Этап 4: PWA и пуши — service worker, Web Push с VAPID, баннер установки

Сервер: пакет push на webpush-go (третья и последняя прямая зависимость),
подписка устройства, правило ADR-023 «пуш только молчащему устройству и только
один» через атомарный захват push_pending, удаление подписки на 404 и 410,
TTL сутки, urgency normal. В нагрузке только {title, body, chat} — тело
собирается из константы, плейнтекст туда не попадает даже по ошибке.

Клиент: service worker с версионированным кэшем оболочки и никогда — /api/*,
push и notificationclick, подписка на VAPID-ключ сервера, запрос разрешения
после первого отправленного сообщения, разделы настроек «уведомления»
и «установить приложение», баннер установки на iOS.

ADR-045: пуш адресован получателю — по букве ADR-023 он уходил бы и молчащему
устройству отправителя с бессмысленным заголовком из собственного ника.
ADR-047: сервер ходит на endpoint подписки, который выбирает браузер. Проверка
«только https» обходилась редиректом, а имя могло смотреть внутрь сети — теперь
запрет редиректов и проверка разрешённого адреса на уровне сокета.
ADR-048: пределы отправки — недоступный push-сервис одного аккаунта больше
не съедает пуши всего сервера.
ADR-049: явно выключенные уведомления сами не включаются обратно.

Попутно: webpush-go дописывает набивку в переданный срез, а одна нагрузка
уходила всем устройствам сообщения — гонка, пойманная go test -race.
Теперь у каждого задания своя копия.

Приёмка на боевом: подписки, hasPush, чужое устройство, Origin, оболочка
из девяти файлов, Service-Worker-Allowed. Отдельно шесть непубличных адресов
и endpoint на 3 КиБ — все отбиты.

Чеклист ручной проверки на iPhone и Android — в docs/plan.md.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/store/rooms.go

@@ -501,18 +501,33 @@ func (s *Store) DeleteRoom(ctx context.Context, roomID, owner string) (RoomChang
 	return change, nil
 }
 
-// RoomAccess — что сервер проверяет перед отправкой в комнату
-// (docs/protocol.md, «Сообщения»). keyId считается ключом комнаты, если
-// есть хоть одна строка room_keys с таким key_id (docs/storage.md).
-func (s *Store) RoomAccess(ctx context.Context, roomID, nick, keyID string) (member, knownKey bool, err error) {
-	err = s.db.QueryRowContext(ctx, `
-		SELECT EXISTS(SELECT 1 FROM room_members WHERE room_id = ? AND nick = ?),
-		       EXISTS(SELECT 1 FROM room_keys WHERE room_id = ? AND key_id = ?)`,
-		roomID, nick, roomID, keyID).Scan(&member, &knownKey)
-	if err != nil {
-		return false, false, fmt.Errorf("store: доступ к комнате: %w", err)
+// Access — что сервер знает о комнате перед отправкой в неё
+// (docs/protocol.md, «Сообщения»). Имя нужно заголовку пуша: «#имя
+// комнаты» (ADR-023).
+type Access struct {
+	Member   bool
+	KnownKey bool
+	Name     string
+}
+
+// RoomAccess — что сервер проверяет перед отправкой в комнату. keyId
+// считается ключом комнаты, если есть хоть одна строка room_keys с таким
+// key_id (docs/storage.md). Несуществующая комната отвечает пустым
+// Access: снаружи она неотличима от чужой.
+func (s *Store) RoomAccess(ctx context.Context, roomID, nick, keyID string) (Access, error) {
+	var a Access
+	err := s.db.QueryRowContext(ctx, `
+		SELECT r.name,
+		       EXISTS(SELECT 1 FROM room_members WHERE room_id = r.id AND nick = ?),
+		       EXISTS(SELECT 1 FROM room_keys WHERE room_id = r.id AND key_id = ?)
+		FROM rooms r WHERE r.id = ?`, nick, keyID, roomID).Scan(&a.Name, &a.Member, &a.KnownKey)
+	if errors.Is(err, sql.ErrNoRows) {
+		return Access{}, nil
 	}
-	return member, knownKey, nil
+	if err != nil {
+		return Access{}, fmt.Errorf("store: доступ к комнате: %w", err)
+	}
+	return a, nil
 }
 
 // currentKeysQuery — текущий ключ участника: строка room_keys с максимальным