> ## Documentation Index > Fetch the complete documentation index at: https://supastack.dev/llms.txt > Use this file to discover all available pages before exploring further. > For the full documentation corpus in one file, fetch: https://supastack.dev/llms-full.txt # Защита от спама Переключаемые через env проверки Turnstile на публичных формах и эндпоинтах auth. ## Прохождение для начинающих Предварительные требования: прочтите два приведенных ниже руководства для начинающих, завершите локальную веб-настройку и откройте этот монорепозиторий в корневой папке вашего редактора. Веб-настройки принадлежат `apps/web/.env.local`; Next.js не читает корень `.env`. `/dashboard` в поддельном режиме по умолчанию представляет собой демонстрацию без базы данных; `/auth` требуется перенесенная база данных. Вкратце: рабочее пространство — это отдельные пользователи, данные и настройки одной команды. Сервер является доверенным сервером; не допускайте попадания ключей провайдера в код браузера и телефона. Миграция — это изменение версии базы данных, при котором создаются или обновляются таблицы. Модель ИИ — это механизм, который отвечает; Каталог моделей — это список доступных идентификаторов моделей и цен на сервере. Поставщик — это внешняя служба, такая как служба искусственного интеллекта, электронной почты или службы выставления счетов. Право — это грант, который позволяет рабочей области использовать функцию. Вебхук — это сообщение, которое одна служба отправляет на URL другой службы. 1. Создайте виджет тестирования турникета для точного локального/развернутого имени хоста. В `apps/web/.env.local` установите `CAPTCHA_PROVIDER=turnstile` и `NEXT_PUBLIC_TURNSTILE_SITE_KEY`; помещайте `TURNSTILE_SECRET_KEY` только в секретное хранилище сервера. 2. Перезапустите и отправьте тестовую контактную форму. 3. Ожидайте вызова и успешного ответа с действительным токеном. Если каждый запрос завершается неудачей, сравните имя хоста и пару ключей; никогда не раскрывайте секретный ключ. Для пользовательского кода начните с предоставленного `prompts/README.md` и скопируйте ближайшее приглашение: `prompts/new-app-screen.md` для экрана приложения или `prompts/new-landing-page.md` для общедоступной страницы. Для работы с сервером, базой данных или провайдером дайте своему агенту кодирования задание из этого руководства и попросите его прочитать `AGENTS.md`, `.ai/PROJECT_CONTEXT.md` и соответствующие зеркала `.ai/`; проверьте точные исходные файлы, указанные здесь; список файлов и проверки перед редактированием; сохранять права собственности на рабочую область и секреты, доступные только серверу; и покажу вам разницу. Сообщите ему желаемое поведение, поля ввода и вывода, разрешенные роли, ожидаемые успехи и ошибки, а также тестовую учетную запись, поставщика или устройство. Используйте выборочные значения; никогда не вставляйте настоящий секрет. [Прежде чем начать](https://supastack.dev/ru/docs/web/before-you-start.md) [Основные сведения о терминале](https://supastack.dev/ru/docs/web/terminal-basics.md) [Локальная веб-настройка](https://supastack.dev/ru/docs/web/ship-in-5-minutes.md) [Подсказки агента и память проекта](https://supastack.dev/ru/docs/web/agents.md) ## Включить обе клавиши `CAPTCHA_PROVIDER=off` — значение по умолчанию. Выберите `turnstile`, настройте соответствующее имя хоста в приложении турникета и укажите оба ключа. `NEXT_PUBLIC_TURNSTILE_SITE_KEY` является общедоступным; `TURNSTILE_SECRET_KEY` используется только верификатором сервера. ``` CAPTCHA_PROVIDER=turnstile NEXT_PUBLIC_TURNSTILE_SITE_KEY=your-site-key # TURNSTILE_SECRET_KEY belongs in the server secret store. ``` ## Сохранить защищенные поверхности Gate охватывает формы контактов/информационной рассылки, а также конечные точки входа и регистрации Better Auth, OTP и сброса пароля. Он дополняет проверку/ограничение скорости; это не заменяет сеансы или авторизацию рабочего пространства. ## Проверка отклонения и восстановления Проверьте действительный токен, отсутствующий/истекший/недействительный токен, сбой верификатора и повторную попытку после сброса клиентского виджета. Сохраняйте действенность копий, проверяемых человеком, и доступ к клавиатуре; проверьте зону покрытия выбранной системы аутентификации, прежде чем переключать провайдера. [Защищенные формы](https://supastack.dev/ru/docs/web/project-structure.md) [Различия в системе аутентификации](https://supastack.dev/ru/docs/web/project-structure.md) ## Настройка и конфигурация CAPTCHA_PROVIDER выбирает верификатор: off (по умолчанию — локальная разработка остаётся без учётных данных) или turnstile. Включение turnstile требует TURNSTILE_SECRET_KEY на сервере и NEXT_PUBLIC_TURNSTILE_SITE_KEY для клиентского виджета — схема config роняет запуск, если чего-то не хватает. apps/web/src/captcha.ts компонует один процессный верификатор, который отправляет токен на эндпоинт siteverify Cloudflare с десятисекундным таймаутом и отказывает закрыто — непроверяемый токен никогда не считается доказательством человечности. ``` CAPTCHA_PROVIDER=turnstile TURNSTILE_SECRET_KEY=… # server-only NEXT_PUBLIC_TURNSTILE_SITE_KEY=… Guarded: sign-in/up, OTP send, reset, contact + newsletter forms ``` ## Рабочий процесс внедрения CaptchaWidget (src/captcha-widget.tsx) рендерит виджет и вставляет поле cf-turnstile-response в родительскую форму, а вызовы auth-клиента несут токен в заголовке x-captcha-response. Экшены контакта и рассылки проверяют до записи — проваленная проверка возвращает status=captcha вместо создания лида. packages/auth монтирует captcha-плагин better-auth, когда провайдер включён; CAPTCHA_ENDPOINTS покрывает маршруты ввода учётных данных и выдачи токенов — sign-in, sign-up, отправка OTP, сброс пароля. Потребляющие эндпоинты вроде check-verification-otp остаются вне списка: там сам OTP или токен является доказательством. ## Проверка и устранение неполадок Отправьте каждую защищённую форму с отсутствующим и с некорректным токеном — оба должны отказать закрыто. Проверьте, что недоступный siteverify отклоняет, а не пропускает, что provider=off оставляет локальную разработку открытой, и что секрет никогда не попадает в клиентские бандлы или логи. ## Вперёд [Консоль администратора](https://supastack.dev/ru/docs/web/admin.md)