healthlog/openspec/changes/archive/2026-08-04-forma-provoda-chteniya/review/triage.md

# Триаж ревью — `forma-provoda-chteniya`

## Сводка

- **Профиль:** `deep`, режим `по графу`. База диффа
  `bd832337df6dae5829432a9ee021b380cc6be1b1`, изменения застейджены.
- **Гейт:** зелёный, 13/13 шагов, покрытие изменённых строк 100%.
- **Проходы поимённо, с исходом** (состав сверен с профилем: `deep` = 6 кодовых
  проходов + `reimpl` по триггеру + триаж; расхождения с профилем нет):
  - `gate` — отработал, 2 находки (1 починена инлайн, починка проверена триажем);
  - `specs` (код против спек) — отработал, 2 находки, обе починены инлайн,
    починки проверены мутациями; `openspec validate --strict` — valid;
  - `code` (прозаические конвенции) — отработал, 1 находка, дубль находки 1
    `specs` (найден независимо), закрыт той же починкой;
  - `adversary` — отработал, 3 построенных пути (1 major, 2 minor) — **все три
    унаследованы от базы, диффом не внесены** (проверено триажем по списку
    файлов диффа и по диффу `internal/catalog/catalog.go`); плюс секция
    «атаковано и не пробилось» и 3 свойства без построенного пути;
  - `ops` — отработал, 1 находка minor, две гипотезы закрыты замерами;
  - `architecture` (по коду) — отработал, 1 находка minor с готовой развилкой;
  - `reimpl` — **не запускался**: триггер «новое правило слияния, идентичности
    или разбора» не сработал — дифф не трогает `internal/store`, `internal/fold`,
    `internal/hae` и схему (проверено списком файлов диффа);
  - `triage` (этот отчёт) — ничего нового не ищет по определению; пропуск
    любого прохода — его пропуск тоже.
- На профиле `design` (до кода) отдельно отработали `specs`, `rubric`,
  `architecture`; их находки закрыты в предложении, рубрика легла критериями
  Р1–Р12 в `tasks.md`.
- **Счёт находок:** на вход пришло 10 именованных находок и 3 свойства без
  построенного пути. После дедупликации по причине — 8 уникальных
  (`code` = `specs`-1; «ссылка на архив» у `architecture` = находка 2 `gate`).
  Из них 3 починены инлайн и проверены триажем мутациями. Открытых осталось 6:
  3 в секции «Стоит исправить сейчас», 3 унаследованных/задокументированных —
  строками в границах покрытия (в урожай). Гипотез — 2, promote — 3.

### Проверка инлайн-починок (не по пересказу — прогонами)

1. **Байтовые утверждения тела отказа** — есть
   (`internal/httpapi/catalog_test.go:216,233`). Мутация
   `json:"error"` → `json:"message"` в изолированной копии дерева →
   `TestКаталогОтдаётОжидаемыеБайтыОтказа` красный. До починки эта мутация была
   зелёной (оракул `specs`). **Починено.**
2. **Требование `json`-тега на полях формы провода** — есть
   (`internal/httpapi/wire_internal_test.go:72-82`), в таблице заведомо красных
   13 контролей, включая «определённый тип поверх домена» и «поле без тега».
   Две мутации в копии: (а) поле `aggregationWire.Hours` без тега →
   `TestФормаПроводаДоменаНеСодержит` красный; (б) `type layerWire
   catalog.LayerRange` с конверсией вместо перевода полем в поле → красный и
   сторож (4 поля «без json-тега»), и байтовые тесты. Ровно та калитка из
   находки 2 `specs` закрыта. **Починено.**
3. **`GOLANGCI_LINT_CACHE` в `scripts/gate.py`** — есть (строка 119, кеш в
   `tmp/gate/golangci`), `env` корректно сливается с `os.environ`
   (`run()`, строка 70). `ops` отдельно замерил: кеш не растёт без предела,
   повторный прогон 0.57 с. **Починено.**

Плюс контрольный прогон триажа: `go build ./...`, `go vet ./...`,
`go test ./internal/...` — целиком зелёные на застейдженном дереве.

---

## Блокирует мердж

Пусто. Единственный `major` прогона (путь `adversary` про метку года 10000)
воспроизведён триажем и **не принадлежит этому мерджу** — см. первый пункт
следующей секции: весь задействованный код (`internal/hae/hae.go`,
`internal/store/store.go`, `internal/store/catalog.go`) вне диффа, дифф его
поведения не меняет, а починка расширила бы scope задачи («трогается только
каталог и его транспорт») и по триггеру потребовала бы `reimpl` и
`verify:archive`/`verify:busy`. Прецедент дисциплины тот же, что в записи
2026-08-03 `docs/review.md`: краснота унаследована — заводится задачей, а не
чинится попутно.

Формулировка «критичных проблем не обнаружено» здесь не употребляется — что
именно проверено и что не могло быть проверено, см. «Границы покрытия».

## Стоит исправить сейчас

### 1. Одна принятая доставка с меткой года ≥10000 навсегда убивает маршрут чтения — 500 по всем метрикам

- Файл: `internal/hae/hae.go:812` → `internal/store/store.go:263` →
  `internal/store/catalog.go:174-182` → `internal/httpapi/catalog.go`
- Severity: major (унаследовано от базы, диффом не внесено)
- Confidence: high
- Оракул: падающий тест `adversary` (прогнан) + независимое воспроизведение
  триажем на уровне механизма: `time.Parse("2006-01-02 15:04:05 -0700",
  "9999-12-31 23:00:00 -0700")` принимается, `FormatTime` → `"10000-01-01T06:00:00Z"`,
  `ParseTime` (RFC 3339) на этой строке отказывает
  (`cannot parse "0-01-01T06:00:00Z" as "-"`). Побочно подтверждено:
  `"10000-…" < "2026-…"` как TEXT — защита горизонта «свидетельство из
  будущего» на этом входе не срабатывает.
- Последствие: строка уже в витрине и в архиве, `import + replay` её
  воспроизводит; лечится правкой кода **и** ручной правкой
  `./data/healthlog.db` — необратимой операцией из списка запретов. Класс
  «порча с низкой вероятностью» — выше любого гарантированного неудобства.
- Ловушка починки (названа `adversary`, сохранить в задаче): чинить только со
  стороны `ParseTime` нельзя — отказ `json.Marshal` станет достижим, и
  `writeJSON` отдаст 200 с пустым телом; плюс откроется дыра TEXT-горизонта.
  Чинить надо на приёме области значений (разбор HAE / `FormatTime`) вместе с
  горизонтом.
- Действие: **развилка.** Вопрос владельцу: (а) завести отдельную задачу в
  каталоге — рекомендация триажа: правка трогает разбор, по триггеру тянет
  `reimpl` + `verify:archive`/`verify:busy`, в рамки этой задачи не лезет;
  (б) чинить в этой ветке с расширением scope и полным повторным циклом;
  (в) принять риск без задачи — не рекомендуется: отказ молчащий до первого
  чтения, а лечение требует необратимой ручной операции.

### 2. Ссылка на архивный путь change с угаданной датой умрёт молча

- Файл: `docs/architecture.md:1638`
  (`openspec/changes/archive/2026-08-04-forma-provoda-chteniya/design.md`)
- Severity: minor (внесено диффом)
- Confidence: high
- Оракул: пути не существует (проверено `ls`); ссылка инлайн-кодом, `docs.py
  check` её не проверяет; дата архивации угадана — архивирование не сегодня
  ломает её без сигнала. Дубль: `gate` и `architecture` нашли независимо.
- Последствие: разбор чужих решений (единственное место, где записано «почему
  не как у Prometheus/Kubernetes») станет недостижим из обзора.
- Действие: **инлайн.** Убрать угаданную дату: сослаться на change по имени
  (`openspec/changes/forma-provoda-chteniya/design.md`, поправить при
  архивации) либо назвать документ словами без пути — на вкус оркестратора.

### 3. Маршрут, забывший строку в таблице образцов, останется без стража молча

- Файл: `internal/httpapi/wire_internal_test.go` (таблица `cases`,
  `TestФормаПроводаДоменаНеСодержит`)
- Severity: minor (внесено диффом — сторож новый, и он opt-in)
- Confidence: high
- Оракул: прогон `architecture` — новый обработчик с `catalog.Metric` в ответе,
  не добавленный в таблицу, не красит ни один тест; байтовый литерал нового
  маршрута закрепил бы доменные имена как норму.
- Последствие: забытая строка неотличима от отсутствия проблемы — ровно тот
  класс, против которого это же изменение завело конвенцию заведомо красного
  случая. Впереди четыре маршрута и MCP, каждый копирует образец.
- Действие: **развилка.** Варианты (сформулированы `architecture`):
  (а) тест полноты таблицы через `chi.Walk` — ~15 строк, забывание краснеет,
  цена — сцепка теста с роутером; (б) тестовый hook в `writeJSON` — ноль мест
  на новый маршрут, цена — шов в продакшн-коде; (в) оставить как есть — ноль
  строк, одна молчащая дыра на каждый забытый маршрут. Триаж склоняется к (а):
  сцепка с роутером дешевле шва в продакшне и дешевле молчащей дыры, но выбор
  затрагивает форму, которую скопируют пять раз, — потому развилка, не инлайн.

## Гипотезы без доказательства

- **`catalogWire` делит `*time.Time` со снимком (нет глубокой копии).**
  Понижено до nit: построенного пути нет — сегодня снимок не кешируется и
  алиасинг ненаблюдаем; станет наблюдаемым с первым кешем снимка. Источник —
  `adversary`, «свойства без построенного пути». Не действие, а память: при
  задаче о кеше перечитать.
- **Ненайденный маршрут пишет сырой `r.URL.Path` в лог уровня INFO.** Понижено
  до nit: путь до значения точки или токена через URL не построен (токены в
  заголовке), последствия не названо. Источник — `adversary`.

Ничего из `critical`/`major` понижать не пришлось: единственный `major` получил
оракул (дважды — проходом и триажем). Согласие проходов нигде не считалось
подтверждением: дубль `specs`+`code` закрыт одной починкой и проверен мутацией,
а не «подтверждён двумя проходами».

## Promote candidates

1. **Правило линтера: экспортированные типы вне `internal/httpapi` не несут
   `json`-тегов.** Сторож графа типов ослепнет, если доменная структура
   когда-нибудь получит теги обратно, — обход в неё не пойдёт как в «свою».
   Механизируемо (forbidigo/ручное правило по AST); источник — `adversary`.
2. **Записать трактовку «метка времени точки — координата, а не значение».**
   До WARN/ERROR доезжают `last_ts` и текст `parse time "10000-…"`; `adversary`
   назвал это границей, которую проект перешёл сознательно, но трактовка нигде
   не записана — следующий прогон поднимет её заново. Место —
   `docs/security.md` или `docs/conventions/logging.md`.
3. **Проверка инлайн-код-ссылок на существование пути в `docs.py check`.**
   Находка 2 существует ровно потому, что ссылка инлайн-кодом невидима
   проверке раскладки. Механизируемо; цена — ложные срабатывания на
   намеренно-будущих путях, потому promote, а не инлайн.

## Границы покрытия

**Прогон.** Профиль `deep`, режим «по графу». Запускались: `gate`, `specs`,
`code`, `adversary`, `ops`, `architecture`, триаж. На профиле `design` до кода —
`specs`, `rubric`, `architecture`.

**Не запускалось и почему:**

- `reimpl` — триггер «новое правило слияния, идентичности или разбора» не
  сработал: дифф не трогает `internal/store`, `internal/fold`, `internal/hae`,
  миграций нет (сверено триажем по списку файлов диффа, не по пересказу);
- `task verify:archive` и `task verify:busy` — изменение не трогает разбор,
  идентичность, слияние и схему; по правилу гейта их гоняет человек или
  оркестратор перед изменением этих правил. Если развилка 1 решится вариантом
  (б) — оба прогона и `reimpl` становятся обязательными;
- `rubric` на коде — по составу конвейера намеренно (судить код по критерию,
  под который он писался, — корреляция по построению); его свойства лежат
  критериями Р1–Р12 в `tasks.md` и проверены `specs` поимённо.

**Не влезло в потолок / унаследовано — в урожай задач, не выброшено:**

- каталог отдаёт 8 единиц из 12 без признака урезания
  (`internal/catalog/catalog.go`, `sortedKeys`, потолок 8) — minor, оракул
  прогнан `adversary`, унаследовано от базы (участок диффом не тронут);
- два WARN (`future data`, `aggregation style conflict`) стоят в теле обработки
  запроса — частота равна частоте чтений, условие не гаснет; проект правило
  «постоянный WARN обесценивает уровень» для себя уже формулировал (`fold.go`) —
  minor, оракул прогнан (10 запросов → 10 WARN), унаследовано;
- сторож графа типов слеп к полям `any`/`interface{}` — воспроизведено `ops`
  собственным тестом; риск назван в `design.md` (Risks) этим же изменением,
  вероятный путь эволюции (`json.RawMessage`) слепую зону обходит. Слепая зона
  сторожа, а не дефект диффа.

**Что запущенные проходы не могли проверить в принципе (из charter'ов):**

- `gate` — только механизируемое: смысл контракта, полноту таблицы образцов и
  честность спек он не видит;
- `specs` — исключение для дословного содержимого (`json.RawMessage`) проверено
  только на синтетике; MCP кода не имеет; четыре из пяти читающих маршрутов не
  написаны — какие байты они отдадут, проверять нечего; какие поля несёт тело
  отказа, дельта не говорит; правило «отсутствие как `null`» имеет предмет
  только у `*time.Time`;
- `adversary` — доказывает существование пути, не отсутствие: «атаковано и не
  пробилось» (побайтовый повтор ×50, `304` 0/12, `*time.Time`, значение в теле
  отказа, отказ `Marshal`) — это невыведенные атаки, а не гарантия;
- `ops` — поведение под реальным потоком телефона не наблюдал; откат бинаря
  проверен рассуждением и байтовой сверкой, не прогоном на живом стенде;
- `architecture` — соответствие реализации дельте по пунктам не его работа
  (названо им самим про `scripts/gate.py`, которого нет в `Impact`
  предложения; `specs` это покрыл: изоляция кеша — находка `gate`, а не
  самодеятельность);
- триаж — ничего нового не находит по определению; пропуск любого прохода —
  его пропуск тоже.

**Ослабленный оракул замеров.** На машине фоново живут чужой процесс
`healthlog serve` на `:18099` и рабочий контейнер на `:8080`; в замерах они не
участвовали, но общий шедулинг ОС разбавляет числа `ops` (6.16 мкс/оп на живом
размере каталога, 305 мкс на пределе, 0.57 с повторный прогон линтера) —
порядки надёжны, точные значения нет.

**Целиком на человеке — «Недоступно проверке» из `docs/review.md`, двумя
списками, не слитыми.**

*Не проверит ни один проход:*

- реальный профиль нагрузки: телефон шлёт молча и непрерывно, объём и частота
  меряются только по факту;
- поведение приложения HAE за пределами наблюдённого — расписание
  автоматизаций пожелание, а не гарантия (разведка, находка 28);
- полнота словаря переводов после обновления iOS;
- секции, которых поток ещё не приносил: `symptoms`, `ecg`,
  `heartRateNotifications`, `cycleTracking`, `medications` — разбор писался
  вслепую, проход судит форму кода, не соответствие реальности.

*Перестали проверять сознательно:*

- прогон живого архива (`task verify:archive`) и свёртка под удерживаемой
  блокировкой (`task verify:busy`) в гейт не входят (минута и ~50 секунд,
  данные только на этой машине); гоняет человек перед задачей, трогающей
  разбор или слияние (записи 2026-08-02…04 — три красноты этого класса подряд);
- класс «в Go так не пишут» — поимённая сверка с Effective Go, Go Code Review
  Comments, стайлгайдами Uber и Google — не покрыт вовсе после упразднения
  `idiom`;
- класс «чего нет в зрелой реализации такого узла» — вне профиля `design`.

*Плюс общее, что не покрывает никакой конвейер:* история инцидентов, поведение
под реальным потоком, поведение внешних систем в их версиях, завязка
потребителей на текущее поведение (у каталога потребителей сегодня нет — задача
на этом стоит, и это проверяемо лишь отсутствием знания о чужих проектах) и
вопрос «нужна ли эта функциональность вообще».

**Документы проекта.** Всё, что нужно триажу, на месте: `CLAUDE.md` с
инвариантами и severity, `docs/review.md` со всеми четырьмя нужными разделами
(журнал, типовые ложноположительные, вопросы к проходам, «Недоступно
проверке»), `docs/security.md`, `docs/conventions/`. Ни один проход о
недостающем документе не заявил; отсев ложноположительных шёл по заполненному
проектному списку (совпадений находок с ним не было — выбрасывать по нему
ничего не пришлось). Строк деградации в этом прогоне нет.