ролевая моделю доступа + загруженность по кафедрам и преподавателям + просморт расписания

docs/ARCHITECTURE.md

@@ -32,7 +32,7 @@ graph TD
 - **Порт:** 8080 (внутренний)
 - **ORM:** Hibernate (JPA), `ddl-auto=none`
 - **Миграции:** Flyway (программный запуск при подключении тенанта)
-- **Аутентификация:** bcrypt (через `BCryptPasswordEncoder`), UUID-токены
+- **Аутентификация:** bcrypt (через `BCryptPasswordEncoder`), in-memory UUID-сессии, bearer-токены и backend-проверка ролей
 
 ### PostgreSQL
 - **Версия:** `postgres:alpine3.23`
@@ -131,12 +131,16 @@ sequenceDiagram
 
 ## Аутентификация
 
-Система использует **простую модель аутентификации** без JWT или Spring Security фильтров:
+Система использует простую модель аутентификации без JWT и без полноценного Spring Security:
 
 1. Клиент отправляет `POST /api/auth/login` с `username` и `password`
 2. Backend проверяет пароль через `BCryptPasswordEncoder`
 3. При успехе возвращается:
    - UUID-токен (для заголовка `Authorization: Bearer`)
-   - Роль пользователя (`ADMIN`, `TEACHER`, `STUDENT`)
-   - Redirect URL (`/admin/`, `/teacher/`, `/student/`)
+   - Роль пользователя (`ADMIN`, `EDUCATION_OFFICE`, `DEPARTMENT`, `SCHEDULE_VIEWER`, `TEACHER`, `STUDENT`)
+   - Redirect URL (`/admin/`, `/admin/#schedule-view`, `/admin/#department-workspace`, `/teacher/`, `/student/`)
 4. Токен хранится в `localStorage` на клиенте
+
+Токены хранятся в `AuthSessionService` в памяти процесса backend. `AuthorizationInterceptor` проверяет bearer-токен для `/api/**`, кроме `POST /api/auth/login`, и применяет аннотацию `@RequireRoles` на контроллерах и методах. Это означает, что UI-роль в `localStorage` больше не является единственной защитой: backend возвращает `401`, если токена нет, и `403`, если роли недостаточно.
+
+`TenantInterceptor` по-прежнему отвечает за выбор БД тенанта по домену. Проверка авторизации выполняется отдельным интерцептором после tenant-resolution.