chore: релиз v0.20.0 — админка, профиль, cookies, брони, email

Co-authored-by: Cursor <cursoragent@cursor.com>
feat: бронирование товаров и сброс пароля по email
2026-05-17 11:41:32 +03:00 · 2026-05-17 11:38:52 +03:00 · 2026-05-17 11:32:08 +03:00 · 2026-05-17 11:29:30 +03:00 · 2026-05-17 11:19:01 +03:00 · 2026-05-17 09:52:33 +03:00
49 changed files with 2418 additions and 59 deletions
@@ -4,6 +4,22 @@ NODE_ENV=production
 TRUST_PROXY=1
 SESSION_SECRET=change-me-to-a-long-random-string

+# Первый администратор (создаётся при старте, если email не занят)
+ADMIN_EMAIL=admin@site.com
+ADMIN_PASSWORD=admin
+ADMIN_NAME=Администратор
+
+# URL сайта (ссылки в письмах)
+SITE_URL=http://localhost:3000
+
+# SMTP — сброс пароля и уведомления о брони
+SMTP_HOST=smtp.example.com
+SMTP_PORT=587
+SMTP_SECURE=false
+SMTP_USER=
+SMTP_PASS=
+SMTP_FROM=shop@example.com
+
 # PostgreSQL 17 (одна строка или отдельные переменные)
 DATABASE_URL=postgresql://shop:shop@127.0.0.1:5432/shop
 # PGHOST=127.0.0.1
@@ -0,0 +1,29 @@
+## 0.20.0
+
+Расширенный релиз: роли, админка, профиль, cookies, бронирование, email.
+
+### Новое
+
+- **Роли:** клиент (`customer`) и администратор (`admin`), вход `admin@site.com`
+- **Админ-панель:** заказы, пользователи, товары, бронирования
+- **Профиль:** просмотр, смена имени, email и пароля
+- **Cookies:** согласие обязательно для входа и регистрации
+- **Бронирование товаров** (48 ч) + письмо на email
+- **Сброс пароля** по ссылке из письма (SMTP)
+- **Wiki:** инструкции Docker и без Docker
+
+### Настройка email (.env)
+
+```env
+SITE_URL=https://ваш-сайт
+SMTP_HOST=...
+SMTP_FROM=...
+```
+
+### Установка
+
+```bash
+git checkout v0.20.0
+npm install --omit=dev
+# или docker compose up -d --build
+```
@@ -1,5 +1,35 @@
 # Changelog

+## [0.20.0] — 2026-05-17
+
+### Роли и администрирование
+
+- Роли `customer` и `admin`, админ-панель `/admin`
+- Администратор по умолчанию: `admin@site.com` (создаётся при старте)
+- Управление заказами, пользователями, товарами, бронированиями
+
+### Личный кабинет
+
+- Просмотр профиля, смена имени, email (с подтверждением пароля), пароля
+
+### Cookies
+
+- Баннер согласия; без принятия недоступны вход, регистрация, кабинет, оформление заказа
+- Политика: `/cookies/policy`
+
+### Бронирование и почта
+
+- Бронирование товара на 48 часов, уведомление на email
+- Сброс пароля: `/forgot-password`, ссылка в письме (nodemailer + SMTP)
+- Переменные: `SITE_URL`, `SMTP_*`
+
+### Документация
+
+- Wiki: установка Docker и без Docker
+- Скрипт `scripts/publish-gitea-release.sh`
+
+[0.20.0]: https://git.evilfox.cc/test/shop10/releases/tag/v0.20.0
+
 ## [0.10.0] — 2026-05-17

 Первый стабильный релиз с PostgreSQL 17. Два способа развёртывания: **Docker Compose** и **без Docker** (Ubuntu + systemd).
@@ -1,17 +1,21 @@
 # Shop

-**v0.10.0** — интернет-магазин на **Node.js** и **PostgreSQL 17**.
+**v0.20.0** — интернет-магазин на **Node.js** и **PostgreSQL 17**.

 Два способа установки: [Docker Compose](#docker-compose-рекомендуется-для-теста) | [без Docker (Ubuntu)](#postgresql-17-без-docker)

-Подробности релиза: [CHANGELOG.md](CHANGELOG.md) · [docs/RELEASE-0.10.md](docs/RELEASE-0.10.md)
+Подробности релиза: [CHANGELOG.md](CHANGELOG.md) · [docs/RELEASE-0.20.md](docs/RELEASE-0.20.md)
+
+**Wiki (установка):** https://git.evilfox.cc/test/shop10/wiki

 ## Возможности

 - Каталог товаров с категориями и поиском
 - Корзина и оформление заказа
- Регистрация и вход пользователей
- История заказов в личном кабинете
+- Регистрация, вход, сброс пароля по email
+- Личный кабинет: профиль, бронирования
+- Роли клиент / администратор, админ-панель
+- Согласие на cookies

 ## Требования

@@ -380,12 +384,12 @@ scripts/
 src/
 ```

-## Релиз 0.10.0
+## Релиз 0.20.0

 ```bash
 git clone <URL_РЕПОЗИТОРИЯ> shop
 cd shop
-git checkout v0.10.0
+git checkout v0.20.0
 ```

 | Способ | Команда |
@@ -0,0 +1,58 @@
+# Релиз 0.20.0
+
+## Что нового относительно 0.10.0
+
+| Функция | Описание |
+|---------|----------|
+| Админ-панель | `/admin` — статистика, заказы, пользователи, товары, брони |
+| Роли | `customer`, `admin` |
+| Профиль | `/account` — имя, email, пароль |
+| Cookies | Баннер согласия, блок входа без принятия |
+| Бронирование | Кнопка на товаре, вкладка в кабинете |
+| Сброс пароля | `/forgot-password` → письмо → новый пароль |
+
+## Быстрый старт
+
+### Docker
+
+```bash
+git checkout v0.20.0
+cp .env.docker.example .env
+# SESSION_SECRET, при необходимости SMTP и SITE_URL
+docker compose up -d --build
+```
+
+### Ubuntu
+
+```bash
+git checkout v0.20.0
+bash scripts/setup-postgres-ubuntu.sh
+cp .env.example .env
+npm install --omit=dev
+systemctl restart shop
+```
+
+## Администратор по умолчанию
+
+- Email: `admin@site.com`
+- Пароль: `admin` (смените в production)
+
+## SMTP (письма)
+
+Обязательно для production-сброса пароля. Без SMTP ссылка выводится в лог сервера.
+
+```env
+SITE_URL=https://shop.example.com
+SMTP_HOST=smtp.example.com
+SMTP_PORT=587
+SMTP_USER=...
+SMTP_PASS=...
+SMTP_FROM=shop@example.com
+```
+
+## Gitea Release
+
+```bash
+export GITEA_TOKEN=...
+bash scripts/publish-gitea-release.sh 0.20.0
+```
@@ -1,6 +1,6 @@
 {
  "name": "shop",
-  "version": "0.10.0",
+  "version": "0.20.0",
  "description": "Интернет-магазин на Node.js с PostgreSQL 17",
  "main": "src/server.js",
  "scripts": {
@@ -13,10 +13,12 @@
  },
  "dependencies": {
    "bcryptjs": "^2.4.3",
+    "cookie-parser": "^1.4.7",
    "connect-pg-simple": "^10.0.0",
    "ejs": "^3.1.10",
    "express": "^4.21.2",
    "express-session": "^1.18.1",
+    "nodemailer": "^6.9.16",
    "pg": "^8.13.1"
  }
 }
@@ -5,9 +5,13 @@ CREATE TABLE IF NOT EXISTS users (
  email TEXT NOT NULL UNIQUE,
  password_hash TEXT NOT NULL,
  name TEXT NOT NULL,
+  role TEXT NOT NULL DEFAULT 'customer'
+    CHECK (role IN ('customer', 'admin')),
  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
 );

+CREATE INDEX IF NOT EXISTS idx_users_role ON users(role);
+
 CREATE TABLE IF NOT EXISTS categories (
  id SERIAL PRIMARY KEY,
  slug TEXT NOT NULL UNIQUE,
@@ -0,0 +1,14 @@
+-- Роли пользователей (миграция для существующих БД)
+ALTER TABLE users ADD COLUMN IF NOT EXISTS role TEXT NOT NULL DEFAULT 'customer';
+
+DO $$
+BEGIN
+  IF NOT EXISTS (
+    SELECT 1 FROM pg_constraint WHERE conname = 'users_role_check'
+  ) THEN
+    ALTER TABLE users ADD CONSTRAINT users_role_check
+      CHECK (role IN ('customer', 'admin'));
+  END IF;
+END $$;
+
+CREATE INDEX IF NOT EXISTS idx_users_role ON users(role);
@@ -0,0 +1,28 @@
+-- Бронирование товаров
+CREATE TABLE IF NOT EXISTS reservations (
+  id SERIAL PRIMARY KEY,
+  user_id INTEGER NOT NULL REFERENCES users(id) ON DELETE CASCADE,
+  product_id INTEGER NOT NULL REFERENCES products(id) ON DELETE CASCADE,
+  quantity INTEGER NOT NULL CHECK (quantity > 0),
+  status TEXT NOT NULL DEFAULT 'active'
+    CHECK (status IN ('active', 'fulfilled', 'cancelled', 'expired')),
+  expires_at TIMESTAMPTZ NOT NULL DEFAULT (NOW() + INTERVAL '48 hours'),
+  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX IF NOT EXISTS idx_reservations_user ON reservations(user_id);
+CREATE INDEX IF NOT EXISTS idx_reservations_product ON reservations(product_id);
+CREATE INDEX IF NOT EXISTS idx_reservations_status ON reservations(status);
+
+-- Сброс пароля
+CREATE TABLE IF NOT EXISTS password_reset_tokens (
+  id SERIAL PRIMARY KEY,
+  user_id INTEGER NOT NULL REFERENCES users(id) ON DELETE CASCADE,
+  token_hash TEXT NOT NULL,
+  expires_at TIMESTAMPTZ NOT NULL,
+  used_at TIMESTAMPTZ,
+  created_at TIMESTAMPTZ NOT NULL DEFAULT NOW()
+);
+
+CREATE INDEX IF NOT EXISTS idx_password_reset_user ON password_reset_tokens(user_id);
+CREATE INDEX IF NOT EXISTS idx_password_reset_expires ON password_reset_tokens(expires_at);
@@ -0,0 +1,67 @@
+#!/bin/bash
+# Публикация wiki/ в Gitea Wiki
+#
+# Способ 1 — токен (рекомендуется):
+#   export GITEA_TOKEN=ваш_токен
+#
+# Способ 2 — логин и пароль (не передавайте в чат, только в терминале):
+#   export GITEA_USER=логин
+#   export GITEA_PASSWORD=пароль
+#
+#   bash scripts/push-wiki.sh
+set -euo pipefail
+
+GITEA_WIKI_URL="${GITEA_WIKI_URL:-https://git.evilfox.cc/test/shop10.wiki.git}"
+REPO_ROOT="$(cd "$(dirname "$0")/.." && pwd)"
+WIKI_SRC="${REPO_ROOT}/wiki"
+TMPDIR="${TMPDIR:-/tmp}/shop-wiki-$$"
+
+if [ ! -d "$WIKI_SRC" ]; then
+  echo "Нет каталога wiki/"
+  exit 1
+fi
+
+if [ -z "${GITEA_TOKEN:-}" ] && { [ -z "${GITEA_USER:-}" ] || [ -z "${GITEA_PASSWORD:-}" ]; }; then
+  echo "Задайте GITEA_TOKEN или пару GITEA_USER + GITEA_PASSWORD"
+  exit 1
+fi
+
+cleanup() { rm -rf "$TMPDIR"; }
+trap cleanup EXIT
+
+HOST_PATH="${GITEA_WIKI_URL#https://}"
+HOST_PATH="${HOST_PATH#http://}"
+
+if [ -n "${GITEA_TOKEN:-}" ]; then
+  CLONE_URL="https://${GITEA_TOKEN}@${HOST_PATH}"
+else
+  # URL-encode не делаем — пароль без спецсимволов; иначе используйте токен
+  CLONE_URL="https://${GITEA_USER}:${GITEA_PASSWORD}@${HOST_PATH}"
+fi
+
+mkdir -p "$TMPDIR"
+cd "$TMPDIR"
+
+if git clone "$CLONE_URL" . 2>/dev/null; then
+  echo "Wiki репозиторий склонирован."
+else
+  echo "Инициализация нового wiki репозитория..."
+  git init -b main
+  git remote add origin "$CLONE_URL"
+fi
+
+rsync -a --delete "${WIKI_SRC}/" ./
+
+git add -A
+if git diff --staged --quiet 2>/dev/null; then
+  echo "Wiki без изменений."
+  exit 0
+fi
+
+git config user.email "wiki@shop.local"
+git config user.name "Shop Wiki"
+git commit -m "docs: установка Docker и без Docker (v0.10.0)"
+git push -u origin main
+
+echo ""
+echo "Готово: https://git.evilfox.cc/test/shop10/wiki"
@@ -0,0 +1,11 @@
+const ROLES = {
+  CUSTOMER: 'customer',
+  ADMIN: 'admin',
+};
+
+const ROLE_LABELS = {
+  customer: 'Клиент',
+  admin: 'Администратор',
+};
+
+module.exports = { ROLES, ROLE_LABELS };
@@ -26,9 +26,12 @@ async function query(text, params) {
 }

 async function initSchema() {
-  const schemaPath = path.join(__dirname, '..', 'postgres', 'init', '01_schema.sql');
-  const sql = fs.readFileSync(schemaPath, 'utf8');
-  await pool.query(sql);
+  const initDir = path.join(__dirname, '..', 'postgres', 'init');
+  const files = fs.readdirSync(initDir).filter((f) => f.endsWith('.sql')).sort();
+  for (const file of files) {
+    const sql = fs.readFileSync(path.join(initDir, file), 'utf8');
+    await pool.query(sql);
+  }
 }

 async function checkConnection() {
@@ -1,5 +1,6 @@
 const { query } = require('../db');
 const { asyncHandler } = require('../utils/asyncHandler');
+const { ROLES } = require('../constants/roles');

 function requireAuth(req, res, next) {
  if (!req.session.userId) {
@@ -9,17 +10,33 @@ function requireAuth(req, res, next) {
  next();
 }

+function requireAdmin(req, res, next) {
+  if (!req.session.userId) {
+    const nextUrl = encodeURIComponent(req.originalUrl);
+    return res.redirect(`/login?next=${nextUrl}`);
+  }
+  if (res.locals.user?.role !== ROLES.ADMIN) {
+    return res.status(403).render('error', {
+      title: 'Доступ запрещён',
+      message: 'Недостаточно прав. Требуется роль администратора.',
+      code: 403,
+    });
+  }
+  next();
+}
+
 const loadUser = asyncHandler(async (req, res, next) => {
  if (req.session.userId) {
    const { rows } = await query(
-      'SELECT id, email, name FROM users WHERE id = $1',
+      'SELECT id, email, name, role FROM users WHERE id = $1',
      [req.session.userId]
    );
    res.locals.user = rows[0] || null;
  } else {
    res.locals.user = null;
  }
+  res.locals.isAdmin = res.locals.user?.role === ROLES.ADMIN;
  next();
 });

-module.exports = { requireAuth, loadUser };
+module.exports = { requireAuth, requireAdmin, loadUser };
@@ -0,0 +1,48 @@
+const CONSENT_COOKIE = 'cookie_consent';
+const CONSENT_VALUE = 'accepted';
+const CONSENT_MAX_AGE_MS = 365 * 24 * 60 * 60 * 1000;
+
+function hasCookieConsent(req) {
+  return req.cookies?.[CONSENT_COOKIE] === CONSENT_VALUE;
+}
+
+function loadCookieConsent(req, res, next) {
+  res.locals.cookieConsent = hasCookieConsent(req);
+  res.locals.returnTo = req.originalUrl;
+  next();
+}
+
+function requireCookieConsent(req, res, next) {
+  if (hasCookieConsent(req)) {
+    return next();
+  }
+
+  if (req.method === 'GET') {
+    return res.status(403).render('cookies-required', {
+      title: 'Согласие на cookies',
+      returnTo: req.originalUrl,
+    });
+  }
+
+  return res.redirect(
+    '/?error=' + encodeURIComponent('Примите согласие на использование cookies')
+  );
+}
+
+function setConsentCookie(res, isProduction) {
+  res.cookie(CONSENT_COOKIE, CONSENT_VALUE, {
+    maxAge: CONSENT_MAX_AGE_MS,
+    httpOnly: true,
+    sameSite: 'lax',
+    secure: isProduction,
+    path: '/',
+  });
+}
+
+module.exports = {
+  CONSENT_COOKIE,
+  hasCookieConsent,
+  loadCookieConsent,
+  requireCookieConsent,
+  setConsentCookie,
+};
@@ -579,3 +579,221 @@ a:hover {
  display: inline;
  margin: 0;
 }
+
+.nav__admin {
+  color: var(--warn);
+  font-weight: 600;
+}
+
+.admin-header {
+  margin-bottom: 1.5rem;
+}
+
+.admin-header h1 {
+  margin: 0 0 0.75rem;
+}
+
+.admin-nav {
+  display: flex;
+  flex-wrap: wrap;
+  gap: 0.5rem;
+}
+
+.admin-nav__link {
+  padding: 0.4rem 0.85rem;
+  border-radius: 8px;
+  background: var(--surface);
+  border: 1px solid var(--border);
+  color: var(--muted);
+  text-decoration: none;
+  font-size: 0.9rem;
+}
+
+.admin-nav__link:hover,
+.admin-nav__link--active {
+  background: var(--accent);
+  border-color: var(--accent);
+  color: #fff;
+  text-decoration: none;
+}
+
+.stats-grid {
+  display: grid;
+  grid-template-columns: repeat(auto-fill, minmax(140px, 1fr));
+  gap: 1rem;
+  margin-bottom: 2rem;
+}
+
+.stat-card {
+  background: var(--surface);
+  border: 1px solid var(--border);
+  border-radius: var(--radius);
+  padding: 1rem;
+}
+
+.stat-card__label {
+  display: block;
+  font-size: 0.85rem;
+  color: var(--muted);
+  margin-bottom: 0.35rem;
+}
+
+.stat-card__value {
+  font-size: 1.35rem;
+}
+
+.role-badge {
+  display: inline-block;
+  padding: 0.2rem 0.55rem;
+  border-radius: 6px;
+  font-size: 0.8rem;
+  font-weight: 600;
+}
+
+.role-badge--customer {
+  background: rgba(108, 92, 231, 0.2);
+  color: var(--accent-hover);
+}
+
+.role-badge--admin {
+  background: rgba(253, 203, 110, 0.25);
+  color: var(--warn);
+}
+
+.admin-status-form {
+  display: flex;
+  gap: 0.35rem;
+  align-items: center;
+}
+
+.input--sm {
+  padding: 0.35rem 0.5rem;
+  font-size: 0.85rem;
+  width: auto;
+}
+
+.account-tabs {
+  display: flex;
+  flex-wrap: wrap;
+  gap: 0.5rem;
+  margin-bottom: 1.5rem;
+}
+
+.account-tabs__link {
+  padding: 0.45rem 1rem;
+  border-radius: 8px;
+  background: var(--surface);
+  border: 1px solid var(--border);
+  color: var(--muted);
+  text-decoration: none;
+  font-size: 0.9rem;
+}
+
+.account-tabs__link:hover,
+.account-tabs__link--active {
+  background: var(--accent);
+  border-color: var(--accent);
+  color: #fff;
+}
+
+.account-grid {
+  display: grid;
+  grid-template-columns: repeat(auto-fit, minmax(280px, 1fr));
+  gap: 1.25rem;
+}
+
+.account-section {
+  padding: 1.25rem;
+}
+
+.account-section--narrow {
+  max-width: 420px;
+}
+
+.account-section h2 {
+  margin: 0 0 1rem;
+  font-size: 1.1rem;
+}
+
+.profile-dl {
+  display: grid;
+  grid-template-columns: auto 1fr;
+  gap: 0.5rem 1.25rem;
+  margin: 0 0 1.25rem;
+}
+
+.profile-dl dt {
+  color: var(--muted);
+  font-size: 0.9rem;
+}
+
+.profile-dl dd {
+  margin: 0;
+}
+
+.cookie-banner {
+  position: fixed;
+  bottom: 0;
+  left: 0;
+  right: 0;
+  z-index: 1000;
+  background: var(--surface);
+  border-top: 1px solid var(--border);
+  box-shadow: 0 -8px 32px rgba(0, 0, 0, 0.35);
+  padding: 1rem 0;
+}
+
+.cookie-banner__inner {
+  display: flex;
+  flex-wrap: wrap;
+  align-items: center;
+  justify-content: space-between;
+  gap: 1rem;
+}
+
+.cookie-banner__text {
+  flex: 1;
+  min-width: 240px;
+}
+
+.cookie-banner__text p {
+  margin: 0 0 0.35rem;
+}
+
+.cookie-banner__actions {
+  display: flex;
+  flex-wrap: wrap;
+  gap: 0.5rem;
+  align-items: center;
+}
+
+.nav__link--disabled {
+  color: var(--muted);
+  opacity: 0.6;
+  cursor: not-allowed;
+  font-size: 0.9rem;
+}
+
+.cookies-required {
+  max-width: 520px;
+  margin: 2rem auto;
+}
+
+.cookies-required h1 {
+  margin-top: 0;
+}
+
+.legal-page {
+  max-width: 640px;
+  padding: 1.5rem;
+  margin: 0 auto 2rem;
+}
+
+.legal-page h2 {
+  font-size: 1rem;
+  margin: 1.25rem 0 0.5rem;
+}
+
+body:has(.cookie-banner) .main {
+  padding-bottom: 7rem;
+}
@@ -0,0 +1,190 @@
+const express = require('express');
+const bcrypt = require('bcryptjs');
+const { query, formatPrice } = require('../db');
+const { getCart, cartCount } = require('../cart');
+const { requireAuth } = require('../middleware/auth');
+const { requireCookieConsent } = require('../middleware/cookieConsent');
+const { ROLE_LABELS } = require('../constants/roles');
+const { asyncHandler } = require('../utils/asyncHandler');
+const { expireOldReservations } = require('../services/reservations');
+
+const router = express.Router();
+
+router.use(requireCookieConsent);
+
+router.use((req, res, next) => {
+  const cart = getCart(req);
+  res.locals.cartCount = cartCount(cart);
+  res.locals.formatPrice = formatPrice;
+  next();
+});
+
+async function loadAccountUser(userId) {
+  const { rows } = await query(
+    'SELECT id, email, name, role, created_at FROM users WHERE id = $1',
+    [userId]
+  );
+  return rows[0];
+}
+
+async function verifyPassword(userId, password) {
+  const { rows } = await query('SELECT password_hash FROM users WHERE id = $1', [
+    userId,
+  ]);
+  if (!rows[0]) return false;
+  return bcrypt.compareSync(password || '', rows[0].password_hash);
+}
+
+function accountRender(res, options) {
+  const {
+    user,
+    orderCount,
+    reservations,
+    error,
+    success,
+    activeTab,
+    formatPrice,
+  } = options;
+  res.render('account/index', {
+    title: 'Личный кабинет',
+    user,
+    orderCount,
+    reservations: reservations || [],
+    roleLabels: ROLE_LABELS,
+    formatPrice: formatPrice || res.locals.formatPrice,
+    error: error || null,
+    success: success || null,
+    activeTab: activeTab || 'profile',
+  });
+}
+
+router.get(
+  '/',
+  requireAuth,
+  asyncHandler(async (req, res) => {
+    await expireOldReservations();
+    const user = await loadAccountUser(req.session.userId);
+    const countResult = await query(
+      'SELECT COUNT(*)::int AS n FROM orders WHERE user_id = $1',
+      [user.id]
+    );
+
+    const { rows: reservations } = await query(
+      `SELECT r.*, p.name AS product_name, p.slug AS product_slug, p.price_cents, p.image_url
+       FROM reservations r
+       JOIN products p ON p.id = r.product_id
+       WHERE r.user_id = $1
+       ORDER BY r.created_at DESC`,
+      [user.id]
+    );
+
+    accountRender(res, {
+      user,
+      orderCount: countResult.rows[0].n,
+      reservations,
+      formatPrice,
+      success: req.query.success ? decodeURIComponent(String(req.query.success)) : null,
+      error: req.query.error ? decodeURIComponent(String(req.query.error)) : null,
+      activeTab: req.query.tab || 'profile',
+    });
+  })
+);
+
+router.post(
+  '/profile',
+  requireAuth,
+  asyncHandler(async (req, res) => {
+    const name = (req.body.name || '').trim();
+    if (!name) {
+      return res.redirect('/account?tab=profile&error=' + encodeURIComponent('Укажите имя'));
+    }
+    await query('UPDATE users SET name = $1 WHERE id = $2', [name, req.session.userId]);
+    res.redirect('/account?tab=profile&success=' + encodeURIComponent('Имя обновлено'));
+  })
+);
+
+router.post(
+  '/email',
+  requireAuth,
+  asyncHandler(async (req, res) => {
+    const newEmail = (req.body.email || '').trim().toLowerCase();
+    const { current_password } = req.body;
+
+    if (!newEmail) {
+      return res.redirect(
+        '/account?tab=email&error=' + encodeURIComponent('Укажите новый email')
+      );
+    }
+
+    const emailRe = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
+    if (!emailRe.test(newEmail)) {
+      return res.redirect(
+        '/account?tab=email&error=' + encodeURIComponent('Некорректный email')
+      );
+    }
+
+    const user = await loadAccountUser(req.session.userId);
+    if (newEmail === user.email) {
+      return res.redirect(
+        '/account?tab=email&error=' + encodeURIComponent('Это уже ваш текущий email')
+      );
+    }
+
+    if (!(await verifyPassword(req.session.userId, current_password))) {
+      return res.redirect(
+        '/account?tab=email&error=' + encodeURIComponent('Неверный текущий пароль')
+      );
+    }
+
+    try {
+      await query('UPDATE users SET email = $1 WHERE id = $2', [
+        newEmail,
+        req.session.userId,
+      ]);
+      res.redirect('/account?tab=email&success=' + encodeURIComponent('Email изменён'));
+    } catch (err) {
+      if (err.code === '23505') {
+        return res.redirect(
+          '/account?tab=email&error=' + encodeURIComponent('Этот email уже занят')
+        );
+      }
+      throw err;
+    }
+  })
+);
+
+router.post(
+  '/password',
+  requireAuth,
+  asyncHandler(async (req, res) => {
+    const { current_password, password, password2 } = req.body;
+
+    if (!(await verifyPassword(req.session.userId, current_password))) {
+      return res.redirect(
+        '/account?tab=password&error=' + encodeURIComponent('Неверный текущий пароль')
+      );
+    }
+
+    if (!password || password.length < 6) {
+      return res.redirect(
+        '/account?tab=password&error=' +
+          encodeURIComponent('Новый пароль не менее 6 символов')
+      );
+    }
+
+    if (password !== password2) {
+      return res.redirect(
+        '/account?tab=password&error=' + encodeURIComponent('Пароли не совпадают')
+      );
+    }
+
+    const hash = bcrypt.hashSync(password, 10);
+    await query('UPDATE users SET password_hash = $1 WHERE id = $2', [
+      hash,
+      req.session.userId,
+    ]);
+    res.redirect('/account?tab=password&success=' + encodeURIComponent('Пароль изменён'));
+  })
+);
+
+module.exports = router;
@@ -0,0 +1,145 @@
+const express = require('express');
+const { query, formatPrice } = require('../db');
+const { requireAdmin } = require('../middleware/auth');
+const { asyncHandler } = require('../utils/asyncHandler');
+const { ROLE_LABELS } = require('../constants/roles');
+
+const router = express.Router();
+
+router.use(requireAdmin);
+
+router.get(
+  '/',
+  asyncHandler(async (req, res) => {
+    const [users, products, orders, revenue] = await Promise.all([
+      query('SELECT COUNT(*)::int AS n FROM users'),
+      query('SELECT COUNT(*)::int AS n FROM products'),
+      query('SELECT COUNT(*)::int AS n FROM orders'),
+      query(
+        `SELECT COALESCE(SUM(total_cents), 0)::int AS total FROM orders WHERE status != 'cancelled'`
+      ),
+    ]);
+
+    const { rows: recentOrders } = await query(
+      `SELECT o.id, o.status, o.total_cents, o.created_at, o.customer_name, u.email AS user_email
+       FROM orders o
+       JOIN users u ON u.id = o.user_id
+       ORDER BY o.created_at DESC
+       LIMIT 10`
+    );
+
+    res.render('admin/dashboard', {
+      title: 'Админ-панель',
+      stats: {
+        users: users.rows[0].n,
+        products: products.rows[0].n,
+        orders: orders.rows[0].n,
+        revenue: revenue.rows[0].total,
+      },
+      recentOrders,
+      formatPrice,
+    });
+  })
+);
+
+router.get(
+  '/users',
+  asyncHandler(async (req, res) => {
+    const { rows: users } = await query(
+      `SELECT id, email, name, role, created_at FROM users ORDER BY created_at DESC`
+    );
+    res.render('admin/users', {
+      title: 'Пользователи',
+      users,
+      roleLabels: ROLE_LABELS,
+    });
+  })
+);
+
+router.get(
+  '/orders',
+  asyncHandler(async (req, res) => {
+    const { rows: orders } = await query(
+      `SELECT o.id, o.status, o.total_cents, o.created_at, o.customer_name, o.customer_email,
+              u.email AS account_email
+       FROM orders o
+       JOIN users u ON u.id = o.user_id
+       ORDER BY o.created_at DESC`
+    );
+    res.render('admin/orders', {
+      title: 'Заказы',
+      orders,
+      formatPrice,
+    });
+  })
+);
+
+router.post(
+  '/orders/:id/status',
+  asyncHandler(async (req, res) => {
+    const { status } = req.body;
+    const allowed = ['pending', 'paid', 'shipped', 'cancelled'];
+    if (!allowed.includes(status)) {
+      return res.redirect('/admin/orders');
+    }
+    await query('UPDATE orders SET status = $1 WHERE id = $2', [status, req.params.id]);
+    res.redirect('/admin/orders');
+  })
+);
+
+router.get(
+  '/products',
+  asyncHandler(async (req, res) => {
+    const { rows: products } = await query(
+      `SELECT p.*, c.name AS category_name
+       FROM products p
+       LEFT JOIN categories c ON c.id = p.category_id
+       ORDER BY p.id`
+    );
+    res.render('admin/products', {
+      title: 'Товары',
+      products,
+      formatPrice,
+    });
+  })
+);
+
+router.get(
+  '/reservations',
+  asyncHandler(async (req, res) => {
+    const { expireOldReservations } = require('../services/reservations');
+    await expireOldReservations();
+
+    const { rows: reservations } = await query(
+      `SELECT r.*, p.name AS product_name, u.email AS user_email, u.name AS user_name
+       FROM reservations r
+       JOIN products p ON p.id = r.product_id
+       JOIN users u ON u.id = r.user_id
+       ORDER BY r.created_at DESC`
+    );
+
+    res.render('admin/reservations', {
+      title: 'Бронирования',
+      reservations,
+      formatPrice,
+    });
+  })
+);
+
+router.post(
+  '/reservations/:id/status',
+  asyncHandler(async (req, res) => {
+    const { status } = req.body;
+    const allowed = ['active', 'fulfilled', 'cancelled', 'expired'];
+    if (!allowed.includes(status)) {
+      return res.redirect('/admin/reservations');
+    }
+    await query('UPDATE reservations SET status = $1 WHERE id = $2', [
+      status,
+      req.params.id,
+    ]);
+    res.redirect('/admin/reservations');
+  })
+);
+
+module.exports = router;
@@ -3,6 +3,8 @@ const bcrypt = require('bcryptjs');
 const { query, formatPrice } = require('../db');
 const { getCart, cartCount } = require('../cart');
 const { requireAuth } = require('../middleware/auth');
+const { requireCookieConsent } = require('../middleware/cookieConsent');
+const { ROLES } = require('../constants/roles');
 const { asyncHandler } = require('../utils/asyncHandler');

 const router = express.Router();
@@ -14,13 +16,14 @@ router.use((req, res, next) => {
  next();
 });

-router.get('/register', (req, res) => {
+router.get('/register', requireCookieConsent, (req, res) => {
  if (req.session.userId) return res.redirect('/account');
  res.render('register', { title: 'Регистрация', error: null, values: {} });
 });

 router.post(
  '/register',
+  requireCookieConsent,
  asyncHandler(async (req, res) => {
    const { name, email, password, password2 } = req.body;
    const values = { name, email };
@@ -50,8 +53,9 @@ router.post(
    const hash = bcrypt.hashSync(password, 10);
    try {
      const { rows } = await query(
-        'INSERT INTO users (email, password_hash, name) VALUES ($1, $2, $3) RETURNING id',
-        [email.trim().toLowerCase(), hash, name.trim()]
+        `INSERT INTO users (email, password_hash, name, role)
+         VALUES ($1, $2, $3, $4) RETURNING id`,
+        [email.trim().toLowerCase(), hash, name.trim(), ROLES.CUSTOMER]
      );
      req.session.userId = rows[0].id;
      res.redirect('/');
@@ -68,7 +72,7 @@ router.post(
  })
 );

-router.get('/login', (req, res) => {
+router.get('/login', requireCookieConsent, (req, res) => {
  if (req.session.userId) return res.redirect('/account');
  res.render('login', {
    title: 'Вход',
@@ -80,6 +84,7 @@ router.get('/login', (req, res) => {

 router.post(
  '/login',
+  requireCookieConsent,
  asyncHandler(async (req, res) => {
    const { email, password } = req.body;
    const next = req.body.next || '/';
@@ -100,6 +105,9 @@ router.post(
    }

    req.session.userId = user.id;
+    if (user.role === ROLES.ADMIN && (next === '/' || next === '/account')) {
+      return res.redirect('/admin');
+    }
    res.redirect(next.startsWith('/') ? next : '/');
  })
 );
@@ -110,27 +118,4 @@ router.post('/logout', (req, res) => {
  });
 });

-router.get(
-  '/account',
-  requireAuth,
-  asyncHandler(async (req, res) => {
-    const { rows } = await query(
-      'SELECT id, email, name, created_at FROM users WHERE id = $1',
-      [req.session.userId]
-    );
-    const user = rows[0];
-
-    const countResult = await query(
-      'SELECT COUNT(*)::int AS n FROM orders WHERE user_id = $1',
-      [user.id]
-    );
-
-    res.render('account', {
-      title: 'Личный кабинет',
-      user,
-      orderCount: countResult.rows[0].n,
-    });
-  })
-);
-
 module.exports = router;
@@ -0,0 +1,24 @@
+const express = require('express');
+const { setConsentCookie } = require('../middleware/cookieConsent');
+
+const router = express.Router();
+const isProduction = process.env.NODE_ENV === 'production';
+
+router.get('/policy', (req, res) => {
+  res.render('cookies-policy', {
+    title: 'Политика cookies',
+    cookieConsent: res.locals.cookieConsent,
+  });
+});
+
+router.post('/accept', (req, res) => {
+  setConsentCookie(res, isProduction);
+  const returnTo = req.body.return_to || req.query.return_to || '/';
+  const safe =
+    typeof returnTo === 'string' && returnTo.startsWith('/') && !returnTo.startsWith('//')
+      ? returnTo
+      : '/';
+  res.redirect(safe);
+});
+
+module.exports = router;
@@ -0,0 +1,176 @@
+const express = require('express');
+const crypto = require('crypto');
+const bcrypt = require('bcryptjs');
+const { query } = require('../db');
+const { getCart, cartCount } = require('../cart');
+const { formatPrice } = require('../db');
+const { requireCookieConsent } = require('../middleware/cookieConsent');
+const { asyncHandler } = require('../utils/asyncHandler');
+const { sendPasswordResetEmail, siteUrl } = require('../services/mail');
+
+const router = express.Router();
+const TOKEN_TTL_MS = 60 * 60 * 1000;
+
+router.use((req, res, next) => {
+  res.locals.cartCount = cartCount(getCart(req));
+  res.locals.formatPrice = formatPrice;
+  next();
+});
+
+function hashToken(token) {
+  return crypto.createHash('sha256').update(token).digest('hex');
+}
+
+router.get('/forgot-password', requireCookieConsent, (req, res) => {
+  res.render('auth/forgot-password', {
+    title: 'Сброс пароля',
+    error: null,
+    success: null,
+    values: {},
+  });
+});
+
+router.post(
+  '/forgot-password',
+  requireCookieConsent,
+  asyncHandler(async (req, res) => {
+    const email = (req.body.email || '').trim().toLowerCase();
+    const values = { email };
+    const genericSuccess =
+      'Если аккаунт с таким email существует, мы отправили ссылку для сброса пароля.';
+
+    if (!email) {
+      return res.status(400).render('auth/forgot-password', {
+        title: 'Сброс пароля',
+        error: 'Укажите email',
+        success: null,
+        values,
+      });
+    }
+
+    const { rows } = await query('SELECT id, email FROM users WHERE email = $1', [email]);
+
+    if (rows[0]) {
+      const token = crypto.randomBytes(32).toString('hex');
+      const tokenHash = hashToken(token);
+      const expiresAt = new Date(Date.now() + TOKEN_TTL_MS);
+
+      await query(
+        `UPDATE password_reset_tokens SET used_at = NOW()
+         WHERE user_id = $1 AND used_at IS NULL`,
+        [rows[0].id]
+      );
+
+      await query(
+        `INSERT INTO password_reset_tokens (user_id, token_hash, expires_at)
+         VALUES ($1, $2, $3)`,
+        [rows[0].id, tokenHash, expiresAt]
+      );
+
+      const resetLink = `${siteUrl()}/reset-password?token=${token}`;
+      try {
+        await sendPasswordResetEmail(rows[0].email, resetLink);
+      } catch (err) {
+        console.error('Ошибка отправки email:', err.message);
+        return res.status(500).render('auth/forgot-password', {
+          title: 'Сброс пароля',
+          error: 'Не удалось отправить письмо. Проверьте настройки SMTP.',
+          success: null,
+          values,
+        });
+      }
+    }
+
+    res.render('auth/forgot-password', {
+      title: 'Сброс пароля',
+      error: null,
+      success: genericSuccess,
+      values: {},
+    });
+  })
+);
+
+router.get(
+  '/reset-password',
+  requireCookieConsent,
+  asyncHandler(async (req, res) => {
+    const token = req.query.token || '';
+    if (!token) {
+      return res.redirect('/forgot-password');
+    }
+
+    const valid = await findValidToken(token);
+    if (!valid) {
+      return res.render('auth/reset-password', {
+        title: 'Новый пароль',
+        error: 'Ссылка недействительна или устарела. Запросите сброс снова.',
+        token: null,
+      });
+    }
+
+    res.render('auth/reset-password', {
+      title: 'Новый пароль',
+      error: null,
+      token,
+    });
+  })
+);
+
+router.post(
+  '/reset-password',
+  requireCookieConsent,
+  asyncHandler(async (req, res) => {
+    const { token, password, password2 } = req.body;
+
+    if (!token) {
+      return res.redirect('/forgot-password');
+    }
+
+    if (!password || password.length < 6) {
+      return res.render('auth/reset-password', {
+        title: 'Новый пароль',
+        error: 'Пароль не менее 6 символов',
+        token,
+      });
+    }
+
+    if (password !== password2) {
+      return res.render('auth/reset-password', {
+        title: 'Новый пароль',
+        error: 'Пароли не совпадают',
+        token,
+      });
+    }
+
+    const row = await findValidToken(token);
+    if (!row) {
+      return res.render('auth/reset-password', {
+        title: 'Новый пароль',
+        error: 'Ссылка недействительна или устарела',
+        token: null,
+      });
+    }
+
+    const hash = bcrypt.hashSync(password, 10);
+    await query('UPDATE users SET password_hash = $1 WHERE id = $2', [hash, row.user_id]);
+    await query(
+      `UPDATE password_reset_tokens SET used_at = NOW() WHERE id = $1`,
+      [row.id]
+    );
+
+    res.render('auth/reset-password-done', { title: 'Пароль изменён' });
+  })
+);
+
+async function findValidToken(token) {
+  const tokenHash = hashToken(token);
+  const { rows } = await query(
+    `SELECT id, user_id FROM password_reset_tokens
+     WHERE token_hash = $1 AND used_at IS NULL AND expires_at > NOW()
+     ORDER BY created_at DESC LIMIT 1`,
+    [tokenHash]
+  );
+  return rows[0] || null;
+}
+
+module.exports = router;
@@ -0,0 +1,95 @@
+const express = require('express');
+const { query, formatPrice } = require('../db');
+const { getCart, cartCount } = require('../cart');
+const { requireAuth } = require('../middleware/auth');
+const { requireCookieConsent } = require('../middleware/cookieConsent');
+const { asyncHandler } = require('../utils/asyncHandler');
+const { sendReservationEmail } = require('../services/mail');
+
+const router = express.Router();
+
+router.use(requireCookieConsent);
+router.use(requireAuth);
+
+router.use((req, res, next) => {
+  res.locals.cartCount = cartCount(getCart(req));
+  res.locals.formatPrice = formatPrice;
+  next();
+});
+
+router.post(
+  '/',
+  asyncHandler(async (req, res) => {
+    const productId = parseInt(req.body.product_id, 10);
+    const quantity = Math.max(1, parseInt(req.body.quantity, 10) || 1);
+    const slug = req.body.slug || '';
+
+    const { rows: products } = await query(
+      'SELECT id, name, stock FROM products WHERE id = $1',
+      [productId]
+    );
+    const product = products[0];
+
+    if (!product) {
+      return res.redirect('/');
+    }
+
+    if (product.stock < quantity) {
+      return res.redirect(
+        `/product/${slug}?error=${encodeURIComponent('Недостаточно товара на складе')}`
+      );
+    }
+
+    const { rows: existing } = await query(
+      `SELECT id FROM reservations
+       WHERE user_id = $1 AND product_id = $2 AND status = 'active'`,
+      [req.session.userId, productId]
+    );
+
+    if (existing[0]) {
+      return res.redirect(
+        `/product/${slug}?error=${encodeURIComponent('У вас уже есть активная бронь этого товара')}`
+      );
+    }
+
+    const { rows: inserted } = await query(
+      `INSERT INTO reservations (user_id, product_id, quantity, status, expires_at)
+       VALUES ($1, $2, $3, 'active', NOW() + INTERVAL '48 hours')
+       RETURNING id, expires_at`,
+      [req.session.userId, productId, quantity]
+    );
+
+    const { rows: userRows } = await query('SELECT email FROM users WHERE id = $1', [
+      req.session.userId,
+    ]);
+
+    try {
+      await sendReservationEmail(
+        userRows[0].email,
+        product.name,
+        quantity,
+        inserted[0].expires_at
+      );
+    } catch (err) {
+      console.error('Ошибка email бронирования:', err.message);
+    }
+
+    res.redirect(
+      `/product/${slug}?reserved=1`
+    );
+  })
+);
+
+router.post(
+  '/:id/cancel',
+  asyncHandler(async (req, res) => {
+    await query(
+      `UPDATE reservations SET status = 'cancelled'
+       WHERE id = $1 AND user_id = $2 AND status = 'active'`,
+      [req.params.id, req.session.userId]
+    );
+    res.redirect('/account?tab=reservations&success=' + encodeURIComponent('Бронь отменена'));
+  })
+);
+
+module.exports = router;
@@ -2,6 +2,7 @@ const express = require('express');
 const { query, pool, formatPrice } = require('../db');
 const { getCart, cartCount, cartItems, cartTotal } = require('../cart');
 const { requireAuth } = require('../middleware/auth');
+const { requireCookieConsent } = require('../middleware/cookieConsent');
 const { asyncHandler } = require('../utils/asyncHandler');

 const router = express.Router();
@@ -76,7 +77,26 @@ router.get(
      });
    }

-    res.render('product', { title: product.name, product });
+    let userReservation = null;
+    if (req.session.userId) {
+      const { rows: resRows } = await query(
+        `SELECT id, quantity, expires_at FROM reservations
+         WHERE user_id = $1 AND product_id = $2 AND status = 'active'`,
+        [req.session.userId, product.id]
+      );
+      userReservation = resRows[0] || null;
+    }
+
+    const errorMsg = req.query.error ? decodeURIComponent(String(req.query.error)) : null;
+    const reserved = req.query.reserved === '1';
+
+    res.render('product', {
+      title: product.name,
+      product,
+      userReservation,
+      error: errorMsg,
+      reserved,
+    });
  })
 );

@@ -155,6 +175,7 @@ router.post('/cart/remove/:id', (req, res) => {

 router.get(
  '/checkout',
+  requireCookieConsent,
  requireAuth,
  asyncHandler(async (req, res) => {
    const cart = getCart(req);
@@ -174,6 +195,7 @@ router.get(

 router.post(
  '/checkout',
+  requireCookieConsent,
  requireAuth,
  asyncHandler(async (req, res) => {
    const cart = getCart(req);
@@ -249,6 +271,7 @@ router.post(

 router.get(
  '/orders',
+  requireCookieConsent,
  requireAuth,
  asyncHandler(async (req, res) => {
    const { rows: orders } = await query(
@@ -264,6 +287,7 @@ router.get(

 router.get(
  '/orders/:id',
+  requireCookieConsent,
  requireAuth,
  asyncHandler(async (req, res) => {
    const { rows } = await query(
@@ -0,0 +1,29 @@
+const bcrypt = require('bcryptjs');
+const { query } = require('./db');
+const { ROLES } = require('./constants/roles');
+
+async function seedAdmin() {
+  const email = (process.env.ADMIN_EMAIL || 'admin@site.com').trim().toLowerCase();
+  const password = process.env.ADMIN_PASSWORD || 'admin';
+  const name = process.env.ADMIN_NAME || 'Администратор';
+
+  const { rows } = await query('SELECT id, role FROM users WHERE email = $1', [email]);
+
+  if (!rows[0]) {
+    const hash = bcrypt.hashSync(password, 10);
+    await query(
+      `INSERT INTO users (email, password_hash, name, role)
+       VALUES ($1, $2, $3, $4)`,
+      [email, hash, name, ROLES.ADMIN]
+    );
+    console.log('Создан администратор:', email);
+    return;
+  }
+
+  if (rows[0].role !== ROLES.ADMIN) {
+    await query('UPDATE users SET role = $1 WHERE id = $2', [ROLES.ADMIN, rows[0].id]);
+    console.log('Пользователю назначена роль admin:', email);
+  }
+}
+
+module.exports = { seedAdmin };
@@ -3,7 +3,6 @@ const { query } = require('./db');
 async function runSeed() {
  const { rows } = await query('SELECT COUNT(*)::int AS n FROM products');
  if (rows[0].n > 0) {
-    console.log('База уже содержит товары, пропуск seed.');
    return;
  }

@@ -1,14 +1,22 @@
 const path = require('path');
 const express = require('express');
+const cookieParser = require('cookie-parser');
 const session = require('express-session');
 const pgSession = require('connect-pg-simple')(session);

 const { pool, initSchema, checkConnection } = require('./db');
 const { runSeed } = require('./seed');
+const { seedAdmin } = require('./seed-admin');
 const { loadUser } = require('./middleware/auth');
+const { loadCookieConsent } = require('./middleware/cookieConsent');
 const healthRoutes = require('./routes/health');
 const shopRoutes = require('./routes/shop');
 const authRoutes = require('./routes/auth');
+const accountRoutes = require('./routes/account');
+const adminRoutes = require('./routes/admin');
+const cookiesRoutes = require('./routes/cookies');
+const passwordResetRoutes = require('./routes/password-reset');
+const reservationsRoutes = require('./routes/reservations');

 const PORT = process.env.PORT || 3000;
 const HOST = process.env.HOST || '0.0.0.0';
@@ -18,6 +26,7 @@ async function start() {
  await checkConnection();
  await initSchema();
  await runSeed();
+  await seedAdmin();

  const app = express();

@@ -31,6 +40,7 @@ async function start() {
  app.use(healthRoutes);
  app.use(express.static(path.join(__dirname, 'public')));
  app.use(express.urlencoded({ extended: true }));
+  app.use(cookieParser());

  app.use(
    session({
@@ -51,9 +61,15 @@ async function start() {
    })
  );

+  app.use(loadCookieConsent);
  app.use(loadUser);
+  app.use('/cookies', cookiesRoutes);
+  app.use('/', passwordResetRoutes);
+  app.use('/reservations', reservationsRoutes);
  app.use('/', shopRoutes);
  app.use('/', authRoutes);
+  app.use('/account', accountRoutes);
+  app.use('/admin', adminRoutes);

  app.use((req, res) => {
    res.status(404).render('error', {
@@ -0,0 +1,77 @@
+const nodemailer = require('nodemailer');
+
+let transporter = null;
+
+function isConfigured() {
+  return Boolean(process.env.SMTP_HOST && process.env.SMTP_FROM);
+}
+
+function getTransporter() {
+  if (!isConfigured()) return null;
+  if (!transporter) {
+    transporter = nodemailer.createTransport({
+      host: process.env.SMTP_HOST,
+      port: parseInt(process.env.SMTP_PORT || '587', 10),
+      secure: process.env.SMTP_SECURE === 'true',
+      auth:
+        process.env.SMTP_USER && process.env.SMTP_PASS
+          ? { user: process.env.SMTP_USER, pass: process.env.SMTP_PASS }
+          : undefined,
+    });
+  }
+  return transporter;
+}
+
+function siteUrl() {
+  return (process.env.SITE_URL || 'http://localhost:3000').replace(/\/$/, '');
+}
+
+async function sendMail({ to, subject, text, html }) {
+  const from = process.env.SMTP_FROM || 'shop@localhost';
+  const payload = { from, to, subject, text, html: html || text };
+
+  const transport = getTransporter();
+  if (!transport) {
+    console.log('--- Email (SMTP не настроен) ---');
+    console.log('To:', to);
+    console.log('Subject:', subject);
+    console.log(text);
+    console.log('--------------------------------');
+    return { logged: true };
+  }
+
+  await transport.sendMail(payload);
+  return { sent: true };
+}
+
+async function sendPasswordResetEmail(to, resetLink) {
+  const subject = 'Сброс пароля — Shop';
+  const text = `Вы запросили сброс пароля.\n\nПерейдите по ссылке (действует 1 час):\n${resetLink}\n\nЕсли это были не вы, проигнорируйте письмо.`;
+  const html = `
+    <p>Вы запросили сброс пароля в магазине Shop.</p>
+    <p><a href="${resetLink}">Сбросить пароль</a></p>
+    <p>Ссылка действует <strong>1 час</strong>.</p>
+    <p style="color:#666">Если вы не запрашивали сброс, просто удалите это письмо.</p>
+  `;
+  return sendMail({ to, subject, text, html });
+}
+
+async function sendReservationEmail(to, productName, quantity, expiresAt) {
+  const subject = `Бронирование: ${productName}`;
+  const exp = new Date(expiresAt).toLocaleString('ru-RU');
+  const text = `Товар «${productName}» забронирован (${quantity} шт.) до ${exp}.\n\n${siteUrl()}/account?tab=reservations`;
+  const html = `
+    <p>Вы забронировали <strong>${productName}</strong> — ${quantity} шт.</p>
+    <p>Бронь активна до: <strong>${exp}</strong></p>
+    <p><a href="${siteUrl()}/account?tab=reservations">Мои бронирования</a></p>
+  `;
+  return sendMail({ to, subject, text, html });
+}
+
+module.exports = {
+  isConfigured,
+  sendMail,
+  sendPasswordResetEmail,
+  sendReservationEmail,
+  siteUrl,
+};
@@ -0,0 +1,10 @@
+const { query } = require('../db');
+
+async function expireOldReservations() {
+  await query(
+    `UPDATE reservations SET status = 'expired'
+     WHERE status = 'active' AND expires_at < NOW()`
+  );
+}
+
+module.exports = { expireOldReservations };
@@ -1,15 +0,0 @@
-<%- include('partials/layout-start') %>
-
-<div class="account">
-  <h1>Личный кабинет</h1>
-  <div class="card account-card">
-    <p><strong><%= user.name %></strong></p>
-    <p class="muted"><%= user.email %></p>
-    <p class="muted">С нами с <%= new Date(user.created_at).toLocaleDateString('ru-RU') %></p>
-    <div class="account-actions">
-      <a href="/orders" class="btn btn--primary">Мои заказы (<%= orderCount %>)</a>
-    </div>
-  </div>
-</div>
-
-<%- include('partials/layout-end') %>
@@ -0,0 +1,127 @@
+<%- include('../partials/layout-start') %>
+
+<div class="account">
+  <h1>Личный кабинет</h1>
+
+  <% if (success) { %><p class="alert alert--success"><%= success %></p><% } %>
+  <% if (error) { %><p class="alert alert--error"><%= error %></p><% } %>
+
+  <nav class="account-tabs" aria-label="Разделы профиля">
+    <a href="/account?tab=profile" class="account-tabs__link <%= activeTab === 'profile' ? 'account-tabs__link--active' : '' %>">Профиль</a>
+    <a href="/account?tab=email" class="account-tabs__link <%= activeTab === 'email' ? 'account-tabs__link--active' : '' %>">Смена email</a>
+    <a href="/account?tab=password" class="account-tabs__link <%= activeTab === 'password' ? 'account-tabs__link--active' : '' %>">Смена пароля</a>
+    <a href="/account?tab=reservations" class="account-tabs__link <%= activeTab === 'reservations' ? 'account-tabs__link--active' : '' %>">Бронирования</a>
+  </nav>
+
+  <% if (activeTab === 'profile') { %>
+    <div class="account-grid">
+      <section class="card account-section">
+        <h2>Мой профиль</h2>
+        <dl class="profile-dl">
+          <dt>ID</dt>
+          <dd><%= user.id %></dd>
+          <dt>Email</dt>
+          <dd><%= user.email %></dd>
+          <dt>Роль</dt>
+          <dd><span class="role-badge role-badge--<%= user.role %>"><%= roleLabels[user.role] || user.role %></span></dd>
+          <dt>Регистрация</dt>
+          <dd><%= new Date(user.created_at).toLocaleString('ru-RU') %></dd>
+          <dt>Заказов</dt>
+          <dd><%= orderCount %></dd>
+        </dl>
+        <a href="/orders" class="btn btn--primary">Мои заказы</a>
+      </section>
+
+      <section class="card account-section">
+        <h2>Изменить имя</h2>
+        <form action="/account/profile" method="post" class="form">
+          <label class="label">
+            Имя
+            <input type="text" name="name" class="input" required value="<%= user.name %>" autocomplete="name">
+          </label>
+          <button type="submit" class="btn btn--primary">Сохранить</button>
+        </form>
+      </section>
+    </div>
+  <% } %>
+
+  <% if (activeTab === 'email') { %>
+    <section class="card account-section account-section--narrow">
+      <h2>Смена email</h2>
+      <p class="muted">Текущий email: <strong><%= user.email %></strong></p>
+      <form action="/account/email" method="post" class="form">
+        <label class="label">
+          Новый email
+          <input type="email" name="email" class="input" required autocomplete="email">
+        </label>
+        <label class="label">
+          Текущий пароль (подтверждение)
+          <input type="password" name="current_password" class="input" required autocomplete="current-password">
+        </label>
+        <button type="submit" class="btn btn--primary">Изменить email</button>
+      </form>
+    </section>
+  <% } %>
+
+  <% if (activeTab === 'reservations') { %>
+    <section class="card account-section">
+      <h2>Мои бронирования</h2>
+      <% if (!reservations.length) { %>
+        <p class="muted">Активных броней нет.</p>
+      <% } else { %>
+        <table class="cart-table">
+          <thead>
+            <tr>
+              <th>Товар</th>
+              <th>Кол-во</th>
+              <th>Статус</th>
+              <th>До</th>
+              <th></th>
+            </tr>
+          </thead>
+          <tbody>
+            <% const resStatus = { active: 'Активна', fulfilled: 'Выполнена', cancelled: 'Отменена', expired: 'Истекла' }; %>
+            <% reservations.forEach(r => { %>
+              <tr>
+                <td><a href="/product/<%= r.product_slug %>"><%= r.product_name %></a></td>
+                <td><%= r.quantity %></td>
+                <td><span class="status status--<%= r.status === 'active' ? 'pending' : r.status %>"><%= resStatus[r.status] || r.status %></span></td>
+                <td><%= r.status === 'active' ? new Date(r.expires_at).toLocaleString('ru-RU') : '—' %></td>
+                <td>
+                  <% if (r.status === 'active') { %>
+                    <form action="/reservations/<%= r.id %>/cancel" method="post" class="inline-form">
+                      <button type="submit" class="btn btn--ghost btn--sm">Отменить</button>
+                    </form>
+                  <% } %>
+                </td>
+              </tr>
+            <% }) %>
+          </tbody>
+        </table>
+      <% } %>
+    </section>
+  <% } %>
+
+  <% if (activeTab === 'password') { %>
+    <section class="card account-section account-section--narrow">
+      <h2>Смена пароля</h2>
+      <form action="/account/password" method="post" class="form">
+        <label class="label">
+          Текущий пароль
+          <input type="password" name="current_password" class="input" required autocomplete="current-password">
+        </label>
+        <label class="label">
+          Новый пароль
+          <input type="password" name="password" class="input" required minlength="6" autocomplete="new-password">
+        </label>
+        <label class="label">
+          Повторите новый пароль
+          <input type="password" name="password2" class="input" required minlength="6" autocomplete="new-password">
+        </label>
+        <button type="submit" class="btn btn--primary">Изменить пароль</button>
+      </form>
+    </section>
+  <% } %>
+</div>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,63 @@
+<%- include('../partials/layout-start') %>
+
+<div class="admin-header">
+  <h1>Админ-панель</h1>
+  <nav class="admin-nav">
+    <a href="/admin" class="admin-nav__link admin-nav__link--active">Обзор</a>
+    <a href="/admin/orders" class="admin-nav__link">Заказы</a>
+    <a href="/admin/users" class="admin-nav__link">Пользователи</a>
+    <a href="/admin/products" class="admin-nav__link">Товары</a>
+    <a href="/admin/reservations" class="admin-nav__link">Бронирования</a>
+    <a href="/" class="admin-nav__link">В магазин</a>
+  </nav>
+</div>
+
+<div class="stats-grid">
+  <div class="stat-card">
+    <span class="stat-card__label">Пользователи</span>
+    <strong class="stat-card__value"><%= stats.users %></strong>
+  </div>
+  <div class="stat-card">
+    <span class="stat-card__label">Товары</span>
+    <strong class="stat-card__value"><%= stats.products %></strong>
+  </div>
+  <div class="stat-card">
+    <span class="stat-card__label">Заказы</span>
+    <strong class="stat-card__value"><%= stats.orders %></strong>
+  </div>
+  <div class="stat-card">
+    <span class="stat-card__label">Выручка</span>
+    <strong class="stat-card__value"><%= formatPrice(stats.revenue) %></strong>
+  </div>
+</div>
+
+<h2>Последние заказы</h2>
+<% if (!recentOrders.length) { %>
+  <p class="muted">Заказов пока нет.</p>
+<% } else { %>
+  <table class="cart-table">
+    <thead>
+      <tr>
+        <th>№</th>
+        <th>Клиент</th>
+        <th>Статус</th>
+        <th>Сумма</th>
+        <th>Дата</th>
+      </tr>
+    </thead>
+    <tbody>
+      <% const statusLabels = { pending: 'Ожидает', paid: 'Оплачен', shipped: 'Отправлен', cancelled: 'Отменён' }; %>
+      <% recentOrders.forEach(o => { %>
+        <tr>
+          <td>#<%= o.id %></td>
+          <td><%= o.customer_name %><br><span class="muted"><%= o.user_email %></span></td>
+          <td><span class="status status--<%= o.status %>"><%= statusLabels[o.status] || o.status %></span></td>
+          <td><%= formatPrice(o.total_cents) %></td>
+          <td><%= new Date(o.created_at).toLocaleString('ru-RU') %></td>
+        </tr>
+      <% }) %>
+    </tbody>
+  </table>
+<% } %>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,54 @@
+<%- include('../partials/layout-start') %>
+
+<div class="admin-header">
+  <h1>Заказы</h1>
+  <nav class="admin-nav">
+    <a href="/admin" class="admin-nav__link">Обзор</a>
+    <a href="/admin/orders" class="admin-nav__link admin-nav__link--active">Заказы</a>
+    <a href="/admin/users" class="admin-nav__link">Пользователи</a>
+    <a href="/admin/products" class="admin-nav__link">Товары</a>
+    <a href="/admin/reservations" class="admin-nav__link">Бронирования</a>
+    <a href="/" class="admin-nav__link">В магазин</a>
+  </nav>
+</div>
+
+<% const statusLabels = { pending: 'Ожидает', paid: 'Оплачен', shipped: 'Отправлен', cancelled: 'Отменён' }; %>
+
+<table class="cart-table">
+  <thead>
+    <tr>
+      <th>№</th>
+      <th>Клиент</th>
+      <th>Статус</th>
+      <th>Сумма</th>
+      <th>Дата</th>
+      <th>Действие</th>
+    </tr>
+  </thead>
+  <tbody>
+    <% orders.forEach(o => { %>
+      <tr>
+        <td>#<%= o.id %></td>
+        <td>
+          <%= o.customer_name %><br>
+          <span class="muted"><%= o.customer_email %></span>
+        </td>
+        <td><span class="status status--<%= o.status %>"><%= statusLabels[o.status] || o.status %></span></td>
+        <td><%= formatPrice(o.total_cents) %></td>
+        <td><%= new Date(o.created_at).toLocaleString('ru-RU') %></td>
+        <td>
+          <form method="post" action="/admin/orders/<%= o.id %>/status" class="inline-form admin-status-form">
+            <select name="status" class="input input--sm">
+              <% ['pending','paid','shipped','cancelled'].forEach(s => { %>
+                <option value="<%= s %>" <%= o.status === s ? 'selected' : '' %>><%= statusLabels[s] %></option>
+              <% }) %>
+            </select>
+            <button type="submit" class="btn btn--ghost btn--sm">OK</button>
+          </form>
+        </td>
+      </tr>
+    <% }) %>
+  </tbody>
+</table>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,40 @@
+<%- include('../partials/layout-start') %>
+
+<div class="admin-header">
+  <h1>Товары</h1>
+  <nav class="admin-nav">
+    <a href="/admin" class="admin-nav__link">Обзор</a>
+    <a href="/admin/orders" class="admin-nav__link">Заказы</a>
+    <a href="/admin/users" class="admin-nav__link">Пользователи</a>
+    <a href="/admin/products" class="admin-nav__link admin-nav__link--active">Товары</a>
+    <a href="/admin/reservations" class="admin-nav__link">Бронирования</a>
+    <a href="/" class="admin-nav__link">В магазин</a>
+  </nav>
+</div>
+
+<table class="cart-table">
+  <thead>
+    <tr>
+      <th>ID</th>
+      <th>Название</th>
+      <th>Категория</th>
+      <th>Цена</th>
+      <th>Остаток</th>
+      <th></th>
+    </tr>
+  </thead>
+  <tbody>
+    <% products.forEach(p => { %>
+      <tr>
+        <td><%= p.id %></td>
+        <td><%= p.name %></td>
+        <td><%= p.category_name || '—' %></td>
+        <td><%= formatPrice(p.price_cents) %></td>
+        <td><%= p.stock %></td>
+        <td><a href="/product/<%= p.slug %>">На сайте</a></td>
+      </tr>
+    <% }) %>
+  </tbody>
+</table>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,53 @@
+<%- include('../partials/layout-start') %>
+
+<div class="admin-header">
+  <h1>Бронирования</h1>
+  <nav class="admin-nav">
+    <a href="/admin" class="admin-nav__link">Обзор</a>
+    <a href="/admin/orders" class="admin-nav__link">Заказы</a>
+    <a href="/admin/users" class="admin-nav__link">Пользователи</a>
+    <a href="/admin/products" class="admin-nav__link">Товары</a>
+    <a href="/admin/reservations" class="admin-nav__link admin-nav__link--active">Бронирования</a>
+    <a href="/" class="admin-nav__link">В магазин</a>
+  </nav>
+</div>
+
+<% const resStatus = { active: 'Активна', fulfilled: 'Выполнена', cancelled: 'Отменена', expired: 'Истекла' }; %>
+
+<table class="cart-table">
+  <thead>
+    <tr>
+      <th>№</th>
+      <th>Клиент</th>
+      <th>Товар</th>
+      <th>Кол-во</th>
+      <th>Статус</th>
+      <th>До</th>
+      <th>Действие</th>
+    </tr>
+  </thead>
+  <tbody>
+    <% reservations.forEach(r => { %>
+      <tr>
+        <td>#<%= r.id %></td>
+        <td><%= r.user_name %><br><span class="muted"><%= r.user_email %></span></td>
+        <td><%= r.product_name %></td>
+        <td><%= r.quantity %></td>
+        <td><span class="status status--<%= r.status === 'active' ? 'pending' : r.status %>"><%= resStatus[r.status] || r.status %></span></td>
+        <td><%= r.status === 'active' ? new Date(r.expires_at).toLocaleString('ru-RU') : '—' %></td>
+        <td>
+          <form method="post" action="/admin/reservations/<%= r.id %>/status" class="admin-status-form">
+            <select name="status" class="input input--sm">
+              <% ['active','fulfilled','cancelled','expired'].forEach(s => { %>
+                <option value="<%= s %>" <%= r.status === s ? 'selected' : '' %>><%= resStatus[s] %></option>
+              <% }) %>
+            </select>
+            <button type="submit" class="btn btn--ghost btn--sm">OK</button>
+          </form>
+        </td>
+      </tr>
+    <% }) %>
+  </tbody>
+</table>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,40 @@
+<%- include('../partials/layout-start') %>
+
+<div class="admin-header">
+  <h1>Пользователи</h1>
+  <nav class="admin-nav">
+    <a href="/admin" class="admin-nav__link">Обзор</a>
+    <a href="/admin/orders" class="admin-nav__link">Заказы</a>
+    <a href="/admin/users" class="admin-nav__link admin-nav__link--active">Пользователи</a>
+    <a href="/admin/products" class="admin-nav__link">Товары</a>
+    <a href="/admin/reservations" class="admin-nav__link">Бронирования</a>
+    <a href="/" class="admin-nav__link">В магазин</a>
+  </nav>
+</div>
+
+<table class="cart-table">
+  <thead>
+    <tr>
+      <th>ID</th>
+      <th>Имя</th>
+      <th>Email</th>
+      <th>Роль</th>
+      <th>Регистрация</th>
+    </tr>
+  </thead>
+  <tbody>
+    <% users.forEach(u => { %>
+      <tr>
+        <td><%= u.id %></td>
+        <td><%= u.name %></td>
+        <td><%= u.email %></td>
+        <td>
+          <span class="role-badge role-badge--<%= u.role %>"><%= roleLabels[u.role] || u.role %></span>
+        </td>
+        <td><%= new Date(u.created_at).toLocaleString('ru-RU') %></td>
+      </tr>
+    <% }) %>
+  </tbody>
+</table>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,18 @@
+<%- include('../partials/layout-start') %>
+
+<div class="auth">
+  <form action="/forgot-password" method="post" class="form card">
+    <h1>Сброс пароля</h1>
+    <% if (error) { %><p class="alert alert--error"><%= error %></p><% } %>
+    <% if (success) { %><p class="alert alert--success"><%= success %></p><% } %>
+    <p class="muted">Укажите email аккаунта — отправим ссылку для нового пароля.</p>
+    <label class="label">
+      Email
+      <input type="email" name="email" class="input" required value="<%= values.email || '' %>" autocomplete="email">
+    </label>
+    <button type="submit" class="btn btn--primary btn--block">Отправить ссылку</button>
+    <p class="form-footer"><a href="/login">← Вход</a></p>
+  </form>
+</div>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,11 @@
+<%- include('../partials/layout-start') %>
+
+<div class="auth">
+  <div class="card form">
+    <h1>Пароль изменён</h1>
+    <p class="alert alert--success">Теперь можно войти с новым паролем.</p>
+    <a href="/login" class="btn btn--primary btn--block">Войти</a>
+  </div>
+</div>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,28 @@
+<%- include('../partials/layout-start') %>
+
+<div class="auth">
+  <% if (token) { %>
+  <form action="/reset-password" method="post" class="form card">
+    <h1>Новый пароль</h1>
+    <% if (error) { %><p class="alert alert--error"><%= error %></p><% } %>
+    <input type="hidden" name="token" value="<%= token %>">
+    <label class="label">
+      Новый пароль
+      <input type="password" name="password" class="input" required minlength="6" autocomplete="new-password">
+    </label>
+    <label class="label">
+      Повторите пароль
+      <input type="password" name="password2" class="input" required minlength="6" autocomplete="new-password">
+    </label>
+    <button type="submit" class="btn btn--primary btn--block">Сохранить пароль</button>
+  </form>
+  <% } else { %>
+  <div class="card form">
+    <h1>Ссылка недействительна</h1>
+    <% if (error) { %><p class="alert alert--error"><%= error %></p><% } %>
+    <a href="/forgot-password" class="btn btn--primary">Запросить снова</a>
+  </div>
+  <% } %>
+</div>
+
+<%- include('../partials/layout-end') %>
@@ -0,0 +1,24 @@
+<%- include('partials/layout-start') %>
+
+<article class="legal-page card">
+  <h1>Политика использования cookies</h1>
+
+  <h2>Что такое cookies</h2>
+  <p>Cookies — небольшие файлы, которые сайт сохраняет в браузере для корректной работы сервиса.</p>
+
+  <h2>Какие cookies мы используем</h2>
+  <ul>
+    <li><strong>cookie_consent</strong> — запоминает ваш выбор (принятие политики), срок до 1 года.</li>
+    <li><strong>connect.sid</strong> — сессия: корзина, вход в аккаунт, безопасность. Удаляется после выхода или по истечении срока.</li>
+  </ul>
+
+  <h2>Без согласия</h2>
+  <p>Вы можете просматривать каталог. Вход, регистрация и личный кабинет недоступны до нажатия «Принимаю».</p>
+
+  <h2>Управление</h2>
+  <p>Вы можете удалить cookies в настройках браузера. После этого потребуется снова принять политику и войти в аккаунт.</p>
+
+  <p><a href="/">← На главную</a></p>
+</article>
+
+<%- include('partials/layout-end') %>
@@ -0,0 +1,15 @@
+<%- include('partials/layout-start', { returnTo: returnTo }) %>
+
+<div class="cookies-required">
+  <h1>Согласие на cookies</h1>
+  <p>Для этой страницы (вход, регистрация, личный кабинет) необходимо принять использование cookies.</p>
+  <p class="muted">Мы сохраняем только технические cookies для сессии и безопасности.</p>
+  <form action="/cookies/accept" method="post" class="cookie-banner__actions" style="margin-top:1rem">
+    <input type="hidden" name="return_to" value="<%= returnTo %>">
+    <button type="submit" class="btn btn--primary btn--lg">Принимаю cookies</button>
+    <a href="/" class="btn btn--ghost">На главную</a>
+  </form>
+  <p style="margin-top:1rem"><a href="/cookies/policy">Политика cookies</a></p>
+</div>
+
+<%- include('partials/layout-end') %>
@@ -14,7 +14,10 @@
      <input type="password" name="password" class="input" required>
    </label>
    <button type="submit" class="btn btn--primary btn--block">Войти</button>
-    <p class="form-footer">Нет аккаунта? <a href="/register">Регистрация</a></p>
+    <p class="form-footer">
+      <a href="/forgot-password">Забыли пароль?</a><br>
+      Нет аккаунта? <a href="/register">Регистрация</a>
+    </p>
  </form>
 </div>

@@ -0,0 +1,18 @@
+<% if (!cookieConsent) { %>
+<div class="cookie-banner" role="dialog" aria-labelledby="cookie-banner-title" aria-live="polite">
+  <div class="cookie-banner__inner container">
+    <div class="cookie-banner__text">
+      <p id="cookie-banner-title"><strong>Мы используем cookies</strong></p>
+      <p class="muted">
+        Для входа, регистрации и личного кабинета нужны технические cookies (сессия).
+        Продолжая без согласия, каталог доступен; авторизация и регистрация — нет.
+        <a href="/cookies/policy">Подробнее</a>
+      </p>
+    </div>
+    <form action="/cookies/accept" method="post" class="cookie-banner__actions">
+      <input type="hidden" name="return_to" value="<%= typeof returnTo !== 'undefined' ? returnTo : '/' %>">
+      <button type="submit" class="btn btn--primary">Принимаю</button>
+    </form>
+  </div>
+</div>
+<% } %>
@@ -1,8 +1,9 @@
  </main>
  <footer class="footer">
    <div class="container">
-      <p>&copy; <%= new Date().getFullYear() %> Shop — локальный интернет-магазин на Node.js + SQLite</p>
+      <p>&copy; <%= new Date().getFullYear() %> Shop · <a href="/cookies/policy">Cookies</a></p>
    </div>
  </footer>
+  <%- include('cookie-banner') %>
 </body>
 </html>
@@ -23,13 +23,19 @@
          <% if (cartCount > 0) { %><span class="badge"><%= cartCount %></span><% } %>
        </a>
        <% if (user) { %>
+          <% if (typeof isAdmin !== 'undefined' && isAdmin) { %>
+            <a href="/admin" class="nav__link nav__admin">Админ</a>
+          <% } %>
          <a href="/account" class="nav__link"><%= user.name %></a>
          <form action="/logout" method="post" class="inline-form">
            <button type="submit" class="btn btn--ghost btn--sm">Выйти</button>
          </form>
-        <% } else { %>
+        <% } else if (cookieConsent) { %>
          <a href="/login" class="nav__link">Вход</a>
          <a href="/register" class="btn btn--primary btn--sm">Регистрация</a>
+        <% } else { %>
+          <span class="nav__link nav__link--disabled" title="Примите cookies">Вход</span>
+          <span class="nav__link nav__link--disabled" title="Примите cookies">Регистрация</span>
        <% } %>
      </nav>
    </div>
@@ -17,6 +17,15 @@
    <p class="product-detail__desc"><%= product.description %></p>
    <p class="product-detail__stock">В наличии: <strong><%= product.stock %></strong> шт.</p>

+    <% if (error) { %><p class="alert alert--error"><%= error %></p><% } %>
+    <% if (reserved) { %><p class="alert alert--success">Товар успешно забронирован. Подробности на почте и в личном кабинете.</p><% } %>
+    <% if (userReservation) { %>
+      <p class="alert alert--success">
+        У вас активная бронь: <%= userReservation.quantity %> шт. до <%= new Date(userReservation.expires_at).toLocaleString('ru-RU') %>.
+        <a href="/account?tab=reservations">Мои бронирования</a>
+      </p>
+    <% } %>
+
    <% if (product.stock > 0) { %>
      <form action="/cart/add" method="post" class="product-detail__form">
        <input type="hidden" name="product_id" value="<%= product.id %>">
@@ -27,6 +36,20 @@
        <input type="hidden" name="redirect" value="/cart">
        <button type="submit" class="btn btn--primary btn--lg">Добавить в корзину</button>
      </form>
+
+      <% if (user && !userReservation) { %>
+        <form action="/reservations" method="post" class="product-detail__form">
+          <input type="hidden" name="product_id" value="<%= product.id %>">
+          <input type="hidden" name="slug" value="<%= product.slug %>">
+          <label class="label">
+            Бронь (48 ч)
+            <input type="number" name="quantity" value="1" min="1" max="<%= product.stock %>" class="input input--qty">
+          </label>
+          <button type="submit" class="btn btn--ghost btn--lg">Забронировать</button>
+        </form>
+      <% } else if (!user) { %>
+        <p class="muted">Для бронирования <a href="/login">войдите</a> в аккаунт.</p>
+      <% } %>
    <% } else { %>
      <p class="alert alert--warn">Нет в наличии</p>
    <% } %>
@@ -0,0 +1,50 @@
+# Shop — документация v0.10.0
+
+Интернет-магазин на **Node.js** и **PostgreSQL 17**.
+
+## Способы установки
+
+| Способ | Когда использовать |
+|--------|-------------------|
+| **[Установка через Docker](Install-Docker)** | Быстрый старт, тест, изолированное окружение |
+| **[Установка без Docker](Install-Native)** | Production на Ubuntu, systemd, свой Caddy |
+
+## Требования
+
+**Docker:** Docker Engine 24+, Docker Compose v2.
+
+**Без Docker:** Ubuntu 22.04 / 24.04, Node.js 20, PostgreSQL 17.
+
+## Быстрый старт
+
+### Docker (3 команды)
+
+```bash
+git clone https://git.evilfox.cc/test/shop10.git && cd shop10
+git checkout v0.10.0
+cp .env.docker.example .env && docker compose up -d --build
+```
+
+Сайт: http://localhost:3000
+
+### Без Docker
+
+```bash
+git clone https://git.evilfox.cc/test/shop10.git && cd shop10
+git checkout v0.10.0
+# см. Install-Native
+```
+
+## Проверка работы
+
+```bash
+curl -s http://127.0.0.1:3000/health
+```
+
+Ожидается: `{"ok":true,"service":"shop","database":"postgresql"}`
+
+## Ссылки
+
+- [Репозиторий](https://git.evilfox.cc/test/shop10)
+- [Releases](https://git.evilfox.cc/test/shop10/releases)
+- [Решение проблем](Troubleshooting)
@@ -0,0 +1,143 @@
+# Установка через Docker Compose
+
+Полный стек в контейнерах: **PostgreSQL 17** + **приложение Shop** (+ опционально **Caddy** для HTTPS).
+
+## 1. Требования
+
+- Docker Engine 24 или новее
+- Docker Compose v2 (`docker compose`)
+- Git
+- Порты: **3000** (сайт) или **80/443** (с Caddy)
+
+Проверка:
+
+```bash
+docker --version
+docker compose version
+```
+
+## 2. Получение кода
+
+```bash
+git clone https://git.evilfox.cc/test/shop10.git
+cd shop10
+git checkout v0.10.0
+```
+
+## 3. Настройка переменных
+
+```bash
+cp .env.docker.example .env
+nano .env
+```
+
+| Переменная | Описание | Пример |
+|------------|----------|--------|
+| `POSTGRES_USER` | Пользователь БД | `shop` |
+| `POSTGRES_PASSWORD` | Пароль БД | смените в production |
+| `POSTGRES_DB` | Имя базы | `shop` |
+| `SESSION_SECRET` | Секрет сессий | `openssl rand -hex 32` |
+| `APP_PORT` | Порт на хосте | `3000` |
+| `TRUST_PROXY` | За Caddy: `1`, иначе `0` | `0` |
+
+## 4. Запуск
+
+```bash
+docker compose up -d --build
+```
+
+Первый запуск: сборка образа `app`, скачивание `postgres:17-alpine`, создание таблиц и демо-товаров.
+
+Статус:
+
+```bash
+docker compose ps
+docker compose logs -f app
+```
+
+## 5. Проверка
+
+```bash
+curl -s http://127.0.0.1:3000/health
+```
+
+В браузере: **http://IP_СЕРВЕРА:3000** или **http://localhost:3000**
+
+## 6. HTTPS с Caddy (опционально)
+
+1. В `.env` установите `TRUST_PROXY=1`
+2. Отредактируйте `caddy/Caddyfile.docker.example`:
+   - укажите свой домен вместо `shop.example.com`
+   - или оставьте блок `:80` для доступа по IP
+3. Запуск:
+
+```bash
+docker compose --profile proxy up -d --build
+```
+
+Открыты порты **80** и **443**. Контейнер `caddy` проксирует на `app:3000`.
+
+## 7. Полезные команды
+
+| Команда | Действие |
+|---------|----------|
+| `docker compose logs -f app` | Логи приложения |
+| `docker compose logs -f postgres` | Логи БД |
+| `docker compose restart app` | Перезапуск приложения |
+| `docker compose down` | Остановить контейнеры |
+| `docker compose down -v` | Остановить и **удалить данные БД** |
+| `docker compose up -d --build` | Пересборка после `git pull` |
+
+## 8. Обновление версии
+
+```bash
+cd shop10
+git fetch --tags
+git checkout v0.10.0   # или новый тег
+docker compose up -d --build
+```
+
+## 9. Только PostgreSQL (разработка)
+
+Приложение на хосте (`npm run dev`), БД в Docker:
+
+```bash
+docker compose -f docker-compose.dev.yml up -d
+cp .env.example .env
+```
+
+В `.env`:
+
+```env
+DATABASE_URL=postgresql://shop:shop@127.0.0.1:5432/shop
+HOST=0.0.0.0
+```
+
+```bash
+npm install
+npm run dev
+```
+
+## 10. Архитектура
+
+```
+┌─────────────┐     ┌──────────────┐     ┌─────────────┐
+│   Браузер   │────▶│ Caddy :443   │────▶│  app :3000  │
+│             │     │ (опционально)│     │   Node.js   │
+└─────────────┘     └──────────────┘     └──────┬──────┘
+                                                 │
+                                          ┌──────▼──────┐
+                                          │ postgres:17 │
+                                          └─────────────┘
+```
+
+## 11. Типичные ошибки
+
+| Симптом | Решение |
+|---------|---------|
+| `port is already allocated` | Смените `APP_PORT` в `.env` или освободите порт 3000 |
+| `app` unhealthy | `docker compose logs app` — часто нет связи с postgres |
+| Пустой каталог | Подождите seed; `docker compose logs app` |
+| 502 с Caddy | `TRUST_PROXY=1`, проверьте `docker compose ps` |
+
+Подробнее: [Решение проблем](Troubleshooting)
@@ -0,0 +1,244 @@
+# Установка без Docker (Ubuntu)
+
+Production-развёртывание на **Ubuntu 22.04 / 24.04**: Node.js 20, PostgreSQL 17, systemd, опционально Caddy.
+
+## 1. Требования
+
+- Сервер Ubuntu 22.04 или 24.04 (root или sudo)
+- Минимум 1 GB RAM, 10 GB диск
+- Открыты порты **22**, **80**, **443** (если используете Caddy)
+- Порт **3000** наружу не открывать — только localhost
+
+## 2. Установка системных пакетов
+
+```bash
+apt update
+apt install -y git curl ca-certificates
+```
+
+### Node.js 20 LTS
+
+```bash
+curl -fsSL https://deb.nodesource.com/setup_20.x | bash -
+apt install -y nodejs
+node -v   # v20.x
+```
+
+### PostgreSQL 17
+
+```bash
+apt install -y postgresql-17 postgresql-client-17
+systemctl enable postgresql
+systemctl start postgresql
+pg_isready -h 127.0.0.1 -p 5432
+```
+
+Если пакет `postgresql-17` не найден — [репозиторий PGDG](https://www.postgresql.org/download/linux/ubuntu/):
+
+```bash
+apt install -y curl ca-certificates
+install -d /usr/share/postgresql-common/pgdg
+curl -o /usr/share/postgresql-common/pgdg/apt.postgresql.org.asc --fail \
+  https://www.postgresql.org/media/keys/ACCC4CF8.asc
+sh -c 'echo "deb [signed-by=/usr/share/postgresql-common/pgdg/apt.postgresql.org.asc] https://apt.postgresql.org/pub/repos/apt $(. /etc/os-release && echo ${VERSION_CODENAME}-pgdg) main" > /etc/apt/sources.list.d/pgdg.list'
+apt update
+apt install -y postgresql-17 postgresql-client-17
+```
+
+## 3. Клонирование проекта
+
+```bash
+cd /opt
+git clone https://git.evilfox.cc/test/shop10.git shop
+cd shop
+git checkout v0.10.0
+```
+
+## 4. База данных PostgreSQL
+
+```bash
+cd /opt/shop
+bash scripts/setup-postgres-ubuntu.sh
+```
+
+Скрипт:
+- запускает PostgreSQL;
+- создаёт пользователя и БД `shop` (по умолчанию пароль `shop` — **смените в production**);
+- выводит строку `DATABASE_URL`.
+
+Проверка:
+
+```bash
+psql "postgresql://shop:shop@127.0.0.1:5432/shop" -c "SELECT 1"
+```
+
+## 5. Файл окружения `.env`
+
+```bash
+cp .env.example .env
+nano .env
+```
+
+Обязательные параметры:
+
+```env
+PORT=3000
+HOST=127.0.0.1
+NODE_ENV=production
+TRUST_PROXY=1
+SESSION_SECRET=сгенерируйте_длинную_строку
+DATABASE_URL=postgresql://shop:ВАШ_ПАРОЛЬ@127.0.0.1:5432/shop
+```
+
+Секрет сессии:
+
+```bash
+openssl rand -hex 32
+```
+
+`HOST=127.0.0.1` — приложение доступно только локально; снаружи — через Caddy.
+
+## 6. Установка зависимостей Node.js
+
+```bash
+cd /opt/shop
+npm install --omit=dev
+```
+
+При первом запуске приложение создаст таблицы и демо-товары (если каталог пуст).
+
+## 7. Служба systemd
+
+```bash
+cp /opt/shop/deploy/shop.service /etc/systemd/system/shop.service
+systemctl daemon-reload
+systemctl enable shop
+systemctl start shop
+systemctl status shop
+```
+
+Unit ждёт PostgreSQL (`ExecStartPre` + `pg_isready`) и запускает Node от пользователя `www-data`.
+
+**Важно:** не выполняйте `chown -R www-data /opt/shop` — это ломает `git pull`. Права на запись нужны только для каталога `data/` (если используется); с PostgreSQL каталог `data/` не обязателен.
+
+Логи:
+
+```bash
+journalctl -u shop -f
+```
+
+## 8. Проверка backend
+
+```bash
+curl -s http://127.0.0.1:3000/health
+ss -tlnp | grep 3000
+```
+
+В логах должно быть: `Магазин: http://127.0.0.1:3000 (PostgreSQL)`
+
+## 9. Caddy — HTTPS и reverse proxy
+
+Установка Caddy:
+
+```bash
+apt install -y debian-keyring debian-archive-keyring apt-transport-https
+curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/gpg.key' \
+  | gpg --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
+curl -1sLf 'https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt' \
+  | tee /etc/apt/sources.list.d/caddy-stable.list
+apt update && apt install -y caddy
+```
+
+Конфигурация:
+
+```bash
+cp /opt/shop/caddy/Caddyfile.example /etc/caddy/Caddyfile
+nano /etc/caddy/Caddyfile
+```
+
+Пример (замените домен и email):
+
+```caddyfile
+{
+	email admin@example.com
+}
+
+shop.example.com {
+	encode gzip zstd
+	reverse_proxy 127.0.0.1:3000
+}
+```
+
+```bash
+caddy validate --config /etc/caddy/Caddyfile
+systemctl enable caddy
+systemctl reload caddy
+```
+
+Файрвол:
+
+```bash
+ufw allow 22/tcp
+ufw allow 80/tcp
+ufw allow 443/tcp
+ufw enable
+```
+
+Зависимость Caddy от shop (опционально):
+
+```bash
+mkdir -p /etc/systemd/system/caddy.service.d
+cp /opt/shop/deploy/caddy-after-shop.conf /etc/systemd/system/caddy.service.d/shop.conf
+systemctl daemon-reload
+```
+
+## 10. Обновление
+
+```bash
+cd /opt/shop
+git config --global --add safe.directory /opt/shop
+bash scripts/server-update.sh
+```
+
+Или вручную:
+
+```bash
+git pull
+npm install --omit=dev
+systemctl restart shop
+curl -s http://127.0.0.1:3000/health
+systemctl reload caddy
+```
+
+## 11. Переход с SQLite (старая версия)
+
+1. Установите PostgreSQL (шаги 2–4)
+2. Добавьте `DATABASE_URL` в `.env`
+3. `git pull` → `npm install` → `systemctl restart shop`
+4. Демо-товары появятся автоматически; пользователей нужно зарегистрировать заново
+
+Быстрое исправление подключения к БД:
+
+```bash
+bash /opt/shop/scripts/fix-db-connection.sh
+```
+
+## 12. Архитектура
+
+```
+Интернет → Caddy :443 → 127.0.0.1:3000 (Node.js shop)
+                              ↓
+                    PostgreSQL 127.0.0.1:5432
+```
+
+## 13. Резервное копирование БД
+
+```bash
+sudo -u postgres pg_dump shop > shop_backup_$(date +%F).sql
+```
+
+Восстановление:
+
+```bash
+sudo -u postgres psql shop < shop_backup_2026-05-17.sql
+```
@@ -0,0 +1,88 @@
+# Решение проблем
+
+## Диагностика одной командой
+
+```bash
+bash /opt/shop/scripts/diagnose-502.sh
+```
+
+---
+
+## HTTP 502 (Caddy / браузер)
+
+**SSL работает, страница 502** — Caddy жив, backend (Node) не отвечает.
+
+```bash
+curl -s http://127.0.0.1:3000/health
+systemctl status shop
+journalctl -u shop -n 30 --no-pager
+```
+
+Пока `/health` не OK — Caddy будет отдавать 502.
+
+---
+
+## ECONNREFUSED 127.0.0.1:5432
+
+PostgreSQL не запущен или не установлен.
+
+```bash
+bash /opt/shop/scripts/fix-db-connection.sh
+```
+
+Или вручную:
+
+```bash
+systemctl start postgresql
+pg_isready -h 127.0.0.1 -p 5432
+bash scripts/setup-postgres-ubuntu.sh
+```
+
+Проверьте `DATABASE_URL` в `/opt/shop/.env`.
+
+---
+
+## Служба shop сразу останавливается
+
+В логе только «База уже содержит товары» без строки `Магазин: http://...`:
+
+```bash
+cd /opt/shop && git pull   # нужен исправленный seed.js (v0.10.0+)
+systemctl restart shop
+```
+
+---
+
+## dubious ownership (git pull)
+
+Не делайте `chown -R www-data /opt/shop`.
+
+```bash
+chown -R root:root /opt/shop
+git config --global --add safe.directory /opt/shop
+git pull
+```
+
+---
+
+## Docker: контейнер app unhealthy
+
+```bash
+docker compose logs app
+docker compose logs postgres
+docker compose up -d --build
+```
+
+---
+
+## Docker: нет связи с БД
+
+Проверьте, что `DATABASE_URL` в compose указывает на хост `postgres`, а не `127.0.0.1` (внутри контейнера app).
+
+---
+
+## Полезные ссылки
+
+- [Установка Docker](Install-Docker)
+- [Установка без Docker](Install-Native)
+- [Репозиторий](https://git.evilfox.cc/test/shop10)
@@ -0,0 +1,6 @@
+### Навигация
+
+- [Главная](Home)
+- [Установка — Docker](Install-Docker)
+- [Установка — без Docker](Install-Native)
+- [Решение проблем](Troubleshooting)
Author	SHA1	Message	Date
shop	a6e6cc9943	chore: релиз v0.20.0 — админка, профиль, cookies, брони, email Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 11:41:32 +03:00
shop	ade031b0e7	feat: бронирование товаров и сброс пароля по email Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 11:38:52 +03:00
shop	bda73e1662	feat: согласие на cookies — блокировка входа и регистрации Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 11:32:08 +03:00
shop	14e0e875f1	feat: профиль — просмотр, смена имени, email и пароля Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 11:29:30 +03:00
shop	f24f35d0fc	feat: роли customer/admin, админ-панель, admin@site.com Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 11:19:01 +03:00
shop	58c789d5f8	chore: push-wiki — авторизация по токену или логину Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 09:52:33 +03:00
shop	b9e6060610	docs: wiki — установка Docker и без Docker (v0.10.0) Co-authored-by: Cursor <cursoragent@cursor.com>	2026-05-17 09:47:47 +03:00