web-ui: добавлена страница группового удаления загрузок

- выбор → поимённое подтверждение → отчёт: пачка до 20 загрузок, гарды входа
  на обеих границах, потолок времени и остановка после трёх подряд отказов
  внешнего сервиса
- допуск полного удаления сведён в единую точку store.State.CanDelete() —
  worker, страница загрузки и Telegram больше не держат своих перечней

openspec/specs/web-ui/spec.md

@@ -89,16 +89,18 @@ self-hosted шрифтов, единая дизайн-система (`jellybit.
 
 Веб-UI SHALL предоставлять страницы: список загрузок с единым окном
 добавления, **серверными фильтром по группе состояний, поиском и постраничной
-выдачей (пагинацией)** (`/`), экран ревью одной загрузки (`/review/{id}`)
-и страницу просмотра одной загрузки (`/download/{id}`) с распознаванием,
+выдачей (пагинацией)** (`/`), экран ревью одной загрузки (`/review/{id}`),
+страницу просмотра одной загрузки (`/download/{id}`) с распознаванием,
 файлами→раскладкой, историей, блоком информации о торренте и — для сидирующих
-задач — секцией живой статистики раздачи. Карточки активных (downloading)
+задач — секцией живой статистики раздачи, а также **страницу группового
+удаления загрузок** (`/delete`). Карточки активных (downloading)
 загрузок в списке SHALL содержать индикатор прогресса. Карточка загрузки с
 распознанным типом SHALL нести значок типа (фильм/сериал). Фильтр, поиск и номер
 страницы SHALL передаваться GET-параметрами запроса (например `f`, `q`, `page`)
 и SHALL работать без клиентского JavaScript. Терминальные состояния `deleted` и
 `cancelled` SHALL быть скрыты в списке по умолчанию (переключатель «показать
-всё» раскрывает оба). Механика живого
+всё» раскрывает оба). Шапка SHALL нести ссылки на список загрузок и на страницу
+группового удаления. Механика живого
 обновления прогресса и наполнение секции раздачи определяются capability
 `live-status`.
 
@@ -141,6 +143,11 @@ self-hosted шрифтов, единая дизайн-система (`jellybit.
   совпадению строки в названии, любом идентификаторе загрузки — `download.id`
   ИЛИ infohash — и контексте), отфильтрованные на стороне БД, а не на клиенте
 
+#### Scenario: Ссылка на групповое удаление в шапке
+
+- **WHEN** клиент открывает любую страницу веб-UI
+- **THEN** в шапке есть ссылка на страницу группового удаления (`/delete`)
+
 ### Requirement: Порядок списка загрузок
 
 Список загрузок SHALL сортироваться по времени добавления торрента в источник
@@ -170,6 +177,14 @@ jellybit (`created_at`). Порядок MUST быть согласован ме
 усечённый до одной строки как обычный заголовок. Заголовок MUST NOT занимать
 несколько строк сырым magnet.
 
+Имя раздачи — недоверенный вход, поэтому **на показе** заголовок SHALL терять
+управляющие символы направления письма (с ними строка читается не в том
+порядке, в каком хранится) и SHALL заменять прочие управляющие пробелом. Прочие
+форматирующие символы юникода система снимать SHALL NOT: без соединителей
+рассыпаются составные эмодзи и меняется написание имён на ряде письменностей.
+Хранимое значение эта чистка менять SHALL NOT — поиск по списку идёт по
+сохранённому имени.
+
 #### Scenario: Заголовок из имени раздачи
 
 - **WHEN** у загрузки сохранено отображаемое имя раздачи
@@ -182,6 +197,13 @@ jellybit (`created_at`). Порядок MUST быть согласован ме
 - **AND** если нет ни того, ни другого — заголовком служит усечённый до одной
   строки сырой источник, а не многострочный magnet
 
+#### Scenario: Переворачивающий символ до показа не доезжает
+
+- **GIVEN** имя раздачи содержит символ переопределения направления письма
+- **WHEN** заголовок показывается на любой странице веб-UI
+- **THEN** этого символа в разметке нет
+- **AND** составные эмодзи в том же имени остаются целыми
+
 ### Requirement: Действие «Обновить имя» на странице загрузки
 
 Когда у загрузки есть распознавание, страница загрузки SHALL предлагать действие
@@ -491,6 +513,13 @@ PRG-редиректом, и действие исполняется тем же
 рядом с признаком терминальности; второго перечня состояний веб-UI MUST NOT
 заводить.
 
+Требование распространяется на **карточку списка `/` и страницу
+`/download/{id}`** и на страницу группового удаления (`/delete`)
+распространяться SHALL NOT: там строки несут выбор человека, а своп корня унёс
+бы отметки вместе с разметкой — и человек подтвердил бы необратимое удаление по
+выбору, которого уже не видит. Наблюдаемость самих загрузок этого не отменяет:
+строки `/delete` перечисляют в том числе `orphaned` и `target_missing`.
+
 Самообновление SHALL приносить смену состояния целиком — бейдж статуса,
 заголовок, набор доступных действий и живые цифры, если они есть, — и MUST NOT
 сбрасывать клиентские фильтр, поиск и прокрутку. Смена, произошедшая без участия
@@ -573,6 +602,13 @@ PRG-редиректом, и действие исполняется тем же
 - **AND** группа и фильтр пересчитываются при следующей навигации или
   перезагрузке — список целиком самообновлением не пересобирается
 
+#### Scenario: Страница группового удаления не самообновляется
+
+- **GIVEN** открыта страница `/delete`, и среди её строк есть загрузки в
+  `orphaned` и `target_missing` (наблюдаемые состояния)
+- **THEN** ни строки, ни страница целиком самообновления не несут, и фоновых
+  запросов по ним не уходит
+
 ### Requirement: Отображение промежуточного состояния catched
 
 Веб-UI SHALL отображать состояние `catched` как штатную промежуточную фазу
@@ -682,3 +718,291 @@ htmx-путь (список обновляется/происходит реди
 - **WHEN** клиент открывает `GET /download/{id}`
 - **THEN** поле «Режиссёр» показывает прочерк, а вёрстка блока не ломается
 
+### Requirement: Страница группового удаления загрузок
+
+Веб-UI SHALL предоставлять отдельную страницу (`GET /delete`), перечисляющую
+**только** те загрузки, для которых полное удаление с файлами разрешено
+поштучно (состояния `done`, `orphaned`, `target_missing` — см.
+`state-reconciliation`, «Полное удаление загрузки пользователем»). Загрузки в
+прочих состояниях страница показывать SHALL NOT. У каждой строки SHALL быть
+чекбокс выбора, отображаемый заголовок загрузки и её состояние; страница SHALL
+предлагать одно действие — «Удалить выбранные».
+
+Условие «в этом состоянии удаление разрешено» SHALL вычисляться единой точкой
+домена, общей со страницей одной загрузки и с проверкой допуска в ядре;
+собственного перечня состояний страница держать SHALL NOT.
+
+Страница SHALL показывать все разрешённые к удалению загрузки без постраничной
+выдачи: разбиение на страницы лишило бы возможности выбрать пачку. Верхний
+предел размера одной пачки SHALL быть назван **на самой странице**, рядом с
+действием: предел, о котором человек узнаёт только из отказа, отнимает уже
+сделанный выбор.
+
+Страница SHALL NOT самообновляться опросом сервера — своп разметки стёр бы
+выбор человека.
+
+Страница и все её действия SHALL работать без клиентского JavaScript.
+
+#### Scenario: Показаны только разрешённые к удалению
+
+- **WHEN** клиент открывает `GET /delete`, а в хранилище есть загрузки во всех
+  состояниях
+- **THEN** страница содержит строки загрузок в `done`, `orphaned` и
+  `target_missing`
+- **AND** не содержит строк загрузок в прочих состояниях
+
+#### Scenario: Ни одной разрешённой загрузки
+
+- **WHEN** клиент открывает `GET /delete`, а разрешённых к удалению загрузок
+  нет
+- **THEN** страница показывает пустое состояние и не предлагает удаление
+
+#### Scenario: Предел пачки назван до отправки
+
+- **WHEN** клиент открывает `GET /delete` и на странице есть хотя бы одна
+  строка
+- **THEN** страница называет верхний предел числа загрузок в одной пачке
+
+#### Scenario: Страница не опрашивает сервер
+
+- **WHEN** клиент открывает `GET /delete`
+- **THEN** разметка страницы не содержит самообновления (`hx-trigger="every …"`)
+
+### Requirement: Групповое удаление требует поимённого подтверждения
+
+Групповое удаление SHALL идти двумя шагами: выбор и **подтверждение**. Шаг
+подтверждения SHALL называть каждую выбранную загрузку поимённо — отображаемым
+заголовком, идентификатором и **состоянием**, — и SHALL нести признак
+подтверждения в форме исполняющего запроса. Для загрузки в состоянии
+`orphaned` подтверждение SHALL нести явную отметку, что источник уже пропал и
+библиотечная ссылка осталась последней копией данных: гард последней копии в
+удалении выключен сознательно, и осведомлённость человека — единственный
+оставшийся предохранитель.
+
+**Граница этой отметки названа прямо: она выводится из состояния, а не из
+файловой системы.** Случай, когда байты источника исчезли с диска, но раздача
+осталась в списке qBittorrent, сверка `done` не переоценивает (присутствие
+источника она берёт из списка раздач, а не с диска) — такая загрузка остаётся
+`done`, и отметки не получает, хотя библиотечная ссылка уже последняя копия.
+Требовать обхода файловой системы на экране подтверждения система SHALL NOT;
+непокрытый случай назван здесь, чтобы отметка не читалась как гарантия.
+Поштучный путь удаления такой отметки не несёт вовсе.
+
+Запрос группового удаления без признака подтверждения система SHALL отклонять и
+SHALL NOT выполнять ни одного удаления. Одно подтверждение SHALL покрывать
+ровно ту пачку, которая на нём перечислена.
+
+**Оба запроса — и подтверждение, и исполнение — суть входные границы**, и
+проверки входа на них одинаковы: исполняющий запрос получает идентификаторы
+формой заново, а не из состояния сервера, поэтому опираться на проверки,
+сделанные на шаге подтверждения, он SHALL NOT.
+
+На каждой из этих границ система SHALL:
+
+- разбирать каждый идентификатор; идентификатор, который не разобрался, SHALL
+  отклонять запрос целиком, а молча пропускать его система SHALL NOT — человек
+  подтвердил удаление поимённо, и пропуск был бы расхождением с
+  подтверждённым;
+- схлопывать повторы одного идентификатора до одного;
+- отклонять запрос целиком при превышении верхнего предела размера пачки, без
+  единого удаления;
+- отклонять запрос с пустым набором идентификаторов: страницу подтверждения без
+  единой названной загрузки система показывать SHALL NOT, команду удаления не
+  зовёт ни разу.
+
+Отказ по превышению предела SHALL возвращать страницу выбора с **сохранёнными**
+отметками и объяснением, а не пустой экран отказа: иначе проверка отнимает всю
+проделанную человеком работу.
+
+Идентификатор, который разобрался, но записи в хранилище не имеет, система
+SHALL называть отдельной строкой — на подтверждении и в отчёте — и молча
+выбрасывать его SHALL NOT.
+
+Отказ чтения хранилища система SHALL отличать от отсутствия записи и SHALL NOT
+выдавать одно за другое: строка, о которой сказано «удалять нечего», а на деле
+снесённая с файлами, разводит подтверждённое с исполненным, а для `orphaned`
+уносит с экрана отметку о последней копии — единственный оставшийся
+предохранитель. Такой идентификатор SHALL получать собственную строку,
+называющую, что состояние прочитать не удалось, а сам отказ SHALL уходить в
+журнал.
+
+#### Scenario: Подтверждение называет выбранные поимённо
+
+- **WHEN** человек выбирает несколько загрузок и отправляет форму выбора
+- **THEN** открывается страница подтверждения, где каждая выбранная загрузка
+  названа заголовком, идентификатором и состоянием
+- **AND** удаление ещё не выполнено
+
+#### Scenario: Подтверждение предупреждает о последней копии
+
+- **GIVEN** среди выбранных есть загрузка в состоянии `orphaned`
+- **WHEN** открывается страница подтверждения
+- **THEN** её строка несёт отметку, что библиотечная ссылка осталась последней
+  копией данных
+
+#### Scenario: Без подтверждения не удаляется ничего
+
+- **GIVEN** выбраны разрешённые к удалению загрузки
+- **WHEN** приходит запрос группового удаления без признака подтверждения
+- **THEN** запрос отклоняется с объяснением
+- **AND** команда удаления не вызывается ни по одной загрузке
+
+#### Scenario: Неразобранный идентификатор отклоняет запрос
+
+- **WHEN** в пачке приходит идентификатор, который не разбирается
+- **THEN** запрос отклоняется целиком
+- **AND** команда удаления не вызывается ни по одной загрузке
+
+#### Scenario: Гарды исполняющего запроса не слабее гардов подтверждения
+
+- **WHEN** исполняющий запрос приходит с признаком подтверждения, но с
+  неразобранным идентификатором, либо с пачкой сверх предела, либо с пустым
+  набором
+- **THEN** он отклоняется тем же отказом, что и на шаге подтверждения
+- **AND** команда удаления не вызывается ни по одной загрузке
+
+#### Scenario: Пачка сверх предела отклоняется и не стирает выбор
+
+- **WHEN** в пачке приходит больше идентификаторов, чем допускает предел
+- **THEN** запрос отклоняется с указанием предела
+- **AND** команда удаления не вызывается ни по одной загрузке
+- **AND** ответ возвращает страницу выбора с сохранёнными отметками
+
+#### Scenario: Пустой выбор
+
+- **WHEN** человек отправляет форму, не отметив ни одной загрузки
+- **THEN** страница подтверждения не показывается, ответ объясняет, что выбирать
+  нечего
+- **AND** команда удаления не вызывается ни по одной загрузке
+
+#### Scenario: Отказ чтения не выдаётся за отсутствие записи
+
+- **GIVEN** в пачке есть идентификатор, чтение которого отказало (не «записи
+  нет», а отказ хранилища)
+- **WHEN** открывается страница подтверждения
+- **THEN** его строка говорит, что состояние прочитать не удалось, и не
+  утверждает, что удалять нечего
+- **AND** отказ записан в журнал
+
+#### Scenario: Идентификатор без записи назван строкой
+
+- **GIVEN** в пачке из трёх идентификаторов один не имеет записи в хранилище
+- **WHEN** открывается страница подтверждения, а затем выполняется удаление
+- **THEN** этот идентификатор назван отдельной строкой и на подтверждении, и в
+  отчёте
+- **AND** остальные две загрузки удалены
+
+### Requirement: Исход группового удаления назван поимённо
+
+Групповое удаление SHALL выполнять команду удаления по каждой подтверждённой
+загрузке **последовательно и независимо**: отказ на одной загрузке остальных
+отменять SHALL NOT. По завершении система SHALL показать страницу результата,
+называющую поимённо удалённые загрузки и отказавшие — каждую с причиной отказа.
+
+Отчёт SHALL отдаваться **ответом на исполняющий запрос**, а не перенаправлением:
+поимённый исход нечем передать через параметры адреса, а сессий у сервиса нет.
+Повторная отправка той же формы удалённые загрузки повторно сносить SHALL NOT —
+они находятся в терминальном `deleted`, удаление им недоступно, и повторный
+запрос даёт по ним отказ по конфликту. Остаток, не выполненный из-за остановки
+прохода, повторная отправка **доисполняет**, и это ожидаемо: эти загрузки
+человек подтвердил тем же подтверждением, а браузер о повторной отправке
+переспрашивает сам. Утверждать, что повтор ничего не делает, система SHALL NOT.
+
+Исполнение пачки система SHALL доводить до конца независимо от того, дождался
+ли клиент ответа: отмена HTTP-запроса (закрытая вкладка, обрыв связи)
+прекращать необратимую операцию на середине SHALL NOT. Исход каждой единицы
+SHALL попадать в журнал, чтобы факт «что именно снесено» пережил потерю ответа.
+
+**Проход ограничен сверху временем.** Удаление удерживает общий замок ядра на
+всё время обращения к qBittorrent, поэтому медленно, но **успешно** отвечающий
+внешний сервис останавливает фоновую работу сервиса целиком, а порог отказов
+такого не ловит — он считает только ошибки. Система SHALL держать потолок
+времени на один проход и по его исчерпании SHALL прекращать проход, называя
+остаток в отчёте невыполненным. Потолок SHALL проверяться **между** единицами:
+начатое удаление обрывать SHALL NOT — оборванное, оно встанет между снятием
+библиотечных ссылок и сносом раздачи.
+
+**Системный отказ пачку останавливает.** Удаление снимает библиотечные ссылки
+раньше, чем сносит раздачу, поэтому при недоступном qBittorrent каждая единица
+успевает выполнить необратимый локальный шаг и падает на внешнем: тайтл уходит
+из библиотеки, а место не освобождается. Поэтому после **порога подряд идущих
+отказов внешнего сервиса** (отказ, который не является конфликтом состояния)
+система SHALL прекращать проход, а остаток подтверждённой пачки SHALL называть
+в отчёте невыполненным с причиной остановки. Счётчик подряд идущих отказов
+SHALL сбрасываться на каждом успешном удалении: одиночная сетевая ошибка пачку
+прерывать SHALL NOT. Системными SHALL NOT считаться два класса отказа — конфликт
+состояния и отсутствие записи: оба про саму задачу, а не про доступность соседа,
+и до внешнего сервиса такой вызов вообще не доходит.
+
+Причина отказа SHALL передаваться публичным каналом (нейтральное сообщение),
+сырой текст ошибки наружу уходить SHALL NOT.
+
+Групповой путь прав поштучного расширять SHALL NOT: допуск по состоянию
+проверяет ядро в момент операции, и загрузка в недопустимом состоянии SHALL
+отклоняться тем же конфликтом, что и при поштучном удалении.
+
+#### Scenario: Отказ одной не отменяет остальных
+
+- **GIVEN** подтверждены три загрузки, и удаление второй из них отказывает
+- **WHEN** выполняется групповое удаление
+- **THEN** первая и третья удалены
+- **AND** страница результата называет вторую и причину её отказа
+
+#### Scenario: Недопустимое состояние отклоняется тем же конфликтом
+
+- **GIVEN** в подтверждённой пачке есть загрузка в состоянии, из которого
+  удаление недоступно
+- **WHEN** выполняется групповое удаление
+- **THEN** по этой загрузке приходит отказ по конфликту состояния, и она
+  попадает в отчёт строкой отказа
+- **AND** остальные подтверждённые загрузки удалены
+
+#### Scenario: Все удалены успешно
+
+- **GIVEN** подтверждены две загрузки, обе в разрешённом состоянии
+- **WHEN** выполняется групповое удаление
+- **THEN** страница результата называет обе как удалённые и не содержит отказов
+
+#### Scenario: Обрыв связи не останавливает пачку
+
+- **GIVEN** подтверждена пачка загрузок, и исполнение началось
+- **WHEN** клиент обрывает запрос до получения ответа
+- **THEN** удаление доводится по всем подтверждённым загрузкам
+- **AND** исход каждой из них остаётся в журнале
+
+#### Scenario: Потолок времени останавливает проход
+
+- **GIVEN** подтверждена пачка, а удаление каждой единицы идёт долго
+- **WHEN** отведённое на проход время исчерпано
+- **THEN** новых удалений не начинается, а остаток назван в отчёте
+  невыполненным с причиной остановки
+- **AND** удаление, начатое до исчерпания, доводится до конца
+
+#### Scenario: Повтор доисполняет невыполненный остаток
+
+- **GIVEN** проход был остановлен, и часть пачки осталась невыполненной
+- **WHEN** человек отправляет ту же форму повторно
+- **THEN** уже удалённые загрузки повторно не сносятся (отказ по конфликту)
+- **AND** невыполненный остаток удаляется
+
+#### Scenario: Недоступный внешний сервис останавливает пачку
+
+- **GIVEN** подтверждена пачка загрузок, а qBittorrent недоступен
+- **WHEN** выполняется групповое удаление и отказы внешнего сервиса идут подряд
+- **THEN** после достижения порога подряд идущих отказов проход прекращается
+- **AND** остаток пачки назван в отчёте невыполненным с причиной остановки
+
+#### Scenario: Одиночный отказ пачку не прерывает
+
+- **GIVEN** подтверждены четыре загрузки, и отказ внешнего сервиса приходит
+  только по второй
+- **WHEN** выполняется групповое удаление
+- **THEN** проход доходит до конца, удалены первая, третья и четвёртая
+- **AND** отчёт называет отказавшей только вторую
+
+#### Scenario: Сырая ошибка наружу не уходит
+
+- **GIVEN** удаление одной из загрузок отказало ошибкой внешнего сервиса
+- **WHEN** отрисовывается страница результата
+- **THEN** её строка несёт нейтральное сообщение публичного канала, а не текст
+  ошибки внешнего сервиса