From f34c05095ac9c9cd7369437eb864230796c636bd Mon Sep 17 00:00:00 2001
From: Kirill <mpak8501@yandex.ru>
Date: Thu, 28 May 2026 21:46:17 +0500
Subject: [PATCH 1/2] =?UTF-8?q?=D1=8B=D0=B2=D0=B0=D1=8B=D0=B2?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 client/src/app/providers/SseProvider.tsx      |  23 +-
 .../providers/__tests__/SseProvider.test.tsx  |  12 +-
 .../order-detail/ui/OrderDetailContent.tsx    |   2 +-
 .../ui/__tests__/OrderDetailContent.test.tsx  |  33 +
 .../shared/constants/__tests__/order.test.ts  |  17 +
 client/src/shared/constants/order.ts          |   4 +-
 .../2026-05-28-orders-payments-audit.md       |  60 ++
 ...-28-project-audit-orders-implementation.md | 643 ++++++++++++++++++
 .../2026-05-28-project-audit-orders-design.md | 138 ++++
 server/prisma/prisma/dev.db                   | Bin 352256 -> 352256 bytes
 .../routes/api/__tests__/admin-orders.test.js | 118 ++++
 server/src/routes/api/admin-orders.js         |   7 +
 12 files changed, 1039 insertions(+), 18 deletions(-)
 create mode 100644 client/src/shared/constants/__tests__/order.test.ts
 create mode 100644 docs/superpowers/audits/2026-05-28-orders-payments-audit.md
 create mode 100644 docs/superpowers/plans/2026-05-28-project-audit-orders-implementation.md
 create mode 100644 docs/superpowers/specs/2026-05-28-project-audit-orders-design.md
 create mode 100644 server/src/routes/api/__tests__/admin-orders.test.js

diff --git a/client/src/app/providers/SseProvider.tsx b/client/src/app/providers/SseProvider.tsx
index c0258ad..0d16a73 100644
--- a/client/src/app/providers/SseProvider.tsx
+++ b/client/src/app/providers/SseProvider.tsx
@@ -21,6 +21,14 @@ export function SseProvider() {
     const es = createEventStream(token)
     sourceRef.current = es
 
+    function invalidateOrderQueries(orderId: unknown) {
+      if (!orderId) return
+      queryClient.invalidateQueries({ queryKey: ['me', 'orders', orderId] })
+      queryClient.invalidateQueries({ queryKey: ['admin', 'orders', 'detail', orderId] })
+      queryClient.invalidateQueries({ queryKey: ['admin', 'orders'] })
+      queryClient.invalidateQueries({ queryKey: ['admin', 'orders', 'summary'] })
+    }
+
     function handleEvent(eventName: string) {
       return function (event: MessageEvent) {
         try {
@@ -31,22 +39,13 @@ export function SseProvider() {
             case 'message:new':
               queryClient.invalidateQueries({ queryKey: ['me', 'messages', 'unread-count'] })
               queryClient.invalidateQueries({ queryKey: ['me', 'conversations'] })
-              if (orderId) {
-                queryClient.invalidateQueries({ queryKey: ['me', 'orders', orderId] })
-                queryClient.invalidateQueries({ queryKey: ['admin', 'orders', orderId] })
-              }
+              invalidateOrderQueries(orderId)
               break
             case 'order:statusChanged':
-              if (orderId) {
-                queryClient.invalidateQueries({ queryKey: ['me', 'orders', orderId] })
-                queryClient.invalidateQueries({ queryKey: ['admin', 'orders', orderId] })
-              }
+              invalidateOrderQueries(orderId)
               break
             case 'order:updated':
-              if (orderId) {
-                queryClient.invalidateQueries({ queryKey: ['me', 'orders', orderId] })
-                queryClient.invalidateQueries({ queryKey: ['admin', 'orders', orderId] })
-              }
+              invalidateOrderQueries(orderId)
               break
             case 'order:new':
               queryClient.invalidateQueries({ queryKey: ['admin', 'orders', 'summary'] })
diff --git a/client/src/app/providers/__tests__/SseProvider.test.tsx b/client/src/app/providers/__tests__/SseProvider.test.tsx
index c9f55c4..3da6488 100644
--- a/client/src/app/providers/__tests__/SseProvider.test.tsx
+++ b/client/src/app/providers/__tests__/SseProvider.test.tsx
@@ -108,7 +108,9 @@ describe('SseProvider', () => {
     expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['me', 'messages', 'unread-count'] })
     expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['me', 'conversations'] })
     expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['me', 'orders', 'o1'] })
-    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'o1'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'detail', 'o1'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'summary'] })
   })
 
   it('invalidates order queries on order:statusChanged', () => {
@@ -117,7 +119,9 @@ describe('SseProvider', () => {
     const handler = mockEventHandlers['order:statusChanged']
     handler(new MessageEvent('order:statusChanged', { data: JSON.stringify({ orderId: 'o2' }) }))
     expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['me', 'orders', 'o2'] })
-    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'o2'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'detail', 'o2'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'summary'] })
   })
 
   it('invalidates order queries on order:updated', () => {
@@ -126,7 +130,9 @@ describe('SseProvider', () => {
     const handler = mockEventHandlers['order:updated']
     handler(new MessageEvent('order:updated', { data: JSON.stringify({ orderId: 'o3' }) }))
     expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['me', 'orders', 'o3'] })
-    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'o3'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'detail', 'o3'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders'] })
+    expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'summary'] })
   })
 
   it('invalidates admin queries on order:new', () => {
diff --git a/client/src/features/order-detail/ui/OrderDetailContent.tsx b/client/src/features/order-detail/ui/OrderDetailContent.tsx
index 357cfc1..ca19b9f 100644
--- a/client/src/features/order-detail/ui/OrderDetailContent.tsx
+++ b/client/src/features/order-detail/ui/OrderDetailContent.tsx
@@ -215,7 +215,7 @@ export function OrderDetailContent({ detail, orderId }: { detail: AdminOrderDeta
               />
             )
             return (
-              <ChatMessageBubble key={m.id} authorType={isAdminMsg ? 'user' : 'admin'} avatar={avatarNode}>
+              <ChatMessageBubble key={m.id} authorType={isAdminMsg ? 'admin' : 'user'} avatar={avatarNode}>
                 <Typography variant="caption" color="text.secondary">
                   {isAdminMsg ? 'Админ (вы)' : 'Пользователь'} · {new Date(m.createdAt).toLocaleString()}
                 </Typography>
diff --git a/client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx b/client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx
index 9887403..385261f 100644
--- a/client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx
+++ b/client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx
@@ -1,3 +1,4 @@
+import type { ReactNode } from 'react'
 import { QueryClient, QueryClientProvider } from '@tanstack/react-query'
 import { render, screen, waitFor } from '@testing-library/react'
 import userEvent from '@testing-library/user-event'
@@ -29,6 +30,12 @@ vi.mock('@/shared/ui/RichTextMessageEditor.lazy', () => ({
   }) => <textarea aria-label="Ответ админа" value={value} onChange={(e) => onChange(e.target.value)} />,
 }))
 
+vi.mock('@/shared/ui/ChatMessageBubble', () => ({
+  ChatMessageBubble: ({ authorType, children }: { authorType: 'admin' | 'user'; children: ReactNode }) => (
+    <div data-testid={`chat-message-${authorType}`}>{children}</div>
+  ),
+}))
+
 const setAdminOrderStatusMock = vi.mocked(setAdminOrderStatus)
 
 function createDetail(overrides?: Partial<AdminOrderDetailResponse['item']>): AdminOrderDetailResponse['item'] {
@@ -175,4 +182,30 @@ describe('OrderDetailContent quick status transitions', () => {
     await user.click(paidButton)
     expect(setAdminOrderStatusMock).toHaveBeenCalledTimes(2)
   })
+
+  it('передает фактический authorType в пузырь сообщения', () => {
+    renderComponent(
+      createDetail({
+        messages: [
+          {
+            id: 'message-admin',
+            authorType: 'admin',
+            text: 'Ответ администратора',
+            attachmentUrl: null,
+            createdAt: '2026-05-28T10:00:00.000Z',
+          },
+          {
+            id: 'message-user',
+            authorType: 'user',
+            text: 'Сообщение покупателя',
+            attachmentUrl: null,
+            createdAt: '2026-05-28T10:01:00.000Z',
+          },
+        ],
+      }),
+    )
+
+    expect(screen.getByTestId('chat-message-admin')).toHaveTextContent('Админ (вы)')
+    expect(screen.getByTestId('chat-message-user')).toHaveTextContent('Пользователь')
+  })
 })
diff --git a/client/src/shared/constants/__tests__/order.test.ts b/client/src/shared/constants/__tests__/order.test.ts
new file mode 100644
index 0000000..8fa5e00
--- /dev/null
+++ b/client/src/shared/constants/__tests__/order.test.ts
@@ -0,0 +1,17 @@
+import { describe, expect, it } from 'vitest'
+import { canTransitionOrderStatus, getAdminNextOrderStatuses } from '../order'
+
+describe('client order status helpers', () => {
+  it('returns delivery-specific next statuses', () => {
+    expect(getAdminNextOrderStatuses('IN_PROGRESS', 'delivery')).toEqual(['SHIPPED', 'CANCELLED'])
+  })
+
+  it('returns pickup-specific next statuses', () => {
+    expect(getAdminNextOrderStatuses('IN_PROGRESS', 'pickup')).toEqual(['READY_FOR_PICKUP', 'CANCELLED'])
+  })
+
+  it('checks pickup transition without falling back to delivery rules', () => {
+    expect(canTransitionOrderStatus('IN_PROGRESS', 'READY_FOR_PICKUP', 'pickup')).toBe(true)
+    expect(canTransitionOrderStatus('IN_PROGRESS', 'SHIPPED', 'pickup')).toBe(false)
+  })
+})
diff --git a/client/src/shared/constants/order.ts b/client/src/shared/constants/order.ts
index 92866da..93c5bc8 100644
--- a/client/src/shared/constants/order.ts
+++ b/client/src/shared/constants/order.ts
@@ -11,7 +11,7 @@ export function getAdminNextOrderStatuses(status: string, deliveryType: 'deliver
   return sharedGetNextAdminStatuses(status, deliveryType) as OrderStatus[]
 }
 
-export function canTransitionOrderStatus(from: string, to: string): boolean {
+export function canTransitionOrderStatus(from: string, to: string, deliveryType: 'delivery' | 'pickup'): boolean {
   if (from === to) return true
-  return getAdminNextOrderStatuses(from, 'delivery').includes(to as OrderStatus)
+  return getAdminNextOrderStatuses(from, deliveryType).includes(to as OrderStatus)
 }
diff --git a/docs/superpowers/audits/2026-05-28-orders-payments-audit.md b/docs/superpowers/audits/2026-05-28-orders-payments-audit.md
new file mode 100644
index 0000000..315dfca
--- /dev/null
+++ b/docs/superpowers/audits/2026-05-28-orders-payments-audit.md
@@ -0,0 +1,60 @@
+# Аудит заказов, оплаты и админки заказов
+
+**Дата:** 2026-05-28
+**Scope:** `orders/payments/admin-orders`
+
+## Summary
+
+- P0: не найдено в первой итерации.
+- P1: исправлены SSE/queryKey для админской деталки, authorType админского чата, summary внимания и guard оплаты до подтверждения доставки.
+- P2: добавлены focused tests для найденных дефектов.
+- P3: рефакторинги оставлены в backlog.
+
+## Findings
+
+### P1-001: SSE инвалидирует несуществующий queryKey админской деталки
+
+**Статус:** fixed
+**Код:** `client/src/app/providers/SseProvider.tsx`
+**Тест:** `client/src/app/providers/__tests__/SseProvider.test.tsx`
+**Симптом:** события `message:new`, `order:statusChanged`, `order:updated` инвалидируют `['admin', 'orders', orderId]`, но деталка использует `['admin', 'orders', 'detail', selectedId]`.
+**Решение:** добавить инвалидацию `['admin', 'orders', 'detail', orderId]`, списка и summary для order events.
+
+### P1-002: Админский чат передает инвертированный authorType в ChatMessageBubble
+
+**Статус:** fixed
+**Код:** `client/src/features/order-detail/ui/OrderDetailContent.tsx`
+**Тест:** `client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx`
+**Симптом:** для `m.authorType === 'admin'` компонент получает `authorType="user"`.
+**Решение:** передавать фактический `authorType`: admin-message как `admin`, user-message как `user`.
+
+### P1-003: Admin summary считает все PENDING_PAYMENT как attention
+
+**Статус:** fixed
+**Код:** `server/src/routes/api/admin-orders.js`
+**Тест:** `server/src/routes/api/__tests__/admin-orders.test.js`
+**Симптом:** `attentionCount` считает все `PENDING_PAYMENT`, включая заказы, где цена уже подтверждена.
+**Решение:** считать только `PENDING_PAYMENT + delivery + deliveryFeeLocked=false`.
+
+### P1-004: Admin может перевести delivery-заказ в PAID до подтверждения цены
+
+**Статус:** fixed
+**Код:** `server/src/routes/api/admin-orders.js`
+**Тест:** `server/src/routes/api/__tests__/admin-orders.test.js`
+**Симптом:** статусный guard разрешает `PENDING_PAYMENT -> PAID` без проверки `deliveryFeeLocked`.
+**Решение:** для `next === 'PAID'` отклонять delivery-заказы с `deliveryFeeLocked === false` кодом 409.
+
+## Refactor Backlog
+
+- Проверить, нужен ли `client/src/shared/constants/order.ts::canTransitionOrderStatus`; если нужен, сделать deliveryType обязательным аргументом.
+- После стабилизации route-тестов рассмотреть вынос части логики `admin-orders.js` в маленькие pure helpers.
+
+## Verification
+
+- `server npm test` — pass
+- `server npm run lint` — pass, warnings only
+- `server npm run format:check` — pass
+- `client npm run lint` — pass, warnings only
+- `client npm run format:check` — pass
+- `client focused vitest` — pass
+- `client npm run build` — pass, Vite chunk-size warning only
diff --git a/docs/superpowers/plans/2026-05-28-project-audit-orders-implementation.md b/docs/superpowers/plans/2026-05-28-project-audit-orders-implementation.md
new file mode 100644
index 0000000..00f018d
--- /dev/null
+++ b/docs/superpowers/plans/2026-05-28-project-audit-orders-implementation.md
@@ -0,0 +1,643 @@
+# Аудит заказов и оплаты Implementation Plan
+
+> **For agentic workers:** REQUIRED SUB-SKILL: Use superpowers:subagent-driven-development (recommended) or superpowers:executing-plans to implement this plan task-by-task. Steps use checkbox (`- [ ]`) syntax for tracking.
+
+**Goal:** Найти, зафиксировать тестами и исправить наиболее рискованные проблемы в потоке заказов, оплаты, статусов, доставки и админки заказов.
+
+**Architecture:** Идем от воспроизводимых дефектов к минимальным исправлениям. Серверные инварианты закрепляем route/unit тестами рядом с существующими тестами Fastify/Vitest; клиентские рассинхроны закрепляем component/unit тестами в существующих `__tests__`. Рефакторинг делаем только там, где он убирает подтвержденную ошибку или опасное дублирование.
+
+**Tech Stack:** Fastify, Prisma, SQLite, Vitest, React, TypeScript, React Query, MUI, FSD.
+
+---
+
+## Files
+
+- Create: `docs/superpowers/audits/2026-05-28-orders-payments-audit.md` — итоговый audit report с находками, приоритетами и решениями.
+- Create: `server/src/routes/api/__tests__/admin-orders.test.js` — route-тесты summary, delivery fee и admin status guard.
+- Modify: `server/src/routes/api/admin-orders.js` — исправления summary и защиты смены статуса при неподтвержденной цене доставки.
+- Modify: `client/src/app/providers/__tests__/SseProvider.test.tsx` — тесты на реальные query keys админской деталки и summary.
+- Modify: `client/src/app/providers/SseProvider.tsx` — согласовать SSE-инвалидации с фактическими query keys.
+- Modify: `client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx` — тест на корректное направление сообщений в админской деталке.
+- Modify: `client/src/features/order-detail/ui/OrderDetailContent.tsx` — исправить `authorType` для `ChatMessageBubble`.
+- Modify: `client/src/shared/constants/order.ts` — убрать опасный delivery-only fallback из `canTransitionOrderStatus`.
+- Create: `client/src/shared/constants/__tests__/order.test.ts` — тесты переходов для delivery и pickup в клиентском адаптере.
+
+---
+
+### Task 1: Создать audit report shell
+
+**Files:**
+- Create: `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`
+
+- [ ] **Step 1: Создать папку для audit reports, если ее нет**
+
+Run from repo root:
+
+```powershell
+if (!(Test-Path "docs/superpowers/audits")) { New-Item -ItemType Directory "docs/superpowers/audits" }
+```
+
+Expected: папка `docs/superpowers/audits` существует.
+
+- [ ] **Step 2: Создать стартовый audit report**
+
+Write `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`:
+
+```markdown
+# Аудит заказов, оплаты и админки заказов
+
+**Дата:** 2026-05-28
+**Scope:** `orders/payments/admin-orders`
+
+## Summary
+
+- P0: не найдено на момент старта реализации.
+- P1: проверяются status guards, delivery fee, SSE/queryKey и админский чат.
+- P2: проверяется покрытие тестами ключевых контрактов.
+- P3: рефакторинги фиксируются отдельно и не смешиваются с исправлениями.
+
+## Findings
+
+### P1-001: SSE инвалидирует несуществующий queryKey админской деталки
+
+**Статус:** pending
+**Код:** `client/src/app/providers/SseProvider.tsx`
+**Симптом:** события `message:new`, `order:statusChanged`, `order:updated` инвалидируют `['admin', 'orders', orderId]`, но деталка использует `['admin', 'orders', 'detail', selectedId]`.
+**Решение:** добавить инвалидацию `['admin', 'orders', 'detail', orderId]`, списка и summary для order events.
+
+### P1-002: Админский чат передает инвертированный authorType в ChatMessageBubble
+
+**Статус:** pending
+**Код:** `client/src/features/order-detail/ui/OrderDetailContent.tsx`
+**Симптом:** для `m.authorType === 'admin'` компонент получает `authorType="user"`.
+**Решение:** передавать фактический `authorType`: admin-message как `admin`, user-message как `user`.
+
+### P1-003: Admin summary считает все PENDING_PAYMENT как attention
+
+**Статус:** pending
+**Код:** `server/src/routes/api/admin-orders.js`
+**Симптом:** `attentionCount` считает все `PENDING_PAYMENT`, включая заказы, где цена уже подтверждена.
+**Решение:** считать только `PENDING_PAYMENT + delivery + deliveryFeeLocked=false`.
+
+### P1-004: Admin может перевести delivery-заказ в PAID до подтверждения цены
+
+**Статус:** pending
+**Код:** `server/src/routes/api/admin-orders.js`
+**Симптом:** статусный guard разрешает `PENDING_PAYMENT -> PAID` без проверки `deliveryFeeLocked`.
+**Решение:** для `next === 'PAID'` отклонять delivery-заказы с `deliveryFeeLocked === false` кодом 409.
+
+## Refactor Backlog
+
+- Проверить, нужен ли `client/src/shared/constants/order.ts::canTransitionOrderStatus`; если нужен, сделать deliveryType обязательным аргументом.
+- После стабилизации route-тестов рассмотреть вынос части логики `admin-orders.js` в маленькие pure helpers.
+```
+
+- [ ] **Step 3: Проверить отсутствие незавершенных маркеров**
+
+Run:
+
+```powershell
+$pattern = ('TO' + 'DO|T' + 'BD|PLACE' + 'HOLDER|\?\?\?'); rg -n $pattern "docs/superpowers/audits/2026-05-28-orders-payments-audit.md"
+```
+
+Expected: no matches.
+
+---
+
+### Task 2: Зафиксировать server defects тестами
+
+**Files:**
+- Create: `server/src/routes/api/__tests__/admin-orders.test.js`
+
+- [ ] **Step 1: Написать failing route tests для summary и PAID guard**
+
+Create `server/src/routes/api/__tests__/admin-orders.test.js`:
+
+```js
+import jwt from '@fastify/jwt'
+import Fastify from 'fastify'
+import { afterAll, afterEach, beforeAll, beforeEach, describe, expect, it, vi } from 'vitest'
+import { prisma } from '../../../lib/prisma.js'
+import { registerAdminOrderRoutes } from '../admin-orders.js'
+
+const JWT_SECRET = 'test-secret'
+const ADMIN_EMAIL = `admin-orders-${Date.now()}@example.com`
+const USER_EMAIL = `admin-orders-user-${Date.now()}@example.com`
+
+let app
+let adminUser
+let buyer
+
+async function signToken(user) {
+  return app.jwt.sign({ sub: user.id, email: user.email })
+}
+
+async function buildApp() {
+  const fastify = Fastify({ logger: false })
+  await fastify.register(jwt, { secret: JWT_SECRET })
+  fastify.decorate('eventBus', { emit: vi.fn() })
+  fastify.decorate('verifyAdmin', async (request, reply) => {
+    try {
+      await request.jwtVerify()
+    } catch {
+      return reply.code(401).send({ error: 'Unauthorized' })
+    }
+    if (request.user.email !== ADMIN_EMAIL) {
+      return reply.code(401).send({ error: 'Admin only' })
+    }
+  })
+  await registerAdminOrderRoutes(fastify)
+  await fastify.ready()
+  return fastify
+}
+
+async function createOrder(data = {}) {
+  return prisma.order.create({
+    data: {
+      userId: buyer.id,
+      status: 'PENDING_PAYMENT',
+      deliveryType: 'delivery',
+      deliveryFeeLocked: false,
+      paymentMethod: 'online',
+      itemsSubtotalCents: 10000,
+      deliveryFeeCents: 50000,
+      totalCents: 60000,
+      currency: 'RUB',
+      ...data,
+    },
+  })
+}
+
+describe('admin order routes', () => {
+  beforeAll(async () => {
+    await prisma.payment.deleteMany()
+    await prisma.order.deleteMany({ where: { user: { email: { in: [ADMIN_EMAIL, USER_EMAIL] } } } })
+    await prisma.user.deleteMany({ where: { email: { in: [ADMIN_EMAIL, USER_EMAIL] } } })
+
+    adminUser = await prisma.user.create({ data: { email: ADMIN_EMAIL } })
+    buyer = await prisma.user.create({ data: { email: USER_EMAIL } })
+  })
+
+  beforeEach(async () => {
+    await prisma.order.deleteMany({ where: { userId: buyer.id } })
+    app = await buildApp()
+  })
+
+  afterEach(async () => {
+    await app.close()
+    vi.clearAllMocks()
+  })
+
+  afterAll(async () => {
+    await prisma.order.deleteMany({ where: { userId: buyer.id } })
+    await prisma.user.deleteMany({ where: { id: { in: [adminUser.id, buyer.id] } } })
+  })
+
+  it('summary counts only delivery orders waiting for price approval', async () => {
+    await createOrder({ deliveryFeeLocked: false, deliveryType: 'delivery' })
+    await createOrder({ deliveryFeeLocked: true, deliveryType: 'delivery' })
+    await createOrder({ deliveryFeeLocked: false, deliveryType: 'pickup' })
+    await createOrder({ deliveryFeeLocked: false, deliveryType: 'delivery', status: 'PAID' })
+
+    const token = await signToken(adminUser)
+    const res = await app.inject({
+      method: 'GET',
+      url: '/api/admin/orders/summary',
+      headers: { authorization: `Bearer ${token}` },
+    })
+
+    expect(res.statusCode).toBe(200)
+    expect(res.json()).toEqual({ attentionCount: 1 })
+  })
+
+  it('rejects PAID transition while delivery fee is not locked', async () => {
+    const order = await createOrder({ deliveryFeeLocked: false, deliveryType: 'delivery' })
+    const token = await signToken(adminUser)
+
+    const res = await app.inject({
+      method: 'PATCH',
+      url: `/api/admin/orders/${order.id}/status`,
+      headers: { authorization: `Bearer ${token}` },
+      payload: { status: 'PAID' },
+    })
+
+    expect(res.statusCode).toBe(409)
+    expect(res.json().error).toContain('стоимость доставки')
+  })
+})
+```
+
+- [ ] **Step 2: Запустить тест и убедиться, что он падает**
+
+Run from `server`:
+
+```powershell
+npm test -- src/routes/api/__tests__/admin-orders.test.js
+```
+
+Expected before implementation: first test returns `{ attentionCount: 2 }` or more; second test returns 200 instead of 409.
+
+---
+
+### Task 3: Исправить admin summary и PAID guard
+
+**Files:**
+- Modify: `server/src/routes/api/admin-orders.js`
+- Test: `server/src/routes/api/__tests__/admin-orders.test.js`
+- Update: `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`
+
+- [ ] **Step 1: Исправить summary filter**
+
+In `server/src/routes/api/admin-orders.js`, replace the summary `where`:
+
+```js
+const attentionCount = await prisma.order.count({
+  where: {
+    status: 'PENDING_PAYMENT',
+    deliveryType: 'delivery',
+    deliveryFeeLocked: false,
+  },
+})
+```
+
+- [ ] **Step 2: Добавить guard перед update статуса**
+
+In `server/src/routes/api/admin-orders.js`, after `canTransitionAdminOrderStatus` check and before `prisma.order.update`, add:
+
+```js
+if (next === 'PAID' && existing.deliveryType === 'delivery' && existing.deliveryFeeLocked === false) {
+  return reply.code(409).send({
+    error: 'Сначала подтвердите итоговую стоимость доставки',
+  })
+}
+```
+
+- [ ] **Step 3: Запустить focused server test**
+
+Run from `server`:
+
+```powershell
+npm test -- src/routes/api/__tests__/admin-orders.test.js
+```
+
+Expected: PASS.
+
+- [ ] **Step 4: Обновить audit report statuses**
+
+In `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`, change:
+
+```markdown
+**Статус:** pending
+```
+
+to:
+
+```markdown
+**Статус:** fixed
+```
+
+for `P1-003` and `P1-004`, and add:
+
+```markdown
+**Тест:** `server/src/routes/api/__tests__/admin-orders.test.js`
+```
+
+to both findings.
+
+---
+
+### Task 4: Зафиксировать SSE queryKey mismatch тестами
+
+**Files:**
+- Modify: `client/src/app/providers/__tests__/SseProvider.test.tsx`
+
+- [ ] **Step 1: Обновить ожидания для order events**
+
+In `client/src/app/providers/__tests__/SseProvider.test.tsx`, change the `message:new`, `order:statusChanged`, and `order:updated` expectations so each order event expects:
+
+```ts
+expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['me', 'orders', orderId] })
+expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'detail', orderId] })
+expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders'] })
+expect(mockInvalidateQueries).toHaveBeenCalledWith({ queryKey: ['admin', 'orders', 'summary'] })
+```
+
+Use concrete `orderId` values already present in each test: `o1`, `o2`, `o3`.
+
+- [ ] **Step 2: Запустить focused client test и убедиться, что он падает**
+
+Run from `client`:
+
+```powershell
+npm test -- src/app/providers/__tests__/SseProvider.test.tsx
+```
+
+Expected before implementation: FAIL because `['admin', 'orders', 'detail', orderId]`, list and summary are not invalidated for existing order events.
+
+---
+
+### Task 5: Исправить SSE invalidation keys
+
+**Files:**
+- Modify: `client/src/app/providers/SseProvider.tsx`
+- Test: `client/src/app/providers/__tests__/SseProvider.test.tsx`
+- Update: `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`
+
+- [ ] **Step 1: Добавить локальный helper внутри useEffect**
+
+In `client/src/app/providers/SseProvider.tsx`, inside `useEffect` before `handleEvent`, add:
+
+```ts
+function invalidateOrderQueries(orderId: unknown) {
+  if (!orderId) return
+  queryClient.invalidateQueries({ queryKey: ['me', 'orders', orderId] })
+  queryClient.invalidateQueries({ queryKey: ['admin', 'orders', 'detail', orderId] })
+  queryClient.invalidateQueries({ queryKey: ['admin', 'orders'] })
+  queryClient.invalidateQueries({ queryKey: ['admin', 'orders', 'summary'] })
+}
+```
+
+- [ ] **Step 2: Использовать helper в three order event cases**
+
+Replace duplicated `if (orderId) { ... }` blocks in `message:new`, `order:statusChanged`, and `order:updated` with:
+
+```ts
+invalidateOrderQueries(orderId)
+```
+
+Keep `message:new` invalidations for unread count and conversations before this call.
+
+- [ ] **Step 3: Запустить focused client test**
+
+Run from `client`:
+
+```powershell
+npm test -- src/app/providers/__tests__/SseProvider.test.tsx
+```
+
+Expected: PASS.
+
+- [ ] **Step 4: Обновить audit report**
+
+Mark `P1-001` as fixed and add:
+
+```markdown
+**Тест:** `client/src/app/providers/__tests__/SseProvider.test.tsx`
+```
+
+---
+
+### Task 6: Зафиксировать и исправить authorType в админском чате
+
+**Files:**
+- Modify: `client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx`
+- Modify: `client/src/features/order-detail/ui/OrderDetailContent.tsx`
+- Update: `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`
+
+- [ ] **Step 1: Замокать ChatMessageBubble в тесте**
+
+In `client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx`, add this mock after existing UI mocks:
+
+```ts
+vi.mock('@/shared/ui/ChatMessageBubble', () => ({
+  ChatMessageBubble: ({ authorType, children }: { authorType: 'admin' | 'user'; children: React.ReactNode }) => (
+    <div data-testid={`chat-message-${authorType}`}>{children}</div>
+  ),
+}))
+```
+
+- [ ] **Step 2: Добавить failing test**
+
+Add to `describe('OrderDetailContent quick status transitions', () => { ... })`:
+
+```ts
+it('передает фактический authorType в пузырь сообщения', () => {
+  renderComponent(
+    createDetail({
+      messages: [
+        {
+          id: 'message-admin',
+          authorType: 'admin',
+          text: 'Ответ администратора',
+          attachmentUrl: null,
+          createdAt: '2026-05-28T10:00:00.000Z',
+        },
+        {
+          id: 'message-user',
+          authorType: 'user',
+          text: 'Сообщение покупателя',
+          attachmentUrl: null,
+          createdAt: '2026-05-28T10:01:00.000Z',
+        },
+      ],
+    }),
+  )
+
+  expect(screen.getByTestId('chat-message-admin')).toHaveTextContent('Ответ администратора')
+  expect(screen.getByTestId('chat-message-user')).toHaveTextContent('Сообщение покупателя')
+})
+```
+
+- [ ] **Step 3: Запустить focused test и убедиться, что он падает**
+
+Run from `client`:
+
+```powershell
+npm test -- src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx
+```
+
+Expected before implementation: FAIL because admin message is rendered under `chat-message-user`.
+
+- [ ] **Step 4: Исправить implementation**
+
+In `client/src/features/order-detail/ui/OrderDetailContent.tsx`, replace:
+
+```tsx
+<ChatMessageBubble key={m.id} authorType={isAdminMsg ? 'user' : 'admin'} avatar={avatarNode}>
+```
+
+with:
+
+```tsx
+<ChatMessageBubble key={m.id} authorType={isAdminMsg ? 'admin' : 'user'} avatar={avatarNode}>
+```
+
+- [ ] **Step 5: Запустить focused test**
+
+Run from `client`:
+
+```powershell
+npm test -- src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx
+```
+
+Expected: PASS.
+
+- [ ] **Step 6: Обновить audit report**
+
+Mark `P1-002` as fixed and add:
+
+```markdown
+**Тест:** `client/src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx`
+```
+
+---
+
+### Task 7: Исправить клиентский status helper без delivery-only fallback
+
+**Files:**
+- Modify: `client/src/shared/constants/order.ts`
+- Create: `client/src/shared/constants/__tests__/order.test.ts`
+
+- [ ] **Step 1: Создать тесты для delivery и pickup переходов**
+
+Create `client/src/shared/constants/__tests__/order.test.ts`:
+
+```ts
+import { describe, expect, it } from 'vitest'
+import { canTransitionOrderStatus, getAdminNextOrderStatuses } from '../order'
+
+describe('client order status helpers', () => {
+  it('returns delivery-specific next statuses', () => {
+    expect(getAdminNextOrderStatuses('IN_PROGRESS', 'delivery')).toEqual(['SHIPPED', 'CANCELLED'])
+  })
+
+  it('returns pickup-specific next statuses', () => {
+    expect(getAdminNextOrderStatuses('IN_PROGRESS', 'pickup')).toEqual(['READY_FOR_PICKUP', 'CANCELLED'])
+  })
+
+  it('checks pickup transition without falling back to delivery rules', () => {
+    expect(canTransitionOrderStatus('IN_PROGRESS', 'READY_FOR_PICKUP', 'pickup')).toBe(true)
+    expect(canTransitionOrderStatus('IN_PROGRESS', 'SHIPPED', 'pickup')).toBe(false)
+  })
+})
+```
+
+- [ ] **Step 2: Запустить тест и убедиться, что он падает на сигнатуре**
+
+Run from `client`:
+
+```powershell
+npm test -- src/shared/constants/__tests__/order.test.ts
+```
+
+Expected before implementation: TypeScript/test failure because `canTransitionOrderStatus` accepts only `(from, to)` and hardcodes delivery.
+
+- [ ] **Step 3: Изменить helper signature**
+
+In `client/src/shared/constants/order.ts`, replace `canTransitionOrderStatus` with:
+
+```ts
+export function canTransitionOrderStatus(
+  from: string,
+  to: string,
+  deliveryType: 'delivery' | 'pickup',
+): boolean {
+  if (from === to) return true
+  return getAdminNextOrderStatuses(from, deliveryType).includes(to as OrderStatus)
+}
+```
+
+- [ ] **Step 4: Проверить callers**
+
+Run from repo root:
+
+```powershell
+rg -n "canTransitionOrderStatus\\(" "client/src"
+```
+
+Expected: only the new test imports/calls it, or all callers pass `deliveryType`.
+
+- [ ] **Step 5: Запустить focused test**
+
+Run from `client`:
+
+```powershell
+npm test -- src/shared/constants/__tests__/order.test.ts
+```
+
+Expected: PASS.
+
+---
+
+### Task 8: Полные проверки и финализация отчета
+
+**Files:**
+- Update: `docs/superpowers/audits/2026-05-28-orders-payments-audit.md`
+- Verify: changed server/client files
+
+- [ ] **Step 1: Запустить server checks**
+
+Run from `server`:
+
+```powershell
+npm test
+npm run lint
+npm run format:check
+```
+
+Expected: all commands pass.
+
+- [ ] **Step 2: Запустить client checks**
+
+Run from `client`:
+
+```powershell
+npm run lint
+npm run format:check
+npm test -- src/app/providers/__tests__/SseProvider.test.tsx src/features/order-detail/ui/__tests__/OrderDetailContent.test.tsx src/shared/constants/__tests__/order.test.ts
+```
+
+Expected: all commands pass.
+
+- [ ] **Step 3: Запустить build при изменении TypeScript сигнатур**
+
+Run from `client`:
+
+```powershell
+npm run build
+```
+
+Expected: typecheck and Vite build pass.
+
+- [ ] **Step 4: Финализировать audit report summary**
+
+Update `docs/superpowers/audits/2026-05-28-orders-payments-audit.md` summary to:
+
+```markdown
+## Summary
+
+- P0: не найдено в первой итерации.
+- P1: исправлены SSE/queryKey для админской деталки, authorType админского чата, summary внимания и guard оплаты до подтверждения доставки.
+- P2: добавлены focused tests для найденных дефектов.
+- P3: рефакторинги оставлены в backlog.
+```
+
+- [ ] **Step 5: Зафиксировать проверки в audit report**
+
+Add:
+
+```markdown
+## Verification
+
+- `server npm test` — pass
+- `server npm run lint` — pass
+- `server npm run format:check` — pass
+- `client npm run lint` — pass
+- `client npm run format:check` — pass
+- `client focused vitest` — pass
+- `client npm run build` — pass
+```
+
+If a command fails for an unrelated existing issue, record the exact failing command and reason instead of marking it pass.
+
+- [ ] **Step 6: Проверить рабочее дерево**
+
+Run from repo root:
+
+```powershell
+git status --short
+```
+
+Expected: only files from this plan and any intentional generated files are changed.
+
+Do not commit unless the user explicitly asks for a commit.
diff --git a/docs/superpowers/specs/2026-05-28-project-audit-orders-design.md b/docs/superpowers/specs/2026-05-28-project-audit-orders-design.md
new file mode 100644
index 0000000..d9aea52
--- /dev/null
+++ b/docs/superpowers/specs/2026-05-28-project-audit-orders-design.md
@@ -0,0 +1,138 @@
+# Дизайн: аудит заказов, оплаты и админки заказов
+
+**Дата:** 2026-05-28  
+**Статус:** Ready for implementation planning
+
+## Контекст
+
+Проект — магазин изделий ручной работы с витриной, личным кабинетом и админкой. Самый рискованный бизнес-поток сейчас проходит через создание заказа, доставку, подтверждение цены, оплату, смену статусов, чат заказа и синхронизацию UI через React Query/SSE.
+
+Предыдущий документ `docs/superpowers/specs/2026-05-28-admin-orders-improvements-design.md` описывает UX-доработку админки заказов. Этот документ шире: он задает дизайн аудита логики и исправлений вокруг заказов и оплаты.
+
+## Цели
+
+- Найти логические ошибки и рассинхроны в потоке заказа от checkout до финального статуса.
+- Приоритизировать проблемы по риску для данных, оплаты, остатков и пользовательского опыта.
+- Исправить только подтвержденные проблемы высокой ценности, не превращая аудит в большой несвязанный рефакторинг.
+- Подготовить отдельный список безопасных рефакторингов, которые стоит делать после стабилизации тестами.
+
+## Не в рамках этой итерации
+
+- Редизайн витрины, карточек товара или всей админки.
+- Полный аудит всех CRUD-разделов админки.
+- Миграция с SQLite или изменение инфраструктуры деплоя.
+- Новая ролевая модель вместо текущего `verifyAdmin`.
+- Переработка публичных контрактов `/api/categories` и `/api/products`.
+
+## Рекомендованный подход
+
+Первая итерация должна быть сфокусирована на сквозном потоке `orders/payments/admin-orders`, а не на всем проекте сразу. Этот поток объединяет серверные инварианты, платежи, остатки, админские действия, React Query cache и realtime-обновления, поэтому дает максимальную отдачу от аудита.
+
+Альтернативы:
+
+- Timebox-аудит всего проекта даст широкую карту проблем, но исправления окажутся менее связными.
+- Отдельный frontend-only или backend-only аудит проще выполнить локально, но он хуже ловит ошибки на стыке API, статусов, кеша и UI.
+
+## Область анализа
+
+### Backend
+
+- `server/src/routes/user-orders.js` — создание заказа, checkout, списание остатков, доставка.
+- `server/src/routes/user-payments.js` — создание и проверка платежа.
+- `server/src/routes/webhook-yookassa.js` — обработка платежных вебхуков.
+- `server/src/routes/api/admin-orders.js` — список, деталка, summary, смена статуса, доставка, сообщения.
+- `server/src/routes/user-messages.js` — пользовательские сообщения заказа.
+- `server/src/routes/user-cart.js` — корзина как источник checkout.
+- `server/src/plugins/auth.js` — админская проверка только в части влияния на order API.
+- `shared/constants/order-status.js` и `server/src/lib/order-status.js` — допустимые переходы статусов.
+
+### Frontend
+
+- `client/src/pages/admin-orders/` — список заказов, диалог деталки, summary.
+- `client/src/features/order-detail/` — деталка заказа, статусы, доставка, чат, оплата.
+- `client/src/pages/me/ui/sections/` — пользовательская деталка заказа, сообщения, действия по заказу.
+- `client/src/entities/order/api/` — контракты клиентского API.
+- `client/src/app/providers/SseProvider.tsx` — realtime-инвалидации.
+- Order-related query keys и мутации React Query.
+
+## Проверяемые инварианты
+
+### Заказ и остатки
+
+- Checkout не создает заказ при нехватке товара.
+- Остатки списываются атомарно и не уходят в отрицательные значения.
+- Если отмена заказа не возвращает остатки, это фиксируется в audit report как явное продуктовое решение или дефект.
+- Корзина после успешного checkout очищается согласованно с созданным заказом.
+
+### Доставка и цена
+
+- Для доставки состояние `deliveryFeeLocked` соответствует возможности оплаты.
+- Заказы, требующие подтверждения цены доставки, видны администратору в списке заказов и учитываются в summary, если summary заявлен как список задач к вниманию.
+- Админ не переводит заказ в состояние, которое противоречит неподтвержденной доставке.
+
+### Оплата
+
+- Платеж нельзя создать для заказа, который еще не готов к оплате.
+- Webhook и polling не создают дублирующих побочных эффектов.
+- Переход в `PAID` идемпотентен и не ломает уведомления.
+- Ручной перевод админом в `PAID` либо запрещен, либо явно обоснован и протестирован.
+
+### Статусы
+
+- Все переходы статусов проходят через единый источник правил.
+- Frontend не дублирует серверную бизнес-логику переходов.
+- Для delivery и pickup сценариев допустимые переходы не расходятся.
+- Финальные статусы нельзя случайно изменить через admin API.
+
+### UI и синхронизация
+
+- Query keys деталки, списка, summary и SSE-инвалидаций согласованы.
+- После мутаций админка и личный кабинет не показывают устаревший статус.
+- Сообщения чата корректно отображают автора в пользовательской и админской деталке.
+- Ошибки API отображаются понятным текстом и не скрываются за silent fail.
+
+## Приоритизация находок
+
+- **P0:** риск потери денег, некорректной оплаты, отрицательных остатков, доступа к чужим данным.
+- **P1:** неверный статус заказа, сломанная админская операция, рассинхрон UI после успешного действия.
+- **P2:** плохая диагностика ошибок, слабое покрытие тестами вокруг важного сценария.
+- **P3:** локальный техдолг и рефакторинг без текущего пользовательского эффекта.
+
+В первой реализации исправляются P0/P1 и небольшие P2, если они нужны для тестового закрепления. P3 фиксируются в отчете и не смешиваются с исправлениями.
+
+## Артефакты
+
+1. Audit report в формате списка находок с приоритетом, сценарием воспроизведения или кодовой причиной.
+2. Набор точечных исправлений для подтвержденных P0/P1.
+3. Тесты, которые фиксируют исправленное поведение.
+4. Отдельный список рефакторингов и доработок на следующую итерацию.
+
+## Тестирование и проверки
+
+Минимальный набор проверок после исправлений:
+
+- `server` → `npm test`
+- `server` → `npm run lint`
+- `server` → `npm run format:check`
+- `client` → `npm run lint`
+- `client` → `npm run format:check`
+
+Дополнительно по затронутым изменениям:
+
+- `client` → `npm test`
+- `client` → `npm run build`
+- ручной smoke-сценарий: checkout delivery, подтверждение доставки админом, оплата, смена статусов, обновление открытой деталки.
+
+## Риски
+
+- Аудит может найти больше проблем, чем стоит исправлять в одной итерации. Мера: исправлять только P0/P1, остальное переносить в отчет.
+- Статусная модель может оказаться связана с UX-решениями, которые не очевидны из кода. Мера: спорные изменения фиксировать как предложение, а не вносить без подтвержденного инварианта.
+- Сквозные тесты могут потребовать подготовки данных. Мера: начинать с route/unit/component тестов рядом с найденным дефектом.
+
+## Критерии готовности
+
+- Каждая исправленная проблема имеет тест или четкую проверку.
+- Публичные роуты `/api/categories` и `/api/products` не меняются.
+- FSD-границы фронтенда не нарушены.
+- API ошибки для админских операций остаются понятными: 400/401/404/409.
+- Все релевантные проверки из раздела тестирования пройдены или явно перечислены как не запущенные с причиной.
diff --git a/server/prisma/prisma/dev.db b/server/prisma/prisma/dev.db
index 0d5686751f661c0b7c4856fa813334472af3d781..b7d492a6c25a62fd37a2107955c5bb2187861b03 100644
GIT binary patch
delta 3625
zcmb7GU2NOd6(&V8F`ZafLh5D?>MF@%B#YsOq)drI2h+(Kblwu%&HCq|NK8qTMg3C0
zlx$$M`w$>Ni>&Aaffi_5tVrLoA1@a6)F4eB+GJj_qCl}4XpsOJ5DZ9P+5-JSdoC%(
zv}rr530)bw=brC;-#Pd2%wOr9zta21J$|N15X7_ak>TTe<xs@OH2*sN_W7MefFRJP
z=s)m0vl!%#Bl8#3b7WPmREH{Rbx1dc_-Hg1lOm!dgd@_Z+EDU(PJJv<%+ugXR1Q;9
zwt44!D6dx2#bm{GP81{VbJTunj4Tw@yrSh+t-_qdj{@$YD)#LgI6zIXGdKdJ=`!NQ
zXvfv!cNe;*x8eBx#~^aa-#X?euaXX<+e8qe+qM||@FUc^9U}Jy{5I1S)Iz_;51fb~
z^8hU~WFoKYCB6~nIgaD?dZtjS^Nn;fSs~vj8aLl#z)|r5MhjSr-#ox*j&j3g6^{EY
z7cL~UdMa5_Q|WRO<1HWY{TzZ~+d<`32r7b&hNC%NEtVs;(Ofs+*@W((8|V&x7K5V|
zWFoqkAt#THJ+T`5Q{?3F@h8T{pFA^pbn4{s@u%%AJL1TOTXWPNdJw#LPeE{fu*Gh)
zHP^!)Al{)T$-Q<?&@IsZ6J*^o$^Fg`EAYd=QETNqd5G(_W512AqjM1V9J0>+iySzO
zv!LdIa7@S~C8KI+@pyQa>Zjz6vguja<@idnUPzTAvAh`bJwnMHu`&{DhVgDXS~q5d
zveMI$X#|Zx#sy@Jd`2obS&H>1_^->3<2t&&7}WoPtn2s4NAYHV>%aHNey6z5Td-##
z>#Z}s1O?`;?bE*R(fWg?&pBwla+2;_n)lJVL;7z(FNG}q2j8*r6C^7KcM$}`$nES#
z8W3=zu8ECUQy0?lOsSsbg|MBVF=y>qX24Rymg$+<q{!7Ge`oHZhp}Q_CwR-c8>03&
zF}x21-bL2?N2tdy)65;T*FNQOc)z5+f<)ay*8e7`?rxS2?qcnrmL@4OfI52q8BP1Y
z_P@UP)ZXXGR$8IXZtwOp^i7#3Uf&(EP=UJGdPAd@D07Nt<pe&(Fqn!yt3%yG3TML!
zBRUfwR&rcJN#?b}P_dj;%ax&8MJ;zO{BShJ3EXIwV&zz9tmC7^8+9B##|x5_OEhzh
z{1{mLY83@63;`SPJHVtoT+1|OHOac9Q2qX*@xfIr?FUy0g8bHE3)D+y3W9vDciLWw
zP&-tRHk#)a`sr@iBSH&|!@&6&oZ}kRwRo!BC>P!RQh`{e;J~UIsM?wKkA3%@xQf+m
zSF7#if$j5Y=*>!9sVa(6uB4SpT1{d;%Z$CAIN@VukZM(|2JSR#8_l}rYl>2*``XRd
zc68WTCnun4C)W7$_M|QQG;Zg%ue!6|uQPo8p#c!Y;;vBxnXYRNx~~(McI~>9YYXRY
z5ni_L7U7M(6HcpZp8DYoO9Isq_&f#|w~4H|OB8E;JkC61UA#w~cHSW`qdn+V{6I%(
z?l7}VK<@48C;EI8wR*du(BYawE5n5@#!J<lkTGy$PO3Sru9lm{LQX5F2Lr@=lf>QW
zQ_ma&b?OpU9o9{+3e;?Bu&d7nX0~mU`1KXVXc|}Nh6OdXu1o7$B3siph8?hB2eyDE
zz8GXT;FxHb04rkHNSIe^m11@s?ACnu*}(fY1+M!7^5BNzYJeLD+-Hp>uY_~SsQQzD
z@q4r`MK%StPJd7R&aBcH-Yqvi04+dDW3}<HkQ}Z`dex|`L*HC&<K_Zj!`gP`oja-|
zpn}>Vv#ZNhQUEIy0an1{K)#WM&R^bK?K4gU<k>f!+A?nZ#fE*S4J%*<9CoEO(|jY9
znSt6$tWC0ATbM2GAR=ZP6KlmpR4c4wyH%2nn{zhs+@^fty8U6Wgfopx%*ENXwa%t6
zx=p&2QuDP`VoUT@#>+=A@bZy1u(vam+CsZAZOFX+b}Xo%PRyv)L@p!#znC`J<qp}+
z`whbFFN+^&BU5YIpArYcF)X)Knw1(Eqk(78-?wRaOAn7MzwGRKQnjWzdZg?$M|+fL
z({{053ea@GJw`-Da)->ayIJ_V|1J~o%QnUHO(C7A8Z%8X4^zyrh}FOGnzQ1W<N&@o
zUfUiNB&eRF+t6YE<2^?~4X&p(a+3at3<0k`Sw6VCmv}MM<)9U`lAhxhCdr*LVeOuv
z_gjf^`t8<N6SRM?GgV$j8FU%E1d$ao=@(4E)P^BG0S|@^PE0D1nPOWl?>vd4{pX6a
zjsaERx`t{ljEfPwQc}efXBbA?mG`ZLoh(1O&G}lIr^!GMS|KQOjX+<bYv@B5%a)LJ
z?E?KXoWMTobD8XAx@m%8Ti;xuy93@K`CWS86xL8JLlAL1fRv+YJ(`H??j(EJc9M+G
LdI?;-LcjSVJmNwD

delta 1825
zcma)6Z)_7~7{B-Ky0vxf+ZhIKh#L({NMPgc+G~4Y)@^Q*Mb-@j|0J^Q+Fsk+uGgdO
zwhq)yKP({{CyC)rBr*vEK4_F>Zq-DEDEmN6u&`h>k_cOZi6QdMFN*lwl?{TJ*!13B
zpMUT3=lA?3&eu$wuX(r5&EB9W>IHbh@Sr1`12lVMX5iFR6^$1u{2N}xALFyL)m#@I
z-^%Pqc_o)`ilt;dsWcg*O?)sYNgO8%g6I=km4ci$G^II~NwbYiPuV!F+_&=kCGkNk
zhPofq%XA?<qoie3TXB#=9Pi^>^U7L=N9j$5JQNZ+zI9C2<4U19J51Lwyd%9LPMWT>
ze@)v5Dv-OKa<@a)A$PIejlMxu2rpCct%f2iW~)n!xVT)8HhSy`U!(9fT%4^oKEjQg
z*su-7(ncog6GsO*j`I!Ylf%ISDwo&wI66MK|JV#ou1z7YduhgLHVogS@J;+3xSzvf
z9lOPbdOIT>U6Gyry=^adcSiQ!bE*ZE<6o*wU}<K)7qJZ$2rp512{QW;lcjOw1%a6u
z2(I8FT)3HY(s+Tw3wRkHo~>>@gvsIWQRDiIoKN`kkSP~4#F2zAIbvvr#B5-~i2Rvi
zYFYY8CQPnRp}Hy;<V)ig3Qyw}XpMkL%P&Y~`%z_>oP;;Kb-^-TfMUMDWZ^b?iUns!
z@z>jE1N0Q1pzsOM5ll|>(=i5GTC5zP@8E|W$LX>oInvG6&QH*+0nP@64ahrziE)>1
z7u$FCM)!5A9i9D&VC31rt}NG)c<veL#fU6s4o0=zqlM_foEB+{LH|C`e=eWo#uTbO
z>Om~TGsg+t`3YM&l2`B2wa)THRyAa~p4kYd7b$$v8W6d-joI;_?~27O3g3cYOPJj1
zVVur_PY7{--X99g_cF+X?Y~nrx=Oii=&HMb2WEFSyo8D=nVGDF8*S^tJauecJ;6FN
zS$th(eqhMt6=sG#X&@(Y=*-&$gbkv=B~(po^mQ}}f}YV8_-PclTuL^SrmO;p&Z>H{
ztd3>XoY5IiD!JnOD)Ts61Cwhpi(8oxK5R~@b?kqDz-*b#1cAfC!~6tOIpBa$R0}-K
z<sgSXVI1UY#I}Z<zRmR6k*kk#_2D`I$sQN!yTd#`uFz-BQs4G6L)4yq?T5T^MN>zV
z?AYEhL-B53{p;Q8Rpam<HptM`pr!*XB`KKUqRMDiN)~cppvh511Dn!krLRk0f*`BJ
zR6|wtd_+#0!Imc8D!o^lyF79EoziUS^U_xhr6Xk0jW+NP8uzB4g<!oUC<y`1=aVEc
z2zogl&nmgxF4a;NKXs!gQ8&nek<xI5ce_5UX=W1eDu$XNJINmc>XJf2NCLT@1bMJI
z#0x=D2n0FN&++_g=(xG4<#QE-_b3IH(xMb&4tve5TVam^)GnIrA>?y<Ho*;+XJD?x
z(E*x0!+KZ`K=BfVFIm`Z6VYQ~2WK93%HeR>Z8kGhOg*3~5Q^u0qw-KH5EvO!lduhM
z?wK#24`F_bIqCm&G%0{_wN>D1_YPMZ%$IW&Te{grRPlz2s={Hy^{`&6LK2Ixr;2~{
zu<iyRo<R!F;XynH9@UuCkF&4T=&3-Ihr|Nrd<)4`fzu7%f|vk}5*M1wXBQL{hH~Ij
zE+{^fS4><4w4kJ>f|@)k8F}-{^-fsy>(-)QpPyin$4VAopzsA;GMUhr$K=8^`-H{6
s#lNT73Qw66fwERP@f_PowvDrEpSCE_0^*|*wT5A~>5=K2KF@ym58k{kEdT%j

diff --git a/server/src/routes/api/__tests__/admin-orders.test.js b/server/src/routes/api/__tests__/admin-orders.test.js
new file mode 100644
index 0000000..920cfab
--- /dev/null
+++ b/server/src/routes/api/__tests__/admin-orders.test.js
@@ -0,0 +1,118 @@
+import jwt from '@fastify/jwt'
+import Fastify from 'fastify'
+import { afterAll, afterEach, beforeAll, beforeEach, describe, expect, it, vi } from 'vitest'
+import { prisma } from '../../../lib/prisma.js'
+import { registerAdminOrderRoutes } from '../admin-orders.js'
+
+const JWT_SECRET = 'test-secret'
+const ADMIN_EMAIL = `admin-orders-${Date.now()}@example.com`
+const USER_EMAIL = `admin-orders-user-${Date.now()}@example.com`
+
+let app
+let adminUser
+let buyer
+
+async function signToken(user) {
+  return app.jwt.sign({ sub: user.id, email: user.email })
+}
+
+async function buildApp() {
+  const fastify = Fastify({ logger: false })
+  await fastify.register(jwt, { secret: JWT_SECRET })
+  fastify.decorate('eventBus', { emit: vi.fn() })
+  fastify.decorate('verifyAdmin', async (request, reply) => {
+    try {
+      await request.jwtVerify()
+    } catch {
+      return reply.code(401).send({ error: 'Unauthorized' })
+    }
+    if (request.user.email !== ADMIN_EMAIL) {
+      return reply.code(401).send({ error: 'Admin only' })
+    }
+  })
+  await registerAdminOrderRoutes(fastify)
+  await fastify.ready()
+  return fastify
+}
+
+async function createOrder(data = {}) {
+  return prisma.order.create({
+    data: {
+      userId: buyer.id,
+      status: 'PENDING_PAYMENT',
+      deliveryType: 'delivery',
+      deliveryFeeLocked: false,
+      paymentMethod: 'online',
+      itemsSubtotalCents: 10000,
+      deliveryFeeCents: 50000,
+      totalCents: 60000,
+      currency: 'RUB',
+      ...data,
+    },
+  })
+}
+
+describe('admin order routes', () => {
+  beforeAll(async () => {
+    await prisma.payment.deleteMany()
+    await prisma.order.deleteMany({ where: { user: { email: { in: [ADMIN_EMAIL, USER_EMAIL] } } } })
+    await prisma.user.deleteMany({ where: { email: { in: [ADMIN_EMAIL, USER_EMAIL] } } })
+
+    adminUser = await prisma.user.create({ data: { email: ADMIN_EMAIL } })
+    buyer = await prisma.user.create({ data: { email: USER_EMAIL } })
+  })
+
+  beforeEach(async () => {
+    await prisma.order.deleteMany({ where: { userId: buyer.id } })
+    app = await buildApp()
+  })
+
+  afterEach(async () => {
+    await app.close()
+    vi.clearAllMocks()
+  })
+
+  afterAll(async () => {
+    await prisma.order.deleteMany({ where: { userId: buyer.id } })
+    await prisma.user.deleteMany({ where: { id: { in: [adminUser.id, buyer.id] } } })
+  })
+
+  it('summary counts only delivery orders waiting for price approval', async () => {
+    const token = await signToken(adminUser)
+    const beforeRes = await app.inject({
+      method: 'GET',
+      url: '/api/admin/orders/summary',
+      headers: { authorization: `Bearer ${token}` },
+    })
+    const baseline = beforeRes.json().attentionCount
+
+    await createOrder({ deliveryFeeLocked: false, deliveryType: 'delivery' })
+    await createOrder({ deliveryFeeLocked: true, deliveryType: 'delivery' })
+    await createOrder({ deliveryFeeLocked: false, deliveryType: 'pickup' })
+    await createOrder({ deliveryFeeLocked: false, deliveryType: 'delivery', status: 'PAID' })
+
+    const res = await app.inject({
+      method: 'GET',
+      url: '/api/admin/orders/summary',
+      headers: { authorization: `Bearer ${token}` },
+    })
+
+    expect(res.statusCode).toBe(200)
+    expect(res.json()).toEqual({ attentionCount: baseline + 1 })
+  })
+
+  it('rejects PAID transition while delivery fee is not locked', async () => {
+    const order = await createOrder({ deliveryFeeLocked: false, deliveryType: 'delivery' })
+    const token = await signToken(adminUser)
+
+    const res = await app.inject({
+      method: 'PATCH',
+      url: `/api/admin/orders/${order.id}/status`,
+      headers: { authorization: `Bearer ${token}` },
+      payload: { status: 'PAID' },
+    })
+
+    expect(res.statusCode).toBe(409)
+    expect(res.json().error).toContain('стоимость доставки')
+  })
+})
diff --git a/server/src/routes/api/admin-orders.js b/server/src/routes/api/admin-orders.js
index 25d152c..01ee1c7 100644
--- a/server/src/routes/api/admin-orders.js
+++ b/server/src/routes/api/admin-orders.js
@@ -7,6 +7,8 @@ export async function registerAdminOrderRoutes(fastify) {
     const attentionCount = await prisma.order.count({
       where: {
         status: 'PENDING_PAYMENT',
+        deliveryType: 'delivery',
+        deliveryFeeLocked: false,
       },
     })
     return { attentionCount }
@@ -97,6 +99,11 @@ export async function registerAdminOrderRoutes(fastify) {
         error: `Нельзя сменить статус ${existing.status} → ${next}`,
       })
     }
+    if (next === 'PAID' && existing.deliveryType === 'delivery' && existing.deliveryFeeLocked === false) {
+      return reply.code(409).send({
+        error: 'Сначала подтвердите итоговую стоимость доставки',
+      })
+    }
 
     const updated = await prisma.order.update({
       where: { id },

From 12222ddf43f1767db0147be15666ea9c8996b793 Mon Sep 17 00:00:00 2001
From: Kirill <mpak8501@yandex.ru>
Date: Thu, 28 May 2026 21:53:35 +0500
Subject: [PATCH 2/2] asdasd

---
 server/prisma/prisma/dev.db | Bin 352256 -> 356352 bytes
 1 file changed, 0 insertions(+), 0 deletions(-)

diff --git a/server/prisma/prisma/dev.db b/server/prisma/prisma/dev.db
index b7d492a6c25a62fd37a2107955c5bb2187861b03..d3ff4da77e4006dbc640c4e36fd2d904e988cc65 100644
GIT binary patch
delta 12810
zcmeHN3vgUldETqLdP{rk0TWE@*p_h~B=`EhA5QSvaqQR-IZ8qj2&K;5mv*Jq?rK+B
zOAhf`0ZNjV+Kef;z)UDpNN77LX$=;nlrRulC^QJt5Qln5Fw7L%5W;j?+DWJB_n)&b
zS*s8pWtdK#=swQlKmY&z|M}0|^POX#Uw7=8btf(y{&*x3xfOr>-+M20rH}u`?H@fp
z)Wsf;uzzNcvv0GTPp#GVvXeJ|_^A6TS(m0t!K7zv`mXt)kV?;~<=L)vvfke;9-j(w
zc{N#_8iq)TjYQZ81iYHn7Tzii#p5?`l3%fKAky8PoGO*3)5YA3rs>&fYd)h-&Qz!U
ze2!P70==kdTAnI0v*U-Y>~zJ{gTQlwKtV-Dv2j%rbkU8Z7bG3eHFdKxn@pzDsdTFQ
z(Gxe`e06qarc~LnefxZ|Seq&q((_Pvdor6&P8MfpwwHqWsdQncvb}0-PZkR^<sdl|
zFP2m3@`2RrU(RUKeZ^zn{TQwby%{ohu>U_J>~QS4SbF&E@J&OH4%vhE4_+{EH;N;t
zZrc1*e{ErCa3HQP3}4XQ-5ueUCMI$du)-rtb7^CIvh2;R1TzsBuHz@Pz%sR@VY`~{
zd#0I6`j&4v=|D5^;wQXB!Z96F3-oj*l}Y$PM)UoYo6+oiaXeR$?psrQ_usz(`qs9-
z57(m~``uG_Km7LY*9^uMBkX(ZOY8x551VA8Y&%;U``6eLu|>G<1F>+DMf=xvQgrat
z6OV0|dL;He^gp$B=_z*Q207lps&5Afq}UfC?ECC**`KoauoAn8Ic$CGzhY0vzJS3#
z8aw&)a~q_=lcgVTIQ7DF{nBd&+1(NL@9baLGwccWckB`NN%kk~K6aAbeQNEl2{t$&
zcT2DZb`739`Qmhs6uUPPyBDIoSa@|z+W)${DpD-IzPRljcBHqrzq>omwM!n!yMR4M
zu+L0uPR5$k!hB5H(|7%mV&RI-rWw8%lfHiS-%MP+<<VW&{XjdMJ}^VbJ$Sje3g=}K
zc}Oux%4{&_xk0W<HVQx@Yw_3vSRQ8^o3L~m`1EEex<;1R*~MN>dYZj9(LpSYdTxUd
z{*ws%$>P8+>7N*jMb~xrkL^Bi4eA$qCr^(_(arG3xd=OlfzPl@H%8<A!Xcfc3VCNE
z>?~S;lZ9uGOMM$k)18_MvrnIpu4nPCo_K$EypCi(r~-owVUQ@~{p_TFgxaRgtP0V|
z6NUA=fX!Q4LMF>5grrEwM8>W-fm0?S3AU<`aA>=<{`51_11x;t6VgRjZj|GaaBT;L
zx-i;CQQKjp(+>gvfiCu?2<E`|*gc4>J6L$n*QLEX6Lygjk!IU-dM-VFq?A1Db~T;Z
z2`5SfU2Io`eVFY+7#eK<p{}=e^~U?5pg^pi+=^tZGg-_UM~cDHN0$C->2pheE%(2f
ztJx_5a*OvLk|1l#d9n%|xVfz3PmBjkA6)v}H|}0~c<CYOr$1O#8aZKz{Lk&i>_4@(
z^clwI`p!-owydt#E*n!=eOrV*$Zmtx2U+a~*nGhy-EooTQd851k?D2Pb9|;UnMf2S
zg49&5a8+q%s*<UsGFNRc?S#vZjjX-`+yK+pUDgzt^`_yO!z8j?E?U#$$zZmUE<+;3
znfTk>klAzZsxWj$!04oJ8v-4MzW;e?^ZT`~{>A=hr27z)@ve)mZN_A$KxxHfr&`i0
zvL+H??`2;Bprb5&%k^E}MQ$`+5A#l)$fuh~uDkk_=TS63{*u^7BJ3k@d&p{UlX~LF
zjg0`c4In#9$j;5?j?CxB=ir)!-uwCW0S;!T@m~_<dQ!X?BX7jt2K+VuEpEQO>#J<b
zbShXma%T@UVszOjLYs#=d_V|6SnAF)ENrDeV{dqEG~O+eMyL5EqOof$8VNX8Yt(b^
zzylK8zbHM_b;awYzEJ&9*Nsui*NgA`QP&|!>J7jDT-Q#ycJ9J(+mE}RMuILySP5w+
z!@|;wU984aE=99Nm^)t5uu@e`d}5h~r&+q?IrG|~Lx;z&-h03~FjG2w^|fP(n@4lk
z>^+om5AJiWD{I$e-nhrV^<ZEZk0kOp9G*)YspJnTNtki;#4X~wisy#fmo2`IU(%lA
zRwzbDwk`V08n3b-ekDS2TzZ7<b`Zj=hv&-(p_K}*GUl@p_ADBoW8t&c%L4;*O(gFh
zlh>^2=0?0gF?cI`A@-qDH*9{h6lMeY&R2C_0T*8g<RA8EK=THU<_*8kBz(<9K6JsR
z#s_Vu<s!ViAWtkF&B@=A7k}rQvLS`D<MO)hRLV2$#pC1h8>MYQHJAy4pj;ujhwhP}
zQe0|}d#p>eD$Vo!JQ%*OChxea(*$fyfKHkSx1EWwGeG4rcIhSZ&HXRuJNNVnIl8N+
z=&EO^nvT2SZ8J1o)s5RmT}#y+ycw=)+etLB@nWjffQlW}q5@r0J*)L<sh*BE4S$~M
zJBpz?X1$f6pbJD{6x~!*!$PG-Z#B)t)pP^hMgg_1-$@Gn>59*XHC4+@DyHhvfSTfx
z9H?xe+ICQGK&-E*E|sn{Xq#c6TPBy!E9KdIdYgF-O48MIVN)@c5|zn(u5?}{>cZej
z`4t;5h1(<)OF=R>GcSaw;g&P<>%vE#k_UQS!p1Y+|D?RWW_qed*4wI+gi01c=c%Tr
z=ztc_baNF0ijzS=(lP>ILNE1O0|AYI<c*RFKu~?R(TvLxuo)@`4+GKNQfn>=a^N5I
zHu;OEx{jiosu}32PjJ+4t#NdWgXUD%_-j={4DVyR2oKT%Z)9AXZB$>ku14mOoOT0w
zf6aguq&Wr>5H;ciWx_tCX&{i}Q33N59U~D8mI~aOmMKO@y9n-v?gFM&O%u8_j0<mn
zQhw#jbT}r@WfT|Y-fiZdQZSRnpdDiDXM~uDtdt0+Q659SmsCyeP}TAw6pkS<5${dE
z07Qo-uT9P1RE`7hVk#!Zp{Y6soN4nOrUKMRgatS1^un9^JQN8hgsWb63U#(HA`M(`
z=&RJ%RShu!hNdo7uAT-6J3gjr3K+SX5W$-Z6G#mjNOcVb(N66&#ld_w72CxFuDq5W
z&<4-80Y~#v$K+n=NjVAA)xu|<kj+7ki)#@6;jt%W<ywdOSiC?uWE}55zc)hZN%_?@
zdr5cONGb->6CN=OJ&^`&RaXpT9o_(_?l#19s^1z>M|XnB(NxE&8mi|dsR*d>tI7SM
zdW151k}$NPH?*p8sBG0Imr$?zBT1>3U@oZehy!hW)$wS`An)NOFn65#BO+jrPGz30
znmoH8SV*kTy#}9Bp>OWDv?L}kM_#L;$gmX;(@{LZZzKcTGMI=MN<p?o`mzuSc@$xI
z*G=-fA>!506_JrBDU0j{^b{mOh(Y$iBM%Z7=40VO7^pf`A;cZktO+A*#23VqGi>BO
zohLz3fHyTs5AkTJ&K@4#4I}B^G?GTB8>wqX%SvHdCnIaB4bfyKFs3nJsV)5GT7&_~
zc3{DZXXJ36TRQ{;ifB#r{3=}$4d{%7teP}UJs+2Py`t6}Ld}H(-~}7l@_@7W<9=O(
zGq4t7or4w{bmXA`6|piHv>rlPXbDiLfuZWioxV^D4i0!;<`;@A9+TWW)#Et^tBX$l
z*Xg0&pwY;KSA9K?+=ECns(?sO(zvv0popNvD^_Nj=NvRUaNtsisoxqylG+GSeLp$(
zwo#p;1~GtGrKg&MVCLSYH=D-{7Eke##gby|aY#2_!=D-*_zMX_Eq}(h0RIX>HsL9X
zPce(s@cb<K*W6<OB2tl8iSa!^%+YA*b=wrrFB-h&VLqcZ+-Hjr_n{eo5t``+O&YG6
zcx>n<-bgu~36OkE62|R>C}bM+Bca*Lgkm1BY%0dTtr~jq7m~yi<JOn@K7mlk*ca~l
z2YFpHuW7%0Ub6{@--Nt|d`1xBOG8X~LeXsGHU0lcUaK3~%xh$1Gq35$3ICthesl90
z7K}z-L#A)#HA*AMe<H6r?RkxAL|&_R5P1!P8WqR{%kvtgE0NdS^YdCWlhs^g+vb}K
zaX)`v<I5mVaZbY+{zlS%-n>Sth*VbBOT0jm_~1+EX(N*f$DWcmhYx*Q9^e-h*{o6>
z$4B0>AK3io`>}WYCEo+<doF_icj6bfiVcA8^j-X``cc1W*_ilI&wtwUF^3<F3_rLy
z@Vxwo!?kz5RazUryno}S_3}H%@VJgY%JM7T?Sdp~?8mKS!)VVxmCom?>GJ%(1Gnrw
zG<N+>Zz>k@xk9>I+7<cYm|(!}7-=+m(|jpCvZMJra>Yn4HL_#p2;Xq&#7dw=K1ihV
z=(O}n>`i|b1?6-ySIU7jI~Yunw6GkLbich~EDN3uHJ7_!rZm&^ecMHSkV=))mCAKc
z50&j4%hzhC246^2+{li?Y(7up;t|UR5|^jhy5(AyXX_|0jHBGe?t$sMzUDd}qQbc|
zMf=CV7aMN4f(BV-o2z}73p*;4^j{?MsaHnNuvd24+dI7`8eN0Uy2m2yF|l`LOM~%#
zjV^tW{{H^HI**CXmRYQ<I%f%H-RWwoMD)ecL&wGSy#2CxYjdqb$6>ZMG93N#I`+EQ
zmBYJ-ZXA63z+L^P`##<Kt=?$Q!R|YwUq+z*adhW`J-lEH55*(y1?wUUH#KxgSC3%7
zPM@NU#KdIYNt<b_&UEgm%mg#Dl|9*@Fdh~TMlY;k!*yk7!5_4begNSiqNCGJ6B^Z}
z-o%BXZ7D!R-N`*rr7JtV@Wvr<zAN;bgnoSA*7C>oxx6!;Ue#g0cFm``=8r7&PA`~)
z05?wHjyAy^uY!2iQ`1|3?!<gKm^8c;r;K+r=Gne<dUtAKwh~SqjBfbl0G=t%1o=Hg
zQIG5}T@MjP=pK9cyLA2hvkTV^0NwKyoIL^sljQwME@@3;gTPr8-Cw)rXSwE2AA9)h
z!l8bkdnM4l>#_#Asj0F9<@p}?rewmZ`nFT#I*uZD1mo!)oHDvGUCPggrGwG+zZ|?%
zLTD?_JCQyV=jC)Ymp+ULUq)6T)RV+l(M&&f#X}2oeelK#gYX+nH@P?Fl6f;z73@~0
z8TFfN=(S`h4iLc5d+@Mupcl^DPR?uQz*N>F9(ayy%@k4-+O(BeW>N)#{L)?vW@oa+
za($tq6a?^BI;jKqcD|Fa95m=Zo{*09P$E7y^x1{OJwx%W5tB3znqe2{q<NV%_a-Oj
zr`*g$m>Z2=vEvs{kKxxxqneCK8$NL`il52nwnBm0kH!|px`Es!H2$X6`1p;eX%!m3
zS}bM)Gn)#N2cs8X_lu7YM9#||T#?b*xl2irXJ5p_LN1DkJzp1&#Wd;Sq^!z(p-@>h
zef%#eIn+Sw9e7yWJsSOD*G0pzJLrhY14M-2fXZa+h)V1Ou{%JJzC|2UsdZZZhMPPr
zYMYBsW9=Dg)i$y_jBh0O!M56Esg-Befo5$zchz|EYUD2B{OkPURCz@v=xfz>m^;0#
z+79vA(^lIaJ(r2_>29lD>Ch<EhGV1A_2Hw3qPyzncNPb3k3PjNZ+@F}`ZN$U|3rj+
zicPRj0rs^l+*FIct(NrC^N8UD#m$j&DVej%DG@gv4p2}8ZvBwB9>B*GPN>ko#>Z49
zK_62NiL%pE(_Xb`tr~(5a`ePorAzpYKC_0|hIQ;Y_Eq+e?9=QI*vHtrSeYdl4y~{&
z*am3)(^&ZB<58SP>#YtmoSu;=FF_1e{2~0`UWAo)aQXY$frrlyEGrr*_b-1h^o<ny
zmKF6J?`?laQ1`ItYg;2@Dt6=l^V&quZH<OsJsx$oaI3(#{u_IgErGoLAx=Lfn9k^k
zNrAnd4Z*7K#A<`l2tNu%hP8<8PAg5_+C~R5^JjLzl0DGu0HarQs2Sw2#wjQafpwy<
z*#j7?=y84r026I=aL#>3ZasgktMN?WrCTqTb`QYnevIZU{`ZHYJ@r#Obe4_yQaZ)+
zNOUg_2(FCIHmbBkz}^4(=pViRc{$o6Nk=2nQG9XFNEd(ha2NRAjsJ0Li|_4lQY!>a
z{I07&+T$lHztYAW(F=mNDd6{!AaW|%pp;h1X`G`h=L-0lN>n4(z~bTub8=Sd+g)dc
z!{1(#FJ@ywB430gd~O%=>G|;YmgHO4G=F2#iA&nM`}0Zpw}zLMhDX04tDA02Pvz#&
zyO_ac+g@WE)bsZ?MyQ0+lzgGStRJL-GSL$A?H$fn;>B;sm#h2AX;`FXie+3&>2jr5
z2=aKu0a0A}PrGt5$BVG2^P$dD@y>6`@429fRW_X)&&~)q3@_aBxco`U<5a26xe(I{
z_!c|Aw6=-sWmN}!!*0GC$}i0Z(1mZu>bh3dt)O#@I^hHck@F|EgS~xp6!)6g1aC+*
zbxw9+Pu(@EI<~a4iWP8LL~tYM$D1nkvZ|j&NmcPzX@qu=P*otx^kHKA&|H)tdq^e?
zt?+?Yu@vV+(M&f;Tt{0$tr1V^nYZ}HDsU>cbDN0Ndh~{cC*_`@l;$PuMEhQ`uJOTW
zqe-uNfejvlZ@|~@4ZP^i=@n2eeiHjQ)QAdoN3ijnXaZ4B^;KncL15LmQ|kL+n^zf+
znsHe#f9w1CC*+G|5E|hp&d3+mKnRdwpzwTaw+jxMW^&`+ZWRwp9h8)2--7TGZpO(5
z8=hXJmqKixr(iEku&FpQL3>=-o91_tp6A%$0D~ZuK!fCo-Qi$^`!dXcP@untE;^aZ
zDTjJXqQB9uA+>RDwI|_3^*dr4EpRiLq{Vqt>;OWtZd$)`;#v@YI1#YN1dUJo(}pd0
zH;~Dk2_<qktJ!3lX(n~>U4#v34GSC_ka*+@P+piTFcD-ESU66yfpr5(<AU>Yt^JrL
zx=Z{Qk4HKlL4*rG3_^`aMBVb2Bu3B>!wF&}?sBh~`)P_o0R1)Kq&qLm8hYnSMQm4w
z#mD77sm`<r<`fJKPFwJ#Q@^!KrDu>pRS?Ud<;3Q0{YF)UA>H}*Dl&{{23nu$#BG^0
z&}k-T6@63509_p{l8u8mHoqfexj?*Nk}6~ok*$F*Nc{S(DNv!)IR?(IKn9=DB#8GR
zx}HBa=%=22`>cJ=H6p%r9=f{GM#TS$PDbzpNrFTN?@S<IT9CIzPNav5K5US}qD1ld
z>79-E>}(}GW%=nHy>)!2M;yHfU;LK*ni`VVujc?%=krhTR`{(r07b#h4?q$7EDk`C
NhnokW@L{?0e*pJZiwOV#

delta 5445
zcmdT|dvH|M8Nc_QyCJ(Fdp70e0)b^P%EMjmz5A{$8(vjfFbI{3qb4`|&OWod$?lTY
zfMYu_9SSzq(`pNG>X4~+1dU{s(P9x>3lukXu&pu^Ceo@^DKj1Q53Ke(=Waqm(rOuP
z$4&0pyXSn5-}jyGeCK>;+u0f0o|~~}PHmCnxXtkR;1TX!<mQWyw>-RiDre$2{2G20
z{%+~7lh)v#TlU>$%jRtUR6=OD8a3&|!JIX%7Ok?|?e%(GPLEx7x*LN9HIa@7DOqia
zmvqQ<mBFxs!+GO*W3cv2?WU>6raEi(*UU2P0I_jH|Bl1o)?H;Vp62lD_yydDcj6dc
zkC)*(<3Eh2f#hjp|LIf9_&(7jfGFb-htJ{P;z#f<oW`553!9A}8i#=Hd1KGf^K<(z
zp4am;4Y-HH@8h@eS$rBF$4Bs!_!oF@$#emA)%3SmK0-Y`AGcRg6OAi@)ng<pjr@%y
z{}D2iw~hQ%a{ePU%R6{?`B3@b;N64UEafK$x0Mf;pBenVrTkR+8R&nu{FJ4<$EH0G
z!PpZp@ND_ubr!o!J~r|%nNQT4JnuBFd$an6U9ZOZy(!oB54D!u*(8`v2Jkm?^6Ok3
zyj7LzOv1~!elGIq{fTrs8Fj~#k|cS(?v&IT%xApeLUzEyizWnIr703Wgs+whi6GFp
zlKyC?!yT7{sf-JB<WF^tO8;xg(8#}m$tz8~k?$JVz>5}UI3A`7|Ack*qED}9kPM?t
zXZq{Pf57C-ZoZnRO~TA74fwzwz6oD5yUM56`FsE}70f4{0RWILq&njrt*Mwj<xlW?
z+m3X}RN}mzA0?+>3&w33Wk|=iQmaCgAr?|yk&d<kFdWX^Lm8AGrp0RJlwmyFUzdIm
zlfDD|yz7yVXX+;7HrJ1gP6lT7z(H`CL31?3*UtXB#x6{DzQnIF%Z12Rz#_@nKxZ<P
zad{I?uR#4z9_>cvskI{$v>Y#oAW`tLW?_m?zW_1YVS?Jz)b<dapnPjGQwX)i$`6!(
zHMpaExO|ZR;7xMxdePjoCuv>=lGF)|LCTntWB!Qbb(VixeoABH4!o!_zLBagiM{;K
zaZih7-t`qLCs!+gf_g1#G*IJY?>7mS`x|v)36_w~f-bq%C(Pp!xxGo4gTRaIW$NtF
zAb1g%7Bq?vi~Sbq5d+!MBzVYeO@fOz)AxmRYHMbX`sg8;ErP9g@KrvY79135t{of{
zr*=jQ-p)vBYYqab`K=+=o~1KBm)y5roH?bUv^1qfIEQCU$~n->_c2$9)D_G{I%YR}
z<qaj?BuufCs(Xco^}L?g-W4{AtwYuwrF-5Lnt2H1bLWNS$Tj>pY52P^q^*G`AR0oL
zq(2sLcPbFe1=|3xBkuM_i=FwfJ)snfYBCTk*cFfDkR2XZQEG0^hgYsy>sp&j=hyLi
zU)?m01B<Ei+vS3*00R7-QD?zhOe>Mrw)W1Ltk~(AJh@hDM<}T(52cKRw+5V&(BXPg
z_cuIqaw&9(t;9=f^mpL#BUtAWeGssto}`2pCgU>s9j?)deV?xUVNBj>LI#6gted81
zAop)TCe!GI9>6We4~!4?-)y;+ClM8Whp8`JRMA^iQrpjxufVE>)~FLt`eg3GS@XdQ
zbdCC>?NK+FCdu}^8p`I>ytkMwO^>2Rv1W^?_xb6n(&@<1MPv@CfkZTEO=SYXOxD_w
z4Q56*6NlR?DN<t$>3!b$Ybk@~wtOcwOOh3jC+;uC3yHNru}TwJp~x$gfKp@}kX*J#
zJ>)SJ)k~@T@uPGGjvwVX{vu%hjXLW;VJ3jNZBYmye``hyYq^Sz)V=P6w7p(5z!*1w
zyAJHx1u5gYTriunX6e3|x2k|_3yh9pr`aZ4=`;feO)@=u_Fc2&o4}=ZsyS6vGueom
zjRXS}=qVj**R2!uK5zl^+A}`h+?`AX6KXU*;w#vAC6C-lb<<s!F)h*B4NVZCO=I0N
z$%gTX`#6);skIP95F+$!KzC~`pB6ERVX=nX*NwhRe(mF@&tqA%66h0msDWOAH<kE3
z2sM&lwxP}9#%MB3^fB~ZQ$C-!1)~07Yf#NlV@P{IcRQJzKnnRv965B9GE4Xbnlpj4
z)E`GL^JH0ASKlBtD61ME4i-a`N#)dBaFJD(6!_(YA!uMgA?hGnXqkl6?H)r&E}TYJ
zCA}J3M3(%LRdL%~vcsw<HoM1VbxPX*CQ739!OJ*$#U^=W=#<?yujI8l=%7P_?<{-O
zx>+A<ZX*i@(KMaQ(drD54TH$B02n6NW1oPsyMmHJWGW#-Dhfdt{BM#OM%GE;j0GvX
zY)+S#_S$U@yKJ@7LA#`Vj}B^`qg0H9HQ<>~2fH!>zy!0vocndwrAU73B{dbb<Dh8H
zmt~veZ~?o==5@j(FpI!oX|pmB!F(9K+;P;#ktksLZ)CshRR4%<D(`X?ntG?rsn}u2
zVRN|M5L56fOYptfK2iJalW4cPDffteh{6W@ng;tSe>CHd2VultXt1w_Zc0Jp)n6R{
zJEQ%SrORSu$-;!1%R~!{Xq-`0^s$cokl9lB;zax`a%u<}Nbk#N+NZYbi@8WXGfOKW
z1+)J7ud6Eo{eNAGR|5Edxq3Bx-T!SCa5%Ljk<DdNv7nY28Wejd6dK!aO{G<TG*?L^
zHf0=>H6IP+A{uKqO=mReWOGGGMl25{q6KSfJeUkv6R807t%yg%kz6pz2)}k^$!k1<
zOR&4I5cg*Vd%>qmy5y@#q$iz_o0eX(<P#l6ZXQH4X<DnjHrp8n$7SeI1`g48Z#)1;
ztL5ML0X?R{hlgi5JT|CJ;AGYH7$`e^lWscM->kb+D_eGz3>VOkYZq);antHGw>EFs
zd|N6Rk0x`X$+xuH%$Ws*w5o*c!lIch{17eH=TB~@C%BW_$$B_LF3s^ktFPzgS65eP
zE5|h@1;=NFUMM6AF{o!UF;e$WWM18zj{0LAY5se?8*f=jC7n3P<n@j4Md-nt@<odg
z8EWA$nBu1@#=v=$!U1th0ZtcV?_zKyu=lQ|?Sh8Md^x6A2t+#>ruI-U(Gl`fA@yIn
z1O_gM=!tn5p$Fup?G@uD2uiS`hzj!NJ35?Fo0ADr#t34tPIdj;!)v9AIy6Q63!V=5
zFB2pVm_*T}&68H5xt)9sT(Qj3!)K(9DJZZ*OCeb<DiMD!A1*o*P$oK@%&`w>EiL7)
zrnSaI+FD%4q1qKyc!}})+7)m)A=RSoTTyAndhvO|fN&o@p7-GwphWx$*6QUAa2G+2
zHH(c58po9kE#jYPJzY<)2DA&3L%0ne0%>)a%<mTOXqF362f$S51xZ1222@uV?sr(B
zJMrd(g8uy(tz8QigURD8j@#)ZQc-Fs6_Vhj&nlqVl;hM5T1%aa@QEsX9-qLk0s6z3
zn0Jeq{BgIqq!yon!DAeL4<Ey27#zU&?-Q#RyM~`eH6o|uL56GiB)t<b(<?Mq(9`QN
hg%<QsnU~(%C*n!&f{uu5l*vpTTg6O7zyCS0_g_R8{igr`