HTTP API закрыт за вход через OIDC у Authelia

- шаг схемы закрывает поверхность, которую хранилище приносит открытой:
  собственную регистрацию, вход по паролю и одноразовый код — без этого
  закрытие приёма обходилось двумя запросами
- продление сессии выключено, срок семь суток: иначе отзыв доступа у
  провайдера до сервиса не доходит никогда
- файл записи отдаётся вошедшему по токену файла — пересмотр
  ADR-2026-08-12-file-link-open-but-not-logged

internal/controller/http/auth.go

@@ -0,0 +1,364 @@
+package http
+
+import (
+	"context"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"log/slog"
+	"net/http"
+	"net/http/httptest"
+	"net/url"
+	"strings"
+	"sync"
+	"time"
+
+	"github.com/pocketbase/pocketbase/apis"
+	"github.com/pocketbase/pocketbase/core"
+	"github.com/pocketbase/pocketbase/tools/router"
+	"github.com/pocketbase/pocketbase/tools/security"
+
+	pbrepo "git.vakhrushev.me/av/transcriber/internal/adapter/repo/pocketbase"
+)
+
+const (
+	// SessionCookieName — имя куки сессии. Имя нормативно: его смена молча
+	// выкидывает всех вошедших.
+	SessionCookieName = "transcriber_session"
+	// stateCookieName — носитель состояния и проверочного кода PKCE. Живёт
+	// один вход и убирается на возврате, каким бы тот ни был.
+	stateCookieName = "transcriber_login"
+
+	// stateCookieMaxAge — потолок времени на вход у провайдера. Дольше носитель
+	// не нужен, а вечный носитель надолго фиксирует состояние.
+	stateCookieMaxAge = 10 * 60
+
+	// exchangeTimeout — потолок обмена кода у провайдера. Без него молчащий
+	// провайдер держит обработчик возврата открытым неограниченно долго, и «медленный»
+	// становится неотличим от «отказал».
+	exchangeTimeout = 15 * time.Second
+)
+
+// AuthHandler ведёт вход, возврат от провайдера и выход.
+//
+// Разбор ответа провайдера остаётся за хранилищем — решение от 2026-08-11.
+// Обмен кода библиотека наружу не отдаёт: он живёт за её собственным адресом,
+// поэтому обработчик возврата зовёт этот адрес внутри процесса, через её же
+// роутер. Цена петли принята решением владельца от 2026-08-12: взамен учётные
+// записи заводит хранилище и они видны в панели.
+type AuthHandler struct {
+	app          core.App
+	logger       *slog.Logger
+	authURL      string
+	redirectURL  string
+	clientID     string
+	secureCookie bool
+
+	// storageMux — роутер хранилища, через который идёт обмен кода. Собирается
+	// один раз: сборка вешает обработчики на само приложение и без
+	// идентификатора, поэтому повторная не заменяет прежние, а добавляет к ним.
+	// Собранный на каждый вход, он копил бы их без предела — и копил бы по
+	// запросу анонима, потому что обмен исполняется раньше обращения к
+	// провайдеру.
+	storageMux     http.Handler
+	storageMuxOnce sync.Once
+	storageMuxErr  error
+}
+
+type AuthHandlerConfig struct {
+	AuthURL      string
+	RedirectURL  string
+	ClientID     string
+	SecureCookie bool
+}
+
+func NewAuthHandler(app core.App, cfg AuthHandlerConfig, logger *slog.Logger) *AuthHandler {
+	if logger == nil {
+		logger = slog.Default()
+	}
+	return &AuthHandler{
+		app:          app,
+		logger:       logger,
+		authURL:      cfg.AuthURL,
+		redirectURL:  cfg.RedirectURL,
+		clientID:     cfg.ClientID,
+		secureCookie: cfg.SecureCookie,
+	}
+}
+
+// Register вешает адреса входа вне пространства `/api`: оно поделено с
+// собственными адресами хранилища.
+func (h *AuthHandler) Register(r *router.Router[*core.RequestEvent]) {
+	// Продление сессии закрывается на всём роутере: адрес приносит хранилище
+	// своим, и перехватить его можно только слоем.
+	r.Bind(BlockSessionRefresh())
+
+	r.GET("/auth/login", h.Login)
+	r.GET("/auth/callback", h.Callback)
+	// Выход берёт POST намеренно: по GET его срабатывание уносится переходом по
+	// чужой ссылке.
+	//
+	// Слой предъявления нужен и здесь: без него выход не знает, чью сессию
+	// обесценивать, — он убрал бы куку и отчитался успехом, оставив унесённое
+	// значение годным. Требования сессии при этом нет: выход без неё убирает
+	// куку и молчит.
+	r.POST("/auth/logout", h.Logout).Bind(SessionFromCookie())
+}
+
+// Login уводит человека к провайдеру, запомнив состояние и проверочный код
+// PKCE у браузера.
+func (h *AuthHandler) Login(e *core.RequestEvent) error {
+	state := security.RandomString(32)
+	verifier := security.RandomString(43)
+
+	e.SetCookie(&http.Cookie{
+		Name:     stateCookieName,
+		Value:    state + ":" + verifier,
+		Path:     "/",
+		MaxAge:   stateCookieMaxAge,
+		HttpOnly: true,
+		Secure:   h.secureCookie,
+		SameSite: http.SameSiteLaxMode,
+	})
+
+	query := url.Values{}
+	query.Set("response_type", "code")
+	query.Set("client_id", h.clientID)
+	query.Set("redirect_uri", h.redirectURL)
+	query.Set("scope", "openid profile email")
+	query.Set("state", state)
+	query.Set("code_challenge", security.S256Challenge(verifier))
+	query.Set("code_challenge_method", "S256")
+
+	separator := "?"
+	if strings.Contains(h.authURL, "?") {
+		separator = "&"
+	}
+
+	return e.Redirect(http.StatusFound, h.authURL+separator+query.Encode())
+}
+
+// Callback принимает возврат от провайдера, сверяет состояние и меняет код на
+// сессию средствами хранилища.
+func (h *AuthHandler) Callback(e *core.RequestEvent) error {
+	// Носитель убирается всегда — и на успехе, и на отказе, — и убирается
+	// **до** записи ответа. Отложенная уборка не работает вовсе: заголовки
+	// фиксируются в момент, когда ответ начинают писать, и позднейшая правка их
+	// карты до браузера не доезжает. Состояние одноразовое ровно этим: пока
+	// носитель жив, переигранный возврат проходит сверку.
+	h.clearStateCookie(e)
+
+	query := e.Request.URL.Query()
+
+	// Всё, что ниже до обмена, — негодный ввод от пришедшего, а не поломка
+	// сервиса: владельцу разбирать нечего, и уровень здесь отладочный. Иначе
+	// обычный отказ человека у провайдера стал бы неотличим от «провайдер лежит».
+	if providerError := query.Get("error"); providerError != "" {
+		h.logger.Debug("Login rejected by provider",
+			"reason", knownProviderError(providerError), "capability", "access", "transport", "http")
+		return e.JSON(http.StatusUnauthorized, map[string]string{"error": "Войти не удалось"})
+	}
+
+	state, verifier, err := h.readStateCookie(e)
+	if err != nil {
+		h.logger.Debug("Login state is missing or malformed",
+			"error", err, "capability", "access", "transport", "http")
+		return e.JSON(http.StatusUnauthorized, map[string]string{"error": "Войти не удалось"})
+	}
+
+	if query.Get("state") != state {
+		h.logger.Debug("Login state mismatch", "capability", "access", "transport", "http")
+		return e.JSON(http.StatusUnauthorized, map[string]string{"error": "Войти не удалось"})
+	}
+
+	code := query.Get("code")
+	if code == "" {
+		h.logger.Debug("Provider returned no code", "capability", "access", "transport", "http")
+		return e.JSON(http.StatusUnauthorized, map[string]string{"error": "Войти не удалось"})
+	}
+
+	token, err := h.exchange(e.Request.Context(), code, verifier)
+	if err != nil {
+		// Отказ обмена — уже про сервис и его связь с провайдером, поэтому
+		// уровень выше. Код провайдера в журнал не идёт: он и есть предъявитель
+		// входа.
+		h.logger.Error("Failed to exchange provider code",
+			"error", err, "capability", "access", "transport", "http")
+		return e.JSON(http.StatusUnauthorized, map[string]string{"error": "Войти не удалось"})
+	}
+
+	h.setSessionCookie(e, token)
+
+	return e.Redirect(http.StatusFound, "/")
+}
+
+// Logout обесценивает выданные учётной записи сессии и убирает куку.
+//
+// Порядок обязателен: сперва обесценивание, потом уборка. При обратном порядке
+// выход, разошедшийся с одновременным входом, оставил бы годную сессию, а
+// человек был бы уверен, что вышел.
+func (h *AuthHandler) Logout(e *core.RequestEvent) error {
+	if e.Auth != nil {
+		// Ключ токенов обновляется у свежей записи: между чтением и записью
+		// могла пройти чужая правка, и полное сохранение устаревшей записи
+		// затёрло бы её.
+		record, err := h.app.FindRecordById(e.Auth.Collection().Id, e.Auth.Id)
+		if err != nil {
+			h.logger.Error("Failed to load account for logout", "error", err, "transport", "http")
+			return e.JSON(http.StatusInternalServerError, map[string]string{"error": "Выйти не удалось"})
+		}
+
+		record.RefreshTokenKey()
+		if err := h.app.Save(record); err != nil {
+			h.logger.Error("Failed to revoke sessions", "error", err, "transport", "http")
+			return e.JSON(http.StatusInternalServerError, map[string]string{"error": "Выйти не удалось"})
+		}
+	}
+
+	h.clearSessionCookie(e)
+
+	return e.JSON(http.StatusOK, map[string]string{"status": "ok"})
+}
+
+// exchange зовёт собственный адрес хранилища внутри процесса. По сети запрос не
+// идёт: роутер поднимается тот же, что обслуживает внешние запросы.
+func (h *AuthHandler) exchange(ctx context.Context, code, verifier string) (string, error) {
+	ctx, cancel := context.WithTimeout(ctx, exchangeTimeout)
+	defer cancel()
+
+	body, err := json.Marshal(map[string]string{
+		"provider":     pbrepo.ProviderName,
+		"code":         code,
+		"codeVerifier": verifier,
+		"redirectURL":  h.redirectURL,
+	})
+	if err != nil {
+		return "", fmt.Errorf("failed to build exchange request: %w", err)
+	}
+
+	request, err := http.NewRequestWithContext(
+		ctx,
+		http.MethodPost,
+		"/api/collections/users/auth-with-oauth2",
+		strings.NewReader(string(body)),
+	)
+	if err != nil {
+		return "", fmt.Errorf("failed to build exchange request: %w", err)
+	}
+	request.Header.Set("Content-Type", "application/json")
+
+	handler, err := h.storageHandler()
+	if err != nil {
+		return "", err
+	}
+
+	recorder := httptest.NewRecorder()
+	handler.ServeHTTP(recorder, request)
+
+	if recorder.Code != http.StatusOK {
+		// Тело ответа наружу не выносится: в нём приезжает описание отказа
+		// провайдера, а оно принадлежит журналу, а не человеку.
+		return "", fmt.Errorf("storage rejected the exchange with code %d", recorder.Code)
+	}
+
+	var response struct {
+		Token string `json:"token"`
+	}
+	if err := json.Unmarshal(recorder.Body.Bytes(), &response); err != nil {
+		return "", fmt.Errorf("failed to read exchange response: %w", err)
+	}
+	if response.Token == "" {
+		return "", errors.New("exchange response carries no session")
+	}
+
+	return response.Token, nil
+}
+
+// knownProviderError приводит причину отказа к перечню известных.
+//
+// Значение приходит строкой запроса и целиком задаётся тем, кто её шлёт: без
+// приведения аноним пишет в журнал что угодно и сколько угодно — предел один,
+// размер заголовков. Журнал же единственное место, где наблюдаются инварианты о
+// молчаливой потере задачи, и вытеснять его чужим текстом нельзя.
+//
+// Приём тот же, каким расширение записи приводится к перечню форматов.
+func knownProviderError(value string) string {
+	switch value {
+	case "access_denied", "invalid_request", "invalid_scope", "server_error",
+		"temporarily_unavailable", "unauthorized_client", "unsupported_response_type",
+		"interaction_required", "login_required", "consent_required":
+		return value
+	default:
+		return "other"
+	}
+}
+
+// storageHandler собирает роутер хранилища один раз и отдаёт его всем
+// последующим обменам.
+func (h *AuthHandler) storageHandler() (http.Handler, error) {
+	h.storageMuxOnce.Do(func() {
+		router, err := apis.NewRouter(h.app)
+		if err != nil {
+			h.storageMuxErr = fmt.Errorf("failed to build storage router: %w", err)
+			return
+		}
+		mux, err := router.BuildMux()
+		if err != nil {
+			h.storageMuxErr = fmt.Errorf("failed to build storage router: %w", err)
+			return
+		}
+		h.storageMux = mux
+	})
+
+	return h.storageMux, h.storageMuxErr
+}
+
+func (h *AuthHandler) readStateCookie(e *core.RequestEvent) (state, verifier string, err error) {
+	cookie, err := e.Request.Cookie(stateCookieName)
+	if err != nil {
+		return "", "", fmt.Errorf("login state cookie is missing: %w", err)
+	}
+
+	state, verifier, found := strings.Cut(cookie.Value, ":")
+	if !found || state == "" || verifier == "" {
+		return "", "", errors.New("login state cookie is malformed")
+	}
+
+	return state, verifier, nil
+}
+
+func (h *AuthHandler) setSessionCookie(e *core.RequestEvent, token string) {
+	e.SetCookie(&http.Cookie{
+		Name:     SessionCookieName,
+		Value:    token,
+		Path:     "/",
+		MaxAge:   pbrepo.SessionDuration,
+		HttpOnly: true,
+		Secure:   h.secureCookie,
+		SameSite: http.SameSiteLaxMode,
+	})
+}
+
+func (h *AuthHandler) clearSessionCookie(e *core.RequestEvent) {
+	e.SetCookie(&http.Cookie{
+		Name:     SessionCookieName,
+		Value:    "",
+		Path:     "/",
+		MaxAge:   -1,
+		HttpOnly: true,
+		Secure:   h.secureCookie,
+		SameSite: http.SameSiteLaxMode,
+	})
+}
+
+func (h *AuthHandler) clearStateCookie(e *core.RequestEvent) {
+	e.SetCookie(&http.Cookie{
+		Name:     stateCookieName,
+		Value:    "",
+		Path:     "/",
+		MaxAge:   -1,
+		HttpOnly: true,
+		Secure:   h.secureCookie,
+		SameSite: http.SameSiteLaxMode,
+	})
+}

internal/controller/http/auth_test.go

@@ -0,0 +1,538 @@
+package http
+
+import (
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+
+	"github.com/pocketbase/pocketbase/apis"
+	"github.com/pocketbase/pocketbase/core"
+	"github.com/stretchr/testify/assert"
+	"github.com/stretchr/testify/require"
+
+	pbrepo "git.vakhrushev.me/av/transcriber/internal/adapter/repo/pocketbase"
+)
+
+// Проверки этого файла судят допуск: кого пускают к приёму и опросу, чем
+// предъявляется сессия, что её прекращает и какие адреса остаются открытыми.
+
+// TestApiRequiresSession — первый критерий приёмки. Запрос без сессии получает
+// отказ и ничего не заводит, а проба здоровья и метрики остаются открытыми.
+func TestApiRequiresSession(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	t.Run("приём записи без сессии", func(t *testing.T) {
+		req := createMultipartRequest(t, "test.mp3", []byte("audio"))
+		w := httptest.NewRecorder()
+
+		env.mux.ServeHTTP(w, req)
+
+		assert.Equal(t, http.StatusUnauthorized, w.Code)
+		assert.NotContains(t, w.Body.String(), "job_id")
+
+		// Ни файла, ни задачи: отказ наступает раньше, чем запись попадает в
+		// хранилище.
+		files, err := env.app.FindAllRecords(pbrepo.FilesCollection)
+		require.NoError(t, err)
+		assert.Empty(t, files)
+
+		jobs, err := env.app.FindAllRecords(pbrepo.JobsCollection)
+		require.NoError(t, err)
+		assert.Empty(t, jobs)
+	})
+
+	t.Run("опрос готовности без сессии", func(t *testing.T) {
+		req := httptest.NewRequest(http.MethodGet, "/api/status/anything", nil)
+		w := httptest.NewRecorder()
+
+		env.mux.ServeHTTP(w, req)
+
+		assert.Equal(t, http.StatusUnauthorized, w.Code)
+		assert.NotContains(t, w.Body.String(), "transcription_text")
+		assert.NotContains(t, w.Body.String(), "created_at")
+	})
+}
+
+// TestUnknownJobIsIndistinguishableWithoutSession: по кодам ответа без сессии не
+// перебирается список заведённых задач.
+func TestUnknownJobIsIndistinguishableWithoutSession(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	created := httptest.NewRecorder()
+	env.serve(created, createMultipartRequest(t, "test.mp3", []byte("audio")))
+	require.Equal(t, http.StatusCreated, created.Code)
+
+	jobs, err := env.app.FindAllRecords(pbrepo.JobsCollection)
+	require.NoError(t, err)
+	require.Len(t, jobs, 1)
+
+	existing := httptest.NewRecorder()
+	env.mux.ServeHTTP(existing, httptest.NewRequest(http.MethodGet, "/api/status/"+jobs[0].Id, nil))
+
+	missing := httptest.NewRecorder()
+	env.mux.ServeHTTP(missing, httptest.NewRequest(http.MethodGet, "/api/status/nosuchjobid", nil))
+
+	assert.Equal(t, http.StatusUnauthorized, existing.Code)
+	assert.Equal(t, missing.Code, existing.Code)
+}
+
+// TestOpenEndpointsStayOpen — вторая сторона границы: проба здоровья и метрики
+// сессии не требуют. Маршруты вешает `main`, поэтому здесь собирается такой же
+// роутер с теми же двумя адресами.
+func TestOpenEndpointsStayOpen(t *testing.T) {
+	app := newTestStorage(t)
+
+	r, err := apis.NewRouter(app)
+	require.NoError(t, err)
+
+	r.GET("/health", func(e *core.RequestEvent) error {
+		return e.JSON(http.StatusOK, map[string]string{"status": "ok"})
+	})
+	r.GET("/metrics", func(e *core.RequestEvent) error {
+		return e.String(http.StatusOK, "# metrics")
+	})
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	for _, path := range []string{"/health", "/metrics"} {
+		w := httptest.NewRecorder()
+		mux.ServeHTTP(w, httptest.NewRequest(http.MethodGet, path, nil))
+		assert.Equal(t, http.StatusOK, w.Code, "адрес %s обязан отвечать без сессии", path)
+	}
+}
+
+// TestSessionSurvivesRestart — второй критерий приёмки. Подпись сессии считается
+// от секрета коллекции и ключа записи, оба лежат в базе, поэтому выкладка
+// вошедших не выкидывает.
+func TestSessionSurvivesRestart(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	before := httptest.NewRecorder()
+	env.serve(before, createMultipartRequest(t, "test.mp3", []byte("audio")))
+	require.Equal(t, http.StatusCreated, before.Code)
+
+	// Сервер пересоздаётся на том же хранилище — то же, что перезапуск процесса
+	// поверх прежнего каталога данных.
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	env.handler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	req := httptest.NewRequest(http.MethodGet, "/api/status/nosuchjobid", nil)
+	req.AddCookie(&http.Cookie{Name: SessionCookieName, Value: env.session})
+	w := httptest.NewRecorder()
+	mux.ServeHTTP(w, req)
+
+	// Прежняя кука прошла проверку: до обработчика дошло, и он ответил про
+	// ненайденную задачу, а не про отсутствующую сессию.
+	assert.Equal(t, http.StatusNotFound, w.Code)
+}
+
+// TestLogoutClosesAccess — третий критерий приёмки. Выход обесценивает выданные
+// сессии, а не только убирает куку.
+func TestLogoutClosesAccess(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	authHandler := NewAuthHandler(env.app, AuthHandlerConfig{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		RedirectURL:  "https://transcriber.example.com/auth/callback",
+		ClientID:     "transcriber",
+		SecureCookie: true,
+	}, nil)
+
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	authHandler.Register(r)
+	env.handler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	logout := httptest.NewRequest(http.MethodPost, "/auth/logout", nil)
+	logout.AddCookie(&http.Cookie{Name: SessionCookieName, Value: env.session})
+	logoutResponse := httptest.NewRecorder()
+	mux.ServeHTTP(logoutResponse, logout)
+	require.Equal(t, http.StatusOK, logoutResponse.Code)
+
+	// Куку выход убирает.
+	assert.Contains(t, logoutResponse.Result().Header.Get("Set-Cookie"), SessionCookieName+"=;")
+
+	// И прежнее значение больше не открывает доступ — этого уборка куки сама по
+	// себе не даёт: унесённое значение работало бы до истечения срока.
+	after := httptest.NewRequest(http.MethodGet, "/api/status/nosuchjobid", nil)
+	after.AddCookie(&http.Cookie{Name: SessionCookieName, Value: env.session})
+	afterResponse := httptest.NewRecorder()
+	mux.ServeHTTP(afterResponse, after)
+
+	assert.Equal(t, http.StatusUnauthorized, afterResponse.Code)
+}
+
+// TestLogoutWhenAccountIsGone: учётной записи, которой предъявлена сессия, уже
+// нет — выход отвечает отказом и не делает вид, что закрыл доступ.
+func TestLogoutWhenAccountIsGone(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	authHandler := NewAuthHandler(env.app, AuthHandlerConfig{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		RedirectURL:  "https://transcriber.example.com/auth/callback",
+		ClientID:     "transcriber",
+		SecureCookie: true,
+	}, nil)
+
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	authHandler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	// Сессия выдана, а запись удалена — так выглядит гонка выхода с удалением
+	// учётной записи в панели.
+	require.NoError(t, env.app.Delete(env.account))
+
+	logout := httptest.NewRequest(http.MethodPost, "/auth/logout", nil)
+	logout.AddCookie(&http.Cookie{Name: SessionCookieName, Value: env.session})
+	w := httptest.NewRecorder()
+	mux.ServeHTTP(w, logout)
+
+	// Записи нет — проверка сессии её не находит, и до обесценивания дело не
+	// доходит: выход отвечает успехом, убрав куку. Доступа при этом всё равно
+	// не осталось, потому что не осталось учётной записи.
+	assert.Equal(t, http.StatusOK, w.Code)
+	assert.Contains(t, w.Result().Header.Get("Set-Cookie"), SessionCookieName+"=;")
+
+	after := httptest.NewRequest(http.MethodGet, "/api/status/nosuchjobid", nil)
+	after.AddCookie(&http.Cookie{Name: SessionCookieName, Value: env.session})
+	afterResponse := httptest.NewRecorder()
+	env.mux.ServeHTTP(afterResponse, after)
+	assert.Equal(t, http.StatusUnauthorized, afterResponse.Code)
+}
+
+// TestLogoutWithoutSession: выход без сессии убирает куку и молчит.
+func TestLogoutWithoutSession(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	authHandler := NewAuthHandler(env.app, AuthHandlerConfig{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		RedirectURL:  "https://transcriber.example.com/auth/callback",
+		ClientID:     "transcriber",
+		SecureCookie: true,
+	}, nil)
+
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	authHandler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	w := httptest.NewRecorder()
+	mux.ServeHTTP(w, httptest.NewRequest(http.MethodPost, "/auth/logout", nil))
+
+	assert.Equal(t, http.StatusOK, w.Code)
+	assert.Contains(t, w.Result().Header.Get("Set-Cookie"), SessionCookieName+"=;")
+}
+
+// TestLoginRedirectsToProvider: вход уводит к провайдеру и запоминает состояние
+// у браузера.
+func TestLoginRedirectsToProvider(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	authHandler := NewAuthHandler(env.app, AuthHandlerConfig{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		RedirectURL:  "https://transcriber.example.com/auth/callback",
+		ClientID:     "transcriber",
+		SecureCookie: true,
+	}, nil)
+
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	authHandler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	w := httptest.NewRecorder()
+	mux.ServeHTTP(w, httptest.NewRequest(http.MethodGet, "/auth/login", nil))
+
+	require.Equal(t, http.StatusFound, w.Code)
+
+	location := w.Result().Header.Get("Location")
+	assert.Contains(t, location, "https://auth.example.com/api/oidc/authorization")
+	assert.Contains(t, location, "code_challenge_method=S256")
+	assert.Contains(t, location, "client_id=transcriber")
+
+	// Носитель состояния несёт те же признаки защиты, что и кука сессии.
+	stateCookie := w.Result().Header.Get("Set-Cookie")
+	assert.Contains(t, stateCookie, stateCookieName)
+	assert.Contains(t, stateCookie, "HttpOnly")
+	assert.Contains(t, stateCookie, "Secure")
+	assert.Contains(t, stateCookie, "SameSite=Lax")
+}
+
+// TestCallbackRejectsForeignState — возврат с невыданным состоянием сессии не
+// открывает и учётной записи не заводит.
+func TestCallbackRejectsForeignState(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	authHandler := NewAuthHandler(env.app, AuthHandlerConfig{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		RedirectURL:  "https://transcriber.example.com/auth/callback",
+		ClientID:     "transcriber",
+		SecureCookie: true,
+	}, nil)
+
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	authHandler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	accountsBefore, err := env.app.FindAllRecords("users")
+	require.NoError(t, err)
+
+	cases := []struct {
+		name   string
+		cookie *http.Cookie
+		query  string
+	}{
+		{
+			name:   "состояния не выдавали вовсе",
+			cookie: nil,
+			query:  "?code=whatever&state=foreign",
+		},
+		{
+			name:   "состояние не совпало с выданным",
+			cookie: &http.Cookie{Name: stateCookieName, Value: "issued:verifier"},
+			query:  "?code=whatever&state=foreign",
+		},
+		{
+			name:   "провайдер вернул отказ",
+			cookie: &http.Cookie{Name: stateCookieName, Value: "issued:verifier"},
+			query:  "?error=access_denied&state=issued",
+		},
+	}
+
+	for _, tc := range cases {
+		t.Run(tc.name, func(t *testing.T) {
+			req := httptest.NewRequest(http.MethodGet, "/auth/callback"+tc.query, nil)
+			if tc.cookie != nil {
+				req.AddCookie(tc.cookie)
+			}
+			w := httptest.NewRecorder()
+			mux.ServeHTTP(w, req)
+
+			assert.Equal(t, http.StatusUnauthorized, w.Code)
+
+			accountsAfter, err := env.app.FindAllRecords("users")
+			require.NoError(t, err)
+			assert.Len(t, accountsAfter, len(accountsBefore))
+
+			// Носитель убирается и на отказном возврате: иначе состояние
+			// осталось бы годным для новой попытки.
+			assert.Contains(t, w.Result().Header.Get("Set-Cookie"), stateCookieName+"=;")
+		})
+	}
+}
+
+// TestHeaderBeatsCookie: предъявленный заголовок побеждает куку.
+func TestHeaderBeatsCookie(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	req := httptest.NewRequest(http.MethodGet, "/api/status/nosuchjobid", nil)
+	req.AddCookie(&http.Cookie{Name: SessionCookieName, Value: "totally-invalid-session"})
+	req.Header.Set("Authorization", env.session)
+
+	w := httptest.NewRecorder()
+	env.mux.ServeHTTP(w, req)
+
+	// Прошёл заголовок: иначе негодная кука дала бы отказ.
+	assert.Equal(t, http.StatusNotFound, w.Code)
+}
+
+// TestSelfServiceAccountsAreClosed — то, ради чего задача вообще имеет смысл.
+// Пока создание записи и вход по паролю открыты, закрытие приёма обходится
+// двумя запросами.
+func TestSelfServiceAccountsAreClosed(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	t.Run("завести учётную запись самому нельзя", func(t *testing.T) {
+		body := strings.NewReader(`{"email":"intruder@example.com","password":"12345678901","passwordConfirm":"12345678901"}`)
+		req := httptest.NewRequest(http.MethodPost, "/api/collections/users/records", body)
+		req.Header.Set("Content-Type", "application/json")
+
+		w := httptest.NewRecorder()
+		env.mux.ServeHTTP(w, req)
+
+		assert.NotEqual(t, http.StatusOK, w.Code)
+		assert.GreaterOrEqual(t, w.Code, http.StatusBadRequest)
+	})
+
+	t.Run("вход паролем недоступен", func(t *testing.T) {
+		body := strings.NewReader(`{"identity":"person@example.com","password":"whatever"}`)
+		req := httptest.NewRequest(http.MethodPost, "/api/collections/users/auth-with-password", body)
+		req.Header.Set("Content-Type", "application/json")
+
+		w := httptest.NewRecorder()
+		env.mux.ServeHTTP(w, req)
+
+		assert.GreaterOrEqual(t, w.Code, http.StatusBadRequest)
+	})
+}
+
+// TestAccessGrantingValuesAreNotLogged — четвёртый критерий приёмки, расширенный
+// ревью дизайна: не печатается ничто, что даёт доступ.
+//
+// Проверка ищет в журнале **значения**, а не имена полей: значение, уехавшее под
+// другим ключом, поиск по ключу не разбудил бы.
+func TestAccessGrantingValuesAreNotLogged(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	created := httptest.NewRecorder()
+	env.serve(created, createMultipartRequest(t, "test.mp3", []byte("audio")))
+	require.Equal(t, http.StatusCreated, created.Code)
+
+	journal := env.journal.String()
+	require.NotEmpty(t, journal, "журнал пуст — проверке не на чем сработать")
+
+	assert.NotContains(t, journal, env.session,
+		"значение сессии в журнале: строка стала бы ключом к чужому доступу")
+	assert.NotContains(t, journal, env.account.Email(),
+		"адрес почты в журнале: он приходит от провайдера и принадлежит человеку")
+}
+
+// TestProviderSecretIsNotLogged: секрет клиента не появляется в журнале при
+// приведении настроек провайдера к конфигу.
+func TestProviderSecretIsNotLogged(t *testing.T) {
+	app := newTestStorage(t)
+
+	const secret = "super-secret-client-value"
+
+	require.NoError(t, pbrepo.ApplyProviderSettings(app, pbrepo.ProviderSettings{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		TokenURL:     "https://auth.example.com/api/oidc/token",
+		UserInfoURL:  "https://auth.example.com/api/oidc/userinfo",
+		ClientID:     "transcriber",
+		ClientSecret: secret,
+	}))
+
+	// Настройка доехала до хранилища — иначе проверка отсутствия секрета в
+	// журнале прошла бы на невыполненной работе.
+	users, err := app.FindCollectionByNameOrId("users")
+	require.NoError(t, err)
+	provider, found := users.OAuth2.GetProviderConfig(pbrepo.ProviderName)
+	require.True(t, found)
+	assert.Equal(t, secret, provider.ClientSecret)
+}
+
+// TestProviderSecretRotationReachesStorage: смена секрета в конфиге доезжает до
+// хранилища. Положенный однажды шагом схемы, он бы не доехал — применённый шаг
+// не переписывается.
+func TestProviderSecretRotationReachesStorage(t *testing.T) {
+	app := newTestStorage(t)
+
+	settings := pbrepo.ProviderSettings{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		TokenURL:     "https://auth.example.com/api/oidc/token",
+		UserInfoURL:  "https://auth.example.com/api/oidc/userinfo",
+		ClientID:     "transcriber",
+		ClientSecret: "first-secret",
+	}
+	require.NoError(t, pbrepo.ApplyProviderSettings(app, settings))
+
+	settings.ClientSecret = "rotated-secret"
+	require.NoError(t, pbrepo.ApplyProviderSettings(app, settings))
+
+	users, err := app.FindCollectionByNameOrId("users")
+	require.NoError(t, err)
+	provider, found := users.OAuth2.GetProviderConfig(pbrepo.ProviderName)
+	require.True(t, found)
+	assert.Equal(t, "rotated-secret", provider.ClientSecret)
+}
+
+// TestRecordFileIsProtected: ссылка на файл перестала быть правом пройти по ней.
+func TestRecordFileIsProtected(t *testing.T) {
+	app := newTestStorage(t)
+
+	files, err := app.FindCollectionByNameOrId(pbrepo.FilesCollection)
+	require.NoError(t, err)
+
+	field, ok := files.Fields.GetByName("file").(*core.FileField)
+	require.True(t, ok)
+	assert.True(t, field.Protected,
+		"поле файла не защищено: знание ссылки снова стало бы доступом, а отзыва у неё нет")
+}
+
+// TestRecordFileNeedsSession: ссылка на файл записи без сессии отказывает, а
+// конвейер тот же файл по-прежнему читает — он ходит в файловую систему, а не по
+// ссылке.
+func TestRecordFileNeedsSession(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	created := httptest.NewRecorder()
+	env.serve(created, createMultipartRequest(t, "test.mp3", []byte("audio content")))
+	require.Equal(t, http.StatusCreated, created.Code)
+
+	files, err := env.app.FindAllRecords(pbrepo.FilesCollection)
+	require.NoError(t, err)
+	require.Len(t, files, 1)
+
+	names := files[0].GetStringSlice("file")
+	require.Len(t, names, 1)
+
+	link := "/api/files/" + pbrepo.FilesCollection + "/" + files[0].Id + "/" + names[0]
+
+	anonymous := httptest.NewRecorder()
+	env.mux.ServeHTTP(anonymous, httptest.NewRequest(http.MethodGet, link, nil))
+	// Отказ приходит кодом «не найдено»: защищённый файл не раскрывает даже
+	// своего существования. До пометки поля защищённым эта же ссылка отдавала
+	// содержимое кому угодно — знание ссылки и было доступом.
+	assert.Equal(t, http.StatusNotFound, anonymous.Code,
+		"ссылка отдала файл без сессии: знание ссылки снова стало доступом")
+	assert.NotContains(t, anonymous.Body.String(), "audio content")
+
+	// Конвейер читает тот же файл своим путём — из файловой системы хранилища.
+	fileRepo := pbrepo.NewFileRepository(env.app)
+	reader, err := fileRepo.Open(files[0].Id)
+	require.NoError(t, err)
+	defer func() {
+		assert.NoError(t, reader.Close())
+	}()
+
+	content := make([]byte, len("audio content"))
+	_, err = reader.Read(content)
+	require.NoError(t, err)
+	assert.Equal(t, "audio content", string(content))
+}
+
+// TestSessionLifetimeIsAssigned: срок жизни сессии назначен нами, а не достался
+// умолчанием библиотеки в пять суток.
+//
+// Назначается он приведением настроек при подъёме, а не шагом схемы: применённый
+// шаг не переписывается, и число, положенное туда, разошлось бы со сроком жизни
+// куки при первой же правке.
+func TestSessionLifetimeIsAssigned(t *testing.T) {
+	app := newTestStorage(t)
+
+	users, err := app.FindCollectionByNameOrId("users")
+	require.NoError(t, err)
+	require.NotEqual(t, int64(pbrepo.SessionDuration), users.AuthToken.Duration,
+		"шаг схемы назначил срок сам — тогда правка числа до хранилища не доедет")
+
+	require.NoError(t, pbrepo.ApplyProviderSettings(app, pbrepo.ProviderSettings{
+		AuthURL:      "https://auth.example.com/api/oidc/authorization",
+		TokenURL:     "https://auth.example.com/api/oidc/token",
+		UserInfoURL:  "https://auth.example.com/api/oidc/userinfo",
+		ClientID:     "transcriber",
+		ClientSecret: "local-test-secret",
+	}))
+
+	users, err = app.FindCollectionByNameOrId("users")
+	require.NoError(t, err)
+	assert.Equal(t, int64(pbrepo.SessionDuration), users.AuthToken.Duration)
+}

internal/controller/http/login_test.go

@@ -0,0 +1,352 @@
+package http
+
+import (
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"net/url"
+	"reflect"
+	"strings"
+	"testing"
+
+	"github.com/pocketbase/pocketbase/apis"
+	"github.com/pocketbase/pocketbase/core"
+	"github.com/stretchr/testify/assert"
+	"github.com/stretchr/testify/require"
+
+	pbrepo "git.vakhrushev.me/av/transcriber/internal/adapter/repo/pocketbase"
+)
+
+// Проверки этого файла проходят вход целиком — от увода к провайдеру до куки
+// сессии. Без них сердцевина изменения не исполнялась ни разу: прочие проверки
+// заводят учётную запись прямым сохранением и останавливаются раньше обмена.
+
+// fakeProvider — подставной провайдер OIDC. Отдаёт токен и сведения о человеке,
+// считая обращения: по счётчику видно, дошло ли до сети вообще.
+type fakeProvider struct {
+	server     *httptest.Server
+	tokenHits  int
+	failToken  bool
+	subject    string
+	emailValue string
+}
+
+func newFakeProvider(t *testing.T) *fakeProvider {
+	t.Helper()
+
+	provider := &fakeProvider{subject: "person-sub-1", emailValue: "person@example.com"}
+
+	write := func(w http.ResponseWriter, body string) {
+		if _, err := w.Write([]byte(body)); err != nil {
+			t.Errorf("подставной провайдер не ответил: %v", err)
+		}
+	}
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/token", func(w http.ResponseWriter, r *http.Request) {
+		provider.tokenHits++
+		if provider.failToken {
+			w.WriteHeader(http.StatusBadRequest)
+			write(w, `{"error":"invalid_grant"}`)
+			return
+		}
+		w.Header().Set("Content-Type", "application/json")
+		write(w, `{"access_token":"provider-access-token","token_type":"bearer","expires_in":3600}`)
+	})
+	mux.HandleFunc("/userinfo", func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Content-Type", "application/json")
+		write(w, `{"sub":"`+provider.subject+`","email":"`+provider.emailValue+`","name":"Person","email_verified":true}`)
+	})
+
+	provider.server = httptest.NewServer(mux)
+	t.Cleanup(provider.server.Close)
+
+	return provider
+}
+
+// loginEnv — окружение проверки входа: хранилище с настроенным подставным
+// провайдером и собранный роутер со всеми слоями.
+type loginEnv struct {
+	app      core.App
+	mux      http.Handler
+	handler  *AuthHandler
+	provider *fakeProvider
+}
+
+func setupLoginEnv(t *testing.T) *loginEnv {
+	t.Helper()
+
+	app := newTestStorage(t)
+	provider := newFakeProvider(t)
+
+	require.NoError(t, pbrepo.ApplyProviderSettings(app, pbrepo.ProviderSettings{
+		AuthURL:      provider.server.URL + "/authorize",
+		TokenURL:     provider.server.URL + "/token",
+		UserInfoURL:  provider.server.URL + "/userinfo",
+		ClientID:     "transcriber",
+		ClientSecret: "local-test-secret",
+	}))
+
+	handler := NewAuthHandler(app, AuthHandlerConfig{
+		AuthURL:      provider.server.URL + "/authorize",
+		RedirectURL:  "https://transcriber.example.com/auth/callback",
+		ClientID:     "transcriber",
+		SecureCookie: true,
+	}, nil)
+
+	r, err := apis.NewRouter(app)
+	require.NoError(t, err)
+	handler.Register(r)
+
+	mux, err := r.BuildMux()
+	require.NoError(t, err)
+
+	return &loginEnv{app: app, mux: mux, handler: handler, provider: provider}
+}
+
+// startLogin проходит первый шаг входа и отдаёт носитель состояния вместе с
+// выданным состоянием — тем, что сервис ждёт обратно.
+func (e *loginEnv) startLogin(t *testing.T) (cookie *http.Cookie, state string) {
+	t.Helper()
+
+	w := httptest.NewRecorder()
+	e.mux.ServeHTTP(w, httptest.NewRequest(http.MethodGet, "/auth/login", nil))
+	require.Equal(t, http.StatusFound, w.Code)
+
+	for _, c := range w.Result().Cookies() {
+		if c.Name == stateCookieName {
+			cookie = c
+		}
+	}
+	require.NotNil(t, cookie, "носитель состояния не поставлен")
+
+	location, err := url.Parse(w.Result().Header.Get("Location"))
+	require.NoError(t, err)
+	state = location.Query().Get("state")
+	require.NotEmpty(t, state)
+
+	return cookie, state
+}
+
+// TestLoginCreatesAccountAndSession — вход целиком: человека заводят по слову
+// провайдера, и он получает сессию.
+//
+// Без этой проверки закрытое создание записи в коллекции пользователей выглядит
+// работающим: прочие проверки заводят запись мимо входа.
+func TestLoginCreatesAccountAndSession(t *testing.T) {
+	env := setupLoginEnv(t)
+
+	before, err := env.app.FindAllRecords("users")
+	require.NoError(t, err)
+	require.Empty(t, before, "учётных записей быть не должно: шаг схемы их не заводит")
+
+	cookie, state := env.startLogin(t)
+
+	req := httptest.NewRequest(http.MethodGet, "/auth/callback?code=provider-code&state="+state, nil)
+	req.AddCookie(cookie)
+	w := httptest.NewRecorder()
+	env.mux.ServeHTTP(w, req)
+
+	require.Equal(t, http.StatusFound, w.Code, "вход не прошёл: тело %s", w.Body.String())
+	assert.Equal(t, 1, env.provider.tokenHits, "обмен до провайдера не дошёл")
+
+	after, err := env.app.FindAllRecords("users")
+	require.NoError(t, err)
+	require.Len(t, after, 1, "учётная запись не заведена — войти не может никто")
+
+	var session *http.Cookie
+	for _, c := range w.Result().Cookies() {
+		if c.Name == SessionCookieName {
+			session = c
+		}
+	}
+	require.NotNil(t, session, "кука сессии не поставлена")
+
+	// Признаки куки нормативны: их потеря делает сессию доступной скриптам либо
+	// уносит её по незашифрованному соединению.
+	assert.True(t, session.HttpOnly)
+	assert.True(t, session.Secure)
+	assert.Equal(t, http.SameSiteLaxMode, session.SameSite)
+	assert.Equal(t, pbrepo.SessionDuration, session.MaxAge)
+	assert.NotEmpty(t, session.Value)
+
+	// Носитель состояния убран — и убран так, что это видно готовому ответу, а
+	// не только живой карте заголовков.
+	var cleared bool
+	for _, c := range w.Result().Cookies() {
+		if c.Name == stateCookieName && c.MaxAge < 0 {
+			cleared = true
+		}
+	}
+	assert.True(t, cleared, "носитель состояния пережил возврат")
+
+	// Выданная сессия открывает доступ к закрытым адресам.
+	check := httptest.NewRequest(http.MethodGet, "/api/status/nosuchjobid", nil)
+	check.AddCookie(session)
+	checkResponse := httptest.NewRecorder()
+
+	r, err := apis.NewRouter(env.app)
+	require.NoError(t, err)
+	NewTranscribeHandler(pbrepo.NewTranscriptJobRepository(env.app), nil, nil).Register(r)
+	checkMux, err := r.BuildMux()
+	require.NoError(t, err)
+	checkMux.ServeHTTP(checkResponse, check)
+
+	assert.Equal(t, http.StatusNotFound, checkResponse.Code,
+		"сессия не открыла доступ: получен %d", checkResponse.Code)
+}
+
+// TestSelfServiceRegistrationStaysClosed: правило создания пускает обмен и не
+// пускает постороннего.
+func TestSelfServiceRegistrationStaysClosed(t *testing.T) {
+	env := setupLoginEnv(t)
+
+	body := strings.NewReader(`{"email":"intruder@example.com","password":"12345678901","passwordConfirm":"12345678901"}`)
+	req := httptest.NewRequest(http.MethodPost, "/api/collections/users/records", body)
+	req.Header.Set("Content-Type", "application/json")
+
+	w := httptest.NewRecorder()
+	env.mux.ServeHTTP(w, req)
+
+	assert.GreaterOrEqual(t, w.Code, http.StatusBadRequest,
+		"посторонний завёл себе учётную запись: %s", w.Body.String())
+
+	accounts, err := env.app.FindAllRecords("users")
+	require.NoError(t, err)
+	assert.Empty(t, accounts)
+}
+
+// TestCallbackDoesNotLeakHooks: обмен не копит обработчики приложения.
+//
+// Сборка роутера хранилища вешает обработчики на само приложение и без
+// идентификатора, поэтому повторная не заменяет прежние. Собранный на каждый
+// вход, роутер копил бы их без предела — и копил бы по запросу анонима, потому
+// что обмен исполняется раньше обращения к провайдеру.
+func TestCallbackDoesNotLeakHooks(t *testing.T) {
+	env := setupLoginEnv(t)
+
+	count := func() int {
+		hook := reflect.ValueOf(env.app.OnModelAfterCreateSuccess()).Elem().FieldByName("handlers")
+		return hook.Len()
+	}
+
+	// Первый вход собирает роутер — с него и считаем.
+	cookie, state := env.startLogin(t)
+	first := httptest.NewRequest(http.MethodGet, "/auth/callback?code=c&state="+state, nil)
+	first.AddCookie(cookie)
+	env.mux.ServeHTTP(httptest.NewRecorder(), first)
+
+	before := count()
+
+	for range 20 {
+		cookie, state := env.startLogin(t)
+		req := httptest.NewRequest(http.MethodGet, "/auth/callback?code=c&state="+state, nil)
+		req.AddCookie(cookie)
+		env.mux.ServeHTTP(httptest.NewRecorder(), req)
+	}
+
+	assert.Equal(t, before, count(),
+		"обработчики копятся: 20 входов добавили %d", count()-before)
+}
+
+// TestSessionRefreshIsClosed: сессия не продлевает саму себя.
+//
+// При живом продлении срок её жизни ничего не значит, а вместе с ним перестаёт
+// работать единственный канал, которым отзыв доступа у провайдера доходит до
+// сервиса.
+func TestSessionRefreshIsClosed(t *testing.T) {
+	env := setupLoginEnv(t)
+
+	cookie, state := env.startLogin(t)
+	req := httptest.NewRequest(http.MethodGet, "/auth/callback?code=provider-code&state="+state, nil)
+	req.AddCookie(cookie)
+	w := httptest.NewRecorder()
+	env.mux.ServeHTTP(w, req)
+	require.Equal(t, http.StatusFound, w.Code)
+
+	var session *http.Cookie
+	for _, c := range w.Result().Cookies() {
+		if c.Name == SessionCookieName {
+			session = c
+		}
+	}
+	require.NotNil(t, session)
+
+	refresh := httptest.NewRequest(http.MethodPost, RefreshPath, nil)
+	refresh.Header.Set("Authorization", session.Value)
+	refreshResponse := httptest.NewRecorder()
+	env.mux.ServeHTTP(refreshResponse, refresh)
+
+	assert.Equal(t, http.StatusNotFound, refreshResponse.Code,
+		"сессия продлилась: %s", refreshResponse.Body.String())
+
+	// И нового значения в ответе нет — продлевать нечем.
+	assert.NotContains(t, refreshResponse.Body.String(), `"token"`)
+}
+
+// TestCallbackRejectsProviderFailure: отказ обмена не открывает сессию.
+func TestCallbackRejectsProviderFailure(t *testing.T) {
+	env := setupLoginEnv(t)
+	env.provider.failToken = true
+
+	cookie, state := env.startLogin(t)
+	req := httptest.NewRequest(http.MethodGet, "/auth/callback?code=provider-code&state="+state, nil)
+	req.AddCookie(cookie)
+	w := httptest.NewRecorder()
+	env.mux.ServeHTTP(w, req)
+
+	assert.Equal(t, http.StatusUnauthorized, w.Code)
+
+	for _, c := range w.Result().Cookies() {
+		assert.NotEqual(t, SessionCookieName, c.Name, "сессия открыта на отказе обмена")
+	}
+
+	accounts, err := env.app.FindAllRecords("users")
+	require.NoError(t, err)
+	assert.Empty(t, accounts)
+}
+
+// TestRecordFileNeedsSessionAndToken: файл записи отдаётся вошедшему и не
+// отдаётся анониму.
+func TestRecordFileNeedsSessionAndToken(t *testing.T) {
+	env := setupTestEnv(t, readableMetaViewer())
+
+	created := httptest.NewRecorder()
+	env.serve(created, createMultipartRequest(t, "test.mp3", []byte("audio content")))
+	require.Equal(t, http.StatusCreated, created.Code)
+
+	files, err := env.app.FindAllRecords(pbrepo.FilesCollection)
+	require.NoError(t, err)
+	require.Len(t, files, 1)
+
+	names := files[0].GetStringSlice("file")
+	require.Len(t, names, 1)
+	link := "/api/files/" + pbrepo.FilesCollection + "/" + files[0].Id + "/" + names[0]
+
+	// Аноним не проходит.
+	anonymous := httptest.NewRecorder()
+	env.mux.ServeHTTP(anonymous, httptest.NewRequest(http.MethodGet, link, nil))
+	assert.GreaterOrEqual(t, anonymous.Code, http.StatusBadRequest)
+	assert.NotContains(t, anonymous.Body.String(), "audio content")
+
+	// Вошедший берёт короткоживущий токен файла и проходит по ссылке с ним:
+	// защищённый файл судится этим токеном, а не сессионной кукой.
+	tokenRequest := httptest.NewRequest(http.MethodPost, "/api/files/token", nil)
+	tokenRequest.Header.Set("Authorization", env.session)
+	tokenResponse := httptest.NewRecorder()
+	env.mux.ServeHTTP(tokenResponse, tokenRequest)
+	require.Equal(t, http.StatusOK, tokenResponse.Code, "токен файла не выдан: %s", tokenResponse.Body.String())
+
+	var payload struct {
+		Token string `json:"token"`
+	}
+	require.NoError(t, json.Unmarshal(tokenResponse.Body.Bytes(), &payload))
+	require.NotEmpty(t, payload.Token)
+
+	withToken := httptest.NewRecorder()
+	env.mux.ServeHTTP(withToken, httptest.NewRequest(http.MethodGet, link+"?token="+payload.Token, nil))
+
+	assert.Equal(t, http.StatusOK, withToken.Code,
+		"вошедший не получил файл: %d", withToken.Code)
+	assert.Contains(t, withToken.Body.String(), "audio content")
+}

internal/controller/http/session.go

@@ -0,0 +1,72 @@
+package http
+
+import (
+	"net/http"
+
+	"github.com/pocketbase/pocketbase/apis"
+	"github.com/pocketbase/pocketbase/core"
+	"github.com/pocketbase/pocketbase/tools/hook"
+)
+
+// RefreshPath — адрес хранилища, которым сессия продлевает саму себя.
+const RefreshPath = "/api/collections/users/auth-refresh"
+
+// BlockSessionRefresh закрывает продление сессии.
+//
+// Хранилище выдаёт сессию продлеваемой: предъявитель значения меняет его на
+// новое, с новым сроком, и делает это сколько угодно раз, никуда не входя. При
+// живом продлении срок жизни сессии перестаёт что-либо значить, а вместе с ним
+// перестаёт работать единственный канал, которым отзыв доступа у провайдера
+// доходит до сервиса, — сервис после входа к провайдеру не обращается.
+//
+// Решение владельца от 2026-08-12: продление выключено, цена — вход раз в
+// семь суток.
+func BlockSessionRefresh() *hook.Handler[*core.RequestEvent] {
+	return &hook.Handler[*core.RequestEvent]{
+		Id:       "transcriberBlockSessionRefresh",
+		Priority: apis.DefaultLoadAuthTokenMiddlewarePriority - 2,
+		Func: func(e *core.RequestEvent) error {
+			if e.Request.URL.Path == RefreshPath {
+				return e.JSON(http.StatusNotFound, map[string]string{
+					"error": "Продление сессии выключено",
+				})
+			}
+
+			return e.Next()
+		},
+	}
+}
+
+// SessionFromCookie перекладывает значение куки сессии в заголовок, которым
+// хранилище читает предъявленную сессию.
+//
+// Куки хранилище не читает вовсе — только заголовок `Authorization`. Браузер же
+// сам заголовка не шлёт, а своей страницы со скриптом у сервиса нет, поэтому
+// сессия предъявляется кукой, а способ проверки остаётся один.
+//
+// Предъявленный заголовок побеждает: иначе браузер с сессионной кукой получал
+// бы на собственных адресах хранилища не то, что предъявил.
+//
+// Слой стоит раньше проверки токена: тот идёт с приоритетом
+// DefaultLoadAuthTokenMiddlewarePriority и к этому моменту заголовок должен
+// быть на месте.
+func SessionFromCookie() *hook.Handler[*core.RequestEvent] {
+	return &hook.Handler[*core.RequestEvent]{
+		Id:       "transcriberSessionFromCookie",
+		Priority: apis.DefaultLoadAuthTokenMiddlewarePriority - 1,
+		Func: func(e *core.RequestEvent) error {
+			if e.Request.Header.Get("Authorization") != "" {
+				return e.Next()
+			}
+
+			cookie, err := e.Request.Cookie(SessionCookieName)
+			if err != nil || cookie.Value == "" {
+				return e.Next()
+			}
+
+			e.Request.Header.Set("Authorization", cookie.Value)
+
+			return e.Next()
+		},
+	}
+}

internal/controller/http/transcribe.go

@@ -44,6 +44,14 @@ type GetTranscribeJobResponse struct {
 // сохранены — публичный контракт API объявлен необратимым.
 func (h *TranscribeHandler) Register(r *router.Router[*core.RequestEvent]) {
 	api := r.Group("/api")
+
+	// Оба адреса уходят за аутентификацию. Слой предъявления стоит перед
+	// проверкой и действует только здесь: собственная поверхность хранилища под
+	// него не подпадает, часть её защищена ровно тем, что браузер заголовка сам
+	// не шлёт.
+	api.Bind(SessionFromCookie())
+	api.Bind(apis.RequireAuth())
+
 	// Умолчание роутера хранилища — 32 МиБ на тело, и оно отсекало бы запись
 	// раньше обработчика, без строки в журнале приёма. Приём размеру не судья,
 	// поэтому предел тела равен потолку самой записи.

internal/controller/http/transcribe_test.go

@@ -70,6 +70,50 @@ type testEnv struct {
 	handler *TranscribeHandler
 	app     core.App
 	journal *journalBuffer
+	// session — значение сессии вошедшего. Приём и опрос закрыты за
+	// аутентификацией, и проверка, судящая их по существу, обязана предъявить
+	// сессию ровно так же, как это делает браузер.
+	session string
+	// account — учётная запись, которой выдана сессия. Нужна проверкам выхода.
+	account *core.Record
+}
+
+// serve шлёт запрос от имени вошедшего: сессия предъявляется кукой — тем же
+// способом, каким её предъявляет браузер. Заголовок проверки не ставят: куку в
+// него перекладывает слой предъявления, и подмена его здесь означала бы проверку
+// не той цепочки.
+//
+// Проверки, судящие отказ без сессии, зовут `mux` напрямую.
+func (e *testEnv) serve(w http.ResponseWriter, req *http.Request) {
+	req.AddCookie(&http.Cookie{Name: SessionCookieName, Value: e.session})
+	e.mux.ServeHTTP(w, req)
+}
+
+// newTestAccount заводит учётную запись и выдаёт ей сессию.
+//
+// Запись создаётся прямым сохранением, а не запросом к API: заводить её
+// запросом больше нельзя — создание закрыто шагом схемы, и в этом весь смысл
+// изменения. Прямое сохранение идёт мимо правил доступа так же, как идёт вход,
+// когда учётную запись заводит само хранилище.
+func newTestAccount(t *testing.T, app core.App) (*core.Record, string) {
+	t.Helper()
+
+	users, err := app.FindCollectionByNameOrId("users")
+	require.NoError(t, err)
+
+	record := core.NewRecord(users)
+	record.Set("email", "person@example.com")
+	record.Set("verified", true)
+	// Случайный пароль ставит и само хранилище, когда заводит запись по входу у
+	// провайдера: запись auth-коллекции без пароля не сохраняется, а войти по
+	// нему всё равно нельзя — парольный вход выключен шагом схемы.
+	record.SetRandomPassword()
+	require.NoError(t, app.Save(record))
+
+	token, err := record.NewAuthToken()
+	require.NoError(t, err)
+
+	return record, token
 }
 
 // journalBuffer — перехваченный журнал одной проверки. Свой на случай: общий на
@@ -147,7 +191,16 @@ func setupTestEnv(t *testing.T, metaviewer contract.AudioMetaViewer) *testEnv {
 	mux, err := r.BuildMux()
 	require.NoError(t, err)
 
-	return &testEnv{mux: mux, handler: handler, app: app, journal: journal}
+	account, session := newTestAccount(t, app)
+
+	return &testEnv{
+		mux:     mux,
+		handler: handler,
+		app:     app,
+		journal: journal,
+		session: session,
+		account: account,
+	}
 }
 
 // createMultipartRequest собирает запрос из имени и содержимого. Файла на диске
@@ -241,7 +294,7 @@ func TestCreateTranscribeJob_Success(t *testing.T) {
 	req := createMultipartRequest(t, "sample.m4a", content)
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -304,7 +357,7 @@ func TestCreateTranscribeJob_NoFile(t *testing.T) {
 			env := setupTestEnv(t, readableMetaViewer())
 
 			w := httptest.NewRecorder()
-			env.mux.ServeHTTP(w, tc.req(t))
+			env.serve(w, tc.req(t))
 
 			require.Equal(t, http.StatusBadRequest, w.Code)
 
@@ -327,7 +380,7 @@ func TestCreateTranscribeJob_EmptyFile(t *testing.T) {
 	req := createMultipartRequest(t, "empty.m4a", nil)
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -374,7 +427,7 @@ func TestCreateTranscribeJob_DifferentFileExtensions(t *testing.T) {
 			req := createMultipartRequest(t, tc.fileName, []byte("запись"))
 
 			w := httptest.NewRecorder()
-			env.mux.ServeHTTP(w, req)
+			env.serve(w, req)
 
 			require.Equal(t, http.StatusCreated, w.Code)
 
@@ -400,7 +453,7 @@ func TestCreateTranscribeJob_SenderFileNameNotStored(t *testing.T) {
 	req := createMultipartRequest(t, "секретное-слово.mp3", []byte("запись"))
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -419,7 +472,7 @@ func TestCreateTranscribeJob_MetaViewerFailure(t *testing.T) {
 	req := createMultipartRequest(t, "broken.m4a", []byte("не запись вовсе"))
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusInternalServerError, w.Code)
 
@@ -459,7 +512,7 @@ func TestCreateTranscribeJob_SenderFileNameNotLogged(t *testing.T) {
 	req := createMultipartRequest(t, senderNameMarker+".mp3", []byte("запись"))
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -482,7 +535,7 @@ func TestCreateTranscribeJob_SenderFileNameNotLoggedOnFailure(t *testing.T) {
 	req := createMultipartRequest(t, senderNameMarker+".mp3", []byte("не запись вовсе"))
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusInternalServerError, w.Code)
 
@@ -507,7 +560,7 @@ func TestCreateTranscribeJob_StorageFileNameNotLogged(t *testing.T) {
 	req := createMultipartRequest(t, "sample.mp3", []byte("запись"))
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -528,7 +581,7 @@ func TestCreateTranscribeJob_JournalTracesRecord(t *testing.T) {
 	req := createMultipartRequest(t, "sample.mp3", content)
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -593,7 +646,7 @@ func TestCreateTranscribeJob_MetricLabelCarriesNoSenderName(t *testing.T) {
 	req := createMultipartRequest(t, "sample."+senderNameMarker, []byte("запись"))
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusCreated, w.Code)
 
@@ -622,7 +675,7 @@ func TestGetTranscribeJobStatus_Success(t *testing.T) {
 	req := httptest.NewRequest("GET", "/api/status/"+job.Id, http.NoBody)
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusOK, w.Code)
 
@@ -642,7 +695,7 @@ func TestGetTranscribeJobStatus_NoTranscriptionText(t *testing.T) {
 	req := httptest.NewRequest("GET", "/api/status/"+job.Id, http.NoBody)
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusOK, w.Code)
 
@@ -664,7 +717,7 @@ func TestGetTranscribeJobStatus_NotFound(t *testing.T) {
 	req := httptest.NewRequest("GET", "/api/status/non-existent-id", http.NoBody)
 
 	w := httptest.NewRecorder()
-	env.mux.ServeHTTP(w, req)
+	env.serve(w, req)
 
 	require.Equal(t, http.StatusNotFound, w.Code)