jellybit/openspec/changes/archive/2026-08-06-cancel-dismiss-split-wording/review/triage.md

# Триаж чекпоинта 2 — change `cancel-dismiss-split-wording`

Дата: 2026-08-06. Профиль: `standard`, режим: `по графу`.
База диффа: `01e64d60de7495900d9a4c8f5ce9bf811ee7b7e6`.

## Сводка

**Гейт:** зелёный. Кодовые шаги (build/vet/lint/gofmt/test/flaky/race/
diff-coverage/migrations/govulncheck) — `SKIP` с причиной «кода в диффе нет»;
`canon` — `OK`; `gitleaks` — `OK`.

**Проходы поимённо:**

| Проход | Исход |
|---|---|
| `review-gate` | зелёный (кодовые шаги SKIP — кода в диффе нет) |
| `review-specs` | отработал, 4 находки + 4 строки границ |
| `review-code` | отработал, 1 находка + подтверждение A3 + блок «нарушений нет» |
| `review-adversary` | отработал, 5 находок (4 воспроизводящих теста), 3 свойства без пути |
| `review-reimpl` | **не запускался** — стадия 3, только `deep`; вне профиля `standard` |
| `review-architecture` | **не запускался на этом чекпоинте** — стадия 4 (`wide`/`deep`); отработал на чекпоинте 1 в профиле `design`, находки закрыты правками предложения (design.md, D1–D3, D6–D8) |
| `review-ops` | отработал, 3 находки + ответы на обязательные вопросы |

Состав запущенного сверен с профилем `standard` — расхождений нет.

**Счёт находок:** на входе 13 (S1–S4, C2, A1, A2, A3adv, A4, A5, O1–O3; C1 —
подтверждение приёмки, не находка). После дедупа — 10 (S1=A3adv, C2=A4,
S4=A5). Разложено: 3 блокируют, 4 стоит исправить сейчас, 0 гипотез,
6 в урожай, 1 promote-кандидат.

**Состояние change:** файлы staged, но не закоммичены (`HEAD` == база; дифф
worktree против базы — 5 файлов, 514 вставок, все под
`openspec/changes/cancel-dismiss-split-wording/`). Перед архивацией нужен
коммит — это состояние прогона, не находка.

**Вердикт по архивации:** change **годится к архивации после инлайн-правок**
секций 1–2. Находки, требующей остановки или переработки предложения, нет:
все семь пунктов — правки текста дельты, локальные и однозначные, кроме одной
развилки (п. 7, выбор регистра нормы о подтверждении). Дефекты в коде,
вскрытые тестами adversary, — пред-существующие, изменением не введены и не
задеты (критерий A3 требует пустой кодовый дифф); они уходят урожаем.

## Приёмка A1–A3 (доклад приёмщику, не отметка «принято»)

- **A1** — требование различает `Cancel`/`Dismiss` по состояниям (не-терминальные
  против «любое кроме `deleted`», конфликт против no-op) и называет `error_code`
  обоих путей (`user_dismiss` против пустого). Оракул:
  `openspec validate --strict cancel-dismiss-split-wording` → `Change … is valid`,
  exit 0 (прогнано мной). **Выполнен**, с оговоркой: нормативная фраза «SHALL
  называть путь закрытия» внутренне противоречит пустому коду `Cancel` — п. 4 ниже.
- **A2** — сценарий «Закрытие не-терминальной загрузки из веб-UI идёт отменой»
  (дельта, строки 112–119): исход `cancelled`, `error_code` назван (пустой).
  Оракул: тот же прогон + чтение сценария. **Выполнен.**
- **A3** — `git diff --stat <база> -- internal web cmd` — **пусто** (прогнано
  мной по worktree; полный дифф — 5 файлов только под `openspec/changes/`).
  Гейт `Dismissable` и danger-zone шаблона не тронуты. **Выполнен.**

---

## Блокирует мердж (архивацию)

Все три — корзина **(а): дефект введён текстом этого изменения**. Все три —
правки одного-двух абзацев дельты
`openspec/changes/cancel-dismiss-split-wording/specs/state-reconciliation/spec.md`.

### 1. Дельта гарантирует «`Dismiss` SHALL NOT вызывать qBittorrent» — гарантия ложна: `Dismiss` из `catched` в окне после `add` даёт `torrents/delete` с `deleteFiles=true`

- Файл: дельта, строки 36–47; код `internal/worker/worker.go:520–556` (уборка
  по условию `after.State != store.StateCatched`, безразлична к команде),
  `internal/httpapi/review.go:384–391` (маршрут `dismiss` по состоянию не
  гейтится — путь достижим сегодня прямым POST)
- Severity: major, Confidence: high. Корзина: **(а)** — сам механизм уборки
  пред-существует и нормирован командо-нейтрально в `download-tracking`
  (строки 216–234); ложна только атрибуция исключения одной команде `Cancel`.
- Оракул (прогнан мной): `go test ./tmp/adv/ -run TestDismissInAddWindow -v` →
  «ADV-3 воспроизведён: закрытие путём Dismiss (error_code="user_dismiss")
  вызвало torrents/delete deleteFiles=[true]». Плюс
  `internal/worker/catched_test.go:244–268` — штатный тест уборки ставит
  `cancelled` напрямую, не через `Cancel`.
- Дедуп: S1 (`specs`) + A3adv (`adversary`) — одна причина: исключение в коде
  привязано к состоянию/окну, а не к команде.
- Действие: **инлайн**. Переформулировать исключение по условию, а не по
  команде: «закрытие **любым путём**, уведшее задачу из `catched` в окне между
  нашим `add` и записью перехода» — как это уже сформулировано в
  `download-tracking`. Тем же правом убрать из абзаца атрибуцию «`Cancel` тем же
  ограничен, с одним исключением» — исключение общее для обоих путей.
- **В ту же правку входит C2/A4** (дедуп: одна ссылка, одно предложение):
  markdown-ссылка `../../../specs/download-tracking/spec.md` (строка 44) не
  резолвится **ни из позиции дельты** (нормализуется в
  `openspec/changes/specs/download-tracking/spec.md`, файла нет; верно было бы
  4 уровня), **ни после архивации** (из `openspec/specs/state-reconciliation/`
  нормализуется в `specs/download-tracking/spec.md`; верно — 1 уровень).
  Единого относительного пути, верного в обеих позициях, не существует.
  Проверено арифметикой пути (`os.path.normpath` + `exists`, прогнано мной).
  Фикс: дать ссылку **бэктиком** — `openspec/specs/download-tracking/spec.md` —
  как во всех соседних кросс-ссылках capability (прецедент:
  `openspec/specs/state-reconciliation/spec.md:92`); markdown-ссылок в
  `openspec/specs/` нет ни одной (grep пуст), и `docs.py check` этот каталог
  не проверяет — битую ссылку не покрасил бы никто.

### 2. Дельта заявляет, что уборка в окне после `add` «данных пользователя не касается» — безусловное утверждение сильнее того, что гарантирует код: пред-существующие файлы под `paths.downloads` уничтожаются

- Файл: дельта, строки 45–46; код `internal/worker/worker.go:495–556` (гард
  «подтверждённое отсутствие» проверяет отсутствие **торрента**, не отсутствие
  **данных**)
- Severity: major (для текста; кодовый дефект — кандидат `critical`, см. урожай
  У-1), Confidence: high для текстовой части. Корзина: **(а)** для текста /
  **(в)** для кода — дыра в гарде пред-существует, изменением не задета; этим
  change введена только ложная гарантия.
- Оракул (прогнан мной): `go test ./tmp/adv/ -run TestCancelInAddWindow -v` →
  «ADV-1 воспроизведён: worker вызвал torrents/delete deleteFiles=[true];
  данные …/downloads/Show/e1.mkv существовали под paths.downloads ДО add
  (гард проверял отсутствие торрента, а не отсутствие данных)».
- Почему текст — major, а не перенос `critical` с кода: текст сам данных не
  уничтожает; но, будучи влит в нормативный дом, он узаконивает дыру — следующий
  аудит поверит «данных не касается» и закроет расследование. Severity кода на
  severity текста автоматически не переносится; кодовый дефект едет урожаем со
  своим весом.
- Действие: **инлайн**. Убрать безусловное «и данных пользователя не касается».
  Right-size замена — отослать к дому нормы без собственной гарантии
  («нормирована в `download-tracking`»), не расширяя дельту признанием дыры:
  дыра — предмет задачи У-1, а не этого требования.

### 3. Обещание «библиотечные ссылки без штатной команды снятия **до повторной привязки**» ложно: перепривязка их не снимает никогда — `Undo`/`Delete` работают только с последним батчем

- Файл: дельта, строки 62–66 и сценарий 93–101; код
  `internal/worker/review.go:332` (каждый `Apply` — новый батч), `:557–572`
  (`Undo` — только `LatestBatchID`), `:625–641` (`Delete` — только
  `LatestBatchID`)
- Severity: major, Confidence: high. Корзина: **(а)** для формулировки /
  **(в)** для кода (поведение батчей пред-существует, изменением не задето).
- Оракул (прогнан мной): `go test ./tmp/adv/ -run 'TestDismissRelink|TestStrandedLink' -v` →
  «ADV-2: в библиотеке осталась неуправляемая ссылка (батч 1), которую не
  снимает ни Undo, ни Delete»; «ADV-2b: запись в deleted, раздача снесена с
  файлами, но в библиотеке осталась неуправляемая ссылка с живыми данными —
  место не освобождено».
- Последствие текста: единственный маршрут к брошенной ссылке — ровно та связка
  `Dismiss` из `done` → relink, которую дельта нормирует; «до повторной
  привязки» называет relink лекарством, которым он не является, а после него
  «полное удаление» перестаёт освобождать место — danger-зона обещает обратное.
- Действие: **инлайн**. Заменить «до повторной привязки» честным: «…без штатной
  команды снятия; последующая перепривязка их **не** снимает — `Undo` и
  `Delete` работают только с последним батчем раскладки». Расширение
  `Undo`/`Delete` на все батчи — урожай У-2.

## Стоит исправить сейчас

### 4. Нормативное «`error_code` SHALL называть путь закрытия» нарушено пустым кодом `Cancel` и опровергнуто тем же документом тремя абзацами ниже

- Файл: дельта, строка 49; код `internal/worker/worker.go:985`
  (`SetDownloadState(ctx, id, StateCancelled, "", "")` — проверено чтением)
- Severity: major, Confidence: high. Корзина: **(а)** — фраза введена этим
  изменением.
- Оракул: код (пустой код ничего не «называет») + сам документ: строки 56–58
  («пустота кода на пути `Cancel` … не закреплена нормативно») и 73–82
  («известное ограничение»). `SHALL`, который документ сам объявляет
  неудовлетворённым, — приглашение следующему аудиту завести ту же задачу.
- Действие: **инлайн**. Перевести фразу в согласованный регистр: например,
  «`error_code` перехода SHALL **различать** пути закрытия, а не унифицировать
  их» (пустой у `Cancel` против `user_dismiss` у `Dismiss` — различает), либо
  сузить нормативность до `Dismiss` (его `SHALL user_dismiss` уже стоит строкой
  ниже). Остальной абзац и «известное ограничение» уже согласованы.

### 5. «Прежняя диагностика остаётся только в логе перехода» — фактически неверно: лог-строки перехода `Cancel`/`Dismiss` прежних `error_code`/`error_msg` не содержат

- Файл: дельта, строки 53–58 и сценарий 103–110; код
  `internal/worker/worker.go:985–991, 1016–1022` — проверено чтением: `Cancel`
  логирует только `from`/`to`, `Dismiss` — `from`/`to`/`code` **нового**
  перехода; контракт поля `code` — `docs/conventions/logging.md:26–30`.
- Severity: major, Confidence: high. Корзина: **(а)** для формулировки /
  **(б)** для наблюдаемости (лог и раньше не нёс прежней диагностики — урожай
  У-3).
- Последствие: причина падения восстановима только по более ранней, никак не
  связанной по смыслу лог-строке, чья доступность зависит от неописанной
  ретенции логов (`docs/architecture.md` — только «логи в stdout контейнера»).
- Действие: **инлайн**. Поправить формулировку: прежние код и текст «в записи
  не сохраняются; лог-строка перехода их не дублирует — они остаются лишь в
  более ранних строках лога состояния». Добавление `prev_error_code`/`prev_error_msg`
  в лог — кодовая правка, запрещённая критерием A3, → урожай У-3.

### 6. Описанная раскладка Telegram врёт в трёх клетках построенной по ней таблицы «состояние × поверхность»

- Файл: дельта, строки 30–34; код `internal/tgbot/bot.go:452–461`,
  `internal/tgbot/render.go:44–50, 281–290` — проверено чтением: уведомление
  `EventDone` — текст без клавиатуры; `EventTargetMissing`/`EventOrphaned` —
  только ссылка в веб (`webOnly`, и та `nil` при пустом `web_base_url`);
  `StateLinking` — клавиатуры нет вовсе (не «отсылает в веб»). «Закрыть»
  появляется на **карточке** (`renderCard`/refresh), а не в уведомлении.
- Severity: minor, Confidence: high. Корзина: **(а)** — перечень введён этим
  изменением (текст описателен: «сегодня раскладка такова», но неверен).
- Последствие: реальный пробел — уведомление о рассинхроне приходит без
  стоп-крана — текстом замаскирован.
- Действие: **инлайн**. Либо уточнить: «Telegram даёт „Закрыть“ на **карточке**
  загрузки в `failed`/`stuck`/`done`/`orphaned`/`target_missing`; уведомления
  о `done` и рассинхроне кнопок закрытия не несут», либо снять перечень
  Telegram целиком, оставив нормативную гарантию только за страницей загрузки
  (раскладка по поверхностям всё равно объявлена ненормативной).

### 7. Новый `SHALL` об «отдельном подтверждающем шаге» въезжает уже нарушенным: без JS диалога нет, в Telegram нет ни danger-зоны, ни подтверждения

- Файл: дельта, строки 68–71; код
  `web/templates/partials/download_main.html:95–98` — проверено чтением,
  комментарий дословно: «без JS гейт — только раскрытие details и явный submit
  (диалога нет)»; `internal/tgbot/render.go:266–290` — «Закрыть» в общем ряду
  кнопок. `openspec/specs/web-ui/spec.md` нормирует «без JavaScript не
  ломается».
- Severity: minor, Confidence: medium. Корзина: **(а)** — прежняя редакция
  обязательства не содержала (уточнение adversary), норма введена этим
  изменением; тот же изъян в пред-существующем требовании «Полное удаление
  загрузки пользователем» — корзина (в), урожай У-6.
- Дедуп: S4 (`specs`) + A5 (`adversary`) — одна причина.
- Действие: **развилка** — выбор регистра нормы, а не правка формулировки:
  1. **Сузить норму до фактического гейта**: «„Закрыть“ SHALL размещаться в
     обособленной danger-зоне, скрытой по умолчанию (раскрытие — сознательный
     шаг); с JS дополнительно SHALL показываться диалог подтверждения» + назвать
     известным ограничением, что Telegram danger-зоны не даёт. Цена: слабее
     звучит R7, зато спека не лжёт и код не требуется.
  2. **Оставить `SHALL` как цель** и завести урожаем задачу: no-JS-подтверждение
     (например, промежуточная страница-подтверждение) и danger-гейт в Telegram.
     Цена: до выполнения задачи нормативный дом содержит невыполненный `SHALL`
     (ровно то, за что бьёт п. 4).
  Рекомендация триажа — вариант 1: он согласуется с R12 («спека фиксирует
  наблюдаемое») и с решением п. 4.

## Гипотезы без доказательства

Пусто. Все выжившие находки имеют прогнанный оракул (тест, чтение названных
строк кода, арифметика пути, вывод команды). Понижений за отсутствие оракула
не было; `critical` кода из A1 не понижен, а отделён от текстовой находки и
уехал урожаем со своим весом (У-1) — его единственный непрогнанный шаг назван
там честно.

Отдельно: совпадение S1/A3adv и S4/A5 в разных проходах учтено как рост
приоритета, не как рост Confidence — под всеми проходами одна модель.

## Promote candidates

- **Проверка ссылок в `openspec/`** — шаг `canon` (`docs.py check`) обходит
  только `docs/` и `CLAUDE.md`; битую markdown-ссылку в спеке не красит никто
  (п. 1/C2 прожил бы до архивации молча). Кандидат: расширить проверку битых
  ссылок на `openspec/specs/` и `openspec/changes/`, либо записать конвенцией
  «кросс-ссылки в спеках — только бэктиком» (сегодня это фактическая, но
  нигде не записанная практика: markdown-ссылок в `openspec/specs/` ноль).
  Провенанс: `review-code` C2 + `review-adversary` A4.

## Урожай (пред-существующие дефекты — владельцу задач, не в этот change)

- **У-1 (кандидат `critical`, Confidence: medium).** Отмена/закрытие в окне
  после `add` сносит **пред-существующие** файлы пользователя под
  `paths.downloads`: гард «подтверждённое отсутствие» (`worker.go:495–509`)
  проверяет отсутствие торрента в qBittorrent, но не отсутствие данных на
  save_path; `qbt.Add` подхватывает лежащие там файлы, уборка бьёт
  `torrents/delete` с `deleteFiles=true`. Путь: пользователь снял раздачу,
  файлы оставив (это предписывает сам `download-tracking:169–174` как
  восстановление) → подал тот же торрент → отменил в окне листинг+add (сотни
  мс — секунды). Инвариант «источник неприкосновенен»: исключение (2) покрывает
  «собственный торрент», но не пред-существующие данные; UI при этом обещает
  «файлы и раздача останутся нетронутыми» (`download_main.html:100–111`).
  Оракул: `tmp/adv/adv_test.go`, `TestCancelInAddWindowDeletesPreExistingData` —
  прогнан, воспроизводит (каталог gitignored — при заведении задачи тест
  перенести в её материалы). Единственный непрогнанный шаг — семантика боевого
  qBittorrent `deleteFiles=true` над пред-существующими файлами: в бой ходить
  запрещено, отсюда medium. Провенанс: `review-adversary` A1, чекпоинт 2
  change `cancel-dismiss-split-wording`.
- **У-2 (major, Confidence: high).** `Undo`/`Delete` работают только с
  последним батчем (`review.go:557–572, 625–641`), каждый `Apply` создаёт новый
  (`review.go:332`): связка «закрыть `done` → relink» бросает ссылку батча 1
  навсегда, а «полное удаление» после этого не освобождает место (инод жив за
  счёт брошенной ссылки). Оракул: `TestDismissRelinkStrandsLibraryLinks`,
  `TestStrandedLinkDefeatsDelete` — прогнаны, воспроизводят. Провенанс:
  `review-adversary` A2.
- **У-3 (minor, наблюдаемость).** Лог-строки переходов `Cancel`/`Dismiss` не
  несут прежних `error_code`/`error_msg`, хотя `d` их держит в момент записи
  (`worker.go:985–991, 1016–1022`): «почему задача упала» после закрытия не
  восстановить одной строкой. Кандидат: `prev_error_code`/`prev_error_msg` в
  лог перехода. Оракул: чтение кода + контракт `logging.md:26–30`. Провенанс:
  `review-ops` O1.
- **У-4 (minor).** «Per-download блокировка» из `CLAUDE.md` (инвариант
  «переходы состояний») и `worker.go:11` — фактически один глобальный
  `sync.Mutex` (`worker.go:239`), удерживаемый `Apply` на весь файловый
  ввод-вывод: долгая раскладка блокирует команды по **другим** загрузкам и
  поллинг. Минимум — поправить формулировку в двух местах; по существу —
  per-id блокировка либо вынос I/O из-под замка. Оракул: чтение кода (одно
  поле, не карта). Провенанс: `review-ops` O2.
- **У-5 (minor, эффект — гипотеза при сегодняшнем профиле «единицы/день»).**
  Дефолтный список — `SCAN download` (негативный `state NOT IN` мимо
  `idx_download_state`, измерено `EXPLAIN QUERY PLAN` на копии схемы), а
  `cancelled` копятся без ретенции, и требование под ревью расширяет канал их
  производства. Частичный индекс или позитивный список состояний; ретеншен —
  задача в беклоге уже есть. Провенанс: `review-ops` O3.
- **У-6 (minor).** Пред-существующее требование «Полное удаление загрузки
  пользователем» (`openspec/specs/state-reconciliation/spec.md:463–465`) несёт
  ту же формулировку о подтверждающем шаге с той же no-JS-дырой, что п. 7.
  Судьба зависит от развилки п. 7 — править согласованно. Провенанс:
  `review-specs` S4 (смягчающее наблюдение).

Уже назначено урожаем ранее (не дублирую задачей): R10 из рубрики чекпоинта 1 —
«допустимость команды переоценивается на момент исполнения, а не по снимку
рендера» (`tasks.md`); туда же примыкает граница `specs` про `/review/{id}`,
открытый для любого состояния.

## Границы покрытия

**Запускалось:** профиль `standard`, режим «по графу», чекпоинт 2 (после
apply). `review-gate` (кодовые шаги SKIP — кода в диффе нет; canon, gitleaks —
OK), `review-specs`, `review-code`, `review-adversary`, `review-ops`.

**Не запускалось:** `review-reimpl` — стадия 3, только в `deep`;
`review-architecture` — стадия 4 (`wide`/`deep`); оба вне профиля `standard`.
`review-architecture` отработал на чекпоинте 1 (профиль `design`) вместе с
`review-specs` и `review-rubric`; его находки закрыты правками предложения
(design.md, решения D1–D3, D6–D8) и на этом чекпоинте не перепроверялись.

**Что запущенные проходы не могли проверить в принципе (из charter'ов):**

- `specs`: поведение живых qBittorrent/Telegram — клавиатуры Telegram не
  покрыты тестами вовсе, сверка была чтением кода; плюс его заявленные границы:
  владение целевым путём после закрытия `done` (ушло в У-2), `/review/{id}`
  без гейта состояния (примыкает к R10), «активный список» как три разных
  множества (`store/list.go`, `store/download.go`).
- `code`: только записанные конвенции; конвенции о форме OpenSpec-спек в
  `docs/conventions/` нет — норму задавали `openspec/config.yaml` и `CLAUDE.md`.
- `adversary`: семантика **боевого** qBittorrent (`deleteFiles=true` над
  пред-существующими файлами) — в бой ходить запрещено; это единственный
  непрогнанный шаг У-1. Свойства без пути: снятие последней копии
  последовательностью команд не строится; секретов в `error_msg`/логах не
  найдено; негейченный маршрут `dismiss` в сегодняшнем периметре
  (`docs/security.md`) — операторское действие, не дефект (совпадает с
  «Типовым ложноположительным» про отсутствие авторизации — корректно не
  выведен находкой).
- `ops`: `-race` на этом диффе не гонялся (кода нет — SKIP); гонки суждены
  рассуждением. Ретенция логов stdout нигде не описана — доступность «более
  ранней лог-строки» из У-3 неизвестна.
- триаж (я): нового не ищу по определению — работаю с чужими выводами; пропуск
  любого прохода — мой пропуск тоже. Тесты `tmp/adv/` прогнаны и воспроизводят,
  но их фикстуры — фейковый qbt и локальная ФС: они доказывают поведение
  **нашего** кода, не связки с боем.

**Осталось целиком на человеке** (из `docs/review.md`, два списка раздельно):

*Не проверит ни один проход:*
- история инцидентов на umbar и что уже ломалось в проде;
- поведение SQLite под реальным объёмом и профилем нагрузки;
- завязка внешних потребителей (Jellyfin, закладки, чужие ссылки) на текущее
  поведение;
- качество распознавания (корпус решено не собирать, REJECTED 2026-08-06);
- суждение «этой функциональности не должно существовать».

*Перестали проверять сознательно:*
- идиоматичность Go — с 2026-08-04, вместе с упразднением прохода `idiom` при
  переезде на плагин; различение «идиоматично против распространено» не
  спрашивает никто; пересмотр — задача `quality-review-agents`.

**Каких документов/фактов не хватило (поразрядно, с причиной):**

- `docs/conventions/` — конвенции о форме OpenSpec-спек нет: правило «ссылки
  бэктиком, не markdown» пришлось выводить grep'ом по фактике (`review-code`);
- `docs/architecture.md` — ретенция логов не описана (только «stdout
  контейнера»): судьба «прежней диагностики в логе» из У-3 неопределима
  (`review-ops`);
- `docs/review.md`, журнал дефектов — пуст (заведён 2026-07-23): оракулов
  «такое здесь уже воспроизводилось» не было ни для одной находки, все
  подтверждения добывались тестами и чтением кода (триаж);
- `CLAUDE.md`, инварианты — присутствуют и использованы (ранжирование У-1 по
  «необратимо» и границе исключения (2)); «Типовые ложноположительные» и оба
  подраздела «Недоступно проверке» — присутствуют и использованы. Здесь
  пробелов нет.