access-токен сразу revoke; токены в URL-фрагменте
- /auth/refresh и /auth/revoke; SPA: кнопка входа, /oauth/callback,
  тихий refresh по 401, логаут
- креды только из env (GAUTH_*), GAUTH_VERIFY_TLS для self-signed в LAN

Co-Authored-By: Claude Code <noreply@anthropic.com>

Каркас #33: FastAPI + Celery + Postgres в докере, Vue 3 SPA на gnexus-ui-kit ...

- FastAPI: healthz/readyz, Swagger на /api/docs, раздача SPA-статики из того же контейнера
- Гейт админки по ролям gnexus-auth (opaque-токены, userinfo, admin/superadmin, 401/403)
- Celery-воркер (redis broker) с каркасной задачей synapse.ping
- Alembic настроен на DATABASE_URL из .env, миграций пока нет (#34)
- docker-compose: api, worker, postgres, redis — одна команда, миграции при старте
- frontend: Vue 3 + Vite + gnexus-ui-kit (git-зависимость), вход-заглушка dev, дашборд, denied-экран

Co-Authored-By: Claude Code <noreply@anthropic.com>