ingest: закрыты мелочи приёма — вырожденное имя, контракт Result, корреляция add

- имя раздачи нормализуется на границе разбора: вырожденное `-`
  (metainfo.NoName) даёт пустое имя, пробельное схлопывается — сентинел больше
  не доходит ни до контекста распознавания, ни до source_ref, ни до подсказки
  вывода имени
- контракт «на любом пути ошибки приёма результат нулевой» объявлен в ingest и
  удерживается структурно; три транспорта перестали обещать идентификатор,
  которого нет, и коррелируют отказ по request_id
- scoped-логгер загрузки ставится до вызова внешнего сервиса в семи командах
  воркера — записи об отказе qBittorrent и метабаз получили download_id
  и infohash; граница разбора bencode записана в docs/research

internal/qbt/qbt_test.go

@@ -2,10 +2,13 @@ package qbt
 
 import (
 	"context"
+	"log/slog"
 	"net/http"
 	"net/http/httptest"
 	"strings"
 	"testing"
+
+	"git.vakhrushev.me/av/jellybit/internal/logctx"
 )
 
 // fakeQBittorrent — минимальный стенд WebUI API: требует cookie SID, выдаёт
@@ -238,3 +241,102 @@ func TestLoginFailure(t *testing.T) {
 		t.Error("ожидалась ошибка логина")
 	}
 }
+
+// captureHandler собирает записи журнала для проверки их полей. Свой WithAttrs
+// нужен обязательно: делегированный встроенному хендлеру вернул бы ЕГО, и
+// логгер, собранный через With (а scoped-логгер загрузки собирается именно
+// так), перестал бы захватываться.
+type captureHandler struct {
+	attrs   []slog.Attr
+	records *[]slog.Record
+}
+
+func (h *captureHandler) Enabled(context.Context, slog.Level) bool { return true }
+
+func (h *captureHandler) Handle(_ context.Context, r slog.Record) error {
+	rec := r.Clone()
+	rec.AddAttrs(h.attrs...)
+	*h.records = append(*h.records, rec)
+	return nil
+}
+
+func (h *captureHandler) WithAttrs(as []slog.Attr) slog.Handler {
+	return &captureHandler{attrs: append(append([]slog.Attr{}, h.attrs...), as...), records: h.records}
+}
+
+func (h *captureHandler) WithGroup(string) slog.Handler { return h }
+
+// recordFields сплющивает запись в map «ключ → значение как текст».
+func recordFields(r slog.Record) map[string]string {
+	out := map[string]string{}
+	r.Attrs(func(a slog.Attr) bool {
+		out[a.Key] = a.Value.String()
+		return true
+	})
+	return out
+}
+
+// Отказ qBittorrent на добавление («Fails.») причины не несёт — единственное,
+// что делает такую запись пригодной для разбора, это корреляция с загрузкой.
+// Инфохэша клиент не знает и знать не должен (разбор источника — единая точка
+// проекта): он берёт scoped-логгер из ctx. Негативная половина: magnet с
+// passkey приватного трекера уходит через это же поле формы, и в журнал он
+// попасть не должен (инвариант «секреты не попадают в логи»).
+func TestAddFailureRecordCarriesScopeAndNoSecret(t *testing.T) {
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		if r.URL.Path == "/api/v2/auth/login" {
+			http.SetCookie(w, &http.Cookie{Name: "SID", Value: "token", Path: "/"})
+			_, _ = w.Write([]byte("Ok."))
+			return
+		}
+		_, _ = w.Write([]byte("Fails."))
+	}))
+	defer srv.Close()
+
+	// Значение низкоэнтропийное намеренно: высокоэнтропийная фикстура «похожего
+	// на секрет» вида краснит gitleaks в pre-commit. Различимости хватает —
+	// тест ищет вхождение этой строки в полях записи.
+	const passkey = "passkey-must-not-reach-the-journal"
+	const magnetURL = "magnet:?xt=urn:btih:541adcff3b6dd5dba7088ea83317d9d6fac331d6" +
+		"&tr=http%3A%2F%2Ftracker.example%2Fann%3Fpasskey%3D" + passkey
+
+	var records []slog.Record
+	log := slog.New(&captureHandler{records: &records}).
+		With("capability", "review", "download_id", "01JB0000000000000000000000", "infohash",
+			"541adcff3b6dd5dba7088ea83317d9d6fac331d6")
+	ctx := logctx.With(context.Background(), log)
+
+	err := newClient(t, srv.URL).Add(ctx, AddRequest{URLs: []string{magnetURL}, Category: "jellybit"})
+	if err == nil {
+		t.Fatal("ожидался отказ добавления")
+	}
+
+	var failure *slog.Record
+	for i := range records {
+		if records[i].Message == "external call failed" {
+			failure = &records[i]
+		}
+	}
+	if failure == nil {
+		t.Fatalf("записи об отказе внешнего вызова нет, записей: %d", len(records))
+	}
+	f := recordFields(*failure)
+	if f["download_id"] == "" {
+		t.Errorf("в записи нет download_id из scoped-логгера: %v", f)
+	}
+	if f["infohash"] != "541adcff3b6dd5dba7088ea83317d9d6fac331d6" {
+		t.Errorf("infohash = %q, want хеш из scoped-логгера", f["infohash"])
+	}
+	if f["ext.operation"] != "torrents/add" {
+		t.Errorf("ext.operation = %q, want torrents/add", f["ext.operation"])
+	}
+	// Негативная половина: ни одно поле записи не несёт passkey.
+	for k, v := range f {
+		if strings.Contains(v, passkey) {
+			t.Errorf("passkey утёк в поле %q: %q", k, v)
+		}
+	}
+	if strings.Contains(failure.Message, passkey) {
+		t.Errorf("passkey утёк в сообщение записи")
+	}
+}