fix(ui): читать актуальную цель копирования Filters

app/(main)/filters/page.tsx

@@ -1527,7 +1527,7 @@ function FiltersPage() {
 
   const applyRules = useCallback(async (
     serverId: string,
-    nextRules: FilterRule[],
+    nextRules: FilterRule[] | (() => Promise<FilterRule[]>),
     source: "apply" | "copy" = "apply",
   ) => {
     if (!mounted.current) return { ok: false, error: "Источник данных изменён" }
@@ -1538,7 +1538,8 @@ function FiltersPage() {
       return { ok: false, error }
     }
     if (!isLive) {
-      setRulesets(p => p.map(rs => rs.serverId === serverId ? { ...rs, rules: nextRules } : rs))
+      const rules = typeof nextRules === "function" ? await nextRules() : nextRules
+      setRulesets(p => p.map(rs => rs.serverId === serverId ? { ...rs, rules } : rs))
       return { ok: true }
     }
     applyLock.current = true
@@ -1546,15 +1547,17 @@ function FiltersPage() {
     setRulesReading(false)
     setApplyBusy(true)
     try {
+      const rules = typeof nextRules === "function" ? await nextRules() : nextRules
+      if (!mounted.current) return { ok: false, error: "Источник данных изменён" }
       const payload = await apiFetch<unknown>("/api/filters/rules", {
         method: "PUT",
-        body: JSON.stringify({ serverId, rules: nextRules, source }),
+        body: JSON.stringify({ serverId, rules, source }),
       })
       if (!mounted.current) return { ok: false, error: "Источник данных изменён" }
       const parsed = filtersMutationSchema.safeParse(payload)
       if (!parsed.success) throw new Error("Сервер не подтвердил применение правил")
       const res = parsed.data
-      setRulesets(p => p.map(rs => rs.serverId === serverId ? { ...rs, rules: res.rules ?? nextRules } : rs))
+      setRulesets(p => p.map(rs => rs.serverId === serverId ? { ...rs, rules: res.rules ?? rules } : rs))
       toast.success("Правила применены на роутер")
       return { ok: true }
     } catch (err) {
@@ -1718,11 +1721,20 @@ function FiltersPage() {
   }
 
   const handleCopyRules = useCallback(async (targetServerId: string, rules: FilterRule[], mode: CopyMode) => {
-    const existing = rulesets.find((rs) => rs.serverId === targetServerId)?.rules ?? []
-    const next = mode === "replace" ? rules : [...existing, ...rules]
-    const result = await applyRules(targetServerId, next, "copy")
+    const prepare = async () => {
+      const payload = await apiFetch<unknown>(`/api/filters/rules?serverId=${encodeURIComponent(targetServerId)}`)
+      if (!mounted.current) throw new Error("Источник данных изменён")
+      const parsed = filtersResponseSchema.safeParse(payload)
+      const target = parsed.success ? parsed.data.rulesets.find(rs => rs.serverId === targetServerId) : undefined
+      if (!parsed.success || !target || parsed.data.stale || parsed.data.live !== true) throw new Error("Не удалось получить актуальные правила целевого устройства")
+      setRulesets(prev => prev.map(rs => rs.serverId === targetServerId ? { ...rs, rules: target.rules } : rs))
+      return mode === "replace" ? rules : [...target.rules, ...rules]
+    }
+    const existing = rulesets.find(rs => rs.serverId === targetServerId)?.rules ?? []
+    const localRules = mode === "replace" ? rules : [...existing, ...rules]
+    const result = await applyRules(targetServerId, isLive ? prepare : localRules, "copy")
     return result.ok ? null : result.error ?? "Не удалось скопировать правила"
-  }, [rulesets, applyRules])
+  }, [rulesets, applyRules, apiFetch, isLive])
   const handleMove = async (id: string, direction: -1 | 1) => {
     if (mutationsLocked || applyLock.current || moveLock.current) return
     const index = currentRules.findIndex(r => r.id === id)

docs/ux-ui-plan.md

@@ -88,7 +88,7 @@ flowchart LR
 
 Ближайший оставшийся объём:
 
-1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. В 9.30 восстановление истории подключено к общему замку, ручное обновление и открытие истории заблокированы во время записи. В 9.31 добавлены схемы ответа Firewall/серверов, сохранение последних данных при ошибке и поколение чтения с отменой применения при начале записи. В 9.32 backend сообщает частичные сбои по устройству/семейству/таблице, UI сохраняет недоступные срезы и блокирует изменения неполного среза. В 9.33 состояние изолировано по backend/режиму; поздние операции старого экрана не запускают чтение и не показывают уведомления в новом контексте. В 9.34 показано время получения срезов Firewall: успешные обновляются, недоступные сохраняют прежнее время или остаются неизвестными. В 9.35 сохранение Filters ожидает ok=true, сохраняет ввод при ошибке и блокирует повторную отправку/закрытие; live-спLine truncated
+1. Этап 9: карта разделов и схема сохранены; удаление, импорт, создание, переключение, контекст экспорта и выбор пира WireGuard исправлены в 9.1–9.7; в 9.8 проверено подтверждение восстановления. В 9.9 исправлены разметка и сохранение подтверждения при ошибке у всех шести потребителей. В 9.10 исправлены ошибки и поздние ответы загрузки истории WireGuard. В 9.11 подтверждение восстановления проверено у остальных пяти потребителей. В 9.12 обработаны ошибка/повтор/поздние ответы истории IPsec. В 9.13 подключены ошибка/повтор/защита поздних ответов остальных четырёх разделов и общая валидация ревизий всех шести. В 9.14 исправлены подтверждение инициализации IPsec, сохранение формы и защита повторной отправки. В 9.15 проверены создание/редактирование пользователей IPsec и сохранение формы. В 9.16 проверены получение/повторный экспорт сертификатов, поздние ответы и соответствие отображаемого пароля архиву. В 9.17 подтверждены ответы удаления четырёх типов объектов IPsec и исправлен диалог повторов. В 9.18 исправлено подтверждение сохранения peer IPsec и поведение формы. В 9.19 исправлено подтверждение удаления GRE и сохранение диалога при ошибке. В 9.20 исправлено подтверждение включения/выключения GRE и защита повторов. В 9.21 исправлены подтверждение создания/сохранения GRE и защита формы. В 9.22 исправлены контейнер ответа, первоначальные KPI и сохранение данных при ошибке VXLAN. В 9.23 backend сообщает частичные сбои VXLAN, UI сохраняет данные неответивших устройств и показывает неизвестное состояние. В 9.24 добавлены схемы payload и тесты гонок VXLAN. В 9.25 подтверждены включение/отключение правил Firewall и защита повторов. В 9.26 подтверждены включение/отключение address-list с общим замком переключений. В 9.27 удаление правил/address-list перенесено в диалог с подтверждением API и защитой повторов. В 9.28 создание/редактирование правил и address-list требуют подтверждения API, сохраняют ввод/ошибку и блокируют повторы/закрытие. В 9.29 перемещение Firewall требует ok=true, откатывает порядок при ошибке и использует общий замок. В 9.30 восстановление истории подключено к общему замку, ручное обновление и открытие истории заблокированы во время записи. В 9.31 добавлены схемы ответа Firewall/серверов, сохранение последних данных при ошибке и поколение чтения с отменой применения при начале записи. В 9.32 backend сообщает частичные сбои по устройству/семейству/таблице, UI сохраняет недоступные срезы и блокирует изменения неполного среза. В 9.33 состояние изолировано по backend/режиму; поздние операции старого экрана не запускают чтение и не показывают уведомления в новом контексте. В 9.34 показано время получения срезов Firewall: успешные обновляются, недоступные сохраняют прежнее время или остаются неизвестными. В 9.35 сохранение Filters ожидает ok=true, сохраняет ввод при ошибке и блокирует повторную отправку/закрытие; live-спLine truncated
 2. Сохранять контекст устройства, введённые значения при ошибке и подтверждать результат операций по API; локальные моки проверяют клиентские сценарии, реальные сетевые операции требуют тестового окружения.
 3. В этапе 12 выполнить полный аудит доступности (скринридер, контраст), производительности и сквозную регрессию. Ограничения этапа 8 — удалённые серверы месячного каталога, отсутствие экспорта и автоматического переподключения SSE — остаются явно зафиксированными, без заявления о реализации.
 

docs/ux-ui-progress.md

@@ -25,12 +25,20 @@
 | 6 | Навигация и дашборд | Завершён 2026-09-20 в границах локальной приёмки; ограничения ниже |
 | 7 | Серверы и мониторинг: детали, формы, URL-контекст, права | Завершён в границах локальной приёмки 2026-09-23; внешние ограничения ниже |
 | 8 | Трафик и статистика | Завершён 2026-09-28 в границах локальной приёмки; ограничения в блоке 8.13 |
-| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.42 — IPsec/GRE/VXLAN, Firewall и операции Filters |
+| 9 | VPN, Firewall и Filters | В работе: блоки 9.1–9.43 — IPsec/GRE/VXLAN, Firewall и операции Filters |
 | 10 | Маршрутизация, диагностика, карта и терминал | Не начат |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Не начат |
 | 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | Не начат |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
+## Блок 9.43 — актуальная цель копирования Filters (2026-09-30)
+
+- applyRules принимает подготовку правил под общим applyLock; копирование live читает целевой GET, требует корректный ruleset нужного устройства с live=true/без stale, затем объединяет актуальные правила с выбранными либо заменяет набор. Начальный кэш для append больше не используется. Валидное чтение обновляет сохранённый целевой набор; ошибка PUT не отменяет эти реальные прочитанные данные. В mock сохраняется прежняя локальная операция.
+- Замок покрывает GET цели и PUT, блокируя повторы/отмену/конфликты. Ошибка чтения сохраняет выбранные цель/режим/правила и не отправляет PUT; размонтирование после GET останавливает продолжение старого источника.
+- Десять E2E прошли: два новых append/replace (задержка GET, двойное нажатие, 503, чужой serverId, stale, повреждённые правила, отсутствие PUT при ошибках и использование нового целевого набора после успеха) и прежние сохранение/копирование/удаление/перемещение. TypeScript прошёл; новый тест lint-чистый, исходные 2 ошибки/13 предупреждений страницы сохранены. Последний frontend build — 9.40, backend — 9.32.
+- Далее — каталоги GRE/recursive: схема ответов и явные ошибки вместо пустого списка при отказе, сохранение последнего успешного каталога и блокировка использования недостоверного маппинга. Затем свежесть/профильная приёмка. Реальные устройства не проверены; этап 9 открыт.
+- Квота: 79% пятичасовой/12% недельной перед блоком, 81%/13% после проверок. Продолжение до конца лимитов разрешено пользователем. Локальный коммит без push.
+
 ## Блок 9.42 — изоляция источника Filters (2026-09-30)
 
 - FiltersSource пересоздаёт состояние по ключу backend/режима. mounted-guard отменяет уведомления и продолжение старых мутаций; восстановление старого источника не запускает чтение правил/истории после ответа. Старые чтения уже отклоняются readEpoch/cleanup; загрузчики GRE/recursive также проверяют размонтирование перед применением результата.

docs/ux-ui-stage-9.md

@@ -209,3 +209,7 @@ Backend сообщает failures по срезу, неполный snapshot о
 ## Блок 9.42 — источник Filters (2026-09-30)
 
 Состояние пересоздаётся по backend/режиму, старые записи не уведомляют новый экран и не запускают чтение. 26 E2E в двух финальных прогонах и TypeScript прошли; новых lint замечаний нет. Контекстные тесты — playwright.filters-context.config.ts. Далее — актуальный целевой ruleset копирования, затем шлюзы/свежесть. Пользователь разрешил продолжение за резерв 25%. Frontend build — 9.40, backend — 9.32.
+
+## Блок 9.43 — цель копирования Filters (2026-09-30)
+
+Live-копирование читает актуальный целевой ruleset под общим замком до PUT. Ошибка/чужой/stale/повреждённый ответ сохраняют форму и не отправляют запись. Десять E2E и TypeScript прошли; новых lint замечаний нет. Далее — схемы/ошибки каталогов шлюзов, затем свежесть. Frontend build — 9.40, backend — 9.32.

tests/e2e/filters-copy-target.spec.ts

@@ -0,0 +1,65 @@
+import { test, expect } from "@playwright/test"
+
+for (const mode of ["append", "replace"] as const) {
+  test(`Filters: копирование ${mode} читает актуальную цель до PUT`, async ({ page }) => {
+    const makeRule = (id: string, community: string) => ({ id, community, gateway: "", gatewayTunnelId: "", action: "blackhole", description: id })
+    const source = makeRule("source", "65001:101"), cached = makeRule("cached", "65002:201"), fresh = makeRule("fresh", "65002:202")
+    let phase = 0, targetReads = 0, writes = 0
+    let release: (() => void) | undefined
+    const gate = new Promise<void>(resolve => { release = resolve })
+    await page.route("**/health", route => route.fulfill({ json: { ok: true } }))
+    await page.route("**/api/**", async route => {
+      const url = new URL(route.request().url()), path = url.pathname
+      if (path === "/api/filters/rules" && route.request().method() === "PUT") {
+        writes++
+        const body = route.request().postDataJSON()
+        expect(body.serverId).toBe("2")
+        expect(body.source).toBe("copy")
+        expect(body.rules.map((r: { community: string }) => r.community)).toEqual(mode === "append" ? [fresh.community, source.community] : [source.community])
+        expect(body.rules.some((r: { id: string }) => r.id === cached.id)).toBe(false)
+        return route.fulfill({ json: { ok: true, rules: body.rules } })
+      }
+      if (path === "/api/filters/rules" && url.searchParams.get("serverId") === "2") {
+        targetReads++
+        if (phase === 0) { await gate; return route.fulfill({ status: 503, json: { error: "Цель недоступна тест" } }) }
+        return route.fulfill({ json: { rulesets: [{ serverId: phase === 1 ? "3" : "2", rules: phase === 3 ? [{ ...fresh, description: null }] : [fresh] }], greTunnels: [], live: true, stale: phase === 2 } })
+      }
+      return route.fulfill({ json: path === "/api/filters/rules" ? { rulesets: [{ serverId: "1", rules: [source] }, { serverId: "2", rules: [cached] }], greTunnels: [], live: true }
+        : path === "/api/servers" ? [1, 2].map(id => ({ id, name: `Роутер ${id}`, host: `192.0.2.${id}`, type: "exit-node", enabled: true, country: "RU", site: "TEST", asn: "", status: "online", latency: 1 }))
+        : path === "/api/auth/config" ? { required: false }
+        : path === "/api/filters/gre-tunnels" ? { tunnels: [] }
+        : path === "/api/recursive-routes" ? { routes: [] } : {} })
+    })
+    await page.goto("/filters")
+    await expect(page.getByRole("button", { name: "Копировать", exact: true })).toBeEnabled()
+    await page.getByRole("button", { name: "Копировать", exact: true }).click()
+    const dialog = page.getByRole("dialog")
+    const target = dialog.getByRole("button", { name: /Роутер 2/ })
+    await target.click()
+    const choice = dialog.getByRole("button", { name: mode === "append" ? /^Добавить/ : /^Заменить/ })
+    await choice.click()
+    const submit = dialog.getByRole("button", { name: "Копировать 1 правил", exact: true })
+    await submit.evaluate(button => { (button as HTMLButtonElement).click(); (button as HTMLButtonElement).click() })
+    await expect.poll(() => targetReads).toBe(1)
+    expect(writes).toBe(0)
+    await expect(target).toBeDisabled()
+    await expect(dialog.getByRole("button", { name: "Отмена", exact: true })).toBeDisabled()
+    await page.keyboard.press("Escape")
+    await expect(dialog).toBeVisible()
+    release!()
+    await expect(dialog.getByRole("alert")).toContainText("Цель недоступна тест")
+    for (phase = 1; phase <= 3; phase++) {
+      await submit.click()
+      await expect.poll(() => targetReads).toBe(phase + 1)
+      await expect(dialog.getByRole("alert")).toContainText("Не удалось получить актуальные правила целевого устройства")
+      await expect(target).toHaveAttribute("aria-pressed", "true")
+      await expect(choice).toHaveAttribute("aria-pressed", "true")
+      expect(writes).toBe(0)
+    }
+    phase = 4
+    await submit.click()
+    await expect(dialog).toHaveCount(0)
+    expect(targetReads).toBe(5)
+    expect(writes).toBe(1)
+  })
+}