Безопасность
Сессии, роли и изоляция данных
Каркас безопасности строится до контентных данных: пароли хешируются Argon2id, сессии отзывные, область рабочего пространства проверяется на сервере.
HttpOnly SameSite cookies и CSRF для мутаций с cookie.
ID чужого рабочего пространства возвращает 404.
Недостаточная роль возвращает 403.
RLS остаётся отдельной фазой усиления.