Гейт роняет проверку, судящую ответ по живой карте заголовков

- forbidigo с analyze-types запрещает в файлах проверок обращение к
  httptest.ResponseRecorder.Header и .HeaderMap: правило судит по типу
  приёмника, поэтому ловит и цепочку, и переменную, и индекс, и обход
- класс стоил трёх зелёных гейтов при неработающем коде; правило записано
  строкой в перечне механизированного, прозой не дублируется
- поправлены два утверждения «механизировано: ничего», разошедшиеся с
  включённым линтером и со сверкой шага схемы

docs/conventions/README.md

@@ -56,6 +56,7 @@ htmx, а здесь решено делать SPA — и перенесённы
 | --- | --- |
 | Сравнение ошибок через `errors.Is` и `errors.As`, не `==` и не приведением типа | `.golangci.yml` → `errorlint` |
 | Непроверенное возвращаемое значение ошибки | `.golangci.yml` → `errcheck`, включая присваивание в `_` (`check-blank`). Отказ, который решено не проверять, объявляют в `exclude-functions` поимённо — там сегодня `defer Close` и `send` |
+| Проверка судит ответ по готовому ответу (`Result()`), а не по живой карте заголовков обработчика | `.golangci.yml` → `forbidigo` с `analyze-types`, находки только в `*_test.go`. Судит по типу приёмника (`httptest.ResponseRecorder`), поэтому ловит любую форму: цепочкой, через переменную, по индексу карты, обходом, полем `HeaderMap`. Остаётся ревью проверка, идущая мимо recorder — через свой `http.ResponseWriter` |
 | Форматирование исходников | `.golangci.yml` → `gofmt` |
 | Подозрительные конструкции языка | `.golangci.yml` → `govet`, `staticcheck`, `ineffassign`, `unused` |
 | Секреты в коммите | `lefthook.yml` → `gitleaks git --staged` |
@@ -68,6 +69,7 @@ htmx, а здесь решено делать SPA — и перенесённы
 **Из перечисленного в записях правилом выражено одно** — сравнение ошибок через
 `errors.Is` и `errors.As` (`errorlint`, строка таблицы выше). Прозой остаётся всё
 прочее: ни константный `msg` лога (`sloglint`), ни запрет `fmt.Print*` и
-`os.Getenv` (`forbidigo`), ни запрет сторонних пакетов ошибок (`depguard`), ни
-архитектурные тесты-сканеры. Это следующий шаг переноса в правило: свойство,
+`os.Getenv` (`forbidigo` заведён, но одним правилом — о том, чем судят ответ в
+проверках; этих двух запретов в нём нет), ни запрет сторонних пакетов ошибок
+(`depguard`), ни архитектурные тесты-сканеры. Это следующий шаг переноса в правило: свойство,
 оставшееся прозой, проверяет человек на каждом ревью заново.

docs/conventions/logging.md

@@ -11,8 +11,10 @@ OpenSpec.
 категория; шаг конвейера логирует и себя, и свой исход, и при этом возвращает
 ошибку выше, где её логируют снова.
 
-**Механизировано:** ничего. Ни `sloglint`, ни `forbidigo` в `.golangci.yml` не
-включены, поэтому правилами не выражено ни одно из перечисленного ниже.
+**Механизировано:** ничего из перечисленного ниже. `forbidigo` в `.golangci.yml`
+включён, но правило у него одно и о другом — чем судят ответ в проверках
+([README.md](README.md), «Механизировано»); `sloglint` не заведён, и ни один
+пункт этой записи правилом не выражен.
 
 ## Принципы
 

docs/review.md

@@ -281,8 +281,16 @@ API и имя не откатываются обратной правкой по
 - **Что меняем:** уборка перенесена до записи ответа; все проверки этого файла
   судят по `Result()`. Класс всплывает **третий раз** (2026-08-10 «тесты
   http-обработчика ни разу не были зелёными», 2026-08-11 «проверка приёма не
-  могла упасть»), поэтому он же уходит кандидатом в конвенции: проверка ответа
-  судит по готовому ответу, а не по изменяемому состоянию обработчика
+  могла упасть»), поэтому он же ушёл в конвенции правилом: проверка ответа
+  судит по готовому ответу, а не по изменяемому состоянию обработчика.
+  Механизировано 2026-08-12 задачей `response-assertions-judge-result` —
+  `forbidigo` в `.golangci.yml` роняет гейт на чтении живой карты заголовков в
+  файле проверок. Правило судит по **типу приёмника**, а не по тексту вызова, и
+  потому ловит любую форму чтения живой карты — цепочкой, через переменную, по
+  индексу, обходом, полем `HeaderMap`. Текстовый запрет ловил только прямую
+  цепочку и обходился одной лишней строкой — это назвал прогон ревью этой же
+  задачи. Проходу ревью остаётся проверка, идущая мимо recorder, через свой
+  `http.ResponseWriter`
 
 ## 2026-08-12 — каждый анонимный запрос навсегда замедлял запись в хранилище [пойман ревью]