feat: agent token, auth.agent middleware, /mcp route with HadoServer skeleton

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BCrwHHnGCB5XH968Nxokqw

core/app/Console/Commands/AgentTokenCommand.php

@@ -0,0 +1,36 @@
+<?php
+
+namespace App\Console\Commands;
+
+use App\Ingest\EventUpserter;
+use App\Models\AgentToken;
+use Illuminate\Console\Command;
+
+class AgentTokenCommand extends Command
+{
+    protected $signature = 'hado:agent:token {login : Логин пользователя, как в X-Remote-User} {--revoke : Отозвать токен, ничего не печатать}';
+
+    protected $description = 'Выпускает токен агента (MCP) для пользователя и печатает его один раз; повторный вызов перевыпускает';
+
+    public function handle(EventUpserter $users): int
+    {
+        $user = $users->ensureUser((string) $this->argument('login'));
+        $had = AgentToken::where('user_id', $user->id)->exists();
+
+        if ($this->option('revoke')) {
+            AgentToken::where('user_id', $user->id)->delete();
+            $this->info($had ? "Токен агента для «{$user->login}» отозван." : "У «{$user->login}» не было токена агента.");
+
+            return self::SUCCESS;
+        }
+
+        $token = AgentToken::issue($user);
+        $this->info($had
+            ? "Токен агента для «{$user->login}» перевыпущен, старый больше не работает."
+            : "Токен агента для «{$user->login}» создан.");
+        $this->line('Показывается один раз, в базе только хэш.');
+        $this->line("Token: {$token}");
+
+        return self::SUCCESS;
+    }
+}

core/app/Http/Middleware/AuthenticateAgent.php

@@ -0,0 +1,32 @@
+<?php
+
+namespace App\Http\Middleware;
+
+use App\Models\AgentToken;
+use Closure;
+use Illuminate\Http\Request;
+use Symfony\Component\HttpFoundation\Response;
+
+/**
+ * Вход агента (MCP): Bearer-токен агента → пользователь.
+ * Кладёт user в тот же атрибут, что RemoteUser, — дальше код не различает, кто пришёл.
+ */
+class AuthenticateAgent
+{
+    public function handle(Request $request, Closure $next): Response
+    {
+        $token = $request->bearerToken();
+        if ($token === null || $token === '') {
+            return response()->json(['message' => 'Нужен Bearer-токен агента'], 401);
+        }
+
+        $agent = AgentToken::findByToken($token);
+        if ($agent === null) {
+            return response()->json(['message' => 'Неизвестный токен агента'], 401);
+        }
+
+        $request->attributes->set('user', $agent->user);
+
+        return $next($request);
+    }
+}

core/app/Mcp/HadoServer.php

@@ -0,0 +1,32 @@
+<?php
+
+namespace App\Mcp;
+
+use Laravel\Mcp\Server;
+
+class HadoServer extends Server
+{
+    protected string $name = 'Hado';
+
+    protected string $version = '1.0.0';
+
+    protected string $instructions = <<<'MD'
+    Hado — ядро напоминаний пользователя. Ты действуешь от его лица: видишь все его события, ставишь свои, закрываешь любые.
+
+    Событие — это срок (`due_at`) и день старта подготовки (`fire_at`). Состояния: `scheduled` (старт не пришёл, молчит),
+    `preparing` (напоминает раз в день), `today` (день срока, каждый час), `overdue` (срок прошёл, `after_due = keep`),
+    `done` (пользователь закрыл), `expired` (срок прошёл, `after_due = expire`), `withdrawn` (снято).
+
+    «Сделано» (`mark_done`) закрывает событие. «Помню» (`mark_ack`) — только глушит текущее напоминание, событие живёт.
+
+    Свои события ты создаёшь от источника `manual` — того же, что кнопка в инбоксе. Их можно править и снимать.
+    События других источников (`editable: false`) ты видишь и можешь закрыть, но не правишь и не снимаешь — их источник
+    перезапишет правку при следующей синхронизации.
+
+    `due_at`: `YYYY-MM-DD` (весь день), `YYYY-MM-DDTHH:MM` (едет за поясом пользователя) или со смещением
+    `YYYY-MM-DDTHH:MM+02:00` — только если событие привязано к месту (вылет, встреча по чужому времени).
+    Повторяющееся — отдельные события на каждое вхождение, не одно с переносом даты.
+    MD;
+
+    protected array $tools = [];
+}

core/app/Models/AgentToken.php

@@ -0,0 +1,30 @@
+<?php
+
+namespace App\Models;
+
+use Illuminate\Database\Eloquent\Model;
+use Illuminate\Database\Eloquent\Relations\BelongsTo;
+
+class AgentToken extends Model
+{
+    protected $guarded = [];
+
+    public function user(): BelongsTo
+    {
+        return $this->belongsTo(User::class);
+    }
+
+    /** Выпускает (или перевыпускает) токен пользователя; возвращает открытый токен — показать один раз. */
+    public static function issue(User $user): string
+    {
+        $token = 'hado_agent_'.bin2hex(random_bytes(32));
+        static::updateOrCreate(['user_id' => $user->id], ['token_hash' => hash('sha256', $token)]);
+
+        return $token;
+    }
+
+    public static function findByToken(string $token): ?self
+    {
+        return static::where('token_hash', hash('sha256', $token))->first();
+    }
+}