Регистрация: utm с лендинга из cookie sb_utm, если в адресе меток нет

Кнопки лендингов ведут на /register без меток, поэтому utmCampaign не был
записан ни у одного пользователя. Caddy кладёт строку запроса с utm_* в cookie
sb_utm на .second-brain.ru; страница регистрации берёт метки из адреса, а если
их нет — из cookie. Значения: [A-Za-z0-9._-], до 100 символов.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/app/(auth)/register/page.tsx

@@ -1,6 +1,8 @@
 import { redirect } from "next/navigation";
+import { cookies } from "next/headers";
 import { getSettings } from "@/lib/settings";
 import { RegisterForm } from "./register-form";
+import { UTM_COOKIE, parseUtmCookie, pickUtm } from "@/lib/utm-cookie";
 
 export default async function RegisterPage({
   searchParams,
@@ -15,6 +17,11 @@ export default async function RegisterPage({
 
   const sp = await searchParams;
   const str = (v: string | string[] | undefined) => (Array.isArray(v) ? v[0] : v) ?? "";
+  // Метки: из адреса, а если их нет — из cookie лендинга (src/lib/utm-cookie.ts).
+  const utm = pickUtm(
+    { utmSource: str(sp.utm_source), utmMedium: str(sp.utm_medium), utmCampaign: str(sp.utm_campaign) },
+    parseUtmCookie((await cookies()).get(UTM_COOKIE)?.value),
+  );
 
   return (
     <div className="min-h-screen flex items-center justify-center" style={{ backgroundColor: "var(--background)" }}>
@@ -34,9 +41,9 @@ export default async function RegisterPage({
             termsUrl={settings.termsUrl}
             offerUrl={settings.offerUrl}
             archetype={str(sp.archetype)}
-            utmSource={str(sp.utm_source)}
-            utmMedium={str(sp.utm_medium)}
-            utmCampaign={str(sp.utm_campaign)}
+            utmSource={utm.utmSource}
+            utmMedium={utm.utmMedium}
+            utmCampaign={utm.utmCampaign}
             gclid={str(sp.gclid)}
           />
         </div>

src/app/curator/homework/[submissionId]/page.tsx

@@ -229,7 +229,7 @@ export default async function SubmissionPage({ params }: Props) {
                     {new Date(fb.createdAt).toLocaleString("ru-RU")}
                   </span>
                 </div>
-                <p className="text-sm whitespace-pre-wrap mb-2">{fb.text}</p>
+                <p className="text-sm whitespace-pre-wrap mb-2">{linkify(fb.text)}</p>
                 {fbFiles.length > 0 && (
                   <div className="space-y-1 mt-2">
                     {fbFiles.map((f) => (

src/lib/__tests__/comment-reply-email.test.ts

@@ -83,4 +83,20 @@ describe("sendCommentReplyEmail", () => {
     expect(html).not.toContain("Отвечает <strong>");
     expect(html).toContain("Привет!");
   });
+
+  it("делает ссылки в тексте ответа кликабельными", async () => {
+    await sendCommentReplyEmail(
+      "student@example.com",
+      "Екатерина",
+      "6.3. Холст",
+      "Подарок тут: https://obsidian.second-brain.ru/secret-bonus?a=1&b=2. Пишите!",
+      LESSON_URL
+    );
+
+    const html = sent[0].html;
+    expect(html).toContain(
+      '<a href="https://obsidian.second-brain.ru/secret-bonus?a=1&amp;b=2" target="_blank"'
+    );
+    expect(html).toContain("secret-bonus?a=1&amp;b=2</a>. Пишите!");
+  });
 });

src/lib/__tests__/utm-cookie.test.ts

@@ -0,0 +1,40 @@
+import { describe, it, expect } from "vitest";
+import { cleanUtm, parseUtmCookie, pickUtm } from "../utm-cookie";
+
+describe("utm-cookie", () => {
+  it("разбирает сырую строку запроса из cookie", () => {
+    expect(parseUtmCookie("utm_source=youtube&utm_medium=video&utm_campaign=test-20261103&fbclid=x")).toEqual({
+      utmSource: "youtube",
+      utmMedium: "video",
+      utmCampaign: "test-20261103",
+    });
+  });
+
+  it("понимает percent-кодирование", () => {
+    expect(parseUtmCookie("utm_campaign=a%2Db_c.d").utmCampaign).toBe("a-b_c.d");
+  });
+
+  it("пустая и битая cookie — пустые метки", () => {
+    expect(parseUtmCookie(undefined)).toEqual({ utmSource: "", utmMedium: "", utmCampaign: "" });
+    expect(parseUtmCookie("")).toEqual({ utmSource: "", utmMedium: "", utmCampaign: "" });
+    expect(parseUtmCookie("%%%")).toEqual({ utmSource: "", utmMedium: "", utmCampaign: "" });
+  });
+
+  it("отбрасывает значения не из белого списка символов и слишком длинные", () => {
+    expect(cleanUtm("ok-1")).toBe("ok-1");
+    expect(cleanUtm("<script>")).toBe("");
+    expect(cleanUtm("с пробелом")).toBe("");
+    expect(cleanUtm("a".repeat(150))).toBe("a".repeat(100));
+    expect(parseUtmCookie("utm_source=x;Domain=evil").utmSource).toBe("");
+  });
+
+  it("метки из адреса важнее cookie, поля не смешиваются", () => {
+    const cookie = { utmSource: "vk", utmMedium: "video", utmCampaign: "old" };
+    expect(pickUtm({ utmSource: "", utmMedium: "", utmCampaign: "new" }, cookie)).toEqual({
+      utmSource: "",
+      utmMedium: "",
+      utmCampaign: "new",
+    });
+    expect(pickUtm({ utmSource: "", utmMedium: "", utmCampaign: "" }, cookie)).toEqual(cookie);
+  });
+});

src/lib/email.ts

@@ -1,5 +1,6 @@
 import { Resend } from "resend";
 import { getSetting } from "./settings";
+import { URL_RE } from "./linkify";
 
 function getResend() {
   return new Resend(process.env.RESEND_API_KEY);
@@ -97,11 +98,24 @@ function escapeHtml(text: string) {
     .replace(/"/g, """);
 }
 
+// Ссылки в цитате — кликабельные: не все почтовики сами превращают голый адрес в ссылку.
+// Экранируем по частям, чтобы `&` в адресе не превратился в `&` внутри href дважды.
+function linkifyHtml(text: string) {
+  return text
+    .split(URL_RE)
+    .map((part, i) =>
+      i % 2 === 1
+        ? `<a href="${escapeHtml(part)}" target="_blank" style="color:#323232;text-decoration:underline;word-break:break-all;">${escapeHtml(part)}</a>`
+        : escapeHtml(part)
+    )
+    .join("");
+}
+
 function quote(text: string) {
   return `<table role="presentation" cellpadding="0" cellspacing="0" border="0" width="100%" style="margin:16px 0;">
     <tr>
       <td style="border-left:3px solid #323232;padding:10px 14px;background-color:#E8F0D8;">
-        <p style="margin:0;font-family:'Courier New',Courier,monospace;font-size:13px;line-height:1.6;color:#323232;">${escapeHtml(text).replace(/\n/g, "<br/>")}</p>
+        <p style="margin:0;font-family:'Courier New',Courier,monospace;font-size:13px;line-height:1.6;color:#323232;">${linkifyHtml(text).replace(/\n/g, "<br/>")}</p>
       </td>
     </tr>
   </table>`;

src/lib/linkify.tsx

@@ -1,6 +1,6 @@
 import { Fragment, type ReactNode } from "react";
 
-const URL_RE = /(https?:\/\/[^\s<>()]+[^\s<>().,;:!?])/g;
+export const URL_RE = /(https?:\/\/[^\s<>()]+[^\s<>().,;:!?])/g;
 
 export function linkify(text: string): ReactNode[] {
   if (!text) return [];

src/lib/utm-cookie.ts

@@ -0,0 +1,48 @@
+// Метки utm с лендингов (20261103, задание CMO «utm_campaign в LMS»).
+//
+// Лендинги второго мозга — поддомены second-brain.ru за общим Caddy на проде.
+// Caddy при заходе с utm_* в адресе кладёт сырую строку запроса в cookie
+// `sb_utm` на домен .second-brain.ru (см. фрагмент `(sb_utm)` в prod.caddy).
+// Кнопка лендинга ведёт на /register без меток, поэтому страница регистрации
+// берёт их из адреса, а если там пусто — из этой cookie.
+
+export const UTM_COOKIE = "sb_utm";
+
+export type Utm = { utmSource: string; utmMedium: string; utmCampaign: string };
+
+const EMPTY: Utm = { utmSource: "", utmMedium: "", utmCampaign: "" };
+
+// Значение метки: только латиница, цифры, точка, дефис, подчёркивание; до 100 символов.
+// Остальное (кириллица, пробелы, кавычки) отбрасываем целиком — в отчёт идут слаги.
+export function cleanUtm(v: string | null | undefined): string {
+  if (!v) return "";
+  const s = v.trim().slice(0, 100);
+  return /^[A-Za-z0-9._-]+$/.test(s) ? s : "";
+}
+
+export function parseUtmCookie(raw: string | null | undefined): Utm {
+  if (!raw) return EMPTY;
+  let q: URLSearchParams;
+  try {
+    q = new URLSearchParams(raw.length > 2000 ? raw.slice(0, 2000) : raw);
+  } catch {
+    return EMPTY;
+  }
+  return {
+    utmSource: cleanUtm(q.get("utm_source")),
+    utmMedium: cleanUtm(q.get("utm_medium")),
+    utmCampaign: cleanUtm(q.get("utm_campaign")),
+  };
+}
+
+// Метки из адреса важнее cookie: прямой переход на /register?utm_… — самый свежий.
+// Берём набор целиком из одного источника, не смешиваем поля.
+export function pickUtm(fromQuery: Utm, fromCookie: Utm): Utm {
+  const q = {
+    utmSource: cleanUtm(fromQuery.utmSource),
+    utmMedium: cleanUtm(fromQuery.utmMedium),
+    utmCampaign: cleanUtm(fromQuery.utmCampaign),
+  };
+  if (q.utmSource || q.utmMedium || q.utmCampaign) return q;
+  return fromCookie;
+}