v2: модульный монолит — очередь, персистентность, безопасность, SSE, тесты

Реализация целевого дизайна (docs/architecture/target-design.md):
- src/: модульная структура (config, logger, errors, http, core: auth/history/jobs/engines/comfy/codex/images)
- Очередь заданий: FIFO, кониурентность codex=1 / comfy-upscale=2, MAX_QUEUED_JOBS=5, JSONL-журнал и восстановление после рестарта (running → interrupted, upscale requeue)
- Персистентные сессии (sha256-хеши токенов), scrypt-хеш пароля, rate-limit входа, Origin-проверка, magic-byte валидация аплоадов
- Атомарная запись манифеста истории, каскадное удаление, URL с фактическим расширением + 302-алиас /image.jpg, миграция history/ → data/history
- Даунскейл sharp до 1024px перед Codex + масштабирование области референса
- SSE /api/events с фолбэком на polling, фронтенд переведён на ES-модули (public/js/)
- Тесты node:test + supertest (27), CI workflow test.yml, Docker/деплой: том kadr-data
- Документация: README, docs/architecture/

src/http/middleware/origin-check.js

@@ -0,0 +1,43 @@
+"use strict";
+
+const { ForbiddenError } = require("../../errors");
+
+/**
+ * Middleware проверки Origin для защиты от CSRF на state-changing запросах.
+ */
+function originCheck() {
+  return (req, res, next) => {
+    // Only check state-changing methods
+    const method = req.method.toUpperCase();
+    if (["GET", "HEAD", "OPTIONS"].includes(method)) {
+      return next();
+    }
+
+    const origin = req.headers.origin;
+    if (!origin) {
+      return next();
+    }
+
+    try {
+      const originUrl = new URL(origin);
+      const hostHeader = (req.headers.host || "").toLowerCase();
+
+      // Compare host (including port if present)
+      if (originUrl.host.toLowerCase() !== hostHeader) {
+        return next(
+          new ForbiddenError(
+            `Запрос с внешнего источника (${originUrl.host}) заблокирован.`
+          )
+        );
+      }
+
+      next();
+    } catch {
+      return next(new ForbiddenError("Некорректный заголовок Origin."));
+    }
+  };
+}
+
+module.exports = {
+  originCheck,
+};