recognize: название из метабазы санитизируется перед попаданием в план

- чистка стоит на каждой точке входа значения метабазы в план — сборка матча,
  копия кандидата для ревью, набор закреплённых значений источника и его
  чтение: гарантия, поставленная только на запись, обходится данными,
  сохранёнными прежними версиями
- название, непригодное как имя каталога (пустое или без единой буквы и
  цифры), не подставляется — раздача уходит в review с названной причиной
- гейт подтверждения матча не сдвинут: сравнение с планом идёт по значениям
  провайдера, чистится только копия, уходящая дальше

openspec/specs/metadata-match/spec.md

@@ -54,6 +54,26 @@
 кандидаты уходят в review). Работа с базами опциональна: при выключенных базах
 сверка не выполняется и подтверждённого матча нет.
 
+Каноническое название — **недоверенное значение внешнего сервиса**, и перед
+подстановкой в план система SHALL применять к нему тот же санитайзинг
+человекочитаемых полей, что и к выводу LLM (см. `recognition`, требование
+«Санитайзинг человекочитаемых полей плана»). Подстановка несанитизированного
+значения SHALL NOT выполняться: план — источник имени каталога библиотеки, и
+значение, не прошедшее чистку, уходит в путь на диске.
+
+Если после санитайзинга каноническое название оказывается **непригодным как
+компонент пути** — пустым либо вырожденным, то есть не содержащим ни одной буквы
+и ни одной цифры (`.`, `..`, `-`, только пунктуация), — система SHALL сохранить в
+плане прежнее название и SHALL NOT разрешать авто-раскладку: причина уходит в
+перечень причин решения, раздача попадает в review. Проверка пригодности SHALL
+стоять **после** санитайзинга, а не до него. Ронять распознавание или раскладку
+такой матч SHALL NOT — год, провайдер и `provider_id` при этом подставляются как
+обычно.
+
+Санитайзинг, **изменивший** каноническое название, но оставивший его пригодным,
+авто-раскладку SHALL NOT блокировать: в план идёт очищенное значение, и оно
+предсказуемо — ради этого чистка и стоит.
+
 При подтверждённом матче система SHALL дополнительно попытаться получить из базы
 **режиссёра** (TMDB/TVDB credits) и вложить его в план (`director`) как
 недоверенное косметическое значение для вывода отображаемого имени. Тот же способ
@@ -77,6 +97,36 @@ plan-санитайзинге.
 - **WHEN** матч подтверждается
 - **THEN** план получает `provider`=`tmdb`, `provider_id`, каноническое название и год
 
+#### Scenario: Каноническое название чистится перед подстановкой
+
+- **GIVEN** подтверждённый единичный матч, каноническое название которого содержит
+  zero-width символ, перевод строки или кириллический двойник внутри латинского слова
+- **WHEN** каноническое название подставляется в план
+- **THEN** в плане оказывается санитизированное значение
+- **AND** авто-раскладка остаётся разрешённой, если прочие условия выполнены
+- **AND** когда база имени папки печатается из распознавания (живой папки-якоря
+  того же тайтла нет — см. `file-layout`, «Сходимость базы папки при подтверждённом
+  матче»), в имя каталога уходит очищенное значение
+
+#### Scenario: Название базы непригодно как компонент пути — раздача уходит в review
+
+- **GIVEN** подтверждённый единичный матч, каноническое название которого после
+  санитайзинга пусто (целиком состояло из zero-width символов) либо не содержит ни
+  одной буквы и ни одной цифры (`.`, `...`, `-`)
+- **WHEN** каноническое название подставляется в план
+- **THEN** название плана остаётся прежним (подстановки не происходит)
+- **AND** решение auto/review содержит причину «название из базы непригодно как имя
+  каталога», авто-раскладка не разрешается
+- **AND** распознавание не проваливается, год и провайдер подставлены
+
+#### Scenario: Нормальное название матча не меняется
+
+- **GIVEN** подтверждённый единичный матч с обычным каноническим названием
+- **WHEN** каноническое название подставляется в план
+- **THEN** значение в плане совпадает с тем, что отдала база (санитайзинг на чистом
+  значении ничего не меняет)
+- **AND** авто-раскладка остаётся разрешённой, если прочие условия выполнены
+
 #### Scenario: Матч подтягивает режиссёра
 
 - **GIVEN** подтверждённый единичный матч TMDB для фильма, у которого в credits
@@ -386,3 +436,51 @@ fallback: если первый проход подтвердил матч ил
 - **THEN** гейт даёт двух сильных кандидатов вместо одного
 - **AND** подтверждённого матча нет, обе записи уходят кандидатами в review
 
+### Requirement: Санитайзинг названий кандидатов, уходящих в ревью
+
+Система SHALL санитизировать названия кандидата (`Title`, `OriginalTitle`) тем же
+санитайзингом человекочитаемых полей плана (см. `recognition`) перед тем, как
+унести их из сверки дальше: в список кандидатов для ревью, в хранилище, на экран
+и в закрепляемое человеком значение. Причина та же, что у
+канонического названия: выбор кандидата человеком — полноправный путь
+подтверждения матча, и закреплённое им название становится именем каталога
+библиотеки в тех же условиях, что и название авто-матча.
+
+Условия подтверждения сильного матча система SHALL проверять на значениях, как их
+отдал провайдер: санитайзинг кандидатов SHALL NOT влиять на эти значения. Порядок
+операций требование не нормирует — нормирует исход: гейт матча этой правкой не
+двигается, иначе кандидат, чьё название отличается от плана невидимым символом,
+начал бы совпадать там, где прежде уходил в review. Полнота списка кандидатов
+тоже SHALL остаться прежней.
+
+Если название кандидата после санитайзинга непригодно как компонент пути (пусто
+либо без единой буквы и цифры), система SHALL сохранить кандидата в списке — он
+остаётся выбором человека и несёт `provider_id` и URL для внешней проверки, — но
+закрепление такого названия SHALL приводить к тому же исходу, что и у
+канонического: подстановки не происходит, в плане остаётся название
+распознавания.
+
+`OriginalTitle` кандидата чистится наравне с `Title`, хотя в хранилище и на экран
+сегодня доходит только второе: первое уезжает в результат распознавания и в
+диагностику сухого прогона, и держать в одной структуре одно чистое поле и одно
+грязное — источник будущей ошибки.
+
+#### Scenario: Название кандидата чистится перед показом и закреплением
+
+- **GIVEN** провайдер вернул кандидата, название которого содержит zero-width
+  символ и кириллический двойник внутри латинского слова
+- **WHEN** кандидат попадает в список для ревью
+- **THEN** его название очищено тем же санитайзингом, что и поля плана
+- **AND** человек, выбравший этого кандидата, закрепляет очищенное название
+- **AND** в имя каталога библиотеки оно уходит в тех же условиях, что и название
+  авто-матча (живой папки-якоря того же тайтла нет — см. `file-layout`,
+  «Сходимость базы папки при подтверждённом матче»)
+
+#### Scenario: Сравнение с планом идёт по значению провайдера
+
+- **GIVEN** кандидат, название которого отличается от названия плана только
+  невидимым символом внутри слова
+- **WHEN** проверяются условия подтверждения сильного матча
+- **THEN** сравнение идёт по значению, как его отдал провайдер
+- **AND** исход подтверждения матча тот же, что был до этого изменения
+

openspec/specs/recognition/spec.md

@@ -179,6 +179,25 @@ per-file `season`/`episode` (отдельного скалярного `season`
 последовательности пробельных к одиночному пробелу и обрезать края; (3) сворачивать
 кирилло-латинские homoglyph-двойники (см. ниже).
 
+Санитайзинг SHALL быть **общим для обоих источников названия** — вывода LLM и
+записи метабазы. Значение, пришедшее из метабазы и заменяющее поле плана при
+подтверждённом матче, SHALL проходить тот же санитайзинг перед подстановкой (см.
+`metadata-match`, требование «Подтверждение матча и каноническое имя»). Второго
+способа чистить **названия плана** система SHALL NOT заводить: одна реализация
+обслуживает оба источника. Речь только о полях плана — очистка компонента пути
+под требования файловой системы (`layout`) и очистка отображаемого ярлыка
+(`naming`) остаются своими, отдельными и законными.
+
+Санитайзинг SHALL быть **идемпотентным**: повторное применение к уже
+санитизированному значению SHALL NOT изменять его. На этом свойстве стоит
+утверждение, что правка не меняет путей на диске для раздач с нормальным
+названием, и оно проверяется тестом, а не подразумевается.
+
+Следствие, на которое опирается раскладка: к моменту, когда план уходит в решение
+auto/review, каждое из полей `title`, `original_title`, `provider_hint` совпадает
+с тем, что дал бы санитайзинг этого значения — независимо от того, пришло оно от
+LLM или из метабазы.
+
 Свёртка двойников SHALL работать потокенно (по словам, разделённым не-буквенными
 символами): токен, все буквы которого принадлежат одному скрипту, система SHALL
 оставлять без изменений (билингвальность реальна — кириллические названия
@@ -187,10 +206,15 @@ per-file `season`/`episode` (отдельного скалярного `season`
 двойниками из доминирующего скрипта по курируемой таблице. При отсутствии
 доминирующего скрипта (равенство) токен SHALL оставаться без изменений.
 
-Санитайзинг SHALL применяться ТОЛЬКО к перечисленным человекочитаемым полям.
+Санитайзинг SHALL применяться ТОЛЬКО к перечисленным человекочитаемым полям
+**плана**. Применение того же санитайзинга к значениям, пришедшим из метабазы —
+каноническому названию и названиям кандидатов, — заказано отдельно, см.
+`metadata-match`.
 `files[].src` система SHALL NOT санитизировать — эти значения обязаны совпадать с
 реальными файлами торрента, и расхождение (в т.ч. homoglyph) SHALL оставаться
-основанием отклонить план, а не поводом «чинить» путь.
+основанием отклонить план, а не поводом «чинить» путь. `director` система SHALL
+NOT санитизировать в плане — он не участвует в пути на диске, и его очистка
+применяется при рендере отображаемого имени (см. `metadata-match`).
 
 Когда санитайзинг реально изменил значение поля, система SHALL логировать это на
 уровне `Debug` (названия не относятся к секретам).
@@ -233,3 +257,26 @@ per-file `season`/`episode` (отдельного скалярного `season`
 - **AND** несовпадение src приводит к отклонению плана (эскалация в review), а не к
   «починке» пути
 
+#### Scenario: Название из метабазы чистится тем же санитайзингом
+
+- **GIVEN** подтверждённый единичный матч, каноническое название которого содержит
+  zero-width символ и кириллический двойник внутри латинского слова
+- **WHEN** каноническое название подставляется в план
+- **THEN** в плане оказывается значение, прошедшее тот же санитайзинг, что и вывод
+  LLM
+
+#### Scenario: После сверки с базой несанитизированных полей в плане не остаётся
+
+- **GIVEN** план после подтверждённого матча с базой
+- **WHEN** оценивается решение auto/review
+- **THEN** каждое из полей `title`, `original_title`, `provider_hint` совпадает с
+  тем, что дал бы санитайзинг этого значения
+- **AND** `director` под это требование не подпадает: он чистится при рендере
+  отображаемого имени
+
+#### Scenario: Повторный санитайзинг ничего не меняет
+
+- **GIVEN** значение, уже прошедшее санитайзинг
+- **WHEN** санитайзинг применяется к нему второй раз
+- **THEN** значение не изменяется
+

openspec/specs/review/spec.md

@@ -231,6 +231,20 @@ LLM; нет матча в базе или несколько кандидато
 считаться как выбор кандидата из списка совпадений, так и ручное добавление
 источника по id/URL (оба закрепляют провайдера и каноническое название).
 
+Закрепляемое название источника SHALL проходить санитайзинг человекочитаемых
+полей (см. `recognition`) и проверку пригодности как компонента пути (см.
+`metadata-match`) — на **общей** точке сборки набора пинов источника, той же,
+через которую строится предпросмотр. Отсюда следует свойство, на которое
+опирается экран ревью: показанное для источника название и путь совпадают с тем,
+что закрепится и разложится по выбору этого источника. Название, непригодное как
+имя каталога, пином SHALL NOT становиться — в плане остаётся название
+распознавания, а факт отказа SHALL быть наблюдаем в журнале.
+
+Санитайзинг на закреплении SHALL применяться независимо от того, было ли значение
+очищено при сохранении кандидата: гарантия чистоты не может держаться на времени
+записи строки, иначе кандидаты, сохранённые прежними версиями, обходят её. Тот же
+санитайзинг идемпотентен, поэтому на уже очищенном значении он ничего не меняет.
+
 При закреплении выбранного/добавленного источника система SHALL best-effort
 получить режиссёра этого источника из метабазы (credits по `provider:id`, см.
 `metadata-match`) и закрепить его как override, чтобы он попал в эффективные поля
@@ -244,46 +258,35 @@ SHALL быть best-effort по отношению к qBittorrent: недост
 NOT проваливать команду ревью. Это согласуется с инвариантом «авто-действие
 только при подтверждённом матче».
 
-#### Scenario: Выбор кандидата обновляет имя
+#### Scenario: Выбор кандидата переливает каноническое имя
 
-- **GIVEN** загрузка в ревью с пустым или неинформативным `display_name`
-  (например, «Unknown») и списком кандидатов
-- **WHEN** пользователь выбирает кандидата, подтверждая матч
-- **THEN** выбор кандидата закрепляется как и прежде
-- **AND** `download.display_name` обновляется полным ярлыком
-  «Название (режиссёр, год)» (для сериала — со сводкой сезонов)
-- **AND** раздача в qBittorrent переименовывается в то же имя
+- **GIVEN** загрузка в ревью с кандидатами метабазы
+- **WHEN** человек выбирает кандидата
+- **THEN** провайдер, id и каноническое название закрепляются как override
+- **AND** отображаемое имя загрузки обновляется полным ярлыком
 
-#### Scenario: Ручное добавление источника обновляет имя
+#### Scenario: Название источника показано ровно таким, каким закрепится
 
-- **GIVEN** загрузка в ревью без совпадений в списке
-- **WHEN** пользователь вручную добавляет источник по id/URL, подтверждая матч
-- **THEN** источник закрепляется как и прежде
-- **AND** `download.display_name` и имя раздачи в qBittorrent обновляются
-  полным ярлыком подтверждённого источника
+- **GIVEN** кандидат, название которого содержит zero-width символ или
+  кириллический двойник внутри латинского слова
+- **WHEN** строится список источников для экрана ревью
+- **THEN** в строке источника и в его предпросмотре стоит очищенное название
+- **AND** выбор этого источника закрепляет то же самое значение
 
-#### Scenario: Выбор кандидата подтягивает режиссёра в ярлык
+#### Scenario: Кандидат, сохранённый прежней версией, чистится на закреплении
 
-- **GIVEN** загрузка в ревью, у выбранного кандидата в credits метабазы указан
-  режиссёр
-- **WHEN** пользователь выбирает кандидата, подтверждая матч
-- **THEN** режиссёр best-effort извлекается из метабазы и закрепляется override
-- **AND** `download.display_name` получает полный ярлык с этим режиссёром
+- **GIVEN** кандидат, чьё название записано в хранилище без санитайзинга
+- **WHEN** человек выбирает этого кандидата
+- **THEN** закрепляется санитизированное значение, а не то, что лежит в хранилище
 
-#### Scenario: Режиссёр кандидата недоступен — выбор не ломается
+#### Scenario: Непригодное название источника пином не становится
 
-- **GIVEN** выбор кандидата, для которого credits недоступны или режиссёра нет
-- **WHEN** пользователь подтверждает матч
-- **THEN** выбор источника выполнен, режиссёр берётся из сохранённого контекста
-  или остаётся пустым
-- **AND** команда ревью не возвращает ошибку
-
-#### Scenario: Недоступность qBittorrent не ломает выбор кандидата
-
-- **GIVEN** выбор кандидата в ревью
-- **WHEN** переименование раздачи в qBittorrent завершается ошибкой
-- **THEN** выбор кандидата и обновление `download.display_name` выполнены
-- **AND** команда ревью не возвращает ошибку
+- **GIVEN** кандидат, название которого не содержит ни одной буквы и ни одной
+  цифры
+- **WHEN** человек выбирает этого кандидата
+- **THEN** название пином не становится, в плане остаётся название распознавания
+- **AND** провайдер, id и год закрепляются как обычно
+- **AND** отказ закрепить название виден в журнале
 
 ### Requirement: Инфо и предпросмотр выбранного источника