add load applications

internal/app/server.go

@@ -312,27 +312,46 @@ func (s *server) GetPermissions(ctx context.Context, req *proto.GetPermissionsRe
 }
 
 func (s *server) UploadFile(ctx context.Context, req *proto.UploadFileReq) (*proto.UploadFileRsp, error) {
-	filename, err := s.fileService.UploadFile(
-		ctx,
-		&file_storage.File{
-			Name: req.Filename,
-			Data: req.Data,
-		},
-	)
+	// Файлы (в т.ч. улики) загружают авторы сценариев в редакторе.
+	claims := ctx.Value("claims").(*processor_jwt.JWTClaims)
+	if !roles.HasRole(claims, roles.Author) {
+		return nil, status.Errorf(codes.PermissionDenied, "permission denied")
+	}
+
+	filename, fileType, err := s.fileService.UploadFile(ctx, req.Filename, req.Data)
 	if err != nil {
-		return &proto.UploadFileRsp{
-			Error: err.Error(),
-		}, nil
+		switch {
+		case errors.Is(err, file_service.ErrFileTooLarge):
+			return nil, status.Errorf(codes.ResourceExhausted, "%v", err)
+		case errors.Is(err, file_service.ErrEmptyName),
+			errors.Is(err, file_service.ErrEmptyData),
+			errors.Is(err, file_service.ErrInvalidExtension),
+			errors.Is(err, file_service.ErrInvalidContentType):
+			return nil, status.Errorf(codes.InvalidArgument, "%v", err)
+		default:
+			return nil, status.Errorf(codes.Internal, "%v", err)
+		}
 	}
 	return &proto.UploadFileRsp{
 		Filename: filename,
+		FileType: fileType,
 	}, nil
 }
 
 func (s *server) DownloadFile(ctx context.Context, req *proto.DownloadFileReq) (*httpbody.HttpBody, error) {
 	file, err := s.fileService.DownloadFile(ctx, req.Filename)
 	if err != nil {
-		return &httpbody.HttpBody{}, nil
+		switch {
+		case errors.Is(err, file_storage.ErrFileNotFound):
+			return nil, status.Errorf(codes.NotFound, "%v", err)
+		default:
+			return nil, status.Errorf(codes.Internal, "%v", err)
+		}
+	}
+	// nosniff — при публичном скачивании браузер не должен угадывать
+	// Content-Type по содержимому (защита от stored-XSS при расхождении).
+	if err := grpc.SetHeader(ctx, metadata.Pairs("X-Content-Type-Options", "nosniff")); err != nil {
+		return nil, status.Errorf(codes.Internal, "failed to set response header: %v", err)
 	}
 	return &httpbody.HttpBody{
 		Data:        file.Data,