fix(api): CORS через isReturnToAllowed, мягкая проверка JWT_SECRET, 404 для /assets, better-sqlite3 в api, healthcheck на /ready

apps/api/test/config.test.ts

@@ -1,4 +1,4 @@
-import { afterEach, describe, expect, it } from 'vitest'
+import { afterEach, describe, expect, it, vi } from 'vitest'
 import { Writable } from 'node:stream'
 import Fastify from 'fastify'
 import { assertBootstrapPassword, loadConfig } from '../src/config.js'
@@ -52,8 +52,8 @@ describe('loadConfig', () => {
 })
 
 describe('production guard', () => {
-  it.each(['change-me-in-production', 'dev-secret-change-me', 'short-secret'])(
-    'слабый JWT_SECRET "%s" отклоняется',
+  it.each(['change-me-in-production', 'dev-secret-change-me'])(
+    'известный дефолт JWT_SECRET "%s" отклоняется',
     (secret) => {
       expect(() =>
         loadConfig({ NODE_ENV: 'production', JWT_SECRET: secret }),
@@ -61,13 +61,25 @@ describe('production guard', () => {
     },
   )
 
-  it('нормальный секрет в production принимается; в test слабый разрешён', () => {
+  it('короткий, но уникальный секрет в production не роняет старт (только предупреждение)', () => {
+    const warn = vi.spyOn(process, 'emitWarning').mockImplementation(() => {})
+    expect(() =>
+      loadConfig({ NODE_ENV: 'production', JWT_SECRET: 'short-secret' }),
+    ).not.toThrow()
+    expect(warn).toHaveBeenCalledWith(expect.stringContaining('JWT_SECRET'))
+    warn.mockRestore()
+  })
+
+  it('нормальный секрет в production принимается без предупреждений; в test слабый разрешён', () => {
+    const warn = vi.spyOn(process, 'emitWarning').mockImplementation(() => {})
     expect(() =>
       loadConfig({ NODE_ENV: 'production', JWT_SECRET: base.JWT_SECRET }),
     ).not.toThrow()
+    expect(warn).not.toHaveBeenCalled()
     expect(() =>
       loadConfig({ NODE_ENV: 'test', JWT_SECRET: 'short-secret' }),
     ).not.toThrow()
+    warn.mockRestore()
   })
 
   it('пароль первого админа: слабый запрещён только в production', () => {