feat: вход, роли и аудит действий (lct-23)

Самое крупное расхождение с ТЗ: входа не было вовсе, экраны открывались
ссылкой с номером занятия, и пускало знание адреса.

- Таблицы users и audit_log, миграция. Пароль argon2, сессия — подписанная
  cookie; роль на сокетах читается из той же cookie в момент рукопожатия,
  отдельного протокола авторизации в канале нет.
- Разграничение: control — преподавателю, observe — преподавателю и админу,
  call и station — обучающемуся и преподавателю. Отказ приходит событием
  error с кодом forbidden.
- Обучающийся не видит чужого: история подменяет фильтр на его собственный
  идентификатор, разбор и профиль сверяют trainee_id. ТЗ запрещает доступ
  к чужим результатам, а не только к чужим экранам.
- Администратору закрыта правка оценок — ТЗ запрещает это прямо.
- make users заводит по записи на роль и печатает случайные пароли один раз:
  зашитый в репозиторий admin/admin пережил бы сдачу.
- Экран входа и проверка роли на каждом маршруте фронта.

Наши инструменты не сломались: make lesson и тесты входят через dev-token
за флагом dev_auth_bypass, на стенде точка отвечает 404 — выключенной
функции не должно быть видно вовсе. У тестов появился conftest.py.

Role уехала в домен и в generated.ts через EventCatalog.principal: иначе
фронт переписывал бы список ролей руками.

181 тест зелёный (14 новых), make typecheck чистый.

backend/app/api/ws/call.py

@@ -29,6 +29,8 @@ from app.domain.events import (
 from app.domain.events import BgStart
 from app.scenarios import store
 from app.session.finish import finish, release_score
+from app.api.auth import principal_of
+from app.domain.roles import Role
 from app.session.hub import hub
 from app.session.state import now_utc
 from app.voice.models import get_voice_models
@@ -198,10 +200,24 @@ async def _pump(ws: WebSocket, queue: asyncio.Queue) -> None:
             await ws.send_text(item.model_dump_json())
 
 
+async def _reject(ws: WebSocket, message: str) -> None:
+    """Отказ до входа в цикл: сокет закрывается с объяснением, а не молча."""
+    await ws.send_text(
+        ErrorEvent(code=ErrorKind.FORBIDDEN, message=message).model_dump_json()
+    )
+    await ws.close()
+
+
 @router.websocket("/ws/call/{session_id}")
 async def call(ws: WebSocket, session_id: UUID) -> None:
     await ws.accept()
 
+    # АРМ курсанта. Преподаватель допущен, чтобы показать приём вызова группе.
+    who = principal_of(ws)
+    if who is None or who.role not in (Role.TRAINEE, Role.INSTRUCTOR):
+        await _reject(ws, "Недостаточно прав для этого экрана")
+        return
+
     state = hub.get(session_id)
     if state is None:
         await ws.send_text(

backend/app/api/ws/control.py

@@ -38,6 +38,8 @@ from app.dialog.persona import PersonaState
 from app.dialog.runtime import get_embedder
 from app.dialog.slots import SlotMachine
 from app.scenarios import store
+from app.api.auth import audit, principal_of
+from app.domain.roles import Role
 from app.session.hub import hub
 from app.session.state import SessionState, now_utc
 from app.voice.models import get_voice_models
@@ -49,7 +51,7 @@ router = APIRouter()
 _adapter = TypeAdapter(InstructorToServer)
 
 
-async def _start(session_id: UUID, event) -> None:
+async def _start(session_id: UUID, event, who=None) -> None:
     scenario = store.get(event.scenario_id)
     if scenario is None:
         hub.to_observers(
@@ -76,6 +78,7 @@ async def _start(session_id: UUID, event) -> None:
         scenario=scenario.model_copy(deep=True),
         required_fields=scenario.required_fields,
         trainee_name=event.trainee,
+        trainee_id=getattr(event, "trainee_id", None),
         attempt=attempt,
     )
     embedder = get_embedder()
@@ -92,6 +95,13 @@ async def _start(session_id: UUID, event) -> None:
         asyncio.create_task(prefetch(models, [scenario.first_line, *FILLERS.values()]))
     state.on_event("call.incoming")
     hub.start_ticker(session_id)
+    if who is not None:
+        # Запуск занятия меняет чужой результат — значит попадает в журнал
+        # аудита (ТЗ, хранение не менее шести месяцев).
+        asyncio.create_task(
+            audit(who.login, who.role.value, "lesson.start", str(session_id),
+                  f"{scenario.id}, режим {event.mode.value}, курсант {event.trainee}")
+        )
 
     hub.to_trainee(
         session_id,
@@ -120,9 +130,23 @@ async def _stop(session_id: UUID) -> None:
         await hub.journal.session_ended(session_id, state.ended_at, CallEndReason.INSTRUCTOR.value)
 
 
+async def _reject(ws: WebSocket, message: str) -> None:
+    """Отказ до входа в цикл: сокет закрывается с объяснением, а не молча."""
+    await ws.send_text(
+        ErrorEvent(code=ErrorKind.FORBIDDEN, message=message).model_dump_json()
+    )
+    await ws.close()
+
+
 @router.websocket("/ws/control/{session_id}")
 async def control(ws: WebSocket, session_id: UUID) -> None:
     await ws.accept()
+
+    # Пульт преподавателя: управление занятием доступно только ему.
+    who = principal_of(ws)
+    if who is None or who.role not in (Role.INSTRUCTOR,):
+        await _reject(ws, "Недостаточно прав для этого экрана")
+        return
     try:
         while True:
             payload = await ws.receive_json()
@@ -137,7 +161,7 @@ async def control(ws: WebSocket, session_id: UUID) -> None:
 
             match event.type:
                 case "scenario.start":
-                    await _start(session_id, event)
+                    await _start(session_id, event, who)
                 case "session.stop":
                     await _stop(session_id)
                 case "instructor_note.add":

backend/app/api/ws/observe.py

@@ -16,6 +16,8 @@ from uuid import UUID
 from fastapi import APIRouter, WebSocket, WebSocketDisconnect
 
 from app.domain.events import ErrorEvent, ErrorKind
+from app.api.auth import principal_of
+from app.domain.roles import Role
 from app.session.hub import hub
 
 router = APIRouter()
@@ -36,10 +38,24 @@ async def _wait_for_disconnect(ws: WebSocket) -> None:
             return
 
 
+async def _reject(ws: WebSocket, message: str) -> None:
+    """Отказ до входа в цикл: сокет закрывается с объяснением, а не молча."""
+    await ws.send_text(
+        ErrorEvent(code=ErrorKind.FORBIDDEN, message=message).model_dump_json()
+    )
+    await ws.close()
+
+
 @router.websocket("/ws/observe/{session_id}")
 async def observe(ws: WebSocket, session_id: UUID) -> None:
     await ws.accept()
 
+    # Наблюдение за чужим занятием — не для обучающегося.
+    who = principal_of(ws)
+    if who is None or who.role not in (Role.INSTRUCTOR, Role.ADMIN):
+        await _reject(ws, "Недостаточно прав для этого экрана")
+        return
+
     state = hub.get(session_id)
     if state is None:
         await ws.send_text(

backend/app/api/ws/station.py

@@ -17,6 +17,8 @@ from pydantic import TypeAdapter, ValidationError
 
 from app.domain.events import ErrorEvent, ErrorKind, StationState, StationToServer
 from app.domain.statuses import PRIMARY, ServiceStatus, StatusError
+from app.api.auth import principal_of
+from app.domain.roles import Role
 from app.session.hub import hub
 from app.session.state import now_utc
 
@@ -78,10 +80,24 @@ async def _pump(ws: WebSocket, queue: asyncio.Queue) -> None:
         await ws.send_text(event.model_dump_json())
 
 
+async def _reject(ws: WebSocket, message: str) -> None:
+    """Отказ до входа в цикл: сокет закрывается с объяснением, а не молча."""
+    await ws.send_text(
+        ErrorEvent(code=ErrorKind.FORBIDDEN, message=message).model_dump_json()
+    )
+    await ws.close()
+
+
 @router.websocket("/ws/station/{session_id}")
 async def station(ws: WebSocket, session_id: UUID, role: str = "dds") -> None:
     await ws.accept()
 
+    # За АРМ ДДС садится обучающийся, преподаватель смотрит и подменяет.
+    who = principal_of(ws)
+    if who is None or who.role not in (Role.INSTRUCTOR, Role.TRAINEE):
+        await _reject(ws, "Недостаточно прав для этого экрана")
+        return
+
     state = hub.get(session_id)
     if state is None:
         await ws.send_text(