Merge feature/permissions-hardening: RBAC hardening + B-lite + P0 UX

Phase A (security): permission registry, audit log on perm/feature changes,

token_version bump on permission changes.

B-lite: requireFeature middleware blocks API on disabled global flags.

P0 UX: search, modified-dot, confirm on critical perms, badge wording.

Conflict resolution: admin.js monolith was restructured into

frontend/js/admin/sections/* by feature/admin-redesign merge. P0 UX

edits (originally in monolith) were manually ported to:

- sections/permissions.js — modDot, confirm gate, filterPermissions

- sections/users.js — 'Инд.' → 'Индивидуально' badge in user-perms modal

admin.html search input + dot CSS auto-merged cleanly.

backend/src/controllers/adminController.js

@@ -451,13 +451,16 @@ function updateFeatures(req, res) {
                    'flashcards', 'knowledge_map', 'board', 'biochem', 'live_quiz', 'classroom'];
   const updates = req.body;
   const stmt = db.prepare("INSERT OR REPLACE INTO app_settings (key, value) VALUES (?, ?)");
-  const changed = [];
+  const getOld = db.prepare("SELECT value FROM app_settings WHERE key = ?");
   for (const [name, enabled] of Object.entries(updates)) {
     if (!allowed.includes(name)) continue;
-    stmt.run(`feature_${name}_enabled`, enabled ? '1' : '0');
-    changed.push(`${name}=${enabled ? 'on' : 'off'}`);
+    const settingKey = `feature_${name}_enabled`;
+    const oldRow = getOld.get(settingKey);
+    const oldVal = oldRow ? oldRow.value : null;
+    const newVal = enabled ? '1' : '0';
+    stmt.run(settingKey, newVal);
+    audit(req, 'feature.update', `feature:${name}`, `${oldVal} -> ${newVal}`);
   }
-  if (changed.length) audit(req, 'features.update', null, changed.join(', '));
   res.json({ ok: true });
 }
 

backend/src/controllers/permissionsController.js

@@ -1,177 +1,13 @@
 const db = require('../db/db');
+const { audit } = require('../utils/audit');
+const registry = require('../permissions/registry');
 
-/* ── All known permissions ─────────────────────────────────────────────── */
+/* ── All known permissions — sourced from central registry ────────────── */
+// Only teacher and student entries are exposed to the admin UI.
+// free_student shares the same keys as student (handled in auth.js fallback).
 const ALL_PERMISSIONS = [
-  /* ── Teacher ── */
-  {
-    key: 'questions.manage',
-    role: 'teacher',
-    label: 'Управление вопросами',
-    desc: 'Создавать, редактировать и копировать вопросы в банке',
-    default: 0,
-  },
-  {
-    key: 'questions.delete',
-    role: 'teacher',
-    label: 'Удалять вопросы',
-    desc: 'Удалять вопросы из банка (требует "Управление вопросами")',
-    default: 0,
-  },
-  {
-    key: 'students.invite',
-    role: 'teacher',
-    label: 'Регистрировать учеников',
-    desc: 'Создавать новые аккаунты учеников напрямую из панели',
-    default: 0,
-  },
-  {
-    key: 'sessions.reset',
-    role: 'teacher',
-    label: 'Сброс попыток',
-    desc: 'Сбрасывать прохождение теста ученика в своём классе',
-    default: 1,
-  },
-  {
-    key: 'results.export',
-    role: 'teacher',
-    label: 'Экспорт результатов',
-    desc: 'Выгружать результаты и оценки класса в CSV',
-    default: 1,
-  },
-  {
-    key: 'classes.manage',
-    role: 'teacher',
-    label: 'Управление классами',
-    desc: 'Создавать, редактировать и удалять свои классы',
-    default: 1,
-  },
-  {
-    key: 'library.upload',
-    role: 'teacher',
-    label: 'Загрузка файлов',
-    desc: 'Загружать файлы в библиотеку',
-    default: 1,
-  },
-  {
-    key: 'library.folders',
-    role: 'teacher',
-    label: 'Управление папками',
-    desc: 'Создавать папки и настраивать доступ к ним',
-    default: 1,
-  },
-  {
-    key: 'schedule.manage',
-    role: 'teacher',
-    label: 'Дедлайны заданий',
-    desc: 'Устанавливать дедлайны и временные окна для заданий',
-    default: 1,
-  },
-  {
-    key: 'announcements.send',
-    role: 'teacher',
-    label: 'Объявления',
-    desc: 'Публиковать объявления в своих классах',
-    default: 1,
-  },
-  {
-    key: 'templates.manage',
-    role: 'teacher',
-    label: 'Управление шаблонами',
-    desc: 'Создавать и использовать шаблоны курсов и уроков',
-    default: 1,
-  },
-  {
-    key: 'templates.public',
-    role: 'teacher',
-    label: 'Публикация шаблонов',
-    desc: 'Делать свои шаблоны публичными для всех учителей',
-    default: 0,
-  },
-  {
-    key: 'courses.manage',
-    role: 'teacher',
-    label: 'Управление курсами',
-    desc: 'Создавать и редактировать теоретические курсы и уроки',
-    default: 1,
-  },
-  {
-    key: 'courses.interactive',
-    role: 'teacher',
-    label: 'Интерактивные блоки',
-    desc: 'Добавлять интерактивные задания в уроки (сопоставление, пропуски, порядок)',
-    default: 1,
-  },
-  {
-    key: 'shop.manage',
-    role: 'teacher',
-    label: 'Управление магазином',
-    desc: 'Создавать и редактировать товары в магазине наград',
-    default: 0,
-  },
-  {
-    key: 'gamification.manage',
-    role: 'teacher',
-    label: 'Управление геймификацией',
-    desc: 'Начислять XP/монеты ученикам, управлять достижениями',
-    default: 0,
-  },
-  /* ── Student ── */
-  {
-    key: 'tests.free',
-    role: 'student',
-    label: 'Свободные тесты',
-    desc: 'Проходить тесты без задания (по предмету / случайно)',
-    default: 1,
-  },
-  {
-    key: 'board.post',
-    role: 'student',
-    label: 'Реакции на доске',
-    desc: 'Ставить реакции на задания на доске',
-    default: 1,
-  },
-  {
-    key: 'profile.edit',
-    role: 'student',
-    label: 'Редактирование профиля',
-    desc: 'Изменять своё имя и пароль',
-    default: 1,
-  },
-  {
-    key: 'shop.purchase',
-    role: 'student',
-    label: 'Покупки в магазине',
-    desc: 'Покупать предметы в магазине наград за монеты',
-    default: 1,
-  },
-  {
-    key: 'gamification.challenges',
-    role: 'student',
-    label: 'Испытания недели',
-    desc: 'Участвовать в еженедельных испытаниях и получать награды',
-    default: 1,
-  },
-  {
-    key: 'theory.access',
-    role: 'student',
-    label: 'Доступ к теории',
-    desc: 'Просматривать теоретические курсы и уроки',
-    default: 1,
-  },
-  {
-    key: 'simulations.access',
-    role: 'student',
-    label: 'Доступ к симуляциям',
-    desc: 'Открывать лабораторию с физическими, химическими и биологическими симуляциями',
-    default: 1,
-  },
-  {
-    key: 'simulations.quiz',
-    role: 'student',
-    label: 'Задания в симуляциях',
-    desc: 'Использовать режим "Задания" в симуляциях (квиз-режим)',
-    default: 1,
-  },
+  ...registry.byRole('teacher'),
+  ...registry.byRole('student'),
 ];
 
 /* ── Seed defaults once per startup ───────────────────────────────────── */
@@ -203,9 +39,16 @@ function setPermission(req, res) {
     return res.status(400).json({ error: 'Invalid role' });
   if (!ALL_PERMISSIONS.find(p => p.key === permission && p.role === role))
     return res.status(400).json({ error: 'Unknown permission' });
-  db.prepare(
-    'INSERT OR REPLACE INTO role_permissions (role, permission, enabled) VALUES (?, ?, ?)'
-  ).run(role, permission, enabled ? 1 : 0);
+  db.transaction(() => {
+    db.prepare(
+      'INSERT OR REPLACE INTO role_permissions (role, permission, enabled) VALUES (?, ?, ?)'
+    ).run(role, permission, enabled ? 1 : 0);
+    // Invalidate JWTs for all users of that role so the change takes effect immediately
+    db.prepare(
+      'UPDATE users SET token_version = token_version + 1 WHERE role = ?'
+    ).run(role);
+  })();
+  audit(req, 'permission.set', `role:${role}/${permission}`, `enabled=${enabled ? 1 : 0}`);
   res.json({ ok: true });
 }
 
@@ -239,19 +82,19 @@ function getMyPermissions(req, res) {
 /* ── GET /api/permissions/users/:id ──────────────────────────────────── */
 function getUserPermissions(req, res) {
   const uid = Number(req.params.id);
-  const target = require('../db/db').prepare('SELECT id, role FROM users WHERE id = ?').get(uid);
+  const target = db.prepare('SELECT id, role FROM users WHERE id = ?').get(uid);
   if (!target) return res.status(404).json({ error: 'User not found' });
 
   seedDefaults();
   // role-level values
-  const roleRows = require('../db/db').prepare(
+  const roleRows = db.prepare(
     'SELECT permission, enabled FROM role_permissions WHERE role = ?'
   ).all(target.role);
   const roleMap = {};
   for (const r of roleRows) roleMap[r.permission] = r.enabled === 1;
 
   // user-level overrides
-  const userRows = require('../db/db').prepare(
+  const userRows = db.prepare(
     'SELECT permission, enabled FROM user_permissions WHERE user_id = ?'
   ).all(uid);
   const userMap = {};
@@ -274,13 +117,20 @@ function getUserPermissions(req, res) {
 function setUserPermission(req, res) {
   const uid = Number(req.params.id);
   const { permission, enabled } = req.body;
-  const target = require('../db/db').prepare('SELECT role FROM users WHERE id = ?').get(uid);
+  const target = db.prepare('SELECT role FROM users WHERE id = ?').get(uid);
   if (!target) return res.status(404).json({ error: 'User not found' });
   if (!ALL_PERMISSIONS.find(p => p.key === permission && p.role === target.role))
     return res.status(400).json({ error: 'Unknown permission for this role' });
-  require('../db/db').prepare(
-    'INSERT OR REPLACE INTO user_permissions (user_id, permission, enabled) VALUES (?, ?, ?)'
-  ).run(uid, permission, enabled ? 1 : 0);
+  db.transaction(() => {
+    db.prepare(
+      'INSERT OR REPLACE INTO user_permissions (user_id, permission, enabled) VALUES (?, ?, ?)'
+    ).run(uid, permission, enabled ? 1 : 0);
+    // Invalidate existing JWT for this user immediately
+    db.prepare(
+      'UPDATE users SET token_version = token_version + 1 WHERE id = ?'
+    ).run(uid);
+  })();
+  audit(req, 'permission.user_set', `user:${uid}/${permission}`, `enabled=${enabled ? 1 : 0}`);
   res.json({ ok: true });
 }
 
@@ -288,13 +138,19 @@ function setUserPermission(req, res) {
 function resetUserPermissions(req, res) {
   const uid = Number(req.params.id);
   const { permission } = req.body; // optional: reset one key
-  if (permission) {
-    require('../db/db').prepare(
-      'DELETE FROM user_permissions WHERE user_id = ? AND permission = ?'
-    ).run(uid, permission);
-  } else {
-    require('../db/db').prepare('DELETE FROM user_permissions WHERE user_id = ?').run(uid);
-  }
+  db.transaction(() => {
+    if (permission) {
+      db.prepare(
+        'DELETE FROM user_permissions WHERE user_id = ? AND permission = ?'
+      ).run(uid, permission);
+    } else {
+      db.prepare('DELETE FROM user_permissions WHERE user_id = ?').run(uid);
+    }
+    // Bump token_version so the user's JWT picks up the new effective permissions
+    // immediately (could be a downgrade if override was =1 and role default is =0).
+    db.prepare('UPDATE users SET token_version = token_version + 1 WHERE id = ?').run(uid);
+  })();
+  audit(req, 'permission.user_reset', `user:${uid}`, permission || null);
   res.json({ ok: true });
 }