Обработка рассинхрона состояния с реальностью (state-reconciliation)

Распознаём ручное удаление источника (раздача в qBittorrent) и/или цели
(разложенные хардлинки) и отражаем его в состоянии задачи, без автодействий.

- Новая capability state-reconciliation (OpenSpec): фоновая сверка по матрице
  «источник × цель» → состояния target_missing/orphaned/deleted, переходы и
  самовосстановление (healing).
- worker: reconcileDesync в Poll (только разложенные/desync-задачи), дебаунс
  пропажи источника (порог [worker].source_missing_threshold) и синхронный
  preflight перед действиями (relink/recognize/apply/undo) — не доверяем
  state в БД.
- layout.Undo: отказ снять последнюю копию (nlink<=1 или нет источника),
  отказ всего батча без частичного отката (ErrLastCopy).
- store: единый список terminalStates для IsTerminal и FindActiveByInfohash
  (иначе семантика «активности» разъезжается), столбец source_miss_count,
  миграция 0003.
- httpapi/web и Telegram: показ новых состояний и уведомления о рассинхроне.
- Доки: workflow.md, jellyfin-layout.md, database.md (+0003), config.

Change заархивирован в openspec/changes/archive, дельта влита в openspec/specs.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

internal/worker/review.go

@@ -238,7 +238,10 @@ func (w *Worker) Apply(ctx context.Context, id int64) error {
 		return fmt.Errorf("apply: lookup torrent: %w", err)
 	}
 	if !ok {
-		return fmt.Errorf("apply: torrent not found")
+		// Источник исчез между ревью и применением — приводим состояние к
+		// реальности и отказываем (preflight, не доверяем state в БД).
+		w.reconcileToReality(ctx, *d, false)
+		return fmt.Errorf("apply: источник удалён из qBittorrent: %w", ErrConflict)
 	}
 
 	w.transition(ctx, *d, store.StateLinking, "", "")
@@ -306,17 +309,13 @@ func (w *Worker) Relink(ctx context.Context, id int64) error {
 	if err != nil {
 		return fmt.Errorf("relink: %w", err)
 	}
-	if d.State != store.StateReverted && d.State != store.StateCancelled {
-		return fmt.Errorf("relink: download %d is in state %s (expected reverted/cancelled): %w", id, d.State, ErrConflict)
+	if d.State != store.StateReverted && d.State != store.StateCancelled && d.State != store.StateTargetMissing {
+		return fmt.Errorf("relink: download %d is in state %s (expected reverted/cancelled/target_missing): %w", id, d.State, ErrConflict)
 	}
-	if !d.Infohash.Valid {
-		return fmt.Errorf("relink: download %d has no infohash", id)
-	}
-	// Раздача должна ещё быть в qBittorrent — без неё распознавать нечего.
-	if _, ok, terr := w.torrentByInfohash(ctx, d.Infohash.String); terr != nil {
-		return fmt.Errorf("relink: %w", terr)
-	} else if !ok {
-		return fmt.Errorf("relink: торрент не найден в qBittorrent")
+	// Источник нужен для распознавания — проверяем синхронно (без дебаунса) и при
+	// его отсутствии приводим состояние к реальности (orphaned/deleted).
+	if err := w.ensureSourcePresent(ctx, d, "relink"); err != nil {
+		return err
 	}
 	// Вернуть задачу в активную обработку можно, только если другой активной
 	// задачи на этот infohash нет (partial unique index по idempotency_key).
@@ -348,6 +347,9 @@ func (w *Worker) Rerecognize(ctx context.Context, id int64) error {
 	if err != nil {
 		return err
 	}
+	if err := w.ensureSourcePresent(ctx, d, "rerecognize"); err != nil {
+		return err
+	}
 	ctx = w.scoped(ctx, capReview, id, d.Infohash.String)
 	logctx.From(ctx).Info("review re-recognizing without hint")
 	w.transition(ctx, *d, store.StateRecognizing, "", "")
@@ -367,6 +369,9 @@ func (w *Worker) Refine(ctx context.Context, id int64, hint string) error {
 	if err != nil {
 		return err
 	}
+	if err := w.ensureSourcePresent(ctx, d, "refine"); err != nil {
+		return err
+	}
 	ctx = w.scoped(ctx, capReview, id, d.Infohash.String)
 	if err := w.store.AddHint(ctx, id, hint); err != nil {
 		return fmt.Errorf("refine: %w", err)
@@ -389,6 +394,9 @@ func (w *Worker) SetType(ctx context.Context, id int64, mediaType string) error
 	if err != nil {
 		return err
 	}
+	if err := w.ensureSourcePresent(ctx, d, "set type"); err != nil {
+		return err
+	}
 	ctx = w.scoped(ctx, capReview, id, d.Infohash.String)
 	if err := w.store.SetOverride(ctx, id, ovrMediaType, mediaType); err != nil {
 		return fmt.Errorf("set type: %w", err)
@@ -452,7 +460,9 @@ func (w *Worker) Defer(ctx context.Context, id int64) error {
 }
 
 // Undo снимает хардлинки последнего батча и переводит задачу в reverted.
-// Источник недосягаем (раскладчик удаляет только пути под библиотекой).
+// Источник недосягаем (раскладчик удаляет только пути под библиотекой). Откат
+// снимает ЛИШНИЙ хардлинк, а не последнюю копию: layout.Undo отказывается
+// удалять ссылку, если источник уже пропал (nlink<=1) — см. state-reconciliation.
 func (w *Worker) Undo(ctx context.Context, id int64) error {
 	w.mu.Lock()
 	defer w.mu.Unlock()
@@ -464,6 +474,11 @@ func (w *Worker) Undo(ctx context.Context, id int64) error {
 	if err != nil {
 		return fmt.Errorf("undo: %w", err)
 	}
+	if d.State == store.StateOrphaned {
+		// Источник удалён → библиотечный хардлинк остался единственной копией.
+		// Откат сотрёт данные насовсем — отказываем явно.
+		return fmt.Errorf("undo: источник удалён, цель — последняя копия данных, откат невозможен: %w", ErrConflict)
+	}
 	if d.State != store.StateDone {
 		return fmt.Errorf("undo: download %d is in state %s (expected done): %w", id, d.State, ErrConflict)
 	}