fix(ui): проверять права каждого источника дашборда

docs/ux-ui-progress.md

@@ -28,7 +28,7 @@
 | 9 | VPN, Firewall и Filters | Завершён в границах локальной приёмки 2026-09-30; блоки 9.1–9.64, ограничения в 9.64 |
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
-| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | В работе: 11Б.1–11Б.4.4.3.6; scheduler и GeoIP приняты локально; NetFlow принят локально; Evolution принят локально; далее общие Settings |
+| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | В работе: 11Б.1–11Б.4.4.3.7; scheduler и GeoIP приняты локально; NetFlow принят локально; Evolution принят локально; далее общие Settings |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
 
@@ -36,6 +36,14 @@
 
 
 
+## Блок 11Б.4.4.3.7 — права каждого источника дашборда (2026-10-03)
+
+- Все запросы useDashboardLive проходят ensureAuthConfig и per-path/method gate до запроса и публикации, включая standalone WireGuard/events. Dashboard:read не выдаёт servers/uptime/filters/BGP/network/traffic rights; fallback diagnostic POST требует servers:write как на backend. Unknown route не получает разрешение по умолчанию. Отозванные источники очищаются перед обновлением.
+- Mapper сверяется unit-тестом с реальным backend permissionForRequest для 13 используемых API-путей. Legacy VXLAN GET на backend использует dashboard:read; frontend сохраняет эту политику, не меняет серверные права или сетевые операции.
+- 18 browser scenarios dashboard/limited JWT/sidebar/alerts targets, mapper unit, typecheck/lint прошли. Дополнительная общая regression из 11Б.4.4.3.6 завершилась: 107/107 dashboard/GRE/uptime/VXLAN/WireGuard scenarios прошли за 3.4 минуты. Это профильная регрессия общей оболочки, не полная приёмка этапа 12.
+- Сам dashboard ещё использует некоторые legacy DTO/нулевые fallback для неизвестных полей; текущий блок исправляет права, не заявляет новую приёмку достоверности всех upstream данных. Реальный RouterOS/PG не проверялся.
+- Следующий точный шаг 11Б.4.4.3.8: убрать timeout/partial/error→0 в backend sidebar counts через полные каталоги; затем адаптивность/pickers, Releases/probe scheduling и приёмка 11Б/12. Processing recovery требует отдельного сценария остановки отправителя.
+
 ## Блок 11Б.4.4.3.6 — права и достоверность общей сводки (2026-10-03)
 
 - AppSidebar ждёт ensureAuthConfig, проверяет dashboard:read для counts и filters:read для GRE перед запросом и публикацией. Читатели независимы, bounded/abort/revision/source tag не дают старому ответу заменить новый. Badge скрывается при отсутствии права раздела, неизвестное optional поле не превращается в 0, partial GRE сохраняет последний complete count.