security+perf: полное ревью — 17 фиксов P0/P1 (XSS, IDOR, race conditions, rate limits, TURN, WAL)

## P0
- admin.html:2608, red-book-ecosystem.html:489-495 — XSS: u.name/node.name_ru/description обернуты в LS.esc()
- classController.js getAnnouncements — добавлена проверка teacher_id (B14: учитель A не может читать объявления класса B)

## P1 — auth & validation
- authController.js — минимум пароля 6→8 символов (register + change password + login.html)
- gamificationController adminAward — валидация max XP/coins (1M), Number coercion
- shopController adminAwardCoins — валидация max + проверка changes>0

## P1 — race conditions
- petController.buyBg — atomic UPDATE WHERE coins>=? (race-safe)
- shopController.purchaseItem — atomic conditional UPDATE
- liveController — добавлен question_id в live_answers (миграция с пересозданием таблицы), история ответов сохраняется при смене вопроса учителем
- ws-server: invalidateDrawCache экспортирован, classroomController grant/revoke вызывают его → permission revoke применяется мгновенно (раньше до 10s stale)

## P1 — rate limits & retry
- rateLimit middleware: новый параметр byUser=true (использует req.user.id вместо IP — не блокирует пользователей за NAT)
- routes/classroom.js: reactionLimiter (15/5s) на /chat/:msgId/react, handLimiter (5/5s) на raise/lower hand
- api.js sendAnswer — retry 3x с exp backoff (300/1200/2700ms), не повторяет на 4xx (F5)

## P1 — performance
- classroomController.getStrokes — LIMIT 5000 + флаг hasMore (защита от OOM на 10K+ strokes)
- whiteboard.js _liveStrokes — TTL 1.5s на каждый live preview (auto-cleanup при крашe ремоут юзера)

## Infrastructure
- config.js: TURN_URL/USER/PASS env vars
- server.js: GET /api/ice-servers возвращает STUN + опциональный TURN из env
- classroom-rtc.js: фетчит /api/ice-servers вместо хардкода (поддержка TURN для NAT/CGNAT школьных сетей)
- .env.example: документация TURN
- db.js: PRAGMA synchronous=NORMAL (5x быстрее с WAL), cache_size 16MB, temp_store=MEMORY
- ws-server.js closeAll() + server.js shutdown — graceful WS shutdown при SIGTERM

## False positives (не баги, агенты ошиблись)
- assignmentController FK на tests — на самом деле users (migrate.js:317-318)
- .env в git — gitignore корректно исключает
- admin.html без requireAuth — есть LS.initPage() который вызывает requireAuth
- submissionsController IDOR — обе ручки уже проверяют teacher_id
- screenSender = null inside try/catch — на самом деле снаружи
- SSE без backoff — есть exponential 2s→30s
- sessionController NOT IN на пустом массиве — есть guard usedIds.length>0
- getChat без LIMIT — есть LIMIT 100/200
- trust proxy — установлен на server.js:105

Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com>

backend/src/controllers/shopController.js

@@ -30,14 +30,13 @@ function purchaseItem(req, res) {
   const alreadyOwned = db.prepare('SELECT 1 FROM user_purchases WHERE user_id = ? AND item_id = ?').get(userId, itemId);
   if (alreadyOwned) return res.status(400).json({ error: 'Вы уже купили этот предмет' });
 
-  // Atomic: check balance + deduct + insert purchase in one transaction
+  // Atomic: conditional UPDATE (race-safe even under concurrent purchases)
   const doPurchase = db.transaction(() => {
-    const user = db.prepare('SELECT coins FROM users WHERE id = ?').get(userId);
-    if (!user || (user.coins || 0) < item.price) return { err: 'Недостаточно монет' };
-
-    db.prepare('UPDATE users SET coins = coins - ? WHERE id = ?').run(item.price, userId);
+    const upd = db.prepare(
+      'UPDATE users SET coins = coins - ? WHERE id = ? AND coins >= ?'
+    ).run(item.price, userId, item.price);
+    if (upd.changes === 0) return { err: 'Недостаточно монет' };
     db.prepare('INSERT INTO user_purchases (user_id, item_id) VALUES (?, ?)').run(userId, itemId);
-
     const updated = db.prepare('SELECT coins FROM users WHERE id = ?').get(userId);
     return { coins: (updated && updated.coins) || 0 };
   });
@@ -166,10 +165,14 @@ function adminDeleteItem(req, res) {
 }
 
 /* POST /api/shop/admin/award-coins — award coins to user */
+const SHOP_AWARD_MAX = 1_000_000;
 function adminAwardCoins(req, res) {
   const { userId, amount, reason } = req.body;
-  if (!userId || !amount || amount < 0) return res.status(400).json({ error: 'userId and positive amount required' });
-  db.prepare('UPDATE users SET coins = coins + ? WHERE id = ?').run(amount, userId);
+  const amt = Number(amount);
+  if (!userId || !Number.isFinite(amt) || amt <= 0 || amt > SHOP_AWARD_MAX)
+    return res.status(400).json({ error: `userId and amount (1..${SHOP_AWARD_MAX}) required` });
+  const result = db.prepare('UPDATE users SET coins = coins + ? WHERE id = ?').run(amt, userId);
+  if (result.changes === 0) return res.status(404).json({ error: 'User not found' });
   const user = db.prepare('SELECT coins FROM users WHERE id = ?').get(userId);
   res.json({ ok: true, coins: user?.coins || 0 });
 }