# Было (уязвимо к timing attack):
if self.headers.get("Authorization") == f"Bearer {ADMIN_TOKEN}":

# Стало (constant-time):
import hmac
hmac.compare_digest(provided.encode(), expected.encode())

# Было: _conn.close() вызывался синхронно ДО завершения server.shutdown()
def _shutdown(signum, frame):
    threading.Thread(target=server.shutdown).start()
    _conn.close()   # ← race: in-flight запрос получал ProgrammingError

# Стало: DB закрывается только после полной остановки HTTP
def _shutdown(signum, frame):
    def _do():
        server.shutdown()  # ждёт завершения всех in-flight запросов
        _conn.close()      # только потом закрываем DB
    threading.Thread(target=_do, daemon=True).start()

# proxy.py запускается от root, исправляет /data, дропает привилегии
def _drop_privileges(user="app"):
    if os.getuid() != 0:
        return
    pw = pwd.getpwnam(user)
    # Рекурсивный chown /data (миграция существующих root:root томов)
    for dirpath, dirnames, filenames in os.walk(data_root):
        os.lchown(dirpath, pw.pw_uid, pw.pw_gid)
        ...
    os.setgid(pw.pw_gid)
    os.setuid(pw.pw_uid)

# Было: whitelist только в HTTP handler, run_skill() не проверял
# Стало: _ALLOWED_SKILLS на уровне модуля + проверка в run_skill() до subprocess

_ALLOWED_SKILLS: set = set()   # заполняется при старте и при /v1/skills

def run_skill(skill_id, caller, params):
    # explicit whitelist check перед subprocess.run()
    if skill_id not in allowed:
        return {"status": "error", "error": "Not in ALLOWED_SKILLS"}
    ...
    subprocess.run(cmd, ...)