[Azazlokus]

Что

Итерация 37 — верификация email + сброс пароля, поверх auth-фундамента итер. 36.
Аккаунт может нести опциональный email с верификацией; добавлен флоу «забыл пароль»
со сбросом пароля и разлогином всех сессий.

Зачем

Восстановление доступа (забытый пароль) и подтверждение владения email — базовые
возможности аккаунтов, которых не хватало. Сброс завязан на отзыв сессий из итер. 36:
смена пароля гасит все refresh-токены (разлогин везде).

Как

• store — миграция 0003 (sqlite+postgres): accounts.email (опционален,
  частичный UNIQUE-индекс) + email_verified; таблица account_tokens одноразовых
  токенов (в БД только SHA-256, kind различает verify/reset, used_at). Методы
  AccountByEmail/SetEmailVerified/UpdatePassword/RevokeAllRefreshTokens/
  CreateAccountToken/ConsumeAccountToken (атомарное одноразовое потребление под
  гонкой: tx + UPDATE … WHERE used_at=0 с проверкой RowsAffected). CreateAccount
  получил параметр email.
• account — интерфейс Mailer + LogMailer (dev: печатает токен в лог, SMTP нет);
  NewService с опциями WithMailer/WithTokenTTLs. Register(+email) шлёт токен
  верификации; VerifyEmail; RequestPasswordReset (анти-энумерация — всегда без
  ошибки); ResetPassword (валидация пароля ДО расхода токена, смена + отзыв ВСЕХ
  refresh). validateEmail через net/mail.
• api — POST /api/verify-email, /api/request-password-reset, /api/reset-password
  (под пер-IP рейт-лимитом); /me отдаёт email + email_verified; ErrEmailTaken→409.
• cmd/server — LogMailer в wiring; env ARENA_VERIFY_TTL (24h) / ARENA_RESET_TTL (1h).
• web — опциональный email при регистрации, кнопка forgot, обработка ссылок из
  писем ?verify=/?reset= (токен стирается из URL после обработки), email + статус
  верификации в профиле.
• docs — README RU/EN + docs/architecture.md.

Границы

Провод (internal/protocol) и симуляция не тронуты → игровые стражи не гонялись
(прецедент итер. 21/36). Бэкенд-фича безопасности → security-review: HIGH/MEDIUM нет
(одноразовые токены только SHA-256 и одноразовы; сброс валидирует пароль до расхода
токена и отзывает все сессии; reset без энумерации; LogMailer — dev-стаб с
self-warning).

Тестирование

• make check (vet + -race) и make integration — зелёные.
• Покрытие: store (email + занятость, verify, смена пароля, одноразовые токены —
  kind/повтор/просрочка, revoke-all; Postgres-сьют дополнен account_tokens),
  account (register+email+verify, email taken/invalid, полный reset-флоу с разлогином
  и одноразовостью — через recording-mailer), api (end-to-end verify + reset по HTTP).
• Live-smoke бинаря на свежей БД (миграция 0003): register→/me(unverified)→verify→
  /me(verified); reset weak(400)/ok(204)/reuse(401); login old(401)/new(200).
• node --check web/game.js.

BENCHMARKS.md не трогался — горячего пути нет.