Futures Screener — Code Review (12 May 2026)

Всего: 23 находки (4 critical, 10 important, 9 nice-to-have)

Critical

1. Admin эндпоинты без auth

Файл: server/index.js, строки 1746, 1757, 1769

• POST /api/rate-limiter/reset — может сбросить rate limiter -> бан Binance
• POST /api/log-levels — заполнить диск debug логами
• POST /api/reload-static — DoS
• Фикс: добавить req.user.tier === 'admin'

2. period в OI-history без валидации

Файл: server/index.js, строка 1513

• /api/oi-history принимает period без whitelist
• Допустимые: 5m, 15m, 30m, 1h, 2h, 4h, 6h, 12h, 1d
• Фикс: whitelist аналогично VALID_INTERVALS для klines

3. SQL prepare без кеширования

Файл: server/signals.js, строки 867-873

• db.prepare() вызывается каждый раз вместо кешированного
• Пока безопасно (внутренние переменные), но рискованный паттерн

4. Push subscribe без auth

Файл: server/index.js, строки 1453-1470

• POST /api/push/subscribe — любой бот может подписаться
• Фикс: добавить requireAuth

Important

5. God-файл index.js — 2000+ строк

Static serving, все API routes, warmup, density cache, proxy cache, resync, shutdown — всё в одном файле.

6. 17 дублированных static file routes

Строки 492-561 — можно заменить одним циклом.

7. NATR в 3 местах

• index.js:getKlinesWithStats() — density scoring
• index.js:/api/natr — NATR cache
• signals.js:calcNatrFromKlines() — signal metadata Любое исправление формулы — 3 места.

8. Treemap: 100 fetch без rate limiter

Файл: server/treemap.js, строки 35-69

• 100 символов x weight=5 = 500 weight за 30с
• Обходит Bottleneck полностью

9. liveSignals — мутируемый массив

index.js напрямую модифицирует экспортированный массив из signals.js.

10. ~10 мест с direct fetch паттерном

AbortController + timeout + try/finally — повторяется 10 раз без централизации.

11. 4 orphan файла в modules/

• modules/densities/detector.js — заглушка "TODO: implement"
• modules/densities/tracker.js — никто не require-ит
• modules/klines.js — не импортируется
• modules/binance/api.js — не импортируется

12. depth-heatmap.js — мёртвый код

Заменён на depth-store.js (SQLite), старый файл остался.

13. Нет integration тестов

Auth flow, admin endpoints, push subscription, Density V2 — не покрыты.

14. binHistory O(N) scan

trackAndEnrichBins() — полный перебор 5000 entries с startsWith(). Терпимо при cap 5000.

Nice-to-have

15. 6 мёртвых функций (~100 строк)

sendTelegramAlert(), calcScore(), groupCloseLevels(), filterLevelsByWindow(), calcNearestDensities(), getCacheKey()/getCached()/setCached()

16. require() внутри функций

path, fs уже импортированы top-level, но require-ятся повторно в функциях.

17. KLINE_INTERVAL / KLINE_LIMIT не используются

Объявлены но нигде не применяются.

18. Двойной graceful shutdown handler

logger.js + index.js оба регистрируют SIGTERM handler.

19. Нет validation для body в alerts/watchlists

symbol — только !symbol, condition — произвольный JSON без schema.

20. innerHTML с частичным escape

escAttr() не везде. Данные от Binance, не от юзера — риск минимальный.

21. bcrypt.hashSync блокирует event loop

~100ms на hash. При малом кол-ве юзеров — ОК.

22. Зависимости не в package.json

@fastify/cors, better-sqlite3, bcryptjs, jsonwebtoken — не в основном package.json.

23. mfeTracker createdAt после рестарта

При восстановлении из DB createdAt = now, а не оригинальный timestamp. Tracker живёт дольше 25h.

ТОП-3 для немедленного фикса

1. Auth на admin endpoints (#1)
2. Whitelist period для OI-history (#2)
3. requireAuth для push subscribe (#4)