security features

app/bot/handlers/add_group.py

@@ -9,6 +9,8 @@ from app.bot.messages import (
     NEED_ADD_FIRST,
     NO_RIGHTS_CHANNEL,
     NO_RIGHTS_GROUP,
+    ONLY_ADMINS_CAN_BIND,
+    ALREADY_BOUND,
 )
 from app.db.session import get_session
 from app.db.models import User, Chat
@@ -16,42 +18,26 @@ from .utils import parse_chat_id, verify_and_fetch_chat
 
 STATE_KEY = "await_chat_id"
 
-
 def _get_forwarded_chat_id(message) -> int | None:
-    """
-    Универсально достаём chat_id источника пересылки.
-    Поддерживает старые поля (forward_from_chat) и новые (forward_origin.chat).
-    """
-    if not message:
-        return None
-
-    # Старое поле (иногда ещё присутствует)
     fwd_chat = getattr(message, "forward_from_chat", None)
     if fwd_chat:
         return fwd_chat.id
-
-    # Новая схема Bot API: forward_origin с типами MessageOrigin*
     origin = getattr(message, "forward_origin", None)
     if origin:
-        chat = getattr(origin, "chat", None)  # у MessageOriginChat/Channel есть .chat
+        chat = getattr(origin, "chat", None)
         if chat:
             return chat.id
-
     return None
 
-
 async def add_group_cmd(update: Update, ctx: ContextTypes.DEFAULT_TYPE):
-    # ensure user exists
     with get_session() as s:
         u = s.query(User).filter_by(tg_id=update.effective_user.id).first()
         if not u:
             u = User(tg_id=update.effective_user.id, name=update.effective_user.full_name)
-            s.add(u)
-            s.commit()
+            s.add(u); s.commit()
     ctx.user_data[STATE_KEY] = True
     await update.effective_message.reply_text(ASK_ADD_GROUP, parse_mode=ParseMode.MARKDOWN)
 
-
 async def add_group_capture(update: Update, ctx: ContextTypes.DEFAULT_TYPE):
     if update.effective_chat.type != ChatType.PRIVATE:
         return
@@ -59,19 +45,12 @@ async def add_group_capture(update: Update, ctx: ContextTypes.DEFAULT_TYPE):
         return
 
     msg = update.effective_message
-    raw = None
-
-    # 1) Пересланное сообщение из чата/канала
-    fwd_cid = _get_forwarded_chat_id(msg)
-    if fwd_cid:
-        raw = fwd_cid
-    else:
-        # 2) Ввод в виде текста или подписи (caption)
+    raw = _get_forwarded_chat_id(msg)
+    if not raw:
         txt = (getattr(msg, "text", None) or getattr(msg, "caption", None) or "").strip()
         if not txt:
             await msg.reply_text("Вставьте chat_id или перешлите сообщение из группы/канала.")
             return
-
         if txt.startswith("@") or "t.me/" in txt:
             raw = txt
         else:
@@ -81,21 +60,39 @@ async def add_group_capture(update: Update, ctx: ContextTypes.DEFAULT_TYPE):
                 return
             raw = cid
 
-    # Проверяем, что бот в чате и что у него есть право постить (если нужно)
+    # Проверяем наличие бота в чате и его право постить
     try:
-        chat, member, can_post = await verify_and_fetch_chat(ctx, raw)
+        chat, member_bot, can_post = await verify_and_fetch_chat(ctx, raw)
     except BadRequest:
         await msg.reply_text("Такого чата не существует или у меня нет доступа. Проверьте chat_id/username.")
         return
 
-    if member is None:
+    if member_bot is None:
         await msg.reply_text(NEED_ADD_FIRST.format(title_or_id=(chat.title or chat.id)))
         return
 
-    # Сохраняем привязку
+    # --- Новое: проверяем, что привязку делает АДМИН этого чата/канала ---
+    try:
+        user_member = await ctx.bot.get_chat_member(chat.id, update.effective_user.id)
+        user_status = getattr(user_member, "status", "")
+        is_admin = user_status in ("administrator", "creator")
+    except Exception:
+        is_admin = False
+
+    if not is_admin:
+        await msg.reply_text(ONLY_ADMINS_CAN_BIND)
+        return
+
     with get_session() as s:
         me = s.query(User).filter_by(tg_id=update.effective_user.id).first()
         row = s.query(Chat).filter_by(chat_id=chat.id).first()
+
+        # Если уже привязан к другому владельцу — запрещаем
+        if row and row.owner_user_id and row.owner_user_id != me.id:
+            await msg.reply_text(ALREADY_BOUND)
+            ctx.user_data.pop(STATE_KEY, None)
+            return
+
         if not row:
             row = Chat(
                 chat_id=chat.id,
@@ -108,8 +105,7 @@ async def add_group_capture(update: Update, ctx: ContextTypes.DEFAULT_TYPE):
         else:
             row.title = chat.title
             row.type = chat.type
-            if row.owner_user_id is None:
-                row.owner_user_id = me.id
+            row.owner_user_id = row.owner_user_id or me.id
             row.can_post = can_post
         s.commit()