P0 batch 1: JPEG/GIF fixes, webhook 503, allowed_updates, LICENSE/SECURITY (AUD-E-001, AUD-E-002, AUD-E-003, AUD-J-001, AUD-O-001, AUD-D-007)

.gitignore

@@ -19,6 +19,8 @@ chat_state.json
 chat_state.tmp
 global_quota.json
 global_quota.tmp
+# Выгрузка state-backup.yml: полные истории чатов — никогда в коммит (AUD-D-007)
+export_state.json
 
 # ОС/редакторы
 .DS_Store

LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 S1lverElixir
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

SECURITY.md

@@ -0,0 +1,10 @@
+# Security Policy
+
+Нашли уязвимость — напишите владельцу через GitHub Issues (приватно, без деталей
+эксплуатации в публичном тексте) или в личных сообщениях Telegram-бота.
+
+Что полезно прислать: где (файл и строка), что может сделать атакующий,
+как воспроизвести на тестовом окружении. Не присылайте боевые ключи и токены.
+
+Секреты в `.env` и переменные окружения никогда не коммитятся (см. `.gitignore`).
+Если ключ утек — скажите об этом прямо, ключ будет перевыпущен.

bot.py

@@ -55,6 +55,7 @@ from aiogram.types import (
     Update,
 )
 from fastapi import FastAPI, Request
+from fastapi.responses import JSONResponse
 from google import genai
 from google.genai import types
 
@@ -1256,7 +1257,7 @@ async def get_webhook_url(request: Request) -> dict[str, str]:
     }
 
 @app.post("/webhook")
-async def webhook_handler(request: Request) -> dict[str, bool]:
+async def webhook_handler(request: Request) -> Any:
     token = request.headers.get("X-Telegram-Bot-Api-Secret-Token", "")
     if not hmac.compare_digest(token, WEBHOOK_SECRET):
         log.warning("[webhook] Rejected request with invalid secret token")
@@ -1266,7 +1267,9 @@ async def webhook_handler(request: Request) -> dict[str, bool]:
         if bot is not None:
             _track_inflight_task(asyncio.create_task(_process_raw_update(body)))
         else:
-            log.warning("[webhook] Bot not initialized yet, dropping update")
+            # 503 вместо 200: пусть Telegram повторит апдейт, а не считает дроп успехом (AUD-E-003).
+            log.warning("[webhook] Bot not initialized yet, asking Telegram to retry")
+            return JSONResponse(status_code=503, content={"ok": False, "retry": True})
     except Exception as exc:
         log.warning("[webhook] Failed to process incoming update: %s", exc)
     return {"ok": True}
@@ -1349,7 +1352,9 @@ async def export_state(request: Request) -> dict[str, Any]:
         "global_quota": GLOBAL_QUOTA,
     }
 
-ALLOWED_UPDATES = ["message", "edited_message", "callback_query", "guest_message"]
+# Только настоящие типы Update из Bot API: "guest_message" здесь был бы ошибкой
+# (Telegram ответил бы 400 и бот замолчал бы) — гости идут через answerGuestQuery, а не подписку (AUD-J-001).
+ALLOWED_UPDATES = ["message", "edited_message", "callback_query"]
 
 # хранение состояния и квот
 

lumen_images.py

@@ -120,7 +120,7 @@ async def _pollinations_generate(session: aiohttp.ClientSession, model_name: str
         if resp.status == 200:
             ctype = (resp.headers.get("Content-Type") or "").lower()
             body = await resp.read()
-            if body and (ctype.startswith("image/") or body[:4] in (b"\x89PNG", b"\xff\xd8\xff", b"RIFF", b"GIF8")):
+            if body and (ctype.startswith("image/") or body.startswith((b"\x89PNG", b"\xff\xd8\xff", b"RIFF", b"GIF8"))):
                 return body
             raise RuntimeError(f"Pollinations вернул не-изображение: {ctype}")
         raise RuntimeError(f"Pollinations.ai HTTP {resp.status}")

lumen_media.py

@@ -160,12 +160,12 @@ def _ensure_prompt_text(text: str | None, mime: str) -> str:
     if s:
         return s
     m = mime.lower()
+    if m == "image/gif" or "animation" in m:
+        return "Подробно опиши происходящее на этой анимации."
     if m.startswith("image/"):
-         return "Подробно опиши, что изображено на картинке."
+        return "Подробно опиши, что изображено на картинке."
     if m.startswith("video/") or m == "video/quicktime":
          return "Подробно опиши происходящее на этом видео."
     if m.startswith("audio/") or m == "audio/ogg" or m == "audio/mpeg" or m == "audio/mp3" or "voice" in m:
          return "Прослушай и подробно опиши, что на этой аудиозаписи, или кратко перескажи ее содержание."
-    if m == "image/gif" or "animation" in m:
-         return "Подробно опиши происходящее на этой анимации."
     return "Проанализируй и подробно опиши содержимое этого вложения."

test_bot.py

@@ -136,6 +136,12 @@ def test_sanitize_mime_type_audio_ogg_passthrough():
     assert bot._sanitize_mime_type(None, "audio/ogg") == "audio/ogg"
 
 
+def test_ensure_prompt_text_gif_gets_animation_prompt_not_generic_image():
+    assert "анимации" in bot._ensure_prompt_text(None, "image/gif")
+    assert "анимации" in bot._ensure_prompt_text("  ", "image/GIF")
+    assert "картинке" in bot._ensure_prompt_text(None, "image/jpeg")
+
+
 # ─────────────────────────── is_tiktok / is_youtube ───────────────────────────
 
 def test_is_tiktok_true_for_tiktok_url():
@@ -3845,8 +3851,8 @@ def test_webhook_handler_rejects_invalid_or_missing_secret_and_does_not_dispatch
 
 def test_webhook_handler_drops_update_when_bot_not_yet_initialized():
     # Апдейт может прийти раньше, чем main() успеет создать глобальный bot (Bot/
-    # genai.Client создаются уже после старта uvicorn) — должен тихо отбрасываться,
-    # а не падать, и не пытаться диспатчить апдейт в ещё не готового бота.
+    # genai.Client создаются уже после старта uvicorn) — отвечаем 503, чтобы
+    # Telegram повторил апдейт, а не считаем дроп успехом (AUD-E-003).
     original_secret = bot.WEBHOOK_SECRET
     original_bot_obj = bot.bot
     original_process = bot._process_raw_update
@@ -3864,7 +3870,7 @@ def test_webhook_handler_drops_update_when_bot_not_yet_initialized():
             body={"update_id": 1},
         )
         result = asyncio.run(_run_webhook_handler(req))
-        assert result == {"ok": True}
+        assert result.status_code == 503
         assert calls == []
     finally:
         bot.WEBHOOK_SECRET = original_secret
@@ -3872,6 +3878,13 @@ def test_webhook_handler_drops_update_when_bot_not_yet_initialized():
         bot._process_raw_update = original_process
 
 
+def test_allowed_updates_contains_only_real_telegram_types():
+    # Регрессия AUD-J-001: "guest_message" — не тип Update из Bot API, из-за него
+    # setWebhook мог ответить 400 и бот замолчал бы. Гости идут через answerGuestQuery.
+    assert "guest_message" not in bot.ALLOWED_UPDATES
+    assert "message" in bot.ALLOWED_UPDATES
+
+
 # ─────────────────── ADMIN_SECRET_SEED — независимая ротация секретов ───────────────────
 
 def test_admin_secrets_are_independent_of_bot_token_when_seed_set():

test_lumen_images.py

@@ -10,6 +10,8 @@ lumen_images.py не зависит от Telegram/рантайм-состоян
 Запуск:
     pytest test_lumen_images.py -v
 """
+import asyncio
+
 import lumen_images
 
 
@@ -66,3 +68,29 @@ def test_pick_image_model_result_always_a_known_model():
     ]
     for p in prompts:
         assert lumen_images._pick_image_model(p) in lumen_images.POLLINATIONS_IMAGE_MODELS
+
+
+# ─────────────────────────── _pollinations_generate ───────────────────────────
+
+def test_pollinations_generate_accepts_jpeg_by_magic_bytes():
+    # Регрессия AUD-E-001: body[:4] никогда не равен 3-байтному b"\xff\xd8\xff",
+    # поэтому JPEG без image/* Content-Type отвергался как "не-изображение".
+    class FakeResp:
+        status = 200
+        headers = {"Content-Type": "application/octet-stream"}
+
+        async def read(self):
+            return b"\xff\xd8\xff\xe0" + b"\x00" * 100
+
+        async def __aenter__(self):
+            return self
+
+        async def __aexit__(self, *exc):
+            return False
+
+    class FakeSession:
+        def get(self, url, timeout=None):
+            return FakeResp()
+
+    body = asyncio.run(lumen_images._pollinations_generate(FakeSession(), "flux", "кот"))
+    assert body[:3] == b"\xff\xd8\xff"