fix

internal/app/users.go

@@ -38,9 +38,6 @@ func (s *server) DeleteAccount(ctx context.Context, _ *proto.DeleteAccountReq) (
 	if !ok {
 		return nil, status.Errorf(codes.Unauthenticated, "claims is not provided")
 	}
-	// Пароль приходит HTTP-заголовком X-Password (пробрасывается матчером
-	// в main.go), чтобы креденшел не попадал в URL и логи. Для прямых
-	// gRPC-клиентов заголовок передаётся в metadata под тем же ключом.
 	password := ""
 	if md, ok := metadata.FromIncomingContext(ctx); ok {
 		if values := md.Get("x-password"); len(values) > 0 {
@@ -54,28 +51,15 @@ func (s *server) DeleteAccount(ctx context.Context, _ *proto.DeleteAccountReq) (
 	return &proto.DeleteAccountRsp{}, nil
 }
 
-// clientInfoFromContext извлекает IP-адрес и user-agent из gRPC-метаданных.
-//
-// grpc-gateway пробрасывает HTTP-заголовки в метаданные так
 // (runtime.annotateContext / runtime.DefaultHeaderMatcher):
-//   - x-forwarded-for — всегда, при этом gateway дописывает реальный RemoteAddr
-//     клиента последним элементом списка;
-//   - постоянные HTTP-заголовки (включая User-Agent) — с префиксом
-//     grpcgateway-;
-//   - остальные заголовки по умолчанию не пробрасываются: X-Real-IP и
-//     X-Password включаются явным матчером в main.go.
 //
-// Полученный IP валидируется netip.ParseAddr: при прямой экспозиции gateway
-// клиент может подделать эти заголовки, поэтому в БД попадает только
-// корректный адрес.
+//	grpcgateway-;
 func clientInfoFromContext(ctx context.Context) (ip string, userAgent string) {
 	md, ok := metadata.FromIncomingContext(ctx)
 	if !ok {
 		return "", ""
 	}
 
-	// X-Real-IP от доверенного прокси — приоритетен: в этом случае последним
-	// элементом X-Forwarded-For является адрес прокси, а не клиента.
 	if values := md.Get("x-real-ip"); len(values) > 0 {
 		if v := strings.TrimSpace(values[0]); v != "" {
 			if _, err := netip.ParseAddr(v); err == nil {
@@ -86,8 +70,6 @@ func clientInfoFromContext(ctx context.Context) (ip string, userAgent string) {
 	if ip == "" {
 		if values := md.Get("x-forwarded-for"); len(values) > 0 {
 			parts := strings.Split(values[0], ",")
-			// Идём с конца списка: последний элемент — реальный RemoteAddr
-			// клиента (первые элементы мог подделать сам клиент).
 			for i := len(parts) - 1; i >= 0; i-- {
 				v := strings.TrimSpace(parts[i])
 				if v == "" {