Системные уведомления: транспорт Web Push, события агента, настройки (0.88) ...

О работе агента владелец узнавал только из открытой вкладки: SSE-кадры
task.claimed/task.review живут ровно столько, сколько она открыта, а агент
работает как раз тогда, когда вкладки нет. Web Push — второй транспорт тех же
событий на той же шине; SSE остаётся за мгновенный refetch интерфейса.

Backend: pywebpush и пара ключей VAPID (app/vapid.py печатает готовые строки
для .env; пустые ключи — push тихо выключен, а не падение на старте),
таблица push_subscriptions (endpoint уникален глобально: тот же браузерный
профиль может войти другим аккаунтом — подписка перепривязывается),
app/api/push.py (config/subscribe/unsubscribe/subscriptions), тексты
уведомлений на ru/en/uk собирает сервер — у service worker локалей нет.
Отправка идёт вне HTTP-ответа (BackgroundTasks в REST, поток в MCP) со своей
сессией; мёртвые подписки (404/410, серия ошибок) удаляются лениво.

Frontend: свой src/sw.ts через strategies: 'injectManifest' — в generateSW
обработчик push вставить некуда; precache, SPA-fallback и CacheFirst переехали
из vite.config.ts в воркер, у SW отдельный tsconfig (WebWorker не уживается с
DOM). Подавление при видимой вкладке — по visibilityState клиента, иначе
системное уведомление дублировало бы тост. Разрешение спрашиваем при входе
(жеста нет — браузер вправе проигнорировать), надёжный путь — переключатель
в Настройках.

Тесты: подписка/отписка/перепривязка, отправка с подменённым webpush, связка
событий. Фоновую отправку в тестах глушим: она идёт в чужом потоке по общему
SQLite-соединению и перемешивала транзакции тестов мандата.

ТЗ 0.88: §3.21 «Системные уведомления», правки §3.14, §3.15, §5, §7.

Docker-деплой готов к проде (ТЗ 0.33, M7) ...

- nginx: client_max_body_size 20m (вложения до 10 МБ падали бы с 413),
  HTTP/1.1-апстрим с keepalive и без буферизации для /api/ и /mcp/ (SSE),
  кэш хэшированной статики на год, gzip
- compose: убраны контейнеры ollama/ollama-init (Ollama — внешний сервер,
  OLLAMA_BASE_URL из .env); restart для db; healthcheck api через
  /api/health (start_period 30s на миграции); модель по умолчанию
  согласована с конфигом (qwen3.5:2b-q4_K_M, открытый вопрос ТЗ 8.5 закрыт)
- mcp_server: FastMCP пропускал только Host localhost — в проде за nginx
  /mcp отвечал 421; разрешённый Host берётся из GAUTH_REDIRECT_URI
  (dev-поведение не изменилось, защита от DNS-rebinding сохранена)
- README: раздел «Деплой» — шаги, внешний TLS-прокси, лимит тела,
  буферизация SSE, почему 1 воркер uvicorn
- ТЗ 0.33: TLS — внешний reverse-proxy; Ollama — внешний сервер

Проверено локально полным стеком (db+api+web на :8135): сборка образов,
SPA/health/SSO-редирект/413/gzip/MCP-флоу (initialize → tools/call),
MCP с чужим Host — 421. 117 backend-тестов, mypy, ruff — чисто.

Co-Authored-By: Claude Code <noreply@anthropic.com>

M7: docker-compose — API, PostgreSQL, фронт (nginx), Ollama + модель ...

- compose: db (postgres:17, volume), ollama + одноразовый ollama-init (pull модели),
  api (alembic upgrade при старте), web (nginx: SPA + прокси /api /auth /mcp)
- backend Dockerfile: git для uv-зависимостей, alembic.ini + миграции в образ
- frontend Dockerfile: npm ci с package-lock, .npmrc до npm install
- nginx: /auth/ прокси (SSO-флоу), /mcp/ без буферизации (SSE)
- smoke-тест compose-стека (db+api+web): health через nginx, 401 без сессии

Co-Authored-By: Claude Code <noreply@anthropic.com>

Порт API 8134 вместо 8000; креды локального SSO в .env (не коммитится) ...

- Dockerfile, nginx, vite proxy, README — единый нестандартный порт 8134
- тест redirect привязан к gauth_base_url из настроек, а не к прод-хосту

Co-Authored-By: Claude Code <noreply@anthropic.com>

M0: каркас проекта ...

- ТЗ v0.3 (docs/TZ.md): требования, модель данных, архитектура, вехи
- backend: FastAPI-скелет (health), конфиг из окружения, интеграция gnexus-gauth
- frontend: Vue 3 + Vite + TypeScript, каркас SPA (стек/дерево), gnexus-ui-kit
- Docker: Dockerfile'ы, docker-compose (postgres/api/web), nginx с /api-прокси
- Гейты: ruff + mypy strict (pass), vue-tsc + vite build (pass)

Co-Authored-By: Claude Code <noreply@anthropic.com>