PublicTokenRepository:
- Create — генерирует 256-битный URL-safe токен через crypto/rand;
intended_email нормализуется в lower-case; max_attempts<=0 → 1;
- GetByToken — поиск по URL-токену для public-endpoint'ов;
- ListByResource — все токены для теста/курса (HR-UI);
- Revoke — soft-cancel (revoked_at = NOW());
- CheckUsable — валидирует токен: revoked/expired/exhausted →
типизированные ошибки (ErrTokenInvalid/Expired/Exhausted/Email);
- MatchEmail — case-insensitive сравнение;
- MarkOpened / IncrementUsed — для аудита и счётчика попыток.
PublicTokenHandler — два слоя:
HR (/api, под service.learning.access + owner-проверка):
- POST /public-tokens — Create;
- GET /public-tokens?resource_type=...&resource_id=... — ListByResource;
- DELETE /public-tokens/{id} — Revoke.
Public (/public, без auth):
- GET /public/learning/tokens/{token}/info — title + status
({valid|revoked|expired|exhausted}). IntendedEmail НЕ возвращаем,
чтобы любой со ссылкой не узнал чей это email.
- POST /public/learning/tokens/{token}/resolve {email} — сверяет
email с intended (case-insensitive), создаёт attempt со
public_token_id, помечает opened_at. IncrementUsed на submit'е
(а не resolve'е), чтобы кандидат не сжёг попытку случайным
открытием.
- GET /public/learning/attempts/{id}?token=… — текущий attempt +
questions (is_correct/explanation скрыты).
- POST /public/learning/attempts/{id}/submit?token=… — сабмит +
автогрейд + IncrementUsed.
MVP поддерживает только resource_type='test'. Courses через public-
ссылку — следующая итерация (нужен view-mode без логина).
Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
