удалён вход Telegram, владелец записи стал обязателен в схеме

- убраны клиент бота, транспорт обновлений, отправитель сообщений, сборка входа при старте, секция настроек и зависимость go-telegram-bot-api; из конвейера ушла доставка ответа отправителю — исход виден опросом готовности. Колонки адресата и значение источника остались в схеме: применённые шаги не переписываются - шаг 202608140003 запрещает пустого владельца у аудиозаписи и у файла; существующие строки он не проверяет, и это принято сознательно — искать их надо запросом до выкладки - ревью нашло два пред-существующих дефекта, оба закрыты: пустой второй ответ распознавателя стирал сохранённую расшифровку, а пустая расшифровка перестала быть заметной вместе с убранной доставкой. Попутно поднят golang.org/x/image до v0.45.0 — красный шаг vulns, воспроизводился и на чистом master
2026-08-15 07:24:35 +03:00
parent 97ceb7bb69
commit 8f7c3a057a
74 changed files with 2453 additions and 2733 deletions
@@ -17,16 +17,17 @@
 - [intake](../openspec/specs/intake/spec.md) — **приём по HTTP плюс наличие
  входов**: приём и опрос за сессией, имя отправителя не доходит ни до
  хранилища, ни до журнала, метка метрики несёт только известное расширение, а
-  выключенный вход Telegram не мешает подъёму. Задачи
+  наблюдатель видит единственный поднятый вход. Задачи
  `http-handler-tests-never-green` и `no-user-filename-in-log` 2026-08-11,
  `pocketbase-storage` и `oidc-login` 2026-08-12,
-  `local-run-without-telegram-token` 2026-08-13. Приём из Telegram по существу —
-  кто допущен и как забирается запись — здесь по-прежнему не описан;
+  `local-run-without-telegram-token` 2026-08-13, `remove-telegram-intake`
+  2026-08-14;
 - [pipeline](../openspec/specs/pipeline/spec.md) — пустой прогон воркера, захват
-  задачи и срок его протухания, число попыток, состояние «мертва», пауза перед
-  повтором и недоставленный ответ отправителю: задачи
-  `errors-as-instead-of-typecast` 2026-08-11, `pocketbase-storage` 2026-08-12 и
-  `local-run-without-telegram-token` 2026-08-13. Переходы состояний и отмена
+  задачи и срок его протухания, число попыток, остановка признаком, пауза перед
+  повтором и молчание конвейера наружу: задачи
+  `errors-as-instead-of-typecast` 2026-08-11, `pocketbase-storage` 2026-08-12,
+  `local-run-without-telegram-token` 2026-08-13 и `remove-telegram-intake`
+  2026-08-14. Переходы состояний и отмена
  контекста посреди шага остаются
  долгом; что именно не описано, перечисляет раздел `Purpose` самой спеки;
 - [storage](../openspec/specs/storage/spec.md) — где живут запись, её метаданные
@@ -40,17 +41,17 @@
 - [access](../openspec/specs/access/spec.md) — кто пришёл в сервис и пускают ли
  его дальше: вход через внешнего провайдера OIDC, чем предъявляется сессия, что
  её прекращает и какие адреса остаются открытыми. Задача `oidc-login`
-  2026-08-12. Здесь же разграничение записей по владельцу: запись из веба
-  принадлежит тому, кто её принёс, чужая неотличима от несуществующей, а запись
-  из Telegram владельца не имеет и по API не достаётся никому. Задача
-  `record-ownership` 2026-08-14.
+  2026-08-12. Здесь же разграничение записей по владельцу: принятая запись
+  принадлежит тому, кто её принёс, чужая неотличима от несуществующей, а ничьей
+  записи не бывает вовсе — колонка владельца пустого значения не принимает.
+  Задачи `record-ownership` и `remove-telegram-intake` 2026-08-14.

-Поведение прочих узлов, включая приём из Telegram, по-прежнему живёт только в
-коде. Задача, которая его трогает, дописывает спеку своей capability.
+Поведение узла, которого нет в перечне выше, по-прежнему живёт только в коде.
+Задача, которая его трогает, дописывает спеку своей capability.

 ## Принципы

- **Один процесс.** Бот, HTTP-сервер и фоновые воркеры живут в одном бинарнике и
+- **Один процесс.** HTTP-сервер и фоновые воркеры живут в одном бинарнике и
  делят одну базу. Отдельного воркер-процесса нет намеренно.
 - **Очередь таблицей.** Состояние задачи лежит коллекцией хранилища; неделимость
  захвата и порядок выборки нормирует
@@ -64,7 +65,7 @@
  [pipeline](../openspec/specs/pipeline/spec.md), «Брошенная задача возвращается
  в работу»; здесь это принцип письма шага, а не описание поведения.
 - **Ядро зависит от интерфейсов.** `internal/service` знает только
-  `internal/contract`; ffmpeg, Yandex, Telegram и хранилище подставляются в
+  `internal/contract`; ffmpeg, Yandex и хранилище подставляются в
  `main.go`. Правило механизировано тестами-сканерами `internal/archrules`, и
  они же держат обратные направления: транспорты не знают друг о друге, адаптер
  не знает ни ядра, ни транспортов.
@@ -77,17 +78,15 @@

 Каждый — строкой со ссылкой на capability, а не пересказом её требований.

-<!-- канон: поведение → openspec/specs/intake, pipeline, storage; ещё НЕ переехало: приём из Telegram, деление длинного текста по словам -->
+<!-- канон: поведение → openspec/specs/intake, pipeline, storage; ещё НЕ переехало: приведение записи к рабочему формату -->

 | Компонент | Где | Что делает |
 | --- | --- | --- |
-| Telegram-бот | `internal/controller/tg` | Принимает голосовые, аудиофайлы и документы с аудио, скачивает их, заводит задачу |
 | HTTP API | `internal/controller/http` | Приём файла и опрос статуса задачи |
 | Воркеры | `internal/controller/worker` | Пул одинаковых потоков: каждый берёт любую пригодную запись и опрашивает базу. Число — настройкой, ноль законен |
 | Сервис расшифровки | `internal/service` | Конвейер: приём, приведение, отправка, опрос, завершение. Шаг выбирается по рубежу записи |
 | Конвертер и метаданные | `internal/adapter/{converter,metaviewer}/ffmpeg` | `ffmpeg` в ogg/vorbis, `ffprobe` для длительности |
 | Распознаватель | `internal/adapter/recognizer/yandex` | Заливка в Object Storage и отложенное распознавание SpeechKit; разбор ответа в реплики со временем |
-| Отправитель Telegram | `internal/adapter/telegram` | Отправка текста, деление длинного по словам |
 | Репозитории | `internal/adapter/repo/pocketbase` | Записи, файлы, тексты, структура, попытки распознавания и журнал событий — коллекциями хранилища; захват — сырым запросом |
 | Шаги схемы | `internal/adapter/repo/pocketbase/migrations` | Файл на шаг, имя файла — имя шага; там же имена коллекций |
 | Панель владельца | `internal/adapter/repo/pocketbase`, `panel.go` | Панель хранилища; правила правки записи нормирует [storage](../openspec/specs/storage/spec.md), «Владелец видит записи в панели» |
@@ -102,12 +101,6 @@

 ## Внешние границы и форматы

- **Telegram Bot API.** Вход — обновления длинным опросом, выход — сообщения.
-  Файл скачивается по ссылке `file.Link(token)` запросом с контекстом, клиентом
-  самого бота. Клиента заводит единая точка `internal/adapter/telegram`: токен
-  стоит в пути каждого обращения, и снятие адреса с отказа живёт там —
-  [conventions/logging.md](conventions/logging.md), «Безопасность: что не
-  логируем». Telegram не отдаёт файлы больше 20 МиБ — это потолок приёма из бота.
 - **Yandex Object Storage.** S3-совместимый, клиент `aws-sdk-go-v2` с
  `UsePathStyle`. Ключ объекта — имя файла, то есть UUID с расширением.
 - **Yandex SpeechKit v3.** gRPC, `stt.api.cloud.yandex.net:443`, модель
@@ -121,26 +114,12 @@
 - **Где работает, что рядом, кто перезапускает:** один контейнер на личном
  сервере, разворачивает и перезапускает Ansible из `pet-project-server`. Рядом —
  обратный прокси, который публикует HTTP-порт наружу.
- **Порядок выкладки задаётся по ключу, а не по файлу целиком.** Общего правила
-  «сперва образ» или «сперва конфиг» нет: два ключа секции Telegram требуют
-  противоположного, и оба правила действуют одновременно.
-  - **Признак включения `telegram.enabled` едет в конфиг раньше образа.** Он
-    обязателен с 2026-08-13, умолчания у него нет, и образ, который его ждёт,
-    без него выходит с кодом 1 **до** открытия порта — вместе с HTTP, панелью и
-    конвейером. Прежний образ лишний ключ TOML просто не читает, поэтому ранняя
-    правка конфига безопасна, а поздняя роняет сервис.
-  - **Пустой ключ доступа `telegram.bot_token` едет позже образа.** Образы
-    старше 2026-08-13 роняли старт на пустом ключе, тоже до открытия порта.
-  - **Откат при выключенном входе** допустим только на образ от 2026-08-13 и
-    новее. На более старом состояния «сервис поднят, бот опущен» не существует
-    вовсе: пустой ключ роняет старт, негодный роняет старт, годный поднимает
-    бота. Откат туда делают с непустым годным ключом, приняв, что бот поднимется.
-  - **Откат образа при `enabled = false` и заполненном ключе** отменяет решение
-    владельца молча: прежний образ признака не видит и поднимает бота. Если вход
-    был выключен потому, что бот с этим токеном поднят где-то ещё, два процесса
-    поделят один длинный опрос и часть ответов до людей не дойдёт.
-
-  Ревью кода воспроизвело порядок на прежней версии, живой прогон — на нынешней.
+- **Порядок выкладки: конфиг после образа.** Прежде здесь стояло правило,
+  разное для двух ключей секции Telegram; с убранным входом оно потеряло предмет
+  целиком. Оставшиеся ключи, которых новый образ ждёт, в конфиге уже есть.
+  Секцию `[telegram]` и ключ `server.users_while_list` человек убирает из боевого
+  файла после выкладки: незнакомые ключи разбор настроек не судит, и файл с ними
+  сервис поднимает молча.
 - **Откат образа через шаг схемы `202608140002` не работает и не говорит об
  этом.** Шаг удаляет прежнюю коллекцию задач, а библиотека накатывает только
  те шаги, которые знает сам бинарь: прежний образ шагов новее не видит,
@@ -160,16 +139,15 @@

  | Зависимость | Падает | Отвечает медленно | Молчит | Отдаёт мусор |
  | --- | --- | --- | --- | --- |
-  | Telegram Bot API | Сервис поднимается без Telegram и работает по HTTP; старт роняют только ошибки настройки — ответ «такого бота нет» и включённый вход с пустым ключом доступа. Норму держит [intake](../openspec/specs/intake/spec.md), «Признак включения решает, поднимается ли вход Telegram» | На старте — ждём не дольше срока, дальше поднимаемся без Telegram. У поднятого сервиса скачивание файла висит бесконечно: там срока нет | То же, что «отвечает медленно»: на старте — подъём без Telegram по истечении срока, у поднятого — длинный опрос пуст и новые задачи не заводятся | Файл скачался битым, отказ вылезет на конвертации |
-  | Yandex SpeechKit | Шаг возвращает ошибку, запись остаётся на повтор | Захват держится час, запись не двигается; по истечении предела простоя она останавливается с причиной «застряла», не теряя идентификатора операции | Операция вечно `in progress`, повтор каждые 5 секунд — до предела простоя в сутки | Пустой текст — запись завершается заглушкой «на записи нет текста» |
+  | Yandex SpeechKit | Шаг возвращает ошибку, запись остаётся на повтор | Захват держится час, запись не двигается; по истечении предела простоя она останавливается с причиной «застряла», не теряя идентификатора операции | Операция вечно `in progress`, повтор каждые 5 секунд — до предела простоя в сутки | Пустой текст — запись доходит до конечного рубежа без расшифровки, и в журнале стоит запись «может стать проблемой» с идентификатором записи; опрос готовности отдаёт рубеж `done` без поля текста |
  | ↳ *остановка сервиса* | Принятие операции от отмены защищено своим пределом в 10 секунд: операцию там могли принять и начать считать деньги, а потерянный идентификатор заставил бы повтор оплатить ту же запись второй раз. Заливка в Object Storage отменяется штатно — её повтор бесплатен, объект ложится под тем же ключом | — | — | — |
  | Yandex Object Storage | Заливка падает, запись остаётся на рубеже `normalized` | То же, что падение: висит до конца захвата | — | SpeechKit не прочитает объект и вернёт отказ операции |
  | ffmpeg, ffprobe | Запись останавливается признаком с текстом «сбой конвертации файла» — рубеж при этом сохраняется, и снятие признака продолжает с него. Остановка сервиса — исход другой: процесс убивают контекстом, запись остаётся на повтор и отказа не тратит | Конвейер стоит: вызов синхронный | — | Выходной файл пуст, отказ вылезет на распознавании |
  | Хранилище (файл на диске) | Приложение не стартует либо шаг падает на каждом запросе | Блокировка записи держит воркеры | — | — |
  | Диск | Запись файла падает, задача не заводится | — | — | — |

- **Кто заметит отказ и когда:** пользователь Telegram — сразу, по молчанию бота
-  или по сообщению об ошибке. Владелец — по метрике
+- **Кто заметит отказ и когда:** тот, кто загрузил запись, — опросом готовности:
+  остановленная запись отдаёт признак остановки. Владелец — по метрике
  `transcriber_worker_job_count` с меткой `error="true"`, и метка `stage`
  называет рубеж, с которого запись взята: с появлением пула одинаковых воркеров
  имя потока перестало что-либо значить, а разрез по шагу — единственное, чем
@@ -178,15 +156,15 @@
 - **Журнал событий записи** — второй канал наблюдения, `record_events`. Пишется
  на смену рубежа, на остановку и на снятие остановки; читает его человек в
  панели, ни один шаг конвейера на него не смотрит. Экрана у него пока нет.
- **Характер потока:** непрерывный, но разреженный. Бот держит длинный опрос,
-  воркеры опрашивают базу вхолостую с паузой из
+- **Характер потока:** непрерывный, но разреженный. Воркеры опрашивают базу
+  вхолостую с паузой из
  [database.md](database.md), «Настройки с числовым значением».

 ## Единые точки проекта

 | Что | Где |
 | --- | --- |
-| Приём аудио и заведение записи | `TranscribeService.createRecord` — через него идут оба входа |
+| Приём аудио и заведение записи | `TranscribeService.createRecord` — единственный путь, которым запись появляется в хранилище |
 | Правка записи владельцем | панель хранилища; правка запросом проходит правила перехода (`pocketbase.BindPanelRules`), а шаг конвейера пишет только свои поля и правку владельца не стирает |
 | Захват записи воркером | `AudioRecordRepository.FindAndAcquire` — один запрос с `RETURNING`, отдаёт идентификатор и признак захвата |
 | Объявление рубежа | `internal/entity/stage.go` — выбор шага, отбор захвата, срок протухания и предел простоя выводятся отсюда |
@@ -194,7 +172,7 @@
 | Рабочая копия файла на диске | `FileRepository.Localize`, `Stage`, `StageEmpty` — они же дают единственный способ её убрать (`WorkFile.Close`); зовёт его шаг |
 | Переход записи на рубеж | `entity.AudioRecord.MoveToState` — чистит служебные поля прошлого рубежа и ставит время входа |
 | Откладывание работы | `entity.AudioRecord.Postpone` — ставит паузу и снимает захват, рубежа не трогая |
-| Остановка и перезапуск | `entity.AudioRecord.Halt` и `Resume`; ответ отправителю — `TranscribeService.halt`, одно место на все причины |
+| Остановка и перезапуск | `entity.AudioRecord.Halt` и `Resume`; запись причины и события — `TranscribeService.halt`, одно место на все причины |
 | Разбор конфигурации | `internal/config.LoadConfig` |
 | Чтение времени | `internal/clock` — `Now` даёт метку в UTC, `Start` — начало измерения длительности; `time.Now` вне пакета запрещён правилом линтера |
 | Метрики | `internal/metrics`, префикс имени `transcriber_` |
@@ -224,7 +202,8 @@
  [access](../openspec/specs/access/spec.md), решения —
  [ADR-2026-08-12-session-without-refresh](adr/ADR-2026-08-12-session-without-refresh.md)
  и [ADR-2026-08-12-oidc-exchange-via-own-route](adr/ADR-2026-08-12-oidc-exchange-via-own-route.md).
-  **Не решено одно:** как связываются пользователь Telegram и пользователь веба.
+  **Не решено одно:** как связать чат Telegram с учётной записью — от этого
+  зависит возвращение убранного входа.
  Панель администратора при этом Authelia не закрывает: у неё свой пароль
  суперпользователя.
 - **Приложение.** Экранов нет вовсе, есть только API. Решено делать SPA,
@@ -240,8 +219,8 @@
  Push с VAPID отвергнут. Появляется внешняя зависимость, которой сегодня нет, и
  текст расшифровки начинает уходить на сторону — сдвиг периметра
  [security.md](security.md).
- **Долгие записи.** Потолок сегодня неизвестен и не замерялся: 20 МиБ на приём
-  из Telegram — точно, ограничения `deferred-general` по длине — нет. Расчётные
+- **Долгие записи.** Потолок сегодня неизвестен и не замерялся: ограничения
+  `deferred-general` по длине не выяснены. Расчётные
  шесть часов нормирует [storage](../openspec/specs/storage/spec.md), «Файл
  записи живёт в хранилище»; откуда взято число —
  [research/pocketbase-defaults.md](research/pocketbase-defaults.md), «Чего эта
@@ -265,8 +244,9 @@
 - **Формат для распознавания.** Конвертер отдаёт ogg/vorbis (`libvorbis`), а
  SpeechKit получает `ContainerAudio_OGG_OPUS`. Расхождение не разобрано: то ли
  сервис определяет содержимое сам, то ли часть записей теряется на этом.
- **Видео.** Дорожку из видеофайла бот принимает по MIME-типу `video/`, но
-  конвертер этот случай не проверялся.
+- **Видео.** Дорожка из видеофайла к приёму допускается — расширение он берёт из
+  имени и о годности содержимого спрашивает источник метаданных, — но конвертер
+  на этом случае не проверялся.
 - **Очередь.** Модель очереди сделана задачей `pocketbase-storage` 2026-08-12
  ([ADR](adr/ADR-2026-08-11-queue-as-pocketbase-collection.md)), перестроена
  вокруг аудиозаписи задачей `record-centric-model` 2026-08-14 и нормирована