docs(snapshot): sync workspace documentation

steps.md

@@ -215,76 +215,17 @@ Uwaga: **nie zapisuję sekretów** (hasła, tokeny, prywatne klucze) – jeśli
 - Plan refaktoru opisany w `doc/migration.md` (sekcja „Metoda superproject”).
 - Użytkownik zaakceptował `trade/trade-infra` jako superproject; do decyzji pozostało: `submodules` vs `subtree` (rekomendacja: submodules, jeśli chcemy zachować niezależne repo + pinowanie wersji).
 
-### Superproject: implementacja (git submodules)
-- Przygotowano i wypchnięto initial commity do subrepo:
-  - `trade/trade-api`
-  - `trade/trade-ingestor`
-  - `trade/trade-frontend`
-  - `trade/trade-doc` (to repo)
-- Utworzono `trade/trade-infra` jako superproject i dodano submodules:
-  - `api/` → `trade/trade-api`
-  - `frontend/` → `trade/trade-frontend`
-  - `ingestor/` → `trade/trade-ingestor`
-  - `deploy/` → `trade/trade-deploy`
-  - `doc/` → `trade/trade-doc`
-- Do push użyto tokena repo-scope wygenerowanego w podzie Gitei; token zapisany lokalnie w `gitea/token` (gitignored), wartość nie jest logowana.
+## 2026-01-10
 
-### Dostęp: admin vs użytkownicy (plan)
-- Wymaganie: admin ma dostęp do wszystkich serwisów; pozostali użytkownicy logują się tylko do `trade.rv32i.pl`.
-- Decyzja: logowanie wdrażamy tylko dla `trade`; pozostałe serwisy zostają z własnymi loginami.
-- Wybrano metodę dla `trade`: Traefik `basicAuth` na Ingress (Middleware).
-- Plan wdrożenia opisany w `migration.md` (sekcja „Dostęp i logowanie”).
-
-### Logowanie do `trade` (Traefik basicAuth) – wdrożenie
-- Utworzono `Secret/trade-basic-auth` w `trade-staging` (format `htpasswd` w kluczu `users`) z userami: `admin`, `mpabi`, `mkost33` (bez logowania haseł).
-- Dodano `Middleware/trade-basic-auth` (Traefik CRD) i podpięto do `Ingress/trade-frontend` adnotacją `traefik.ingress.kubernetes.io/router.middlewares`.
-- Zaktualizowano `trade-frontend`:
-  - dodano `BASIC_AUTH_MODE=off` (wyłącza wbudowany basic auth w aplikacji),
-  - wdrożono nowy obraz `rv32i.pl/trade/trade-frontend:sha-8217bae`.
-- Weryfikacja: `https://trade.rv32i.pl` zwraca `401` z basic auth (Traefik), a pod `trade-frontend` loguje `basicAuthMode: "off"`.
-
-### UI: status użytkownika + wylogowanie
-- Dodano endpoint `GET /whoami` w serwerze `trade-frontend`, który zwraca username z nagłówka ustawianego przez Traefik (`headerField` w middleware).
-- Dodano w UI w prawym górnym rogu status „kto jest zalogowany” oraz przycisk `Wyloguj`.
-- `Wyloguj` przekierowuje do `GET /logout` (best-effort dla Basic Auth; w praktyce wymusza ponowny prompt i pozwala przełączyć użytkownika).
-- Zaktualizowano manifesty:
-  - `Middleware/trade-basic-auth` ma `headerField: X-Trade-User`,
-  - `trade-frontend` wdrożony jako `rv32i.pl/trade/trade-frontend:sha-5f8c2ef`.
-
-### UI: poprawa `Wyloguj` + rollout
-- Naprawiono `/logout` w `trade-frontend`: po wymuszeniu ponownej autoryzacji następuje redirect do `/` (żeby nie utknąć na 401/prompt loop).
-- Zbudowano i wypchnięto obraz `rv32i.pl/trade/trade-frontend:sha-1b0820f`.
-- `trade/trade-deploy`: bump obrazu frontendu (commit `add373d`) i push do Gitea.
-- `trade/trade-infra`: bump submodules `deploy` + `frontend` (commit `dc03bd1`) i push do Gitea.
-- Weryfikacja na VPS (k3s):
-  - `Deployment/trade-frontend` używa `rv32i.pl/trade/trade-frontend:sha-1b0820f`.
-  - `Ingress/trade-frontend` ma middleware `trade-staging-trade-basic-auth@kubernetescrd`.
-  - `Middleware/trade-basic-auth` ma `headerField: X-Trade-User`.
-  - `https://trade.rv32i.pl/whoami` zwraca `401` bez auth; z nagłówkiem `X-Trade-User` zwraca JSON z userem.
-
-### UI: przywrócenie statusu portfela + poprawa układu topbara
-- Przywrócono domyślne elementy `TopNav` (w tym „Main Account”) jako „status portfela”; `Wyloguj` jest skrajnie po prawej.
-- Zmieniono implementację `TopNav`: dodano prop `rightEndSlot`, żeby dokładać elementy po prawej bez zastępowania domyślnego UI.
-- Zmieniono `AuthStatus`: kompaktowy „badge” z userem + przycisk `Wyloguj`.
-- Zbudowano i wypchnięto obraz `rv32i.pl/trade/trade-frontend:sha-77122e0`.
-- `trade/trade-deploy`: bump obrazu frontendu (commit `0851e52`) i push do Gitea.
-- `trade/trade-infra`: bump submodules `deploy` + `frontend` (commit `2e570b2`) i push do Gitea.
-- Weryfikacja na VPS (k3s): `Deployment/trade-frontend` używa `rv32i.pl/trade/trade-frontend:sha-77122e0`, pod `Running`.
-- Uwaga: MCP SSH timeoutował; weryfikację wykonano po zwykłym `ssh` z naszym kluczem (bez logowania sekretów).
-
-### Auth: formularz logowania zamiast popup (session cookie)
-- Cel: zastąpić przeglądarkowy popup HTTP BasicAuth normalną formatką logowania w aplikacji.
-- `trade-frontend` (commit `e20a1f5`, obraz `rv32i.pl/trade/trade-frontend:sha-e20a1f5`):
-  - dodano sesję `HttpOnly` cookie + endpointy `POST /auth/login` i `POST /auth/logout` (`GET /logout` = redirect),
-  - `POST /auth/login` weryfikuje usera po `htpasswd` (binarka `htpasswd` w obrazie; plik z K8s secret),
-  - `/api/*` jest blokowane bez zalogowania (401 JSON, bez `WWW-Authenticate`, więc bez popupu),
-  - UI pokazuje ekran logowania, dopóki `GET /whoami` nie zwróci usera.
-- GitOps (`trade/trade-deploy`):
-  - bump obrazu do `sha-e20a1f5` (commit `f949a72`),
-  - usunięto middleware Traefik `basicAuth` z `Ingress/trade-frontend` i wdrożono auth na poziomie aplikacji (commit `e7d4d40`),
-  - `Deployment/trade-frontend` montuje sekrety:
-    - `trade-staging/Secret/trade-basic-auth` → `/auth/users` (htpasswd),
-    - `trade-staging/Secret/trade-session-secret` → `/auth/session-secret` (HMAC do podpisu sesji; wartość nie logowana).
-- VPS (k3s):
-  - utworzono `trade-staging/Secret/trade-session-secret` bez commitowania do gita (wartość wygenerowana losowo, nie logowana),
-  - weryfikacja: `https://trade.rv32i.pl/` = `200` bez popupu; `https://trade.rv32i.pl/api/...` = `401` bez zalogowania; `POST /auth/login` działa (401 dla złych danych).
+### V2: GraphQL + WS (Hasura) + DLOB stats (staging)
+- `trade/trade-deploy`:
+  - Podbito obraz frontendu do `gitea.mpabi.pl/trade/trade-frontend:sha-f85e6da` (UI proxy’uje Hasurę pod `/graphql` + WS pod `/graphql-ws`).
+  - W Hasurze włączono `HASURA_GRAPHQL_UNAUTHORIZED_ROLE=public` (UI bez tokena; bootstrap nadaje ograniczone `select`).
+  - W schemacie Postgresa dodano tabele pod statystyki DLOB: `public.dlob_l2_latest` i `public.dlob_stats_latest` (w `kustomize/base/initdb/001_init.sql`).
+  - Dodano job migracji DB dla istniejących wolumenów: `kustomize/base/postgres/job-migrate.yaml` (Argo hook; uruchamia `psql -f 001_init.sql`).
+  - `kustomize/base/hasura/job-bootstrap.yaml` działa jako Argo hook (re-run na sync) i trackuje tabele/permissions DLOB.
+  - Dodano `dlob-worker` w k3s: `kustomize/base/dlob-worker/*` (Deployment + script jako ConfigMap); worker polluje `https://dlob.drift.trade/l2` i upsertuje do Hasury dla `PUMP/SOL/BONK/BTC/ETH` perps.
+- `apps/visualizer` (frontend na laptopie, dev mode):
+  - `apps/visualizer/__start` odpala Vite z proxy do `https://trade.mpabi.pl` + ustawia `VITE_HASURA_WS_URL=/graphql-ws`.
+  - `apps/visualizer/src/lib/graphqlWs.ts` wspiera względny `VITE_HASURA_WS_URL` (np. `/graphql-ws`) i normalizuje go do pełnego `ws(s)://...`.
+  - `apps/visualizer/src/lib/hasura.ts` domyślnie używa `/graphql` (zgodnie z flow: dev UI → staging przez proxy).