Merged main into release while building v.2.0.25

Dockerfiles/OllamaServer/Dockerfile

@@ -1,6 +1,10 @@
 # Используем готовый образ Ollama
 FROM localhost/ollama_packed:latest
 
+RUN apt-get update && apt-get install -y --no-install-recommends bash && apt-get install -y --no-install-recommends curl \
+&& apt-get install -y --no-install-recommends jq && apt-get install -y --no-install-recommends wget 
+
+
 # Устанавливаем bash если его нет (базовый образ ollama может быть на разных дистрибутивах)
 RUN if ! command -v bash >/dev/null 2>&1; then \
         if command -v apk >/dev/null 2>&1; then \
@@ -60,6 +64,8 @@ RUN chown -R ollama:ollama /app/data 2>/dev/null || \
     (chown -R 1000:1000 /app/data 2>/dev/null || true)
 
 # Настройки по умолчанию
+ENV TZ='Asia/Omsk'
+RUN ln -snf /usr/share/zoneinfo/$TZ /etc/localtime && echo $TZ > /etc/timezone
 ENV LCG_PROVIDER=ollama
 ENV LCG_HOST=http://127.0.0.1:11434/
 ENV LCG_MODEL=qwen2.5-coder:1.5b
@@ -68,6 +74,10 @@ ENV LCG_PROMPT_FOLDER=/app/data/prompts
 ENV LCG_CONFIG_FOLDER=/app/data/config
 ENV LCG_SERVER_HOST=0.0.0.0
 ENV LCG_SERVER_PORT=8080
+ENV LCG_DOMAIN="remote.ollama-server.ru"
+ENV LCG_COOKIE_PATH="/lcg"
+# ENV LCG_FORCE_NO_CSRF=true
+
 # ENV LCG_SERVER_ALLOW_HTTP=true
 # ENV OLLAMA_HOST=127.0.0.1
 # ENV OLLAMA_PORT=11434

Dockerfiles/OllamaServer/Makefile

@@ -46,27 +46,48 @@ build-all-podman: build-binaries build-podman ## Собрать бинарник
 
 run: ## Запустить контейнер (Docker)
 	docker run -d \
-		--name $(CONTAINER_NAME) \
-		-p 8080:8080 \
-		-p 11434:11434 \
+		--name ${CONTAINER_NAME} \
+		-p 8989:8080 \		
 		-v ollama-data:/home/ollama/.ollama \
 		-v lcg-results:/app/data/results \
 		-v lcg-prompts:/app/data/prompts \
 		-v lcg-config:/app/data/config \
-		$(IMAGE_NAME):$(IMAGE_TAG)
-	@echo "Контейнер $(CONTAINER_NAME) запущен"
+		${IMAGE_NAME}:${IMAGE_TAG} ollama serve
+	@echo "Контейнер ${CONTAINER_NAME} запущен"
 
 run-podman: ## Запустить контейнер (Podman)
+	echo "Запустить контейнер ${CONTAINER_NAME}"
+	echo "IMAGE_NAME: ${IMAGE_NAME}"
+	echo "IMAGE_TAG: ${IMAGE_TAG}"
+	echo "CONTAINER_NAME: ${CONTAINER_NAME}"
+
 	podman run -d \
-		--name $(CONTAINER_NAME) \
-		-p 8080:8080 \
-		-p 11434:11434 \
+		--name ${CONTAINER_NAME} \
+		--restart always \
+		-p 8989:8080 \
 		-v ollama-data:/home/ollama/.ollama \
 		-v lcg-results:/app/data/results \
 		-v lcg-prompts:/app/data/prompts \
 		-v lcg-config:/app/data/config \
-		$(IMAGE_NAME):$(IMAGE_TAG)
-	@echo "Контейнер $(CONTAINER_NAME) запущен"
+		${IMAGE_NAME}:${IMAGE_TAG} ollama serve
+	@echo "Контейнер ${CONTAINER_NAME} запущен"
+
+run-podman-nodemon: ## Запустить контейнер (Podman) без -d
+	echo "Запустить контейнер ${CONTAINER_NAME}"
+	echo "IMAGE_NAME: ${IMAGE_NAME}"
+	echo "IMAGE_TAG: ${IMAGE_TAG}"
+	echo "CONTAINER_NAME: ${CONTAINER_NAME}"
+
+	podman run \
+		--name ${CONTAINER_NAME} \
+		--restart always \
+		-p 8989:8080 \
+		-v ollama-data:/home/ollama/.ollama \
+		-v lcg-results:/app/data/results \
+		-v lcg-prompts:/app/data/prompts \
+		-v lcg-config:/app/data/config \
+		${IMAGE_NAME}:${IMAGE_TAG} ollama serve
+	@echo "Контейнер ${CONTAINER_NAME} запущен"
 
 stop: ## Остановить контейнер (Docker)
 	docker stop $(CONTAINER_NAME) || true

Dockerfiles/OllamaServer/entrypoint.sh

@@ -51,20 +51,26 @@ mkdir -p "${LCG_PROMPT_FOLDER:-/app/data/prompts}"
 mkdir -p "${LCG_CONFIG_FOLDER:-/app/data/config}"
 
 # Настройка переменных окружения для Ollama
-export OLLAMA_HOST="${OLLAMA_HOST:-127.0.0.1}"
+export OLLAMA_HOST="${OLLAMA_HOST:-0.0.0.0}"
 export OLLAMA_PORT="${OLLAMA_PORT:-11434}"
 export OLLAMA_ORIGINS="*"
 
 # Настройка переменных окружения для LCG
 export LCG_PROVIDER="${LCG_PROVIDER:-ollama}"
-export LCG_HOST="${LCG_HOST:-http://127.0.0.1:11434/}"
+export LCG_HOST="${LCG_HOST:-http://0.0.0.0:11434/}"
 export LCG_MODEL="${LCG_MODEL:-qwen2.5-coder:1.5b}"
 export LCG_RESULT_FOLDER="${LCG_RESULT_FOLDER:-/app/data/results}"
 export LCG_PROMPT_FOLDER="${LCG_PROMPT_FOLDER:-/app/data/prompts}"
 export LCG_CONFIG_FOLDER="${LCG_CONFIG_FOLDER:-/app/data/config}"
 export LCG_SERVER_HOST="${LCG_SERVER_HOST:-0.0.0.0}"
 export LCG_SERVER_PORT="${LCG_SERVER_PORT:-8080}"
-export LCG_SERVER_ALLOW_HTTP="${LCG_SERVER_ALLOW_HTTP:-true}"
+export LCG_SERVER_ALLOW_HTTP="${LCG_SERVER_ALLOW_HTTP:-false}"
+export LCG_FORCE_NO_CSRF="${LCG_FORCE_NO_CSRF:-false}"
+export LCG_CSRF_DEBUG_FILE="${LCG_CSRF_DEBUG_FILE:-/app/data/csrf-debug.log}"
+
+if [ "$LCG_FORCE_NO_CSRF" = "true" ]; then
+    info "CSRF проверка отключена через LCG_FORCE_NO_CSRF"
+fi
 
 log "=========================================="
 log "Запуск LCG с Ollama сервером"
@@ -88,8 +94,7 @@ sleep 3
 
 # Проверяем, что LCG запущен
 if ! kill -0 $LCG_PID 2>/dev/null; then
-    error "LCG сервер не запустился"
-    kill $OLLAMA_PID 2>/dev/null || true
+    error "LCG сервер не запустился"    
     exit 1
 fi
 

VERSION.txt

@@ -1 +1 @@
-v.2.0.16
+v.2.0.25

config/config.go

@@ -58,6 +58,7 @@ type ServerConfig struct {
 	CookieSecure   bool
 	CookiePath     string
 	CookieTTLHours int
+	ForceNoCSRF    bool
 }
 
 type ValidationConfig struct {
@@ -166,6 +167,7 @@ func Load() Config {
 			BasePath:       getEnv("LCG_BASE_URL", "/lcg"),
 			HealthUrl:      getEnv("LCG_HEALTH_URL", "/api/v1/protected/sberchat/health"),
 			ProxyUrl:       getEnv("LCG_PROXY_URL", "/api/v1/protected/sberchat/chat"),
+			ForceNoCSRF:    isForceNoCSRF(),
 		},
 		Validation: ValidationConfig{
 			MaxSystemPromptLength: getEnvInt("LCG_MAX_SYSTEM_PROMPT_LENGTH", 2000),
@@ -214,6 +216,15 @@ func isCookieSecure() bool {
 	return vLower == "1" || vLower == "true"
 }
 
+func isForceNoCSRF() bool {
+	v := strings.TrimSpace(getEnv("LCG_FORCE_NO_CSRF", ""))
+	if v == "" {
+		return false
+	}
+	vLower := strings.ToLower(v)
+	return vLower == "1" || vLower == "true"
+}
+
 var AppConfig Config
 
 func init() {

deploy/VERSION.txt

@@ -1 +1 @@
-v.2.0.16
+v.2.0.25

kustomize/configmap.yaml

@@ -5,7 +5,7 @@ metadata:
   namespace: lcg
 data:
   # Основные настройки
-  LCG_VERSION: "v.2.0.16"
+  LCG_VERSION: "v.2.0.25"
   LCG_BASE_PATH: "/lcg"
   LCG_SERVER_HOST: "0.0.0.0"
   LCG_SERVER_PORT: "8080"  

kustomize/deployment.yaml

@@ -5,7 +5,7 @@ metadata:
   namespace: lcg
   labels:
     app: lcg
-    version: v.2.0.16
+    version: v.2.0.25
 spec:
   replicas: 1
   selector:
@@ -18,7 +18,7 @@ spec:
     spec:
       containers:
       - name: lcg
-        image: kuznetcovay/lcg:v.2.0.16
+        image: kuznetcovay/lcg:v.2.0.25
         imagePullPolicy: Always
         ports:
         - containerPort: 8080

kustomize/kustomization.yaml

@@ -15,11 +15,11 @@ resources:
 # Common labels
 # commonLabels:
 #   app: lcg
-#   version: v.2.0.16
+#   version: v.2.0.25
 #   managed-by: kustomize
 
 # Images
 # images:
 #   - name: lcg
 #     newName: kuznetcovay/lcg
-#     newTag: v.2.0.16
+#     newTag: v.2.0.25

serve/auth.go

@@ -127,7 +127,6 @@ func getTokenFromCookie(r *http.Request) (string, error) {
 func setAuthCookie(w http.ResponseWriter, token string) {
 	cookie := &http.Cookie{
 		Name:     "auth_token",
-		Domain:   config.AppConfig.Server.Domain,
 		Value:    token,
 		Path:     config.AppConfig.Server.CookiePath,
 		HttpOnly: true,

serve/csrf.go

@@ -8,11 +8,89 @@ import (
 	"fmt"
 	"net/http"
 	"os"
+	"path/filepath"
+	"sync"
 	"time"
 
 	"github.com/direct-dev-ru/linux-command-gpt/config"
 )
 
+const (
+	// CSRFTokenLifetimeHours минимальное время жизни CSRF токена в часах (не менее 12 часов)
+	CSRFTokenLifetimeHours = 12
+	// CSRFTokenLifetimeSeconds минимальное время жизни CSRF токена в секундах
+	CSRFTokenLifetimeSeconds = CSRFTokenLifetimeHours * 60 * 60
+)
+
+var (
+	// csrfDebugFile файл для отладочного вывода CSRF
+	csrfDebugFile *os.File
+	// csrfDebugFileMutex мьютекс для безопасной записи в файл
+	csrfDebugFileMutex sync.Mutex
+)
+
+// initCSRFDebugFile инициализирует файл для отладочного вывода CSRF
+func initCSRFDebugFile() error {
+	debugFile := os.Getenv("LCG_CSRF_DEBUG_FILE")
+	if debugFile == "" {
+		return nil // Файл не указан, ничего не делаем
+	}
+
+	// Создаем директорию для файла, если нужно
+	dir := filepath.Dir(debugFile)
+	if dir != "." && dir != "" {
+		if err := os.MkdirAll(dir, 0755); err != nil {
+			return fmt.Errorf("failed to create directory for CSRF debug file %s: %v", dir, err)
+		}
+	}
+
+	// Создаем/перезаписываем файл
+	file, err := os.Create(debugFile)
+	if err != nil {
+		return fmt.Errorf("failed to create CSRF debug file %s: %v", debugFile, err)
+	}
+
+	csrfDebugFileMutex.Lock()
+	// Закрываем старый файл, если был открыт
+	if csrfDebugFile != nil {
+		csrfDebugFile.Close()
+	}
+	csrfDebugFile = file
+	csrfDebugFileMutex.Unlock()
+
+	// Записываем заголовок
+	header := fmt.Sprintf("=== CSRF Debug Log Started at %s ===\n", time.Now().Format(time.RFC3339))
+	if _, err := csrfDebugFile.WriteString(header); err != nil {
+		return fmt.Errorf("failed to write header to CSRF debug file: %v", err)
+	}
+	if err := csrfDebugFile.Sync(); err != nil {
+		return fmt.Errorf("failed to sync CSRF debug file: %v", err)
+	}
+
+	return nil
+}
+
+// csrfDebugPrint выводит отладочную информацию
+// Если установлен LCG_CSRF_DEBUG_FILE - всегда пишет в файл (независимо от debug режима)
+// Если включен debug режим - также пишет в консоль
+func csrfDebugPrint(format string, args ...any) {
+	message := fmt.Sprintf(format, args...)
+
+	// Записываем в файл, если он установлен
+	csrfDebugFileMutex.Lock()
+	if csrfDebugFile != nil {
+		csrfDebugFile.WriteString(message)
+		// Синхронизируем сразу для отладки (может быть медленно, но гарантирует запись)
+		csrfDebugFile.Sync()
+	}
+	csrfDebugFileMutex.Unlock()
+
+	// Записываем в консоль, если включен debug режим
+	if config.AppConfig.MainFlags.Debug {
+		fmt.Print(message)
+	}
+}
+
 // CSRFManager управляет CSRF токенами
 type CSRFManager struct {
 	secretKey []byte
@@ -68,6 +146,8 @@ func getCSRFSecretKey() ([]byte, error) {
 
 // GenerateToken генерирует CSRF токен для пользователя
 func (c *CSRFManager) GenerateToken(userID string) (string, error) {
+	csrfDebugPrint("[CSRF DEBUG] Генерация нового токена для UserID: %s\n", userID)
+
 	// Создаем данные токена
 	data := CSRFData{
 		Token:     generateRandomString(32),
@@ -75,53 +155,85 @@ func (c *CSRFManager) GenerateToken(userID string) (string, error) {
 		UserID:    userID,
 	}
 
+	csrfDebugPrint("[CSRF DEBUG] Созданные данные токена: Token (первые 20 символов): %s..., Timestamp: %d, UserID: %s\n",
+		safeSubstring(data.Token, 0, 20), data.Timestamp, data.UserID)
+
 	// Создаем подпись
 	signature := c.createSignature(data)
+	csrfDebugPrint("[CSRF DEBUG] Созданная подпись (первые 20 символов): %s...\n", safeSubstring(signature, 0, 20))
 
 	// Кодируем данные в base64
 	encodedData := base64.StdEncoding.EncodeToString([]byte(fmt.Sprintf("%s:%d:%s", data.Token, data.Timestamp, data.UserID)))
+	csrfDebugPrint("[CSRF DEBUG] Закодированные данные (первые 30 символов): %s...\n", safeSubstring(encodedData, 0, 30))
 
-	return fmt.Sprintf("%s.%s", encodedData, signature), nil
+	token := fmt.Sprintf("%s.%s", encodedData, signature)
+	csrfDebugPrint("[CSRF DEBUG] Итоговый токен сгенерирован (первые 50 символов): %s...\n", safeSubstring(token, 0, 50))
+
+	return token, nil
 }
 
 // ValidateToken проверяет CSRF токен
 func (c *CSRFManager) ValidateToken(token, userID string) bool {
+	csrfDebugPrint("[CSRF DEBUG] Начало валидации токена. UserID из запроса: %s\n", userID)
+	csrfDebugPrint("[CSRF DEBUG] Токен (первые 50 символов): %s...\n", safeSubstring(token, 0, 50))
+
 	// Разделяем токен на данные и подпись
 	parts := splitToken(token)
 	if len(parts) != 2 {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: Токен не может быть разделен на 2 части. Получено частей: %d\n", len(parts))
 		return false
 	}
 
 	encodedData, signature := parts[0], parts[1]
+	csrfDebugPrint("[CSRF DEBUG] Токен разделен на encodedData (первые 30 символов): %s... и signature (первые 20 символов): %s...\n",
+		safeSubstring(encodedData, 0, 30), safeSubstring(signature, 0, 20))
 
 	// Декодируем данные
 	dataBytes, err := base64.StdEncoding.DecodeString(encodedData)
 	if err != nil {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: Не удалось декодировать base64 данные: %v\n", err)
 		return false
 	}
 
+	csrfDebugPrint("[CSRF DEBUG] Данные декодированы. Длина: %d байт\n", len(dataBytes))
+
 	// Парсим данные
 	dataParts := splitString(string(dataBytes), ":")
 	if len(dataParts) != 3 {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: Данные не могут быть разделены на 3 части. Получено частей: %d. Данные: %s\n", len(dataParts), string(dataBytes))
 		return false
 	}
 
 	tokenValue, timestampStr, tokenUserID := dataParts[0], dataParts[1], dataParts[2]
+	csrfDebugPrint("[CSRF DEBUG] Распарсены данные: tokenValue (первые 20 символов): %s..., timestamp: %s, tokenUserID: %s\n",
+		safeSubstring(tokenValue, 0, 20), timestampStr, tokenUserID)
 
 	// Проверяем пользователя
 	if tokenUserID != userID {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: UserID не совпадает! Ожидался: '%s', получен из токена: '%s'\n", userID, tokenUserID)
 		return false
 	}
+	csrfDebugPrint("[CSRF DEBUG] ✅ UserID совпадает: %s\n", userID)
 
-	// Проверяем время жизни токена (24 часа)
+	// Проверяем время жизни токена (минимум 12 часов)
 	timestamp, err := parseInt64(timestampStr)
 	if err != nil {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: Не удалось распарсить timestamp '%s': %v\n", timestampStr, err)
 		return false
 	}
 
-	if time.Now().Unix()-timestamp > 24*60*60 {
+	now := time.Now().Unix()
+	age := now - timestamp
+	ageHours := float64(age) / 3600.0
+	csrfDebugPrint("[CSRF DEBUG] Текущее время: %d, timestamp токена: %d, возраст токена: %d сек (%.2f часов)\n", now, timestamp, age, ageHours)
+
+	// Минимальное время жизни токена: 12 часов (не менее 12 часов согласно требованиям)
+	if age > CSRFTokenLifetimeSeconds {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: Токен устарел! Возраст: %d сек (%.2f часов), максимум: %d сек (%.2f часов)\n",
+			age, ageHours, CSRFTokenLifetimeSeconds, float64(CSRFTokenLifetimeSeconds)/3600.0)
 		return false
 	}
+	csrfDebugPrint("[CSRF DEBUG] ✅ Токен не устарел (возраст в пределах лимита)\n")
 
 	// Создаем данные для проверки подписи
 	data := CSRFData{
@@ -132,7 +244,30 @@ func (c *CSRFManager) ValidateToken(token, userID string) bool {
 
 	// Проверяем подпись
 	expectedSignature := c.createSignature(data)
-	return signature == expectedSignature
+	signatureMatch := signature == expectedSignature
+	if !signatureMatch {
+		csrfDebugPrint("[CSRF DEBUG] ❌ ОШИБКА: Подпись не совпадает!\n")
+		csrfDebugPrint("[CSRF DEBUG] Ожидаемая подпись (первые 20 символов): %s...\n", safeSubstring(expectedSignature, 0, 20))
+		csrfDebugPrint("[CSRF DEBUG] Полученная подпись (первые 20 символов): %s...\n", safeSubstring(signature, 0, 20))
+		csrfDebugPrint("[CSRF DEBUG] Данные для подписи: Token=%s (первые 20), Timestamp=%d, UserID=%s\n",
+			safeSubstring(tokenValue, 0, 20), timestamp, tokenUserID)
+	} else {
+		csrfDebugPrint("[CSRF DEBUG] ✅ Подпись совпадает\n")
+	}
+	csrfDebugPrint("[CSRF DEBUG] Результат валидации: %t\n", signatureMatch)
+	return signatureMatch
+}
+
+// safeSubstring безопасно обрезает строку
+func safeSubstring(s string, start, length int) string {
+	if start >= len(s) {
+		return ""
+	}
+	end := start + length
+	if end > len(s) {
+		end = len(s)
+	}
+	return s[start:end]
 }
 
 // createSignature создает подпись для данных
@@ -153,22 +288,35 @@ func GetCSRFTokenFromCookie(r *http.Request) string {
 
 // setCSRFCookie устанавливает CSRF токен в cookie
 func setCSRFCookie(w http.ResponseWriter, token string) {
+	csrfDebugPrint("[CSRF DEBUG] Установка CSRF cookie. Токен (первые 50 символов): %s...\n", safeSubstring(token, 0, 50))
+	csrfDebugPrint("[CSRF DEBUG] Cookie настройки: Path=%s, Secure=%t, Domain=%s, MaxAge=%d сек\n",
+		config.AppConfig.Server.CookiePath,
+		config.AppConfig.Server.CookieSecure,
+		config.AppConfig.Server.Domain,
+		CSRFTokenLifetimeSeconds)
+
+	// Минимальное время жизни токена: 12 часов (не менее 12 часов согласно требованиям)
 	cookie := &http.Cookie{
 		Name:     "csrf_token",
 		Value:    token,
 		Path:     config.AppConfig.Server.CookiePath,
 		HttpOnly: true,
 		Secure:   config.AppConfig.Server.CookieSecure,
-		SameSite: http.SameSiteLaxMode, // Более мягкий режим для reverse proxy
-		MaxAge:   1 * 60 * 60,
+		SameSite: http.SameSiteLaxMode,     // Более мягкий режим для reverse proxy
+		MaxAge:   CSRFTokenLifetimeSeconds, // Минимум 12 часов в секундах
 	}
 
 	// Добавляем домен если указан
 	if config.AppConfig.Server.Domain != "" {
 		cookie.Domain = config.AppConfig.Server.Domain
+		csrfDebugPrint("[CSRF DEBUG] Cookie Domain установлен: %s\n", cookie.Domain)
+	} else {
+		csrfDebugPrint("[CSRF DEBUG] Cookie Domain не установлен (пустой)\n")
 	}
 
 	http.SetCookie(w, cookie)
+	csrfDebugPrint("[CSRF DEBUG] ✅ CSRF cookie установлен: Name=%s, Path=%s, Domain=%s, Secure=%t, HttpOnly=%t, SameSite=%v, MaxAge=%d\n",
+		cookie.Name, cookie.Path, cookie.Domain, cookie.Secure, cookie.HttpOnly, cookie.SameSite, cookie.MaxAge)
 }
 
 // clearCSRFCookie удаляет CSRF cookie
@@ -252,6 +400,11 @@ var csrfManager *CSRFManager
 
 // InitCSRFManager инициализирует глобальный CSRF менеджер
 func InitCSRFManager() error {
+	// Инициализируем файл для отладки CSRF, если указан LCG_CSRF_DEBUG_FILE
+	if err := initCSRFDebugFile(); err != nil {
+		return fmt.Errorf("failed to initialize CSRF debug file: %v", err)
+	}
+
 	var err error
 	csrfManager, err = NewCSRFManager()
 	return err

serve/execute_page.go

@@ -233,6 +233,9 @@ func handleExecuteRequest(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 
+	// Устанавливаем CSRF токен в cookie после обработки запроса
+	setCSRFCookie(w, csrfToken)
+
 	data := ExecutePageData{
 		Title:                "Результат выполнения",
 		Header:               "Результат выполнения",

serve/login.go

@@ -92,6 +92,7 @@ func RenderLoginPage(w http.ResponseWriter, data LoginPageData) error {
 func getSessionID(r *http.Request) string {
 	// Пытаемся получить из cookie
 	if cookie, err := r.Cookie("session_id"); err == nil {
+		csrfDebugPrint("[CSRF DEBUG] SessionID получен из cookie: %s\n", cookie.Value)
 		return cookie.Value
 	}
 
@@ -99,7 +100,12 @@ func getSessionID(r *http.Request) string {
 	ip := r.RemoteAddr
 	userAgent := r.Header.Get("User-Agent")
 
+	csrfDebugPrint("[CSRF DEBUG] SessionID не найден в cookie. Генерация нового на основе IP=%s, User-Agent (первые 50 символов): %s...\n",
+		ip, safeSubstring(userAgent, 0, 50))
+
 	// Создаем простой хеш для сессии
 	hash := sha256.Sum256([]byte(ip + userAgent))
-	return hex.EncodeToString(hash[:])[:16]
+	sessionID := hex.EncodeToString(hash[:])[:16]
+	csrfDebugPrint("[CSRF DEBUG] Сгенерирован SessionID: %s\n", sessionID)
+	return sessionID
 }

serve/middleware.go

@@ -45,25 +45,77 @@ func AuthMiddleware(next http.HandlerFunc) http.HandlerFunc {
 // CSRFMiddleware проверяет CSRF токены для POST/PUT/DELETE запросов
 func CSRFMiddleware(next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
+		// Проверяем, нужно ли пропустить CSRF проверку
+		if config.AppConfig.Server.ForceNoCSRF {
+			csrfDebugPrint("[CSRF MIDDLEWARE] ⚠️  CSRF проверка отключена через LCG_FORCE_NO_CSRF\n")
+			next(w, r)
+			return
+		}
+
+		csrfDebugPrint("\n[CSRF MIDDLEWARE] ==========================================\n")
+		csrfDebugPrint("[CSRF MIDDLEWARE] Обработка запроса: %s %s\n", r.Method, r.URL.Path)
+		csrfDebugPrint("[CSRF MIDDLEWARE] RemoteAddr: %s\n", r.RemoteAddr)
+		csrfDebugPrint("[CSRF MIDDLEWARE] Host: %s\n", r.Host)
+
+		// Выводим все заголовки
+		csrfDebugPrint("[CSRF MIDDLEWARE] Заголовки:\n")
+		for name, values := range r.Header {
+			if name == "Cookie" {
+				// Cookie выводим отдельно, разбирая их
+				csrfDebugPrint("[CSRF MIDDLEWARE]   %s: %s\n", name, strings.Join(values, "; "))
+			} else {
+				csrfDebugPrint("[CSRF MIDDLEWARE]   %s: %s\n", name, strings.Join(values, ", "))
+			}
+		}
+
+		// Выводим все cookies
+		csrfDebugPrint("[CSRF MIDDLEWARE] Все cookies:\n")
+		if len(r.Cookies()) == 0 {
+			csrfDebugPrint("[CSRF MIDDLEWARE]   (нет cookies)\n")
+		} else {
+			for _, cookie := range r.Cookies() {
+				csrfDebugPrint("[CSRF MIDDLEWARE]   %s = %s (Path: %s, Domain: %s, Secure: %t, HttpOnly: %t, SameSite: %v, MaxAge: %d)\n",
+					cookie.Name,
+					safeSubstring(cookie.Value, 0, 50),
+					cookie.Path,
+					cookie.Domain,
+					cookie.Secure,
+					cookie.HttpOnly,
+					cookie.SameSite,
+					cookie.MaxAge)
+			}
+		}
+
 		// Проверяем только изменяющие запросы
 		if r.Method == "GET" || r.Method == "HEAD" || r.Method == "OPTIONS" {
+			csrfDebugPrint("[CSRF MIDDLEWARE] Пропускаем проверку CSRF для метода %s\n", r.Method)
 			next(w, r)
 			return
 		}
 
 		// Исключаем некоторые API endpoints (с учетом BasePath)
 		if r.URL.Path == makePath("/api/login") || r.URL.Path == makePath("/api/logout") {
+			csrfDebugPrint("[CSRF MIDDLEWARE] Пропускаем проверку CSRF для пути %s\n", r.URL.Path)
 			next(w, r)
 			return
 		}
 
 		// Получаем CSRF токен из заголовка или формы
-		csrfToken := r.Header.Get("X-CSRF-Token")
+		csrfTokenFromHeader := r.Header.Get("X-CSRF-Token")
+		csrfTokenFromForm := r.FormValue("csrf_token")
+
+		csrfDebugPrint("[CSRF MIDDLEWARE] CSRF токен из заголовка X-CSRF-Token: %s\n",
+			safeSubstring(csrfTokenFromHeader, 0, 50))
+		csrfDebugPrint("[CSRF MIDDLEWARE] CSRF токен из формы csrf_token: %s\n",
+			safeSubstring(csrfTokenFromForm, 0, 50))
+
+		csrfToken := csrfTokenFromHeader
 		if csrfToken == "" {
-			csrfToken = r.FormValue("csrf_token")
+			csrfToken = csrfTokenFromForm
 		}
 
 		if csrfToken == "" {
+			csrfDebugPrint("[CSRF MIDDLEWARE] ❌ ОШИБКА: CSRF токен не найден ни в заголовке, ни в форме!\n")
 			// Для API запросов возвращаем JSON ошибку
 			if isAPIRequest(r) {
 				w.Header().Set("Content-Type", "application/json")
@@ -77,12 +129,67 @@ func CSRFMiddleware(next http.HandlerFunc) http.HandlerFunc {
 			return
 		}
 
+		csrfDebugPrint("[CSRF MIDDLEWARE] Используемый CSRF токен (первые 50 символов): %s...\n",
+			safeSubstring(csrfToken, 0, 50))
+
 		// Получаем сессионный ID
 		sessionID := getSessionID(r)
+		csrfDebugPrint("[CSRF MIDDLEWARE] SessionID: %s\n", sessionID)
+
+		// Получаем CSRF токен из cookie для сравнения
+		csrfTokenFromCookie := GetCSRFTokenFromCookie(r)
+		valid := true
+		if csrfTokenFromCookie != "" {
+			csrfDebugPrint("[CSRF MIDDLEWARE] CSRF токен из cookie (первые 50 символов): %s...\n",
+				safeSubstring(csrfTokenFromCookie, 0, 50))
+			if csrfTokenFromCookie != csrfToken {
+				csrfDebugPrint("[CSRF MIDDLEWARE] ⚠️  ВНИМАНИЕ: Токен из cookie отличается от токена в запросе!\n")
+				valid = false
+			} else {
+				csrfDebugPrint("[CSRF MIDDLEWARE] ✅ Токен из cookie совпадает с токеном в запросе\n")
+				valid = true
+			}
+		} else {
+			csrfDebugPrint("[CSRF MIDDLEWARE] ⚠️  ВНИМАНИЕ: CSRF токен не найден в cookie!\n")
+			valid = false
+		}
 
 		// Проверяем CSRF токен
+
+		if !valid {
+			csrfDebugPrint("[CSRF MIDDLEWARE] ❌ ОШИБКА: Валидация CSRF токена не прошла!\n")
+			// Для API запросов возвращаем JSON ошибку
+			if isAPIRequest(r) {
+				w.Header().Set("Content-Type", "application/json")
+				w.WriteHeader(http.StatusForbidden)
+				w.Write([]byte(`{"success": false, "error": "Invalid CSRF token"}`))
+				return
+			}
+
+			// Для веб-запросов возвращаем ошибку
+			http.Error(w, "Invalid OR Empty CSRF token", http.StatusForbidden)
+			return
+		}
+
 		csrfManager := GetCSRFManager()
-		if csrfManager == nil || !csrfManager.ValidateToken(csrfToken, sessionID) {
+		if csrfManager == nil {
+			csrfDebugPrint("[CSRF MIDDLEWARE] ❌ ОШИБКА: CSRF менеджер не инициализирован!\n")
+			if isAPIRequest(r) {
+				w.Header().Set("Content-Type", "application/json")
+				w.WriteHeader(http.StatusForbidden)
+				w.Write([]byte(`{"success": false, "error": "Invalid CSRF token"}`))
+				return
+			}
+			http.Error(w, "Invalid CSRF token", http.StatusForbidden)
+			return
+		}
+
+		csrfDebugPrint("[CSRF MIDDLEWARE] Вызов ValidateToken с токеном и sessionID: %s\n", sessionID)
+		valid = csrfManager.ValidateToken(csrfToken, sessionID)
+		csrfDebugPrint("[CSRF MIDDLEWARE] Результат ValidateToken: %t\n", valid)
+
+		if !valid {
+			csrfDebugPrint("[CSRF MIDDLEWARE] ❌ ОШИБКА: Валидация CSRF токена не прошла!\n")
 			// Для API запросов возвращаем JSON ошибку
 			if isAPIRequest(r) {
 				w.Header().Set("Content-Type", "application/json")
@@ -96,6 +203,8 @@ func CSRFMiddleware(next http.HandlerFunc) http.HandlerFunc {
 			return
 		}
 
+		csrfDebugPrint("[CSRF MIDDLEWARE] ✅ CSRF токен валиден, продолжаем обработку запроса\n")
+		csrfDebugPrint("[CSRF MIDDLEWARE] ==========================================\n\n")
 		// CSRF токен валиден, продолжаем
 		next(w, r)
 	}

serve/templates/execute.css.go

@@ -72,8 +72,9 @@ var ExecutePageCSSTemplate = template.Must(template.New("execute_css").Parse(`
             text-align: center;
         }
         .header h1 {
+            margin: 0;
             font-size: 2.5em;
-            margin-bottom: 10px;
+            font-weight: 300;
         }
         .header p {
             opacity: 0.9;