feat: mass-parallel implementation of 25 features

[ZeiZel]

Summary

25 features implemented in parallel by specialized agents across backend, frontend, and editor layers:

Backend (13 features)

• Rate limiting middleware with ValKey (sliding window, Lua)
• Database migration strategy with health indicator
• Email notification system with Handlebars templates
• Webhook management CRUD API (7 endpoints)
• API key management enhancements (scopes, rotation, usage tracking)
• Note duplication API endpoint
• Trash/recycle bin with BullMQ auto-purge (30 days)
• Note alias support with vanity URLs
• Note export enhancements (ZIP with folder structure)
• Note import Obsidian enhancements (wikilinks, frontmatter, dataview)
• Semantic search with pgvector embeddings
• Image optimization pipeline with sharp
• Audit log enhancements for workspace admin actions

Frontend (9 features)

• Dark/light theme toggle with system preference
• Focus mode (distraction-free writing)
• Breadcrumb navigation for note hierarchy
• Timeline view for notes
• Floating/detachable windows
• Drag-and-drop file upload in editor
• Keyboard shortcut customization settings
• Mermaid diagram live preview enhancement
• Print and print-to-PDF support

Editor Extensions (3 features)

• Horizontal rule extension (thin/thick/dashed)
• Superscript and subscript mark extensions
• PWA manifest and service worker

Test Coverage

~700+ new unit tests across all features

Test plan

• Run pnpm nx affected -t test to verify all new tests pass
• Run pnpm nx affected -t lint to check for lint issues
• Manual smoke test of key features (theme toggle, focus mode, print)
• Verify Prisma migrations apply cleanly

🤖 Generated with Claude Code

[ZeiZel]

Ревью PR #1: feat/mass-parallel-003 → main

Объём: 152 файлов, +22,894 / -341 строк, 32 коммита, ~700 тестов

Общее впечатление

Масштабный PR, добавляющий 25 фич: rate limiting, webhooks, trash/recycle bin, semantic search (pgvector), note aliases, image optimization, health checks, email templates, focus mode, floating windows, theme toggle, breadcrumb navigation, timeline view, drag-and-drop upload, keyboard shortcuts, mermaid preview, print view, PWA, editor extensions (horizontal rule, superscript, subscript) и другие.

Код в целом высокого качества: грамотная архитектура, TypeScript strict compliance, Zod для валидации, Prisma для доступа к БД, корректные миграции, хорошее покрытие тестами.

---

IMPORTANT (не блокируют мёрж, но стоит исправить в следующем PR)

1. NoteAliasService — прямой new PrismaClient() вместо DI

Файл: apps/server/src/modules/notes/note-alias.service.ts:31

private readonly prisma = new PrismaClient();

Создаёт отдельный connection pool, обходит общие middleware/logging PrismaService. Паттерн уже есть в 5 других файлах проекта, но стоит мигрировать на инъекцию через конструктор.

2. Отсутствуют barrel exports для новых editor extensions

Файл: libs/editor-core/src/index.ts
Три новых расширения (horizontal-rule, superscript, subscript) и их 4 компонента (HorizontalRuleButton, HorizontalRuleView, SuperscriptButton, SubscriptButton) не экспортированы из barrel-файла. Потребители за пределами библиотеки не смогут их импортировать.

3. TrashListQueryDto — нет class-validator декораторов

Файл: apps/server/src/modules/notes/trash.controller.ts:22-33
DTO TrashListQueryDto использует только Swagger-декораторы, но не class-validator (@IsOptional, @IsInt, @Min, @Max). Параметры cursor и limit принимаются без серверной валидации типов (только ручной Number(query.limit)).

4. Service worker кэширует API-ответы

Файл: apps/web/public/sw.js:83
Все GET-запросы /api/* кэшируются в API_CACHE. Потенциально могут кэшироваться чувствительные данные. Рекомендуется добавить исключения для /api/auth/* и /api/*/webhooks/*/secret.

5. emptyTrash загружает все trashed notes в память

Файл: apps/server/src/modules/notes/trash.service.ts:205-230
Для workspace с тысячами trashed notes — потенциальная проблема памяти. Практически ограничено 30-дневным auto-purge, но для enterprise-сценариев стоит рассмотреть batch processing.

---

MINOR (для информации)

• Двойной ThemeToggle: компонент добавлен и в Ribbon.tsx, и в WorkspaceShell.tsx — возможно, by design.
• FocusModeStore: правильно НЕ персистит isFocusMode в localStorage — хороший паттерн.
• Semantic search fallback: корректный graceful degradation на FTS при отсутствии OPENAI_API_KEY.
• Rate limiter: Lua-скрипт для sliding window — идиоматичная реализация, fail-open при недоступности ValKey.
• Миграции (0013-0015): безопасные ADD COLUMN, CREATE INDEX, CREATE EXTENSION IF NOT EXISTS. Нет потери данных.
• Webhook RBAC: корректно — ADMIN/OWNER для write-операций, VIEWER+ для read.
• pgvector queries: используют Prisma tagged templates ($queryRaw), параметризованы — SQL injection невозможен.

---

Безопасность ✅

• Нет SQL injection (все raw queries параметризованы через Prisma tagged templates)
• Нет XSS (Ant Design + React escaping)
• Нет hardcoded secrets (OpenAI key из env)
• Auth guards работают глобально через APP_GUARD (ApiKeyOrJwtGuard)
• Rate limiting с Lua atomic operations предотвращает race conditions
• Webhook secrets хранятся как HMAC hashes, raw secret показывается только при создании
• Image optimizer использует sharp library (не shell commands) — нет command injection

Архитектура ✅

• Frontend: FSD compliance, Zustand только для business logic, Ant Design
• Backend: Clean Architecture, модули NestJS правильно подключены
• Prisma schema расширен корректно, миграции безопасны

Вердикт: APPROVE ✅

Блокирующих проблем нет. 5 IMPORTANT issues стоит адресовать в follow-up PR.

[ZeiZel]

Follow-up: дополнительные находки ревью

CRITICAL: XSS в MermaidPreview.tsx

Файл: apps/web/src/features/editor/ui/MermaidPreview.tsx:235,428

Mermaid инициализируется с securityLevel: 'loose', а SVG-вывод рендерится через dangerouslySetInnerHTML. С 'loose' Mermaid разрешает произвольный HTML в лейблах диаграмм — пользователь может внедрить <script> или onerror обработчики через содержимое заметки.

Исправление: Изменить securityLevel: 'loose' на 'strict' или 'sandbox'. Если 'strict' ломает функциональность — санитизировать SVG через DOMPurify перед вставкой.

IMPORTANT: javascript: URL injection в PrintView.tsx

Файл: apps/web/src/features/editor/ui/PrintView.tsx:131-137

Markdown-to-HTML конвертация вставляет href и src из содержимого заметки без проверки протокола. Заметка с ![img](javascript:alert(1)) создаст <img src="javascript:alert(1)">.

Исправление: Добавить валидацию URL протокола перед вставкой в href/src.

IMPORTANT: EditorDropZone.tsx — сломанный upload

Файл: apps/web/src/features/editor/ui/EditorDropZone.tsx:146

Ручная установка 'Content-Type': 'multipart/form-data' мешает axios автоматически генерировать boundary для multipart запроса. Сервер не сможет распарсить FormData.

Исправление: Убрать ручной Content-Type header, позволить axios установить его автоматически.

IMPORTANT: KeybindingsSettings — нет Zod валидации импорта

Файл: apps/web/src/features/settings/ui/KeybindingsSettings.tsx:301-337

Импорт JSON клавиатурных сокращений использует JSON.parse без Zod-валидации схемы (нарушение директивы "Zod for runtime validation at system boundaries").

---

Рекомендую создать follow-up issue для этих 4 находок, особенно XSS.

[ZeiZel]

🔍 Code Review — PR #1: mass-parallel implementation of 25 features

Статус: PR уже смержен. Ревью опубликовано post-merge — критические проблемы требуют отдельных фикс-PR.

---

CRITICAL (5 проблем — требуют немедленного исправления)

🔴 C1. XSS через Mermaid dangerouslySetInnerHTML + securityLevel: 'loose'

Файлы: apps/web/src/features/editor/ui/MermaidPreview.tsx:426, :233, :295

SVG-выход Mermaid рендерится через dangerouslySetInnerHTML, при этом securityLevel установлен в 'loose'. Mermaid-диаграммы пишутся пользователями — злоумышленник может создать Mermaid-определение, генерирующее SVG с <script> или event handlers (onload, onerror). В контексте shared workspaces это stored XSS.

// MermaidPreview.tsx:426
dangerouslySetInnerHTML={{ __html: svgHtml }}

// MermaidPreview.tsx:233, 295
securityLevel: 'loose',  // Разрешает event handlers в SVG

Исправление: Сменить securityLevel на 'strict'. Если нужна интерактивность — санитизировать SVG через DOMPurify перед innerHTML.

---

🔴 C2. NoteAliasService создаёт свой PrismaClient вместо инжектированного PrismaService

Файл: apps/server/src/modules/notes/note-alias.service.ts:~31

private readonly prisma = new PrismaClient();

Создаёт неуправляемый пул подключений, который обходит NestJS lifecycle, middleware, graceful shutdown, и не мокается в тестах.

Исправление: Инжектировать PrismaService через конструктор.

---

🔴 C3. Rate limiter доверяет X-Forwarded-For без проверки trust proxy

Файл: apps/server/src/common/middleware/rate-limit.middleware.ts:~169-178

const forwarded = req.headers['x-forwarded-for'];
if (forwarded) {
  const ip = Array.isArray(forwarded) ? forwarded[0] : forwarded.split(',')[0];
  return `ip:${ip.trim()}`;
}

Атакующий может спуфить X-Forwarded-For с новым IP на каждый запрос, полностью обходя rate limiting. Middleware должен использовать req.ip (который учитывает trust proxy) вместо прямого парсинга заголовка.

---

🔴 C4. Отсутствует валидация vector-литерала в semantic search

Файл: apps/server/src/modules/search/semantic-search.service.ts:~150, ~179

const vectorLiteral = `[${queryVector.join(',')}]`;
// Далее в SQL: ${vectorLiteral}::vector

Если API OpenAI вернёт повреждённый ответ с нечисловыми значениями, они попадут в SQL-запрос. Нужна явная валидация: if (!queryVector.every(v => Number.isFinite(v))) throw.

---

🔴 C5. Сломанный multipart upload — явно задан Content-Type без boundary

Файл: apps/web/src/features/editor/ui/EditorDropZone.tsx:146

'Content-Type': 'multipart/form-data',  // Комментарий говорит "Let axios set" — но всё равно задаёт!

Без boundary-параметра сервер не сможет распарсить запрос. Upload файлов не работает в продакшене.

Исправление: Удалить заголовок Content-Type, позволить axios установить его автоматически из FormData.

---

IMPORTANT (21 проблема)

Backend (8)

#	Проблема	Файл
I1	NoteAliasController не валидирует input через Zod — DTO без декораторов	note-alias.controller.ts:~90
I2	Webhook delivery limit (?limit=) не валидируется — parseInt('abc') = NaN	workspace-webhooks.controller.ts:~180
I3	TrashController limit → Number('abc') = NaN → Math.min(NaN,100) = NaN	trash.controller.ts:~81
I4	Race condition в moveToTrash: два параллельных вызова проходят isTrashed check	trash.service.ts:~85-100
I5	TOCTOU в restoreFromTrash: collision check отделён от DB update, файл может осиротеть	trash.service.ts:~106-140
I6	Import: unbounded rename loop (note (1).md → note (2).md → ...) без лимита	import.service.ts
I7	NoteAliasController и TrashController — нет @UseGuards, полагаются на global guard (проверить!)	Оба контроллера
I8	MigrationService: execSync(command) с path из env var — использовать execFile с массивом аргументов	migration.service.ts:~123

Frontend (9)

#	Проблема	Файл
I9	FSD violation: shared/ импортирует из features/	KeyboardShortcutsProvider.tsx:13-17
I10	FSD violation: прямой import из features/workspace/ui/ вместо barrel	NoteEditorPage.tsx:22
I11	Дубликат ThemeToggle — в Ribbon и WorkspaceShell одновременно, две разные реализации	Ribbon.tsx:177, WorkspaceShell.tsx:352
I12	Raw HTML <button> вместо Ant Design Button в FloatingWindow	FloatingWindow.tsx:60-77
I13	Raw HTML элементы в NoteBreadcrumb вместо Ant Design	NoteBreadcrumb.tsx:260-269
I14	Raw HTML элементы в TimelineView NoteCard	TimelineView.tsx:134-183
I15	Raw HTML в OfflineFallback вместо Ant Design	OfflineFallback.tsx:96-179
I16	Raw HTML кнопки в EditorDropZone upload panel	EditorDropZone.tsx:222-246
I17	usePrint.isPrinting читает из ref — не реактивен, UI не обновится	use-print.ts:166-169

Editor-Core (4)

#	Проблема	Файл
I18	Новые расширения НЕ экспортируются из index.ts — код недостижим через @notesaner/editor-core	editor-core/src/index.ts
I19	Атрибут style в HR extension конфликтует с HTML style — переименовать в hrStyle	horizontal-rule.ts:169
I20	parseHTML для subscript матчит ЛЮБОЙ элемент с [data-subscript] — слишком широко	subscript.ts:147
I21	parseHTML для superscript матчит ЛЮБОЙ элемент с [data-superscript]	superscript.ts:140

---

MODERATE (25 проблем — краткий список)

#	Проблема	Файл
M1	Webhook update использует raw SQL вместо Prisma	webhook.service.ts:~195
M2	ImageOptimizer хранит абсолютные пути в БД (непереносимо)	image-optimizer.processor.ts:~95
M3	Email templates: readFileSync блокирует event loop (хоть и в onModuleInit)	email-templates.service.ts:~160
M4	Embedding cache TTL 7 дней без инвалидации при смене модели	embedding.service.ts:~14
M5	Неиспользуемый импорт ALIAS_REGEX	note-alias.service.ts:~5
M6	TrashController DTOs без validation decorators	trash.controller.ts:~25-37
M7	Export controller — breaking API change (смена base path)	export.controller.ts:~19
M8	eslint-disable для non-null assertion вместо type narrowing	NoteBreadcrumb.tsx:186
M9	injectPrintStylesheet — dead code (создаёт link но не добавляет в head)	use-print.ts:72-87
M10	navigator.platform deprecated — 3 файла	use-print.ts:207, keyboard-shortcuts.ts:399,437
M11	Race condition при multi-file drop — все файлы вставляются в одну позицию	EditorDropZone.tsx:393-399
M12	URL строится конкатенацией без encodeURIComponent	timeline.ts:83
M13	resolveHrStyle не вызывается в renderHTML addAttributes — нет defense-in-depth	horizontal-rule.ts:173
M14	Тесты sub/superscript проверяют литералы сами на себя (zero value)	subscript.test.ts:~533, superscript.test.ts
M15-M25	Мелкие: redundant contentEditable, as any casts (established pattern), inline styles в editor (OK), стартовая theme flash, deprecated API, отсутствие component tests	—

---

Приоритеты для исправления

Блокеры (fix ASAP):

1. C1 — XSS через Mermaid → securityLevel: 'strict' + DOMPurify
2. C5 — Upload сломан → убрать явный Content-Type
3. C2 — Неуправляемый PrismaClient → инжектировать PrismaService
4. C3 — Rate limiter обходится → использовать req.ip

Высокий приоритет:

5. I18 — Barrel exports для editor-core (код недостижим!)
6. I4/I5 — Race conditions в trash service → транзакции
7. I7 — Проверить покрытие global auth guard
8. C4 — Валидация vector-литерала

Средний приоритет:

9. I9/I10 — FSD violations
10. I1-I3, I6 — Валидация на границах (Zod)
11. I11 — Консолидация ThemeToggle
12. I12-I16 — Ant Design вместо raw HTML

---

Вердикт: Код содержит 5 критических проблем (XSS, auth bypass potential, сломанный upload, неуправляемый DB connection). Рекомендую создать фикс-PR для C1-C5 и I18 до деплоя в продакшен.

🤖 Generated with Claude Code

[ZeiZel]

Follow-up #2: Находки безопасности бэкенда

CRITICAL

1. SSRF через URL вебхуков

Файлы: create-webhook.dto.ts:31, update-webhook.dto.ts:27

@IsUrl() принимает http://127.0.0.1, http://169.254.169.254 (AWS metadata), http://localhost, file:///etc/passwd. Сервер доставляет payload по этим URL — классический SSRF.

Fix: @IsUrl({ protocols: ['https'], require_protocol: true }) + DNS-резолв проверка на приватные IP-диапазоны.

2. Обход rate limit через X-Forwarded-For

Файл: rate-limit.middleware.ts:223-231

Для неаутентифицированных запросов middleware вручную парсит X-Forwarded-For вместо req.ip. Атакующий меняет заголовок на каждый запрос — уникальный ключ лимита каждый раз.

Fix: Использовать req.ip (который учитывает trust proxy), убрать ручной парсинг заголовков.

3. Path traversal в trash service

Файл: trash.service.ts:313-315

join(storageRoot, workspaceId, relativePath) не валидирует, что результат остаётся внутри workspace root. Если note.path содержит ../ — файловые операции за пределами хранилища.

Fix: Проверка resolved.startsWith(workspaceRoot + '/') после join().

IMPORTANT

4. Webhook signature — ручная реализация вместо crypto.timingSafeEqual

Файл: webhook.service.ts:502-512

XOR-цикл не гарантированно constant-time в V8.

5. API key rate limit — неатомарный INCR + EXPIRE

Файл: api-key.service.ts:384-392

Crash между INCR и EXPIRE = ключ без TTL = перманентный rate limit.

6. fromPrismaScope — тихий fallback на READ

Файл: api-key.service.ts:453-464

Новый scope в Prisma enum → маппится как READ. Потенциальная эскалация привилегий.

7. Webhooks разрешают HTTP

Файл: create-webhook.dto.ts:31

HMAC-подписанные payload'ы передаются по plaintext HTTP. Утечка содержимого заметок.

8. Отсутствует ParseUUIDPipe

Файлы: trash.controller.ts, note-alias.controller.ts, webhook.controller.ts, workspace-webhooks.controller.ts

UUID-параметры принимаются как raw string без валидации → 500 вместо 400 на невалидном вводе.

9. listDeliveries — NaN propagation

Файлы: webhook.controller.ts:203, workspace-webhooks.controller.ts:255

parseInt('abc') = NaN → LIMIT NaN в SQL.

---

Рекомендация: Создать P0 issue для SSRF (#1) и path traversal (#3), P1 для rate limit bypass (#2).

[ZeiZel]

Code Review — feat/mass-parallel-003 → main

153 файла, +22 894 / −341 строк, 25 фич

Критические (блокирующие)

(не обнаружено)

Важные

1. Raw SQL в webhook.service.ts для обычного CRUD (нарушение coding standards)
update() и findByIdWithStats() используют $queryRaw для стандартных SELECT/UPDATE. По стандартам проекта raw SQL разрешён только для FTS/pgvector. Следует переписать на Prisma ORM API.

2. parseInt(limit, 10) без валидации в WorkspaceWebhooksController.listDeliveries
При ?limit=abc вернёт NaN. Заменить на @Query('limit', new ParseIntPipe({ optional: true })) limit?: number.

3. Отсутствие FK на rotated_to_id (migration 0015)
Целостность только на уровне приложения. Самоссылочный FK корректен и рекомендован.

4. Email-шаблоны: тройные скобки без валидации протокола URL
{{{noteUrl}}} отключает HTML-escaping. При отсутствии проверки протокола — риск javascript: XSS. Добавить валидацию http(s):// в EmailTemplatesService.

Минорные

• sendTest: 202 ACCEPTED, но @ApiOkResponse → заменить на @ApiAcceptedResponse
• public/sw.js создан без регистрации в приложении — PWA незавершена
• demoNotePath в NoteEditorPage — явный WIP, принято
• countWords дублирован в тесте вместо импорта

Безопасность

✅ HMAC webhooks, ✅ атомарная ротация ключей, ✅ pgvector parameterized, ✅ SW same-origin only
⚠️ email URL без протокол-валидации, ⚠️ rotated_to_id без FK

Тестирование

Выдающееся покрытие — каждый новый сервис/процессор имеет unit-тесты.

Вердикт: APPROVE — критических проблем нет. Замечания 1-4 в следующий PR.

[ZeiZel]

Обзор PR: feat/mass-parallel-003

Ветка содержит значительный объём работы: health-check на основе миграций, ротация API-ключей, sliding-window rate limiting, webhook CRUD, семантический поиск через pgvector, Service Worker (PWA). Код хорошо документирован и покрыт тестами.

---

🔴 Проблемы безопасности

1. IP spoofing в rate-limit middleware (средняя серьёзность)
apps/server/src/common/middleware/rate-limit.middleware.ts

X-Forwarded-For берётся без проверки доверенных прокси — первый IP из заголовка используется как идентификатор:

const ip = forwarded.split(',')[0];
return `ip:${ip.trim()}`;

Атакующий может выставить произвольный X-Forwarded-For: 1.2.3.4 и обойти IP-based rate limiting. Решение: доверять заголовку только при запросах с известного прокси-адреса, либо использовать Express trust proxy и опираться на req.ip.

2. Service Worker кеширует API-ответы без учёта смены сессии
apps/web/public/sw.js

Стратегия networkFirstWithCache для /api/* не учитывает logout / token rotation. При инвалидации токена закешированные ответы могут вернуться из браузерного кеша. Нужно либо исключить аутентифицированные эндпоинты, либо добавить Vary: Authorization на уровне сервера.

3. Нет cross-field валидации: OPENAI_API_KEY обязателен при openai-провайдере
apps/server/src/config/validation.ts

OPENAI_API_KEY: z.string().optional() — при дефолтном EMBEDDING_PROVIDER=openai ключ необходим, но валидация молчит. Сервис упадёт в runtime при первом embedding-запросе. Стоит добавить .superRefine() в Zod-схему.

---

🟡 Качество кода

1. Приведение к any в SubscriptButton (libs/editor-core/src/components/SubscriptButton.tsx)

(editor.commands as any).toggleSubscript?.();

Нарушает strict mode. Правильно: editor.chain().focus().toggleSubscript().run() (стандартный TipTap chain API).

2. Service Worker без TypeScript
apps/web/public/sw.js написан на plain JS при строгом TypeScript во всём проекте. Если ограничение намеренно — добавить комментарий. Иначе переработать в sw.ts с компиляцией.

3. Отсутствует клемпинг query param limit в WebhooksController
Документировано «1–200», но parseInt(limit, 10) без ограничений позволяет -1 и 9999. Нужен @Min(1) @Max(200) через class-validator.

4. execSync с npx в MigrationService
npx prisma migrate deploy в Docker медленнее и зависит от поиска пакета. Предпочтительнее ./node_modules/.bin/prisma или абсолютный путь.

5. Отсутствие FK на rotated_to_id (migration 0015)
Комментарий ссылается на «circular dependency», но самореференциальный FK в PostgreSQL не создаёт проблем. Ссылочная целостность на уровне приложения слабее. Рекомендую добавить FK.

---

🟡 Нарушение архитектурных директив (CLAUDE.md)

SubscriptButton.tsx, SuperscriptButton.tsx, HorizontalRuleView.tsx используют raw <button> с inline-стилями. Директива CLAUDE.md: «No raw HTML elements — use Box component». Компоненты editor-core переиспользуются в web-приложении — стандарт должен соблюдаться.

---

✅ Что сделано хорошо

• MigrationService + MigrationHealthIndicator — fail-fast на bootstrap, корректный readiness probe для Kubernetes, 18 unit-сценариев.
• Sliding-window rate limiting — атомарный Lua-скрипт, fail-open при недоступности ValKey, нормализация UUID в ключах маршрутов, раздельные лимиты для auth.
• API key rotation — транзакционная замена (create + revoke в $transaction), audit trail через rotatedToId, atomic increment для requestCount.
• pgvector migrations — корректный IVFFlat с lists=100, CASCADE delete, уникальность one-per-note.
• WebhookService — delivery stats через одну агрегирующую SQL-запрос с FILTER, хорошая декомпозиция.
• Тестовое покрытие — rate-limit, migration, webhook, API key — все ключевые пути покрыты.

[ZeiZel]

Code review complete. See detailed findings below.

[ZeiZel]

🔍 Code Review — PR #1: feat/mass-parallel-003

Scope: 153 файла, ~22 900 строк, 25 фич
Вердикт: ⚠️ Найдены критические проблемы безопасности — рекомендуется исправить

---

🔴 CRITICAL — блокируют мёрж

1. Command Injection в import.controller.ts

apps/server/src/modules/notes/import.controller.ts:376

execSync(\`unzip -q -o "\${zipPath}" -d "\${targetDir}"\`);

`zipPath` приходит из Multer — может содержать `"`, `$`, обратные кавычки. Двойные кавычки не защищают от всех метасимволов shell.

Фикс: заменить на `execFileSync('unzip', ['-q', '-o', zipPath, '-d', targetDir])` — без интерполяции в shell.

---

2. Path Traversal в import.service.ts

`apps/server/src/modules/notes/import.service.ts:191`

`resolvedPath` берётся из имён файлов внутри загруженного архива. Злонамеренный архив с путём `../../etc/passwd` или `../other-workspace/secret.md` позволяет читать/писать за пределами workspace. `path.join()` не предотвращает path traversal.

Фикс: после `join()` проверять `absolutePath.startsWith(workspaceDir + path.sep)`.

---

3. XSS через Mermaid — securityLevel: 'loose' + dangerouslySetInnerHTML

`apps/web/src/features/editor/ui/MermaidPreview.tsx:233,293`
`libs/editor-core/src/components/MermaidView.tsx:348,389`

Mermaid инициализируется с `securityLevel: 'loose'`, что отключает встроенную санитизацию HTML в SVG. Результат инжектится через `dangerouslySetInnerHTML`. Пользователь может выполнить произвольный JS.

Фикс: `securityLevel: 'strict'` или `'sandbox'`. Если нужны интерактивные элементы — пропускать SVG через DOMPurify.

---

4. XSS через oEmbed HTML без санитизации

`libs/editor-core/src/components/ExternalEmbedView.tsx:366`

HTML от oEmbed-провайдеров вставляется через `dangerouslySetInnerHTML` без санитизации. oEmbed-спецификация допускает произвольный HTML.

Фикс: пропускать через DOMPurify с белым списком тегов (`iframe`, `img`, `blockquote`).

---

5. Race Condition в rate limiting API-ключей

`apps/server/src/modules/auth/api-keys/api-key.service.ts:385-398`

`checkRateLimit` использует отдельные команды `INCR` и `EXPIRE`. Между ними возможен crash (вечная блокировка) или concurrent reset окна.

Фикс: атомарный Lua-скрипт для INCR+EXPIRE.

---

6. Direct PrismaClient вне DI-контейнера

`apps/server/src/modules/notes/note-alias.service.ts:31`

`new PrismaClient()` создаёт отдельный пул соединений вне NestJS lifecycle. Утечка соединений.

Фикс: инжектировать `PrismaService` через конструктор.

---

🟠 HIGH — серьёзные проблемы

#	Файл	Проблема
7	`trash.controller.ts`	Нет guard авторизации — любой аутентифицированный пользователь может удалять заметки в чужих workspace
8	`audit.service.ts:157`	`exportCsv` загружает ВСЕ audit-записи в память — OOM для активных workspace
9	`storage-quota.service.ts:343`	Загрузка полного текста ВСЕХ версий в память для подсчёта размера — нужен SQL aggregate
10	`export.service.ts:199`	N+1 запросы в batch export — каждая заметка = отдельный запрос
11	`PrintView.tsx:220`	XSS через `javascript:` URLs в markdown-ссылках — экранирование до конвертации не защищает
12	`drag-handle.ts:322`	`moveBlock` заменяет ВЕСЬ документ — уничтожает Yjs CRDT-состояние и курсоры коллабораторов
13	`mermaid-block.ts`	`atom: true` + `content: 'text*'` — противоречие, ProseMirror не позволит редактировать
14	`FloatingWindow.tsx:388`	Resize handles — `pointer-events-none` на обёртке, handles нельзя схватить мышью
15	`typography-enhanced.ts:258`	En-dash replacement вставляет литеральные `$1` и `$2` в текст

---

🟡 MEDIUM (19 issues)

#	Файл	Проблема
16	`import.controller.ts:140`	500MB upload без проверки workspace quota
17	`webhook.controller.ts`	Отсутствует `ParseUUIDPipe` на id-параметрах
18	`api-key.service.ts:453`	`fromPrismaScope` тихо маппит неизвестные scope → READ
19	`import.service.ts:641`	Самодельный YAML-парсер — хрупкий, использовать пакет `yaml`
20	`import.service.ts:1080`	Unbounded цикл переименования конфликтов
21	`search-replace.service.ts:414`	User regex без ReDoS-защиты
22	`migration.service.ts:178`	`execSync` со строковой интерполяцией env-переменной
23	`storage-quota.service.ts:200`	Non-atomic read-then-write при конкурентных удалениях
24	`css-sanitizer.ts:45`	CSS-санитайзер на blocklist — обходится через `u\rl()`
25	`FloatingWindowsLayer.tsx:54`	SSR/hydration mismatch — `typeof document` в render
26	`KeyboardShortcutsProvider.tsx`	FSD violation: shared импортирует из features
27	`KeybindingsSettings.tsx:59`	Cross-feature импорт нарушает FSD
28	`EditorDropZone.tsx:54`	Hardcoded API URL, raw axios вместо shared apiClient
29	`editor-core/index.ts`	Множество расширений не экспортируются из barrel
30	`codeBlock` extension	Имя конфликтует с встроенным TipTap CodeBlock
31	`vim-mode.ts:833`	Vim state в closure — не переживает undo/redo
32	`toggle-list.ts`	Экспорт `ToggleList`, name `'toggleBlock'` — несоответствие
33	Дупликация `tryRequire`	import.controller + export.service — извлечь в common/utils
34	Raw HTML elements	EditorDropZone, FloatingWindow, OfflineFallback — нужен Box/Ant Design

---

🟢 LOW / NITPICK (15 items)

• `MermaidPreview.tsx` — `resolvedTheme` отсутствует в deps useEffect
• `FocusMode.tsx:317` — `countWords` без useMemo
• `TimelineView.tsx:103` — Intl formatters создаются на каждый вызов
• `NoteBreadcrumb.tsx:186` — non-null assertion + eslint-disable
• `floating-windows-store.ts:152` — stale `window.innerWidth` в Zustand action
• `sw.js` — API_CACHE растёт бесконечно
• `EditorDropZone.tsx:96` — `Date.now()` для ID → лучше `crypto.randomUUID()`
• `MermaidView.tsx:386` — `mermaid.initialize()` на каждый рендер
• `heading-fold.ts:156` — O(n×m) сложность computeFoldRange
• `CalloutBlockView.tsx:256` — state update в render body
• Тесты FocusMode/use-print дублируют production-функции
• `block-reference.ts:122` — modulo bias в generateBlockId
• `external-embed.ts` — `fetch()` вместо `axios`
• `HighlightMenu/Subscript/SuperscriptButton` — `as any` при наличии type augmentation
• `audit.service.ts:264` — GDPR SAR ограничен 500 записями

---

✅ Что сделано хорошо

• API-ключи: SHA-256, prefix-based lookup, scope hierarchy, rotation с audit trail
• Webhook HMAC: constant-time comparison, GitHub-style подпись
• Trash lifecycle: soft-delete → FS move → collision detection → cron purge
• Zod validation на system boundaries
• Cursor-based pagination везде
• Fail-open для некритичных операций
• BullMQ processors — чистый паттерн
• Lazy loading тяжёлых зависимостей (KaTeX, Mermaid, lowlight)
• Accessibility: role, aria-*, keyboard navigation выше среднего
• Zustand stores: devtools + persist + partialize
• TanStack Query: useInfiniteQuery с query key factory
• Privacy-first: ExternalEmbed загружает контент только после согласия

---

Итог

PR содержит 6 критических проблем безопасности (command injection, path traversal, XSS ×3, race condition) и 1 критическое нарушение архитектуры (PrismaClient вне DI). Рекомендуется исправить все CRITICAL и HIGH перед мёржем.