fix: закрыть IDOR в бронях, пароль админа и обработку callback_data (PRJ-3)

- IDOR: отмена/редактирование брони только владельцем (проверка user_id)
- пароль админа: убран дефолт admin123, обязателен из env; сравнение через hmac.compare_digest; TTL сессии 1ч
- callback_data: безопасный парсинг int + .get() вместо прямого индексирования (KeyError/ValueError)

app/handlers/mybookings.py

@@ -2,7 +2,7 @@ from aiogram import Router, F
 from aiogram.types import Message, CallbackQuery
 from aiogram.fsm.context import FSMContext
 
-from app.db.memory import get_user_bookings, cancel_booking, update_booking
+from app.db.memory import get_user_bookings, get_booking, cancel_booking, update_booking
 from app.keyboards.menu import menu
 from app.keyboards.my_booking import get_booking_actions
 from app.logger import logger
@@ -55,7 +55,18 @@ async def my_bookings(
     F.data.startswith("cancel_booking_")
 )
 async def cancel_booking_handler(callback: CallbackQuery):
-    booking_id = int(callback.data.split("_")[2])
+    try:
+        booking_id = int(callback.data.split("_", 2)[2])
+    except (ValueError, IndexError):
+        await callback.answer("Некорректные данные")
+        return
+
+    booking = get_booking(booking_id)
+    if not booking or booking.get("user_id") != callback.from_user.id:
+        logger.warning("User {uid} tried to cancel foreign booking #{bid}", uid=callback.from_user.id, bid=booking_id)
+        await callback.answer("⛔ Это не ваша запись")
+        return
+
     logger.info("User {uid} cancelled booking #{bid}", uid=callback.from_user.id, bid=booking_id)
     cancel_booking(
         booking_id
@@ -73,7 +84,17 @@ async def edit_booking_handler(
         callback: CallbackQuery,
         state: FSMContext
 ):
-    booking_id = int(callback.data.split("_")[2])
+    try:
+        booking_id = int(callback.data.split("_", 2)[2])
+    except (ValueError, IndexError):
+        await callback.answer("Некорректные данные")
+        return
+
+    booking = get_booking(booking_id)
+    if not booking or booking.get("user_id") != callback.from_user.id:
+        logger.warning("User {uid} tried to edit foreign booking #{bid}", uid=callback.from_user.id, bid=booking_id)
+        await callback.answer("⛔ Это не ваша запись")
+        return
 
     update_booking(
         booking_id=booking_id,