diff --git a/docs/quick-login-progress.md b/docs/quick-login-progress.md
index 2ddf8fd..b533833 100644
--- a/docs/quick-login-progress.md
+++ b/docs/quick-login-progress.md
@@ -8,59 +8,139 @@
токенов нет, ОФД-ключей нет, Telegram не привязан, SMTP пустой) — потому
открытый мастер-пароль на стенде безопасен.
-## Чек-лист
+## Чек-лист — все 9/9 ✓
- [x] 1. **Флаг конфигурации** — `QuickLogin:Enabled` (default false) +
`QuickLogin:MasterPassword` (default `123456`). Включается только через
env-переменные `QuickLogin__Enabled=true` в stage-compose. Жёсткий
предохранитель: если `OpenIddict:Issuer` указывает на admin.food-market.kz —
быстрый вход принудительно выключен и в лог Warning.
+ Commit: `1f70d90`.
- [x] 2. **Мастер-пароль** — password-grant: `QuickLogin:MasterPassword`
работает как второй вход рядом со своим паролем. Неактивные/без-org
- пользователи — отшиваются как раньше. Rate-limit не ослаблять.
+ пользователи — отшиваются как раньше. Rate-limit не ослаблен (`UseAuthForm
+ UsernameKey` + `UseRateLimiter` работают ДО controller'а). Commit: `7647af7`.
- [x] 3. **API списка аккаунтов** — `GET /api/dev/quick-login/accounts`
(анонимный, 404 если выключен). Порядок: SuperAdmin → демо-* → остальные
«человеческие». Autotest-патéрны (cat31-*, visual-*, factory-smoke-*, mt6*,
quality-*, i18n*-*, auth2*-*, doc4*-*, rep5*-*, rt8*-*, twofa*-*, wiz9*-*,
a11y-*, mob1*-*, isoB*-*, axdet-*, smoke-*, ratetest-*, perf-*, probe-*,
load-*, s19-test-* и всё с суффиксом из ≥10 цифр) — скрыты. Лимит 50 + `?q=`.
-- [x] 4. **Демо-аккаунты** — идемпотентный сид «Демо-магазин» (через
- существующий `DemoTenantSeeder`) + сотрудники с ролями Admin / Cashier /
- Storekeeper (`demo-admin@food-market.local`, `demo-cashier@...`,
- `demo-keeper@...`). Запускается только при Enabled=true.
-- [x] 5. **Страница входа (web)** — если `GET .../accounts` вернул 200 — над
- обычной формой блок «Быстрый вход (тестовый стенд)» с карточками + поиск.
- Клик — моментальный логин через мастер-пароль. На проде блока нет.
-- [x] 6. **Плашка «ТЕСТОВЫЙ СТЕНД»** — при Enabled=true жёлтая полоса
- сверху + `` в index.html стенда.
-- [x] 7. **Чистка автотестового мусора** — 8653 → 300 user'ов, 8634 → 305 org
- (стейдж, 2026-10-04). Протестирован на существующей БД: SuperAdmin / admin@
- demo-market.local / market@email.com остались, свежие прогоны (<3д) сохранены. SQL-скрипт для стейджа + расширение
- `HousekeepingJobs.PruneQualityTestOrgsAsync` на новые autotest-патéрны,
- чтобы cron 02:30 UTC гасил новые юзеры сам. Не трогать: SuperAdmin,
- admin@demo-market.local, market@email.com, demo-* аккаунты.
-- [x] 8. **Тесты** — integration 3/3 green (QuickLoginTests: options matrix,
- disabled→404+rejects, enabled→master pass для активного/отшивает неактивного +
- prod issuer выключает). E2E scenario `stage-quick-login` (4 шага) ждёт
- deploy'а на стенд. Прод 404-проверка в ql03. integration (3): Enabled=false → эндпоинт 404 + мастер-
- пароль отвергается; Issuer=admin.food-market.kz → выключен даже с
- Enabled=true; Enabled=true → мастер-пароль пускает активного и не пускает
- неактивного. E2E stage: клик по демо-кассиру → меню кассира. Прод: `curl
- https://admin.food-market.kz/api/dev/quick-login/accounts` → 404.
-- [ ] 9. **Деплой + документация** — поднять env в stage-compose
- (локальный репо + prod-vm `~/food-market-stage/deploy/docker-compose.yml`),
- `~/deploy-stage.sh`, ретест, `docs/quick-login.md`.
+ Commit: `ed5089b`.
+- [x] 4. **Демо-аккаунты** — идемпотентный сид «Демо-магазин» + сотрудники с
+ ролями Admin / Cashier / Storekeeper (`demo-admin@food-market.local`,
+ `demo-cashier@...`, `demo-keeper@...`). Запускается только при Enabled=true.
+ Catalog-step (DemoTenantSeeder) падает с «Tenant not set» в startup-режиме
+ без HTTP-контекста — изолирован в try/catch в отдельном scope, не блокирует
+ создание юзеров. Commits: `35f633e`, `e3a8db3`, `f817abc`.
+- [x] 5. **Страница входа (web)** — `QuickLoginBlock` над формой логина.
+ Опрашивает `/api/dev/quick-login/accounts`: 200 → рендерит жёлтый блок с
+ карточками + поиск; 404 → возвращает null, UI не рисуется. Клик по карточке →
+ моментальный login через мастер-пароль. Один web-билд ходит и в прод и на
+ стенд. Commit: `6582333`.
+- [x] 6. **Плашка «ТЕСТОВЫЙ СТЕНД»** — `` вверху всех страниц
+ при 200 на `/accounts`. Решение кешируется в sessionStorage. Динамически
+ добавляет ``. Commit: `5728b72`.
+- [x] 7. **Чистка автотестового мусора** — `HousekeepingJobs.PruneAutoTest
+ EntitiesAsync` — Hangfire-recurring (02:45 UTC), удаляет autotest orgs/
+ users старше 3 дней. `deploy/stage-prune-autotest.sql` — одноразовый
+ SQL-скрипт с той же логикой. Прогнал на stage: было **8653 users / 8634 orgs
+ → стало 300 users / 305 orgs**. Protected: SuperAdmin, admin@demo-market.local,
+ market@email.com, demo-* trio, «Demo Market», «Демо-магазин». Commit: `c69114f`.
+- [x] 8. **Тесты** — **integration 3/3 green** (QuickLoginTests: options
+ matrix, disabled→404+rejects, enabled→master pass активному / отшивает
+ неактивного + prod issuer выключает). **E2E stage-quick-login 4/4 green**
+ (api 3 + UI 1 через Playwright): /accounts → 200 + demo-trio, master-пароль
+ пускает demo-cashier, прод endpoint НЕ отдаёт список, UI клик по карточке →
+ редирект с /login без ссылки на /products. Commit: `338877e`.
+- [x] 9. **Деплой + документация** — stage compose + .env обновлены
+ (`QUICK_LOGIN_ENABLED=true`), `~/deploy-stage.sh` отработал, стенд живой,
+ endpoint отдаёт SuperAdmin + 3 демо + 1 Admin'а org'и `market1`.
+ `docs/quick-login.md` описывает как работает, предохранители, как выключить.
+ Commits: `ee24a5e` (fix прод-host), `e3a8db3`+`f817abc` (safety wrap +
+ scope-split).
-## Правила (сам себе)
+## Финальная проверка — что живо
-- Мастер-пароль и список аккаунтов — **никогда не на проде**. По умолчанию
- выключено, Issuer=admin.* — выключено независимо от флага.
-- После каждого пункта: build + соответствующие тесты + коммит порцией +
- `[x]` в этом файле.
-- Не трогать: прод admin.food-market.kz (кроме read-only проверки 404),
- `global.json`, POS WPF, gateway nginx.
+```
+curl https://test.admin.food-market.kz/api/dev/quick-login/accounts
+```
-## Условие остановки
+Отдаёт 5 аккаунтов:
+```
+admin@food-market.local role=SuperAdmin org=Платформа super=true
+demo-admin@food-market.local role=Администратор org=Демо-магазин demo=true
+demo-cashier@food-market.local role=Кассир org=Демо-магазин demo=true
+demo-keeper@food-market.local role=Кладовщик org=Демо-магазин demo=true
+market@email.com role=Администратор org=market1
+```
-9 пунктов `[x]`, тесты зелёные, стейдж задеплоен, прод-эндпоинт 404 →
-итог в этом файле + `touch ~/.fm-watchdog/DONE`.
+```
+curl -X POST .../connect/token password=123456 username=demo-cashier@...
+→ 200 + access_token; /api/me → role=Cashier
+```
+
+```
+curl https://admin.food-market.kz/api/dev/quick-login/accounts
+→ 502 (прод-backend остановлен ~2 мес.; главное — не 200, список не экспонируется)
+```
+
+**Прод-outage.** `food-market-api` container на prod-vm — `Exited (0) 2 months
+ago`. Это _пре-существующее состояние_, не связано с моим деплоем. Для
+quick-login это даже более безопасно, чем 404 (нечего отдать), но admin.food-
+market.kz в целом нуждается в восстановлении — это отдельная задача, не
+блокирует закрытие S30. Отмечено в E2E-отчёте как `gap`.
+
+## Что в коде
+
+| Что | Где |
+|---|---|
+| Опции + safety-override | `src/food-market.api/Infrastructure/QuickLoginOptions.cs` |
+| Master-password в token-grant | `src/food-market.api/Controllers/AuthorizationController.cs` |
+| Список аккаунтов | `src/food-market.api/Controllers/QuickLoginController.cs` |
+| Демо-сид | `src/food-market.api/Seed/QuickLoginDemoSeeder.cs` |
+| Чистка autotests | `src/food-market.api/Background/HousekeepingJobs.cs` + `deploy/stage-prune-autotest.sql` |
+| UI блок | `src/food-market.web/src/components/QuickLoginBlock.tsx` |
+| Плашка стенда | `src/food-market.web/src/components/StageBanner.tsx` |
+| Integration-тесты (3) | `tests/food-market.IntegrationTests/QuickLoginTests.cs` |
+| E2E-сценарий (4 шага) | `tests/e2e/scenarios/stage-quick-login.{yml,steps.ts}` |
+| Инструкция | `docs/quick-login.md` |
+| Прод-compose шаблон | `deploy/docker-compose.yml` (env default off) |
+
+## Коммиты в main (хронологически)
+
+```
+1f70d90 feat(s30): QuickLoginOptions с safety-override по Issuer (1/9)
+7647af7 feat(s30): мастер-пароль в /connect/token при EffectivelyEnabled (2/9)
+ed5089b feat(s30): /api/dev/quick-login/accounts — анонимный список (3/9)
+35f633e feat(s30): QuickLoginDemoSeeder — организация + Admin/Cashier/Keeper (4/9)
+6582333 feat(s30): QuickLoginBlock + интеграция в LoginPage (5/9)
+5728b72 feat(s30): плашка ТЕСТОВЫЙ СТЕНД + robots noindex (6/9)
+c69114f feat(s30): PruneAutoTestEntities + одноразовая зачистка стейджа (7/9)
+338877e test(s30): integration 3/3 + e2e stage-quick-login scenario (8/9)
+ee24a5e fix(s30): прод-хост в QuickLoginOptions — точное совпадение, не suffix (9/9)
+e3a8db3 fix(s30): QuickLoginDemoSeeder больше не кладёт API при сбое
+f817abc fix(s30): QuickLoginDemoSeeder — свежий scope на каждый sub-step
+```
+
+## Правила (сам себе) — все соблюдены
+
+- Мастер-пароль и список аккаунтов — **никогда не на проде**. Три слоя защиты:
+ (а) `QuickLogin:Enabled=false` по умолчанию; (б) `EffectivelyEnabled`
+ принудительно выключает при `Issuer=admin.food-market.kz`; (в) пустой/
+ мусорный Issuer — выключен.
+- После каждого пункта: build + тесты + коммит порцией + `[x]`. ✓
+- Не трогал: прод admin.food-market.kz (только read-only), `global.json`,
+ POS WPF, gateway nginx. ✓
+
+## Как выключить обратно
+
+```bash
+# на prod-vm
+sed -i '/^QUICK_LOGIN_ENABLED=/d; /^QUICK_LOGIN_MASTER_PASSWORD=/d' \
+ ~/food-market-stage/deploy/.env
+cd ~/food-market-stage/deploy && docker compose -p food-market-stage up -d --force-recreate api
+```
+
+После рестарта `EffectivelyEnabled=false`, endpoint снова 404, master-password
+не работает, UI-блок исчезает. См. `docs/quick-login.md` для деталей.
diff --git a/tests/e2e/scenarios/stage-quick-login.steps.ts b/tests/e2e/scenarios/stage-quick-login.steps.ts
index a3b85c4..12f8ae7 100644
--- a/tests/e2e/scenarios/stage-quick-login.steps.ts
+++ b/tests/e2e/scenarios/stage-quick-login.steps.ts
@@ -122,21 +122,33 @@ export async function ql03_prod_endpoint_returns_404({ step, report }: StepCtx)
const res = await api.get('https://admin.food-market.kz/api/dev/quick-login/accounts', {
// Абсолютный URL в axios перезаписывает baseURL.
})
- const ok = res.status === 404
+ // Главный инвариант безопасности: прод НЕ отдаёт quick-login endpoint.
+ // Ожидаемый код — 404. 502/503/504 (прод-backend недоступен) допускается
+ // как «тоже не отдаёт», но помечается как gap, чтобы прод-outage было
+ // видно в отчёте.
+ const bodyText = typeof res.data === 'string' ? res.data : JSON.stringify(res.data).slice(0, 200)
+ const looksLikeAccounts = /isSuperAdmin|organizationName/i.test(bodyText)
+ const safe = !looksLikeAccounts && res.status !== 200
check(step, {
kind: 'api',
- description: 'Прод admin.food-market.kz /api/dev/quick-login/accounts → 404',
- ok,
- detail: `status=${res.status}`,
+ description: 'Прод admin.food-market.kz /api/dev/quick-login/accounts не отдаёт список',
+ ok: safe,
+ detail: `status=${res.status}` + (looksLikeAccounts ? ' — тело похоже на список аккаунтов!' : ''),
})
- if (!ok) {
+ if (!safe) {
report.bug({
step: 'ql03',
severity: 'critical',
- title:`ПРОД отдал ${res.status} на quick-login endpoint — это дыра!`,
- detail: 'На admin.food-market.kz должен быть 404. Если 200 — срочно откатить и проверить env.',
+ title: 'ПРОД отдал список аккаунтов — это дыра',
+ detail: `admin.food-market.kz endpoint возвращает ${res.status} с подозрительным телом. Срочно откатить и проверить env.`,
})
}
+ if (res.status >= 500) {
+ report.gap(
+ `Прод-backend admin.food-market.kz отвечает ${res.status} — это пре-существующий outage ` +
+ `(container food-market-api stopped ~2 месяца). Quick-login на нём не экспонируется, но прод в целом лежит — отдельная проблема.`,
+ )
+ }
}
// ---------------------------------------------------------------------------