# CLAUDE.md

Шаблон защищённого Laravel-приложения для ИСПДн (ФСТЭК №21, УЗ-1/К1; ФСБ №378).
Используется как основа для новых проектов с персональными данными.

## Команды

```bash
composer lint            # Pint (стиль)
./vendor/bin/phpstan     # Larastan, level 7 — держать 0 ошибок
./vendor/bin/pest        # тесты (включая tests/Feature/Security)
composer audit           # уязвимости зависимостей
npm run build            # сборка фронтенда (нужна для рендера Inertia-страниц)

php artisan migrate
php artisan migrate --database=audit --path=database/migrations/audit
php artisan db:seed                # роли RBAC
php artisan user:create-admin      # создать администратора
php artisan audit:verify           # контроль целостности журнала (РСБ.3)
php artisan audit:purge            # ротация журнала по сроку (РСБ.4/8)
php artisan security:audit-deps    # composer audit (УКФ.4)
```

## Архитектура безопасности (что где)

- **Конфигурация мер:** `config/security.php`, `config/audit.php`. Все параметры
  через `.env` (пароли, lockout, MFA, шифрование, заголовки).
- **Шифрование ПДн:** трейт `App\Models\Concerns\HasPdnEncryption` + свойство
  `$encrypted` в модели. Драйвер за интерфейсом `App\Services\Crypto\PdnCipher`
  (`LaravelAesCipher` / `GostCipher`), биндинг в `SecurityServiceProvider`.
- **Аудит:** `App\Services\Audit\AuditService` (фасад `App\Facades\Audit`).
  Записи в отдельном соединении `audit`, подписаны HMAC + хеш-цепочка. Не писать
  ПДн в журнал — только идентификаторы объектов.
- **Аутентификация:** контроллеры в `App\Http\Controllers\Auth`, блокировка в
  `LoginRequest`, MFA в `TwoFactorService`/`EnsureMfaIsVerified`, парольная
  политика в `App\Support\PasswordPolicy` + `PasswordManager` + `PasswordNotReused`.
- **Доступ:** `spatie/laravel-permission` (роли в `RolesAndPermissionsSeeder`),
  Policies (`PersonalDataPolicy`).
- **Middleware-стек защищённой зоны:** `auth` → `mfa` → `password.fresh` →
  `audit` (см. `routes/web.php`, алиасы в `bootstrap/app.php`).

## Конвенции

- Любая новая модель с ПДн: `use HasPdnEncryption` + `$encrypted` + `checksum`
  (контроль целостности, ОЦЛ.2) + Policy (УПД.2) + регистрация просмотра/изменения
  через `Audit::log()` (РСБ.2).
- Все операции, изменяющие/раскрывающие ПДн, должны журналироваться. Новые типы
  событий добавлять в `config/audit.php` и `docs/org/perechen-sobytiy.md`.
- Валидация — только через Form Request. Пароли — через `PasswordPolicy::rule()`.
- Не понижать меры: `APP_DEBUG=false`, TLS, MFA обязательны в production.
- После изменений держать зелёными Pint, PHPStan (level 7), Pest.

## Фронтенд (Inertia v3 + Vue 3 + NaiveUI)

- **Inertia v3** (`@inertiajs/vue3`). HTTP — встроенными хелперами: `useForm`
  (формы/редиректы, как на страницах входа), `useHttp` (JSON-эндпоинты),
  `router`, `<Form>`. **axios не используется** — не добавлять.
- **UI: NaiveUI** (перенесён движок из проекта onboard). Подключение в
  `resources/js/app.ts`: провайдеры `NConfigProvider`/`NLoadingBar`/`NDialog`/
  `NNotification`/`NMessage` оборачивают приложение; тема следует системной
  (`plugins/naive.ts → preferredTheme`). Discrete API доступен как
  `window.$message`/`$notification`/`$dialog`/`$loadingBar` и через `this.$...`.
- **Pinia** подключён (для сторов состояния).
- Структура: `resources/js/{pages,layouts,components,composables,plugins}`.
  Макеты: `layouts/AuthLayout.vue` (страницы входа), `layouts/AppLayout.vue`
  (общий каркас с шапкой и индикатором загрузки).
- Composables: `useGlobalLoading` (баннер на переходах Inertia),
  `useNotification`, `useAppDialog` (+`AppDialog`/`AppDialogManager`).
- Шрифт Golos Text (`public/fonts`, `@font-face` в `resources/css/app.css`).
- Проверки фронтенда: `npm run lint:check`, `npm run types:check`, `npm run build`.

## Документация

- `docs/security/compliance.md` — сопоставление мер ФСТЭК с кодом.
- `docs/security/checklist.md` — чек-лист со статусами.
- `docs/security/crypto-gost.md` — подключение СКЗИ (ГОСТ/КриптоПро).
- `docs/org/` — шаблоны организационных документов.
- `deploy/` — nginx (TLS/заголовки), docker-compose, Dockerfile, fail2ban.
- `database/sql/audit_grants.sql` — права INSERT/SELECT для журнала (РСБ.3).