fix: закрыть уязвимости (CSRF, rate limit, секреты, CSV-injection, LIKE-экранирование)

templates/admin.html

@@ -81,6 +81,7 @@
                             {% if consultation["message"] %}<p class="request-message"><span>Комментарий</span>{{ consultation["message"] }}</p>{% endif %}
                             <div class="request-actions">
                                 <form class="request-status-form" action="{{ url_for('admin_update_status', request_id=consultation["id"]) }}" method="post">
+                                    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                                     <label for="status-{{ consultation["id"] }}">Статус</label>
                                     <select id="status-{{ consultation["id"] }}" name="status">{% for status_key, status_label in statuses.items() %}<option value="{{ status_key }}" {% if consultation["status"] == status_key %}selected{% endif %}>{{ status_label }}</option>{% endfor %}</select>
                                     <button class="mini-button" type="submit">Сохранить</button>
@@ -88,11 +89,13 @@
                                 <details class="request-note" {% if consultation["admin_note"] %}open{% endif %}>
                                     <summary>{% if consultation["admin_note"] %}Изменить заметку{% else %}Добавить заметку{% endif %} <span>＋</span></summary>
                                     <form action="{{ url_for('admin_update_note', request_id=consultation["id"]) }}" method="post">
+                                    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                                         <textarea name="admin_note" rows="2" maxlength="2000" placeholder="Например: перезвонить вечером...">{{ consultation["admin_note"] }}</textarea>
                                         <button class="mini-button" type="submit">Сохранить заметку</button>
                                     </form>
                                 </details>
                                 <form class="request-delete-form" action="{{ url_for('admin_delete_request', request_id=consultation["id"]) }}" method="post" data-confirm="Удалить эту заявку? Восстановить её будет нельзя.">
+                                    <input type="hidden" name="csrf_token" value="{{ csrf_token() }}">
                                     <button class="delete-button" type="submit">Удалить</button>
                                 </form>
                             </div>