Enhance configuration and logging for user management commands

- Updated `.env.example` to include new settings for trusted proxies and networks for better security with X-Forwarded headers.
- Modified `BlockUserCommandHandler` and `UnblockUserCommandHandler` to include logging for gateway update failures, ensuring better traceability of issues during user blocking/unblocking.
- Adjusted tests for command handlers to incorporate logging functionality, improving test coverage and reliability.
- Updated frontend configuration to dynamically set the server port based on environment variables.

backend/src/PnvPanel.Api/Program.cs

@@ -1,3 +1,4 @@
+using System.Net;
 using System.Text.Json.Serialization;
 using Microsoft.AspNetCore.HttpOverrides;
 using Microsoft.AspNetCore.RateLimiting;
@@ -24,12 +25,23 @@ builder.Services.AddSerilog((services, configuration) => configuration
     .ReadFrom.Services(services)
     .Enrich.FromLogContext());
 
-// За внешним прокси доверяем X-Forwarded-* (TLS терминируется вне контейнера).
+// За внешним прокси доверяем X-Forwarded-* (TLS терминируется вне контейнера), но ТОЛЬКО от явно
+// перечисленных адресов/сетей прокси — иначе клиент может подделать свой IP/схему напрямую, минуя
+// прокси (спуфинг rate-limiting по IP, аудит-лога, Secure-cookie). По умолчанию (без конфигурации)
+// остаётся дефолт ASP.NET Core — доверие только loopback; для прод-топологии прокси задаётся через
+// ForwardedHeaders__KnownProxies / ForwardedHeaders__KnownNetworks (см. .env.example).
 builder.Services.Configure<ForwardedHeadersOptions>(options =>
 {
     options.ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto;
-    options.KnownIPNetworks.Clear();
-    options.KnownProxies.Clear();
+
+    foreach (var proxy in builder.Configuration.GetSection("ForwardedHeaders:KnownProxies").Get<string[]>() ?? [])
+        options.KnownProxies.Add(IPAddress.Parse(proxy));
+
+    foreach (var network in builder.Configuration.GetSection("ForwardedHeaders:KnownNetworks").Get<string[]>() ?? [])
+    {
+        var parts = network.Split('/');
+        options.KnownIPNetworks.Add(new System.Net.IPNetwork(IPAddress.Parse(parts[0]), int.Parse(parts[1])));
+    }
 });
 
 builder.Services.AddHttpContextAccessor();
@@ -83,6 +95,15 @@ builder.Services.AddHealthChecks()
 
 var app = builder.Build();
 
+// Без персистентного пути key-ring живёт только в памяти контейнера — после пересоздания
+// расшифровать уже сохранённые пароли нод будет невозможно. Предупреждаем громко, не молчим.
+if (string.IsNullOrWhiteSpace(builder.Configuration["DataProtection:KeyRingPath"]))
+{
+    app.Logger.LogWarning(
+        "DataProtection:KeyRingPath не задан — ключи шифрования секретов нод не персистентны " +
+        "и будут потеряны при пересоздании контейнера. В проде обязательно смонтируй том и укажи путь.");
+}
+
 // Авто-применение миграций и идемпотентный сидинг (роли + админ из env) на старте.
 await app.Services.ApplyMigrationsAsync();
 await app.Services.SeedDataAsync();