fix

internal/app/change_password_test.go

@@ -42,8 +42,6 @@ func TestChangeUserPasswordAccess(t *testing.T) {
 	}
 }
 
-// Встраиваем настоящий репозиторий, чтобы неожиданные вызовы завершались
-// ошибкой, а не проходили незаметно.
 type passwordRepo struct {
 	*users_repo.UsersRepo
 	role    string

internal/app/file_service_test.go

@@ -17,7 +17,6 @@ import (
 	"google.golang.org/grpc/status"
 )
 
-// fakeStorage — in-memory реализация IFileStorage для app-слоя.
 type fakeStorage struct {
 	files  map[string]*file_storage.File
 	putErr error
@@ -90,7 +89,6 @@ func TestUploadFilePermissionDenied(t *testing.T) {
 
 func TestUploadFileValidationInvalidArgument(t *testing.T) {
 	s := newTestFileServer(nil, 1<<20)
-	// Имя без расширения.
 	_, err := s.UploadFile(ctxWithClaims("author"), &proto.UploadFileReq{Filename: "clue", Data: pdfData(16)})
 	if status.Code(err) != codes.InvalidArgument {
 		t.Errorf("code = %v, want InvalidArgument", status.Code(err))
@@ -133,7 +131,6 @@ func TestUploadFileSuccess(t *testing.T) {
 	}
 }
 
-// mockServerTransportStream — заглушка для grpc.SetHeader в юнит-тестах.
 type mockServerTransportStream struct {
 	grpc.ServerTransportStream
 	header metadata.MD

internal/app/files.go

@@ -16,7 +16,6 @@ import (
 )
 
 func (s *server) UploadFile(ctx context.Context, req *proto.UploadFileReq) (*proto.UploadFileRsp, error) {
-	// Файлы (в т.ч. улики) загружают авторы сценариев в редакторе.
 	claims, claimsErr := claimsFromContext(ctx)
 	if claimsErr != nil {
 		return nil, claimsErr
@@ -55,8 +54,6 @@ func (s *server) DownloadFile(ctx context.Context, req *proto.DownloadFileReq) (
 			return nil, status.Error(codes.Internal, "не удалось скачать файл")
 		}
 	}
-	// nosniff — при публичном скачивании браузер не должен угадывать
-	// Content-Type по содержимому (защита от stored-XSS при расхождении).
 	if err := grpc.SetHeader(ctx, metadata.Pairs("X-Content-Type-Options", "nosniff")); err != nil {
 		return nil, status.Error(codes.Internal, "не удалось установить заголовки файла")
 	}

internal/app/legal_docs.go

@@ -9,8 +9,6 @@ import (
 	"google.golang.org/grpc/status"
 )
 
-// GetTerms возвращает текст Пользовательского соглашения (постоянный URL
-// /api/terms, на который ссылается форма регистрации при акцепте).
 func (s *server) GetTerms(_ context.Context, _ *proto.GetTermsReq) (*proto.GetTermsRsp, error) {
 	text, err := docs.FS.ReadFile("TERMS.md")
 	if err != nil {
@@ -19,7 +17,6 @@ func (s *server) GetTerms(_ context.Context, _ *proto.GetTermsReq) (*proto.GetTe
 	return &proto.GetTermsRsp{Text: string(text)}, nil
 }
 
-// GetPrivacy возвращает текст Политики конфиденциальности (постоянный URL
 // /api/privacy).
 func (s *server) GetPrivacy(_ context.Context, _ *proto.GetPrivacyReq) (*proto.GetPrivacyRsp, error) {
 	text, err := docs.FS.ReadFile("PRIVACY.md")
@@ -29,8 +26,6 @@ func (s *server) GetPrivacy(_ context.Context, _ *proto.GetPrivacyReq) (*proto.G
 	return &proto.GetPrivacyRsp{Text: string(text)}, nil
 }
 
-// GetConsent возвращает текст согласия на обработку персональных данных
-// (постоянный URL /api/consent).
 func (s *server) GetConsent(_ context.Context, _ *proto.GetConsentReq) (*proto.GetConsentRsp, error) {
 	text, err := docs.FS.ReadFile("CONSENT.md")
 	if err != nil {

internal/app/results_mapper.go

@@ -6,9 +6,6 @@ import (
 	proto "evening_detective_server/proto"
 )
 
-// mapResultsQuestions мапит вопросы сценария в шапку итоговой таблицы:
-// правильный ответ (поле Answer) не передаётся — он виден только в панели
-// оценки (GetGameAnswers).
 func mapResultsQuestions(o []*storytelling.Question) []*proto.ResultsQuestion {
 	res := make([]*proto.ResultsQuestion, 0, len(o))
 	for _, item := range o {
@@ -20,9 +17,6 @@ func mapResultsQuestions(o []*storytelling.Question) []*proto.ResultsQuestion {
 	return res
 }
 
-// mapTeamResults мапит строки итоговой таблицы. Команда мапится целиком
-// (включая password/applications — аудитория та же, что у GetGameAnswers:
-// организатор/автор); actionsCount продублирован на уровне строки таблицы.
 func mapTeamResults(o []answer_service.TeamResult) []*proto.TeamResult {
 	res := make([]*proto.TeamResult, 0, len(o))
 	for _, item := range o {

internal/app/results_mapper_test.go

@@ -33,7 +33,6 @@ func TestMapTeamResults(t *testing.T) {
 	if row.Team == nil || row.Team.ID != 1 || row.Team.Name != "Команда А" {
 		t.Fatalf("row.Team = %+v, want id 1, name Команда А", row.Team)
 	}
-	// actionsCount продублирован на уровне строки таблицы.
 	if row.ActionsCount != 7 {
 		t.Fatalf("row.ActionsCount = %d, want 7", row.ActionsCount)
 	}

internal/app/scenario_archive.go

@@ -44,8 +44,6 @@ func (s *server) DownloadScenarioArchive(ctx context.Context, req *proto.Downloa
 		}
 	}
 
-	// Имя файла транслитерируется (заголовки HTTP — только ASCII) и
-	// санитайзится от header injection; заголовок пробрасывается gateway.
 	transliterated := sanitizeFilename(string_tools.Transliterate(name))
 	if transliterated == "" {
 		transliterated = "scenario"
@@ -88,7 +86,6 @@ func (s *server) UploadScenarioArchive(ctx context.Context, req *httpbody.HttpBo
 	}, nil
 }
 
-// sanitizeFilename — защита от инъекции заголовков в Content-Disposition.
 func sanitizeFilename(name string) string {
 	replacer := strings.NewReplacer(
 		`"`, "_",

internal/app/scenarios.go

@@ -146,7 +146,7 @@ func (s *server) PublicScenario(ctx context.Context, req *proto.PublicScenarioRe
 		int(req.ID),
 		"public",
 		claims.UserID,
-		roles.HasRole(claims, roles.Admin), // публикация = момент отчуждения прав
+		roles.HasRole(claims, roles.Admin),
 	)
 	if err != nil {
 		return nil, scenarioErrorStatus(err, "не удалось опубликовать сценарий")
@@ -160,9 +160,6 @@ func (s *server) DraftScenario(ctx context.Context, req *proto.DraftScenarioReq)
 	if claimsErr != nil {
 		return nil, claimsErr
 	}
-	// Снять с публикации опубликованный сценарий может только админ:
-	// исключительное право отчуждено Оператору в момент публикации
-	// (п. 7.2 Пользовательского соглашения, ст. 1234, 1269 ГК РФ).
 	if !roles.HasRole(claims, roles.Admin) {
 		return nil, status.Errorf(codes.PermissionDenied, "permission denied")
 	}
@@ -190,8 +187,6 @@ func (s *server) DeleteScenario(ctx context.Context, req *proto.DeleteScenarioRe
 		return nil, status.Errorf(codes.PermissionDenied, "permission denied")
 	}
 
-	// Автор не может удалить опубликованный сценарий (исключительное право
-	// отчуждено); админ может.
 	err := s.scenarioService.DeleteScenarioByID(
 		ctx,
 		int(req.ID),

internal/app/team_registration.go

@@ -14,7 +14,6 @@ import (
 	"time"
 )
 
-// TeamRegistrationHandler принимает вебхук Яндекс Форм отдельно от пользовательского JWT.
 func TeamRegistrationHandler(token string, register func(context.Context, int, string, team_service.Registration) (int, error)) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		w.Header().Set("Content-Type", "application/json")

internal/app/user_mapper.go

@@ -7,9 +7,6 @@ import (
 	"google.golang.org/protobuf/types/known/timestamppb"
 )
 
-// mapUser преобразует пользователя в proto-структуру. Возвращает nil для
-// обезличенного автора (аккаунт удалён, контент сохранён) — клиент отображает
-// такого автора как «Автор удалён».
 func mapUser(o *users_service.User) *proto.User {
 	if o == nil {
 		return nil

internal/app/users.go

@@ -38,9 +38,6 @@ func (s *server) DeleteAccount(ctx context.Context, _ *proto.DeleteAccountReq) (
 	if !ok {
 		return nil, status.Errorf(codes.Unauthenticated, "claims is not provided")
 	}
-	// Пароль приходит HTTP-заголовком X-Password (пробрасывается матчером
-	// в main.go), чтобы креденшел не попадал в URL и логи. Для прямых
-	// gRPC-клиентов заголовок передаётся в metadata под тем же ключом.
 	password := ""
 	if md, ok := metadata.FromIncomingContext(ctx); ok {
 		if values := md.Get("x-password"); len(values) > 0 {
@@ -54,28 +51,15 @@ func (s *server) DeleteAccount(ctx context.Context, _ *proto.DeleteAccountReq) (
 	return &proto.DeleteAccountRsp{}, nil
 }
 
-// clientInfoFromContext извлекает IP-адрес и user-agent из gRPC-метаданных.
-//
-// grpc-gateway пробрасывает HTTP-заголовки в метаданные так
 // (runtime.annotateContext / runtime.DefaultHeaderMatcher):
-//   - x-forwarded-for — всегда, при этом gateway дописывает реальный RemoteAddr
-//     клиента последним элементом списка;
-//   - постоянные HTTP-заголовки (включая User-Agent) — с префиксом
-//     grpcgateway-;
-//   - остальные заголовки по умолчанию не пробрасываются: X-Real-IP и
-//     X-Password включаются явным матчером в main.go.
 //
-// Полученный IP валидируется netip.ParseAddr: при прямой экспозиции gateway
-// клиент может подделать эти заголовки, поэтому в БД попадает только
-// корректный адрес.
+//	grpcgateway-;
 func clientInfoFromContext(ctx context.Context) (ip string, userAgent string) {
 	md, ok := metadata.FromIncomingContext(ctx)
 	if !ok {
 		return "", ""
 	}
 
-	// X-Real-IP от доверенного прокси — приоритетен: в этом случае последним
-	// элементом X-Forwarded-For является адрес прокси, а не клиента.
 	if values := md.Get("x-real-ip"); len(values) > 0 {
 		if v := strings.TrimSpace(values[0]); v != "" {
 			if _, err := netip.ParseAddr(v); err == nil {
@@ -86,8 +70,6 @@ func clientInfoFromContext(ctx context.Context) (ip string, userAgent string) {
 	if ip == "" {
 		if values := md.Get("x-forwarded-for"); len(values) > 0 {
 			parts := strings.Split(values[0], ",")
-			// Идём с конца списка: последний элемент — реальный RemoteAddr
-			// клиента (первые элементы мог подделать сам клиент).
 			for i := len(parts) - 1; i >= 0; i-- {
 				v := strings.TrimSpace(parts[i])
 				if v == "" {