mkdir aql-shop
cd aql-shop
npm init -y
npm install express jsonwebtoken bcryptjs cookie-parser dotenv

{
  "name": "aql-shop",
  "type": "module",
  "scripts": {
    "start": "node src/server.js",
    "dev": "node --watch src/server.js"
  }
}

npm start

{
  "products": [
    { "id": 1, "title": "Ноутбук Aqbook 14", "price": 450000, "emoji": "💻" },
    { "id": 2, "title": "Наушники SilentQ", "price": 39000, "emoji": "🎧" },
    { "id": 3, "title": "Смартфон Barys X", "price": 210000, "emoji": "📱" }
  ],
  "users": []
}

import { readFileSync, writeFileSync } from "node:fs";
import { fileURLToPath } from "node:url";
import { dirname, join } from "node:path";

const __dirname = dirname(fileURLToPath(import.meta.url));
const DB_PATH = join(__dirname, "..", "..", "data", "db.json");

export function readDb() {
return JSON.parse(readFileSync(DB_PATH, "utf8"));
}

export function writeDb(data) {
writeFileSync(DB_PATH, JSON.stringify(data, null, 2), "utf8");
}

import { readDb } from "./db.js";

export function getAllProducts() {
return readDb().products;
}

export function getProductById(id) {
return readDb().products.find((p) => p.id === Number(id)) ?? null;
}

import { layout, esc } from "./layout.js";

const tenge = (n) => `${Number(n).toLocaleString("ru-RU")} ₸`;

// user прокидываем во view, чтобы шапка (nav) знала, кто вошёл.
export function homePage(products, user) {
const cards = products
  .map(
    (p) => `<a class="card" href="/product/${p.id}">
      <div class="card-emoji">${esc(p.emoji)}</div>
      <div class="card-title">${esc(p.title)}</div>
      <div class="card-price">${tenge(p.price)}</div>
    </a>`,
  )
  .join("");
return layout({ title: "Каталог", user, body: `<h1>Каталог</h1>
  <div class="grid">${cards}</div>` });
}

export function productPage(product, user) {
return layout({ title: product.title, user, body: `
  <a href="/">← назад</a>
  <h1>${esc(product.emoji)} ${esc(product.title)}</h1>
  <p>${tenge(product.price)}</p>
  <form action="/cart/add" method="post">
    <input type="hidden" name="productId" value="${product.id}" />
    <button>🛒 В корзину</button>
  </form>` });
}

import { getAllProducts, getProductById } from "../models/products.js";
import { homePage, productPage } from "../views/pages.js";

export function home(req, res) {
  res.send(homePage(getAllProducts(), req.user));
}

export function productDetail(req, res) {
  const product = getProductById(req.params.id);
  if (!product) return res.status(404).send("<h1>404</h1>");
  res.send(productPage(product, req.user));
}

import bcrypt from "bcryptjs";
import { readDb, writeDb } from "./db.js";

export function findUserByEmail(email) {
return readDb().users.find(
  (u) => u.email.toLowerCase() === String(email).toLowerCase(),
) ?? null;
}

export async function createUser({ name, email, password }) {
const db = readDb();
const nextId = db.users.reduce((m, u) => Math.max(m, u.id), 0) + 1;
const passwordHash = await bcrypt.hash(password, 10); // 10 = «стоимость»
const user = { id: nextId, name, email: email.toLowerCase(),
               passwordHash, role: "user", cart: [] };
db.users.push(user);
writeDb(db);
return user;
}

export async function verifyPassword(user, password) {
return bcrypt.compare(password, user.passwordHash);
}

JWT_SECRET=длинная-случайная-строка-поменяй-меня

import "dotenv/config"; // читает .env и кладёт всё в process.env
import jwt from "jsonwebtoken";

const JWT_SECRET = process.env.JWT_SECRET || "dev-secret-change-me";

export function signToken(user) {
// В payload — минимум: id, имя, роль. Пароль сюда НИКОГДА.
return jwt.sign(
  { sub: user.id, name: user.name, role: user.role },
  JWT_SECRET,
  { expiresIn: "2h" },
);
}

export function verifyToken(token) {
return jwt.verify(token, JWT_SECRET); // бросит ошибку, если подделан/протух
}

// Форма входа. isAdmin=true — оформляем как вход в админку.
export function loginPage({ next = "/", error = "", isAdmin = false } = {}, user) {
return layout({
  title: isAdmin ? "Вход в админку" : "Вход",
  user,
  body: `<div class="auth">
    <h1>${isAdmin ? "⚙️ Вход в админку" : "Вход"}</h1>
    ${error ? `<p class="error">${esc(error)}</p>` : ""}
    <form action="/login" method="post">
      <input type="hidden" name="next" value="${esc(next)}" />
      <label>Email <input type="email" name="email" required /></label>
      <label>Пароль <input type="password" name="password" required /></label>
      <button class="btn">Войти</button>
    </form>
  </div>`,
});
}

import { findUserByEmail, verifyPassword } from "../models/users.js";
import { signToken } from "../auth.js";
import { loginPage } from "../views/pages.js";

const COOKIE_OPTS = { httpOnly: true, sameSite: "lax", maxAge: 2 * 60 * 60 * 1000 };

// GET /login — показать форму. next запоминаем, чтобы вернуть куда шли.
export function showLogin(req, res) {
const next = typeof req.query.next === "string" ? req.query.next : "/";
res.send(loginPage({ next }, req.user));
}

// GET /admin/login — та же форма, оформленная как вход в админку.
export function showAdminLogin(req, res) {
res.send(loginPage({ next: "/admin", isAdmin: true }, req.user));
}

// POST /login — проверить пароль и выдать JWT в cookie.
export async function login(req, res) {
const { email, password } = req.body;
const next = req.body.next || "/";
const user = findUserByEmail(email);
// Одинаковая ошибка на «нет юзера» и «неверный пароль» — не подсказываем врагу.
if (!user || !(await verifyPassword(user, password))) {
  return res.status(401).send(loginPage({ next, error: "Неверный email или пароль" }, null));
}
res.cookie("token", signToken(user), COOKIE_OPTS);
res.redirect(next);
}

export function logout(req, res) {
res.clearCookie("token");
res.redirect("/");
}

export function addProduct({ title, price, emoji }) {
const db = readDb();
const nextId = db.products.reduce((max, p) => Math.max(max, p.id), 0) + 1;
const product = { id: nextId, title: String(title).trim(),
                  price: Number(price), emoji: emoji || "📦" };
db.products.push(product);
writeDb(db);
return product;
}

export function deleteProduct(id) {
const db = readDb();
db.products = db.products.filter((p) => p.id !== Number(id));
writeDb(db);
}

export function adminPage(products, user) {
const rows = products
  .map(
    (p) => `<tr>
      <td>${p.id}</td>
      <td>${esc(p.emoji)} ${esc(p.title)}</td>
      <td>${tenge(p.price)}</td>
      <td><form action="/admin/products/${p.id}/delete" method="post" class="inline">
        <button class="link danger">удалить</button></form></td>
    </tr>`,
  )
  .join("");
return layout({
  title: "Админка",
  user,
  body: `<h1>⚙️ Админка</h1>
    <table class="admin">
      <thead><tr><th>ID</th><th>Товар</th><th>Цена</th><th></th></tr></thead>
      <tbody>${rows}</tbody>
    </table>
    <h2>Добавить товар</h2>
    <form action="/admin/products" method="post" class="add">
      <input name="emoji" placeholder="📦" maxlength="4" />
      <input name="title" placeholder="Название" required />
      <input name="price" type="number" placeholder="Цена" required min="0" />
      <button class="btn">Добавить</button>
    </form>`,
});
}

// Пригодится для 404-ответа в server.js:
export function notFoundPage(user) {
return layout({ title: "404", user,
  body: `<h1>404 — не найдено</h1><p><a href="/">← на главную</a></p>` });
}

import { getAllProducts, addProduct, deleteProduct } from "../models/products.js";
import { adminPage } from "../views/pages.js";

export function adminDashboard(req, res) {
res.send(adminPage(getAllProducts(), req.user));
}

export function createProduct(req, res) {
const { title, price, emoji } = req.body;
if (title && price) addProduct({ title, price, emoji });
res.redirect("/admin");
}

export function removeProduct(req, res) {
deleteProduct(req.params.id);
res.redirect("/admin");
}

import { readDb, writeDb } from "./db.js";
import { getProductById } from "./products.js";

export function addToCart(userId, productId) {
  const db = readDb();
  const user = db.users.find((u) => u.id === Number(userId));
  if (!user) return;
  user.cart.push(Number(productId));
  writeDb(db);
}

export function removeFromCart(userId, productId) {
  const db = readDb();
  const user = db.users.find((u) => u.id === Number(userId));
  if (!user) return;
  const idx = user.cart.indexOf(Number(productId)); // убираем одну штуку
  if (idx !== -1) user.cart.splice(idx, 1);
  writeDb(db);
}

export function getCart(userId) {
  const db = readDb();
  const user = db.users.find((u) => u.id === Number(userId));
  if (!user) return { items: [], total: 0 };
  const items = user.cart.map((id) => getProductById(id)).filter(Boolean);
  const total = items.reduce((sum, p) => sum + p.price, 0);
  return { items, total };
}

const tenge = (n) => `${Number(n).toLocaleString("ru-RU")} ₸`; // если ещё не объявлен выше

export function cartPage({ items, total }, user) {
  const rows = items
    .map(
      (p) => `<li>${esc(p.emoji)} ${esc(p.title)} — ${tenge(p.price)}
        <form action="/cart/remove" method="post" class="inline">
          <input type="hidden" name="productId" value="${p.id}" />
          <button class="link danger">✕</button>
        </form></li>`,
    )
    .join("");
  return layout({
    title: "Корзина",
    user,
    body: `<h1>Корзина</h1>
      ${
        items.length
          ? `<ul class="cart">${rows}</ul>
             <p class="total">Итого: <strong>${tenge(total)}</strong></p>`
          : `<p>Корзина пуста. <a href="/">В каталог</a></p>`
      }`,
  });
}

import { addToCart, removeFromCart, getCart } from "../models/carts.js";
import { cartPage } from "../views/pages.js";

export function cartView(req, res) {
  res.send(cartPage(getCart(req.user.id), req.user));
}

export function cartAdd(req, res) {
  addToCart(req.user.id, req.body.productId);
  res.redirect("/cart"); // PRG: после POST — редирект, чтобы F5 не дублировал
}

export function cartRemove(req, res) {
  removeFromCart(req.user.id, req.body.productId);
  res.redirect("/cart");
}