fix(alerts): проверять доступ и использовать единый источник тестового сообщения

docs/ux-ui-progress.md

@@ -28,7 +28,7 @@
 | 9 | VPN, Firewall и Filters | Завершён в границах локальной приёмки 2026-09-30; блоки 9.1–9.64, ограничения в 9.64 |
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
-| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | В работе: 11Б.1–11Б.4.2.1.1; scheduler и GeoIP приняты локально; NetFlow принят локально; Evolution принят локально; далее общие Settings |
+| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | В работе: 11Б.1–11Б.4.2.1.2; scheduler и GeoIP приняты локально; NetFlow принят локально; Evolution принят локально; далее общие Settings |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
 
@@ -36,6 +36,13 @@
 
 
 
+## Блок 11Б.4.2.1.2 — реальные Alerts HTTP/JWT и источник теста Telegram (2026-10-03)
+
+- Router вынесен в DI factory, production зависимости сохранены. Test Telegram читает один stored row token/chat/thread и передаёт resolved значения напрямую send helper; повторных DB rereads/fallback при отправке нет. Числовой thread строго int4, boolean/string/дробь/overflow отклоняются до reader/send. PUT Telegram проверяет public receipt перед ok.
+- DI HTTP проверяет known empty GET, отсутствие token echo, success/unknown send без повтора, invalid inputs до вызова зависимостей, selective save и missing RETURNING без успеха. Реальный auth plugin с signed JWT проверяет alerts read/write/admin: read не разрешает save/send, settings admin сам по себе не разрешает alerts; 401/403 не вызывают действий.
+- 7 service tests + HTTP/JWT, 5 API unit групп, backend build/typecheck и профильный lint прошли. Real Telegram/PG не вызывались. GET с несколькими queries/rules readback concurrency, outbox unknown retry и UI ещё не приняты.
+- Следующий блок 11Б.4.2.2.1: правила/группы — shared normalization/validation и transactional receipt без независимого readback после commit; DI failure/rollback/concurrency. Затем Alerts UI migration/drafts/source/known/rights/adaptive, Releases/probe scheduling и приёмка 11Б/12.
+
 ## Блок 11Б.4.2.1.1 — selective Telegram save и подтверждение отправки (2026-10-03)
 
 - updateTelegramSettings больше не перезаписывает token/chat из предварительно прочитанного snapshot: строит только переданные columns, SQL UPDATE RETURNING подтверждает запись и сохраняет остальные поля. Singleton insert conflict-safe. DI helper проверяет patch/returning, public response не возвращает secret. Route отклоняет unknown/empty patch до update; thread ID ограничен положительным PostgreSQL int4 вместо silent floor/overflow.