# Триаж ревью — `config-test-headers-login`, 2026-08-23

## Сводка

- **Режим прогона:** по графу. Стадия — ревью кода.
- **База диффа:** `origin/master` совпадает с `HEAD`; предмет ревью — рабочее
  дерево, включая неотслеживаемые файлы.
- **Размер:** 16 изменённых файлов + 4 новых (`test_headers.go`,
  `test_headers_test.go`, `substitute.go`, `substitute_test.go`), ~240 строк
  правок в коде; удалена подкоманда `proxy` пакета `cmd/devtools`.
- **Сложность:** новый слой транспорта, новая подсекция конфига с проверкой
  старта, снятая оснастка; трогает барьер входа.
- **Метка:** `large`. Обоснование разметки — своих тем проекта сверх ядра не
  заведено, поэтому `basics` не запускается: все темы разобраны именными
  проходами.
- **Состояние гейта:** ЗЕЛЁНЫЙ. `task gate BASE=origin/master`, 13 шагов,
  `go test -race` с работающим детектором, `golangci-lint` 0 issues,
  `govulncheck` без находок. Сообщено проходом `autotests`; триаж гейт
  не перезапускал.
- **Находок на входе:** 21 (A1; S1–S4; C1–C5; R1–R3; V1–V3 + три свойства
  `adversary` без пути; O1). **Осталось в первых двух секциях:** 7.

### План с исходом по каждой теме

| Тема | Дом | Глубина | Кто закрывает | Исход |
|---|---|---|---|---|
| `requirements` | `openspec/specs/access/spec.md` + дельта | разбор | `specs` | **закрыта** проходом `specs`, 4 находки (S1–S4) |
| `autotests` | `CLAUDE.md`, «Гейт» | — | `autotests` | **закрыта** проходом `autotests`, 1 находка (A1), гейт зелёный |
| `conventions` | `docs/conventions/` целиком | разбор | `code` | **закрыта** проходом `code`, 5 находок (C1–C5) |
| `architecture` | `docs/architecture.md` + источник `docs/passport.md` | доказательство | `architecture` | **закрыта** проходом `architecture`, 3 находки (R1–R3) + 2 замечания «дешевле до мерджа» |
| `security` | `docs/security.md`, «Периметр» | доказательство | `adversary` | **закрыта** проходом `adversary`, 3 находки (V1–V3) + 3 свойства без построенного пути; пути обхода **самой подстановки** не построено (6 отрицательных проб) |
| `operations` | `docs/architecture.md`, «Эксплуатация» + источник `docs/database.md` | доказательство | `ops` | **закрыта** проходом `ops`, 1 находка (O1) + подтверждённый факт по постмортему 2 |
| тема проекта | своих тем нет | — | `basics` не запускался | **дома у темы нет**; `basics` на метке `large` не запускается по плану — это не пропуск |

**Тем без отчёта нет.** Все шесть заявленных домов дали отчёт.

### Сигнал о заниженной метке

**Пришёл от одного прохода, возражений нет.** `review-code` метку `large`
подтвердил и занижения не увидел. `review-basics` на этой метке не запускался,
поэтому второго независимого голоса нет — согласия двух проходов здесь не было
и быть не могло.

### Находка о самом прогоне

**Ни один из шести проходов не объявил свой потолок.** Устав велит называть
строкой, сколько находок показано, каков был потолок и что осталось за срезом;
такой строки нет ни у `specs`, ни у `code`, ни у `architecture`, ни у
`adversary`, ни у `ops`, ни у `autotests`. Это ровно тот повторяющийся пробел,
который записан в [docs/review.md](../../../../docs/review.md) строками 25–32 по
прогону `telegram-enabled-flag`: «находок больше нет» в отчёте прохода
неотличимо от «больше не поместилось». Механизации нет; сверка триажа —
единственное, что осталось, и она этот пробел только называет, а не закрывает.

### Дедупликация

- `A1` + `S2` — одна причина (строка журнала старта строится непроверенной
  функцией). Сведены; **понижены**: триаж добыл им однократный оракул прогоном
  бинарника, см. ниже.
- `S3` + `O1` — **две причины, а не одна**, вопреки подсказке задания: первая —
  отброшенные метаданные разбора (`MetaData.Undecoded()`); вторая — зашитый
  уровень журнала. Разведены в находки 1 и 2: чинятся порознь, и починка одной
  не закрывает другую.
- `S4` + второе звено `O1` — одна причина (зашитый `LevelInfo`). Сведены в
  находку 1.
- `R3` + замечание `specs` про два места — одна причина. Сведены в находку 6
  вместе с `C1`: обе легли на одну строку `server.go:44`.
- `R1` + `R2` — разные причины в разных домах, сведены в одну находку 7 двумя
  названными правками: обе — один абзац, обе про то, что нормативный документ
  описывает изъятие мягче, чем оно есть.
- **Согласие проходов приоритет поднимало, `Confidence` — нет.** Ни одна
  формулировка ниже не опирается на «подтверждено N проходами».

---

## Блокирует мердж

### 1. Каждый отладочный след нового входа пишется уровнем, который в настоящем прогоне выключен: разработчик получает `401` на всём приложении и пустой журнал

- Файл: `cmd/transcriber/main.go:39-41`; `internal/controller/http/substitute.go:97-99`;
  `internal/controller/http/identity.go:106-110`
- Severity: major
- Confidence: high
- Оракул: **свой прогон настоящего бинарника.**
  `go build -o $S/transcriber ./cmd/transcriber`, конфиг из `config.example.toml`
  с `debug = true`, `trusted_proxies = ["127.0.0.1", "::1"]` и правильной секцией
  `[auth.test_headers]`, запрос `curl http://127.0.0.1:18099/app/me` → `200`.
  В журнале — стартовая `WARN "Identity headers are substituted from configuration" headers=[Remote-User]`
  и `INFO "Account created from login header"`; **строки
  `"Identity headers substituted from configuration"` нет ни одной**.
  Второй прогон, тот же конфиг с опечаткой в имени секции → `код=401`, и в
  журнале ровно `INFO "Incoming request" ... http.status_code=401` без единой
  строки о причине.
  Подтверждающая команда:
  `grep -rn "\.Debug(" --include=*.go internal/ cmd/ | grep -v _test` → 6 мест;
  `grep -rn "LevelDebug\|Level:" --include=*.go cmd/ internal/ | grep -v _test`
  → единственная точка сборки логгера `cmd/transcriber/main.go:40`
  `Level: slog.LevelInfo`, ключа конфига у уровня нет, `os.Getenv`/`os.LookupEnv`
  в непроверочном коде нет вовсе.
- Последствие: **все шесть отладочных строк сервиса недостижимы в любом
  настоящем прогоне** — и обе, которые завела эта задача. Дельта-спека при этом
  требует отладочную строку прямо (`specs/access/spec.md:193`: «Запрос, которому
  заголовки подставлены, SHALL писаться на отладочном уровне») и в том же файле,
  строка 394, сама формулирует цену: «поломка, записанная уровнем, который в бою
  выключен, не записана вовсе». Критерий приёмки 9 — различимость «узнан
  подстановкой» от «узнан прокси» на уровне запроса — в действительности не
  достигнут ничем. Второе звено дороже первого: `identity.go:106` пишет «Request
  carries no login header» тоже отладочным уровнем, а путь «заголовка нет,
  предохранитель не включён» стал **единственным путём первого локального
  запуска у каждого** после удаления подкоманды `devtools proxy`. Человек видит
  `401` на всём приложении и пустой журнал — то самое «без единого следа», ради
  устранения которого заведены отказы старта.
- Предложение: развилка ниже.
- Найдено проходами: `specs` (S4), `ops` (O1, второе звено); оракул добыт триажем
  заново.
- **Действие: развилка.**

  > Отладочные строки сервиса не печатаются никогда: уровень журнала зашит
  > `LevelInfo` в единственной точке сборки логгера, ключа конфига у него нет.
  > Спека этой задачи требует отладочную строку подстановки, и критерий 9 на ней
  > стоит. Что делаем?
  >
  > 1. **Завести ключ уровня журнала** (`[server] log_level` либо уровень,
  >    выводимый из `[server] debug`). Спека прямо запрещает предохранителю
  >    трогать уровень журнала, значит это отдельный ключ и правка спеки
  >    `access` — расширение scope и новое имя ключа конфига, а имя ключа
  >    `CLAUDE.md` относит к необратимому и требует спросить человека.
  > 2. **Поднять уровень двух строк до `Info`** — «подстановка сработала» и
  >    «заголовка входа нет». Обе штатны и частотны; в бою первая не печатается
  >    вовсе (предохранитель выключен), вторая станет строкой на каждый
  >    неузнанный запрос. Правка спеки нужна тоже — она уровень назначает
  >    поимённо.
  > 3. **Снять требование отладочной строки из спеки и критерий 9 вместе с ним**,
  >    записав строкой цену: наблюдаемости подстановки на уровне запроса у
  >    сервиса нет, стартовой `WARN`-строки признано достаточно.

### 2. Опечатка в имени самой секции `[auth.test_headers]` не судится ничем: сервис поднимается, никого не узнаёт и следа не оставляет — ровно тот исход, ради которого заведён второй отказ старта

- Файл: `internal/config/config.go:242-256` (метаданные разбора отбрасываются);
  `internal/config/test_headers.go:33-43`
- Severity: major
- Confidence: high
- Оракул: **свой прогон, два уровня.**
  (1) Модульный: декодер `BurntSushi/toml v1.5.0` на входе
  `[server]\ndebug = true\n[auth]\n[auth.test_headrs]\n"Remote-User" = "dev"` даёт
  `decode err=<nil>`, `undecoded=[auth.test_headrs auth.test_headrs.Remote-User]`,
  `Server.Debug=true len(TestHeaders)=0 substituting=false`,
  `ValidateTestHeaders err = <nil>`. Контроль: та же опечатка **внутри** секции
  (`Remote-Usr`) ловится —
  `auth: секция [auth.test_headers] называет заголовок, которого сервис не читает: Remote-Usr`.
  (2) Сквозной: настоящий бинарник на конфиге с `[auth.test_headrs]` поднимается
  без единого предупреждения, `curl /app/me` → `401`, в журнале только
  `INFO "Incoming request" ... http.status_code=401`.
- Последствие: `design.md` заявляет защиту словами «опечатка в имени иначе
  кончается сервисом, который никого не узнаёт, без единого следа», и защита эта
  покрывает опечатку в имени **ключа**, но не в имени **секции**. Разница для
  человека нулевая — он ошибается в обеих строках одинаково, — а исход
  противоположный: в одном случае отказ старта с именем ключа, в другом
  безмолвный `401` на всём приложении. Стоимость несёт каждый первый локальный
  запуск, потому что подкоманды `devtools proxy` больше нет и обходного пути не
  осталось. Отдельно: та же дыра проглатывает любую опечатку в **любой** секции
  конфига, не только в новой.
- Предложение: развилка ниже.
- Найдено проходами: `specs` (S3), `ops` (O1, первое звено); оракул добыт триажем
  заново.
- **Действие: развилка.**

  > `toml.DecodeFile` возвращает `MetaData`, и в нём лежит перечень ключей,
  > которых структура не знает. Сервис его отбрасывает, поэтому опечатка в имени
  > секции проходит молча. Что делаем?
  >
  > 1. **Узкая правка в границах задачи:** при `[server] debug = true` и пустой
  >    секции имитации ронять старт (или писать `WARN`), если
  >    `MetaData.Undecoded()` называет что-нибудь под `auth`. Ловит ровно этот
  >    класс, не трогает остальной конфиг, требует одного нового абзаца в
  >    дельта-спеке.
  > 2. **Правило шире задачи:** судить `MetaData.Undecoded()` на всём конфиге —
  >    непонятый ключ роняет старт с его именем. Закрывает опечатки во всех
  >    секциях разом, но это новая норма в `docs/conventions/config.md` и
  >    отдельный change: сегодняшние конфиги на сервере могут нести ключи,
  >    которых структура уже не знает (постмортем 2 подтвердил, что откат
  >    бинарника поверх нового конфига сегодня безопасен **именно** потому, что
  >    лишние ключи молча игнорируются, — правило это свойство снимет).
  > 3. **Ничего не делать в коде**, а записать исход строкой в спеке и в
  >    `config.example.toml`: «опечатка в имени секции даёт `401` без следа;
  >    сверяйте имя секции по образцу». Дешевле всего и честнее молчания.

### 3. Спека объявляет матрицу отказов старта полной и называет три случая, а код даёт четвёртый: следующий change снимет его как самодеятельность, и одно из двух значений секции начнёт теряться молча

- Файл: `internal/config/test_headers.go:86-93`;
  `openspec/changes/config-test-headers-login/specs/access/spec.md:109`;
  `openspec/changes/config-test-headers-login/tasks.md:227-231`
- Severity: major
- Confidence: high
- Оракул: **свой прогон.** Вход
  `[server] debug = true` + `[auth.test_headers]` с `"Remote-User" = "one"` и
  `"remote-user" = "two"`: декодер даёт `len(c.Auth.TestHeaders) == 2`,
  `HeaderSubstitution()` возвращает `map[Remote-User:two]` — **значение `"one"`
  потеряно**, — а `ValidateTestHeaders` роняет старт строкой
  `auth: в секции [auth.test_headers] два ключа называют один заголовок: имя
  заголовка нечувствительно к регистру, и одно из значений потерялось бы молча`.
  Дословный текст спеки на строке 109: «Отказом MUST быть **каждый из трёх**
  случаев»; сценария про совпадение канонических имён в дельте нет. Дословный
  текст `tasks.md:227`: «Матрица отказов старта **полна и тотальна**: у каждой
  комбинации новых ключей объявлен исход».
- Последствие: реализатор, читающий спеку как полную матрицу — а `tasks.md`
  велит читать её именно так, — снимет четвёртую проверку как не подпёртую
  требованием. После снятия конфиг с двумя ключами разного регистра поднимает
  сервис, схлопывает их в один и молча берёт тот, который последним лёг в карту:
  порядок перебора TOML не гарантирован, и человек получает то одно значение, то
  другое от запуска к запуску. Это в точности класс «молчаливая потеря
  значения», ради которого проверка и написана. Правка целиком в границах
  задачи: дельта-спека — часть этого change.
- Предложение: дописать четвёртый случай в требование «Настройка, открывающая
  вход всем, роняет старт» и завести к нему сценарий; поправить `tasks.md:227`
  так, чтобы перечисление читалось «предохранитель × (пустая / заполненная /
  заполненная негодно / заполненная неоднозначно)».
- Найдено проходом: `specs` (S1); оракул добыт триажем заново.
- **Действие: инлайн.**

---

## Стоит исправить сейчас

### 4. Бинарник читает `.env`, проект называет его секретосодержащим, а `.gitignore` его не игнорирует: первый же ключ, положенный туда, уезжает в git необратимо

- Файл: `.gitignore` (нет записи); `.dockerignore:21`;
  `cmd/transcriber/main.go:114-117`
- Severity: major
- Confidence: high
- Оракул: **свои команды.** `git check-ignore -v .env` → пусто, `exit=1` (файл не
  игнорируется). `.dockerignore:19-21` — комментарий «Настройки с секретами.
  Образ берёт конфиг на сервере, а не из дерева.» и следом строка `.env`.
  `cmd/transcriber/main.go:115` — `godotenv.Load()`. Прогон настоящего бинарника
  печатает при каждом старте
  `level=WARN msg="Warning: .env file not found, using system environment variables"`.
  При этом `grep -rn "os.Getenv\|os.LookupEnv" --include=*.go internal/ cmd/ | grep -v _test`
  → **ни одного совпадения**: переменных окружения сервис не читает нигде.
- Последствие: инвариант `CLAUDE.md` — «**Секрет не покидает конфиг.** Ключ
  SpeechKit и пара ключей Object Storage не попадают в git… Нарушение
  необратимо: утёкший ключ отзывают и меняют вручную во всех местах выкладки.
  **critical**». Путь к нарушению короткий и сервис сам его подсказывает:
  стартовая `WARN`-строка сообщает владельцу, что `.env` ожидается, тот заводит
  файл с ключами — и `git add .` кладёт его в индекс, потому что
  `.gitignore` про `.env` не знает. Единственный барьер — `gitleaks git --staged`
  на pre-commit, а он судит по образцам и на произвольном ключе SpeechKit молчать
  вправе. Сама подсказка при этом ложная: ключи из `.env` не сработали бы, читать
  переменные окружения сервису нечем. **`critical` не ставлю:** пути до
  настоящего секрета в git я не построил — работающего мотива положить ключ в
  `.env` у владельца нет, — значит по контракту выше `major` эта находка не
  поднимается.
- Предложение: строку `.env` в `.gitignore` рядом с `config.toml` — это одна
  строка и весь инлайн. Мёртвый `godotenv.Load()` вместе с зависимостью и
  вводящей в заблуждение `WARN`-строкой уходит задачей: правка не этого change.
- Найдено проходом: `adversary` (свойство без построенного пути); оракул и
  переформулировка — триаж (проход утверждал, что `.env` читается, но не заметил,
  что читать из него некому).
- **Действие: инлайн** — только строка в `.gitignore`. Снятие `godotenv` —
  задачей, см. «Урожай».

### 5. Чужой адрес почты, занятый первым пришедшим, навсегда и молча оставляет без почты его настоящего владельца — и `docs/security.md` утверждает обратное

- Файл: `internal/controller/http/identity.go:134-138`;
  `internal/adapter/repo/sqlite/identity.go:77-110`; текст
  `docs/security.md:71-76`
- Severity: major
- Confidence: high
- Оракул: **свой падающий сценарий, прогнан на настоящей поверхности сервиса**
  (`setupEnv` + `AppChain`, база SQLite во временном каталоге, маршрут
  `/app/me`). Два шага:
  1. Запрос с `Remote-User: squatter` и `Remote-Email: victim@corp.example` с
     доверенного адреса → `200`. `SELECT email FROM users WHERE provider_login='squatter'`
     → `victim@corp.example`.
  2. Запрос настоящего владельца: `Remote-User: victim`,
     `Remote-Email: victim@corp.example` → `200`, `Account created from login header`.
     `SELECT email ... WHERE provider_login='victim'` → **`""`**. Строк журнала о
     занятом адресе — ноль.

  Второй прогон показывает асимметрию правила прямо: два значения `Remote-User`
  → `401`; два значения `Remote-Email` → `200`, и в базу ложится **первое**
  (`attacker-first@example.com`).
- Последствие: `docs/security.md:71-74` называет прокси, **добавляющий** заголовок
  вместо замены, главной угрозой периметра и пишет: «Половину этой беды сервис
  закрывает сам: запрос с двумя значениями `Remote-User` не узнаёт никого».
  Утверждение верно ровно для одного заголовка из трёх. `Remote-Name` и
  `Remote-Email` берутся `Get()` — первым значением, то есть присланным анонимом,
  — и логин от них не защищает. Уникальный индекс `idx_users_email` не даёт
  двум записям делить адрес, `EnsureUser` найденную запись не переписывает
  никогда, а ветвь отката заводит настоящего владельца через
  `insertUser(tx, login, name, "")` **без строки журнала**. Порча тихая и
  постоянная: обратного пути у неё в коде нет. **Сегодня цена почти нулевая** —
  `contract.UserAccount` поля `Email` не имеет вовсе, приложение почту не
  показывает, доступ по ней не выдаётся; поэтому не блокирует мердж. Цена
  появляется в тот день, когда почту начнут читать (в бэклоге лежит
  `api-tokens`), и к этому дню колонка уже будет испорчена молча.
- Предложение: судить `Remote-Name` и `Remote-Email` тем же правилом, что
  `Remote-User` — `len(r.Header.Values(name)) != 1` даёт пустое значение, а не
  первое; ветвь отката уникальности почты обязана оставить строку журнала
  видимого уровня.
- Найдено проходом: `adversary` (V1); оракул добыт триажем заново, обоими
  звеньями.
- **Действие: развилка.**

  > Правка меняет боевой путь узнавания, а не отладочную подстановку, — то есть
  > выходит за scope этой задачи и требует нового требования в спеке `access`
  > (сегодня спека нормирует многозначность только для `Remote-User`). Что
  > делаем?
  >
  > 1. **Взять в этот change:** три строки в `identity.go` + строка журнала в
  >    ветви отката + абзац в требование спеки. Логика ровно та же, что слой
  >    подстановки уже применил к себе («Запрос без `Remote-User`, но с
  >    `Remote-Email` иначе собрал бы личность из двух источников»), — правило
  >    просто не донесено до соседних двадцати строк.
  > 2. **Отдельной задачей**, потому что предмет другой и цена сегодня нулевая:
  >    почту никто не читает. Тогда `docs/security.md:71-74` надо поправить в
  >    этом мердже — фраза «половину этой беды сервис закрывает сам» описывает
  >    периметр точнее, чем он есть, и ссылаться на неё нельзя.
  > 3. **Только документ:** записать асимметрию как принятую цену, потребовав от
  >    прокси перезаписи всех трёх `Remote-*` (требование к контуру уже записано,
  >    см. «Недоступно проверке»), и колонку почты не трогать.

### 6. Страж, отменяющий слой подстановки, не защищён ни одной проверкой и считает «подставляем ли» вторым выражением: убрать его можно молча, а разойтись он может сам

- Файл: `internal/controller/http/server.go:27-49` (строка 44
  `if len(substitution) > 0`); `internal/config/test_headers.go:33-43`;
  `internal/controller/http/substitute_test.go:229-246`
- Severity: minor
- Confidence: high
- Оракул: чтение с двумя дословными сопоставлениями.
  (1) Комментарий `server.go:30-31` утверждает: «Судит эту пустоту точка входа:
  перечень приходит сюда уже готовым», — а строка 44 судит её второй раз своим
  выражением. Тождество двух формулировок (`c.Server.Debug && len(TestHeaders) > 0`
  против `len(substitution) > 0`) сегодня держится только тем, что
  `HeaderSubstitution` возвращает `nil` в ложной ветке; ничем другим оно не
  закреплено.
  (2) Единственная проверка на пустую имитацию — `TestEmptySectionLeavesHeadersUntouched`
  — судит три вещи: код `401`, неизменное число учётных записей и отсутствие в
  журнале строки `"Identity headers are not substituted"`. Строка эта пишется
  **только** в ветке недоверенного пира (`substitute.go:80`), а запрос проверки
  идёт с `trustedPeer`, — значит утверждение истинно при любом исходе. Первые два
  утверждения тоже истинны при снятом страже: заголовка `Remote-User` в запросе
  нет, слой удалил бы `Remote-Email` и пропустил дальше, узнавание всё равно
  ответило бы `401` и записи бы не завело.
  Мутационную сверку — снять страж и убедиться, что проверка зеленеет, — не
  делал: `CLAUDE.md`, «Запреты», прямо запрещает мутационную сверку оракулов.
- Последствие: сценарий дельта-спеки «Пустая секция имитации ничего не трогает»
  не проверен ничем, хотя в наборе проверок выглядит проверенным, — а именно к
  этому сценарию спека привязывает своё «поведение, которого в бою нет»
  (срезанный `Remote-Email` у запроса без `Remote-User`). Дубль предиката при
  этом расходится в первой же правке, дающей непустой признак при пустой карте:
  исход будет «старт предупреждает о подстановке, а слоя в цепочке нет» — и
  предупреждение соврёт.
- Предложение: `AppChain` принимает вторым значением сам предикат
  (`substituting bool`) вместо того, чтобы выводить его из длины карты; проверка
  судит **дошедшее до узнавания** — что `Remote-Email`, посланный запросом,
  доехал до обработчика нетронутым, — а не журнал.
- Найдено проходами: `code/техника` (C1), `architecture` (R3), `specs`
  (замечание про два места).
- **Действие: инлайн.**

### 7. Два нормативных документа описывают изъятие мягче, чем оно есть: паспорт обосновывает его доводом, который в изъятии не действует, а принцип архитектуры запрещает ровно то, что сам приводит примером

- Файл: `docs/passport.md:65-75`; `docs/architecture.md:84-91`
- Severity: minor
- Confidence: high
- Оракул: дословное сопоставление внутри одного изменения.
  (1) `docs/passport.md:73` — «подставленное имя проходит то же узнавание, что и
  пришедшее, **а кого пускать, по-прежнему решает провайдер**». Дельта-спека в
  том же изменении: «Подстановка — это настройка, которой сервис называет
  пришедшего сам, **никого не спросив**» (`substitute.go:32-33` теми же словами).
  Провайдера в изъятии нет вовсе. Там же паспорт пишет «*Изъятие одно, и оно про
  прогон без контура*» — код таким не ограничен: подстановка работает везде, где
  адрес пира доверенный, и `docs/security.md:97-102` это признаёт прямо
  («Боевая поломка машиной не исключена»). Два документа одного изменения
  расходятся об одном изъятии.
  (2) `docs/architecture.md:84-91` — заголовок нормы «Подставной собеседник
  живёт **в коде или в оснастке**», тело — «только под ключом, названным своим
  предметом, — **не под общим словом вроде «режим отладки»**», и следом
  собственным примером норма называет случай, который живёт в боевом бинарнике и
  стоит под `[server] debug`. Единственная операционная формулировка изъятия —
  закрытый перечень следствий — живёт в спеке, и принцип на неё не ссылается.
- Последствие: `docs/passport.md` — единственный дом границы домена, и `CLAUDE.md`
  велит читать его перед задачей. Записанная так граница перестаёт исключать то,
  ради чего заведена: следующая задача (в бэклоге лежит `api-tokens`) сможет
  сослаться на строку «кого пускать, решает провайдер» как на действующее
  ограничение, которого нет. Норма архитектуры, обратно, читается как «шипящая
  реализация нарушает наш собственный принцип» — а ключ `[server] debug`
  владелец подтвердил дважды и переоткрывать его нельзя; значит расходится норма,
  а не код. `docs/review.md` при этом уже объявил пробел закрытым этой нормой,
  то есть на неё уже сослались.
- Предложение: в паспорте заменить довод на верный («сервис называет пришедшего
  сам; границы домена это не двигает, потому что учётных записей он по-прежнему
  не заводит и допуска не проверяет — заведение строки первым обращением
  остаётся зеркалированием») и снять слова «оно про прогон без контура». В
  `docs/architecture.md` свести принцип к связывающему правилу со ссылкой на
  требование спеки (закрытый перечень следствий предохранителя), не повторяя
  перечень второй копией.
- Найдено проходом: `architecture` (R1, R2).
- **Действие: инлайн** (две правки, оба файла — документация).

---

## Гипотезы без доказательства

Понижены: оракула на этом прогоне триаж не добыл — по бюджету (одна попытка на
находку ушла на `critical`/`major`) либо по запрету проекта.

### Имя копии в каталоге данных выводится из идентификатора записи одним инкрементом

- Файл: `internal/ident/ident.go:79-99`; `internal/service/transcribe.go:176-201`
- Было: minor / high (`adversary`, V2). **Осталось minor:** оракул у прохода
  есть (`TestProbeStorageNameDerivesFromRecordID`, `TestProbeDerivationRate` —
  49 из 50 приёмов подряд), но триаж его не воспроизводил, а согласие одного
  прохода с самим собой подтверждением не является.
- Последствие: инвариант `CLAUDE.md` «Имя файла на диске задаёт сервис, а в
  журнал не идёт… строка журнала иначе стала бы бессрочным ключом к чужой
  записи» соблюдён по букве и не по назначению: `record_id` и `file_ext`
  присутствуют в журнале порознь и дают имя арифметикой. Доступа это не даёт —
  карточка и файл сужены владельцем, — поэтому не выше minor.
- Предложение: случайное положительное приращение вместо единицы либо снять
  посылку из инварианта. Уходит задачей.

### Управляющий знак в расширении имени даёт отправителю `500`, а владельцу — `ERROR`, неотличимый от аварии хранилища

- Файл: `internal/service/transcribe.go:171-188`;
  `internal/adapter/repo/sqlite/file_repo.go:56-67`
- Было: minor / high (`adversary`, V3). **Осталось minor:** падающий тест у
  прохода есть, триаж его не воспроизводил.
- Последствие: комментарий `transcribe.go:171-175` объявляет этот исход
  недопустимым и ради него заведён `maxExtLen`; разрез сделан по длине и не
  сделан по составу знаков. Побочно `newWorkFile` не снимает путь с
  `*os.PathError`, и путь во временном каталоге уезжает в строку `ERROR`.
- Предложение: судить состав знаков расширения тем же приёмом, что и длину.
  Уходит задачей.

### Текст отказа провайдера уезжает в `error_text` и в журнал целиком, а самый ожидаемый его вид несёт `sourceURI` — бакет и ключ объекта

- Файл: не локализован проходом точнее уровня «ветвь отказа распознавания»
- Было: minor / medium, **оракула нет и быть не может на этом прогоне**:
  настоящий SpeechKit нужен, а `CLAUDE.md`, «Запреты», прогон на реальных ключах
  запрещает («Yandex Cloud за деньги»). Строка живёт в
  `docs/review.md`, «Недоступно проверке», первым списком.
- Последствие (условное): ключ объекта в `error_text` виден владельцу записи
  карточкой; инвариант «Содержимое записи остаётся приватным» им прямо не
  нарушен, но перечень того, что уходит в текст ошибки, ничем не ограничен.
- Предложение: задачей — ограничить текст внешнего отказа перечнем полей, а не
  пересказывать его дословно.

### Требования «прокси обязан дописывать `X-Forwarded-For`» нигде не записано, в отличие от `Remote-*`

- Файл: `docs/security.md:103-113`
- Было: minor / medium (`adversary`). **Оракула нет:** правило живёт в
  `files/caddyproxy/Caddyfile.template` репозитория `pet-project-server`, и
  `docs/review.md`, «Недоступно проверке», относит поведение обратного прокси к
  тому, чего не проверит ни один проход.
- Последствие (условное): `docs/security.md` описывает чтение цепочки
  справа налево словами «правое приписал ближайший к нам прокси» — это
  предположение о прокси, а не требование к нему. Прокси, который `X-Forwarded-For`
  не дописывает вовсе, оставляет ключ бюджета ограничителя целиком в руках
  спрашивающего.
- Предложение: задачей — дописать требование к контуру рядом с уже записанным
  требованием про `Remote-*`.

---

## Promote candidates

- **Правило «`internal/config` не знает транспорта» механизируемо, но не
  механизировано.** Норма записана этим же изменением
  (`docs/conventions/config.md`, «Проверка, охватывающая две секции разом»), а
  `grep -n "config" internal/archrules/arch_test.go` не даёт ни одного
  совпадения: сканера у правила нет. Кандидат — правило `internal/archrules` по
  нетестовым файлам пакета. Предложил проход `architecture`.
  **Оговорка к механизации:** `internal/config/test_headers_test.go:1-8`
  объявлен `package config` и импортирует `internal/controller/http` — то самое
  ребро. В рабочем бинарнике его нет, но `go test ./internal/config` линкует всю
  поверхность HTTP, а будущая надобность конфига в транспорте даст цикл импорта
  на уровне проверок. Правило по нетестовым файлам этот файл пропустит; правило
  по всем — уронит гейт до переноса файла во внешний `package config_test`.
- **`errors.Join` в проверках конфига.** `docs/conventions/errors.md`,
  «Несколько ошибок», называет проверку конфига поимённо и требует «все проблемы
  разом»; `ValidateTestHeaders` возвращается на первом несовпадении, записи
  «*Расхождение:*» у пункта нет. Это претензия на правило, а не на этот код:
  проверки остальных секций ведут себя так же. Предложил проход `code` (C5).
- **Сверка `toml.MetaData.Undecoded()` как норма конфига.** Вариант 2 развилки
  находки 2. Если владелец выберет узкую правку, кандидат остаётся здесь:
  непонятый ключ в любой секции сегодня проходит молча.

---

## Границы покрытия

### План: темы, глубины, дома

Воспроизведён таблицей в сводке выше. Дома: `openspec/specs/access/spec.md` +
дельта (`requirements`, разбор); `CLAUDE.md`, «Гейт» (`autotests`);
`docs/conventions/` целиком (`conventions`, разбор); `docs/architecture.md` +
источник `docs/passport.md` (`architecture`, доказательство); `docs/security.md`,
«Периметр» (`security`, доказательство); `docs/architecture.md`, «Эксплуатация» +
источник `docs/database.md` (`operations`, доказательство). **Тема без дома
одна** — «тема проекта»: своих тем сверх ядра проект не завёл, и это состояние
плана, а не пропуск.

### Какие проходы запускались

Метка `large`, режим «по графу». Запускались шесть: `autotests`, `specs`, `code`,
`architecture`, `adversary`, `ops`. Триаж — седьмой.

### Какие не запускались и почему

- `basics` — **по метке**: на `large` он не запускается, потому что все темы
  ядра разобраны именными проходами, а своих тем у проекта нет. Прямое следствие:
  второго независимого голоса о заниженности метки нет — сигнал пришёл только от
  `review-code`.
- Проход независимой реализации — снят из конвейера по стоимости.
- Проход про идиоматичность — упразднён.

### Чего каждый запущенный проход не мог проверить в принципе

- `autotests` — судит гейт и покрытие, но не судит, **что** проверяют зелёные
  проверки: находка 6 (проверка, которая не может упасть) из его charter'а не
  видна, её принёс `code`.
- `specs` — судит соответствие кода дельте и полноту дельты; не судит, работает
  ли требование в настоящем прогоне (потому S4 у него остался рассуждением, а
  оракул добыл триаж).
- `code` — судит записанные конвенции и технику; периметра и эксплуатации не
  касается.
- `architecture` — судит направления зависимостей и нормы домов; карту графа
  собирал **вручную**, подготовленной команды у проекта нет.
- `adversary` — строит пути; поведения настоящих внешних собеседников не
  проверяет вовсе.
- `ops` — судит эксплуатацию по замерам своего прогона; профиля настоящей
  нагрузки у него нет (проект работает на единицах записей в день).
- **Триаж (этот проход)** — ничего нового не находит по определению: работает с
  чужими выводами, кода в поисках дефектов не читает. Пропуск любого прохода —
  пропуск триажа тоже, и единственное средство против него — поимённая сверка
  плана выше.

### Что осталось целиком на человеке

**Не проверит ни один проход** (`docs/review.md`, «Недоступно проверке», первый
список — воспроизводится отдельно от второго намеренно):

- `operations`: поведение внешних сервисов под нагрузкой и на границах —
  SpeechKit и Object Storage поднять в тесте нечем;
- `operations`: реальный профиль нагрузки; утверждения о росте остаются
  условиями, а не замерами;
- `security`: стойкость `ffmpeg` к вредоносному входу;
- `security`: поведение настоящей Authelia и правило обратного прокси на домен
  сервиса — **от прокси зависит весь барьер**, он обязан заголовки `Remote-*`
  перезаписывать, а не пропускать пришедшие; правило живёт в
  `pet-project-server`. **Прямо относится к находке 5:** сценарий
  дописывающего прокси проверить отсюда нечем, а асимметричную реакцию сервиса
  на него — можно, и она проверена;
- `security`: поведение браузера с куками (класс пуст с 2026-08-22, строка стоит
  как маркер).

**Перестали проверять сознательно** (второй список, тот же раздел):

- `autotests`: разбор вывода настоящего `ffprobe` — проверки получают
  длительность от подставного источника; решение и цена в
  `adr/ADR-2026-08-11-stub-adapters-in-tests.md`;
- работа сервиса с настоящими внешними собеседниками. Сам сервис поднять можно и
  этот прогон его поднимал; **остаток** — за настоящие SpeechKit и Object
  Storage живой прогон не отвечает, ключи выдуманные, распознавание подменяется
  в коде. Вход живой прогон с 2026-08-22 проверяет целиком, и раздел уже
  переписан этой задачей: подставного прокси нет, заголовок ставит сам сервис.

**Общее, вне обоих списков:** история инцидентов, поведение под реальным
потоком, поведение внешних систем в их версиях, завязка потребителей на текущее
поведение и вопрос «а нужна ли эта функциональность вообще» — ничем из
перечисленного конвейер не занимался.

### Четыре строки, которых не принесёт ни один проход

1. **Решения проекта не сверялись.** `docs/adr.*` — процессный документ, прогон
   его не открывает. Расхождение изменения с записанным решением ловит скилл
   `av-dev:doc-healthcheck`, а не ревью. В этом изменении есть чему разойтись:
   `ADR-2026-08-22-login-by-trusted-header.md` описывает вход, к которому
   заведено изъятие, и сверен с ним никем не был.
2. **Записанные наблюдения проекта не использовались.** `docs/research.*` — тоже
   процессный. Всякое число в отчёте снято проходом на этом прогоне: бенчмарк
   `BenchmarkSubstituteIdentityHeaders` (2972 ns/op, 5718 B/op, 17 allocs/op) —
   замер прохода `ops`, покрытие (`test_headers.go` 100 %,
   `SubstituteIdentityHeaders` 94,4 %, `SubstitutedHeaderNames` 0,0 %) — вывод
   `go tool cover -func` прохода `autotests`, остальные числа — прогоны триажа с
   приложенными командами.
3. **Поимённая сверка с руководствами по стилю Go не задавалась ни одним
   проходом.** Различение «идиоматично против распространено» не спрашивает
   никто с тех пор, как упразднён проход про идиоматичность.
4. **Альтернативной реализации, с которой можно сдиффить решения, у конвейера
   нет.** Проход независимой реализации снят по стоимости, а не по замеру; «не
   знаю, чего не знаю» на этом прогоне не доставал никто.

Метка — `large`, поэтому пятой строки (сужение `security`/`operations`/
`architecture` до записанных инвариантов) здесь нет: все три темы разобраны
именными проходами на глубине «доказательство».

### Каких документов проекта не хватило

- **`docs/review.md`, «Типовые ложноположительные» — есть и непуст**, прочитан
  целиком (5 записей, две из них отменённые намеренно). Ни одна находка этого
  прогона под них не подпадает; отсев шёл и по проектному входу, и по общим
  критериям.
- **Раздела инвариантов `CLAUDE.md` хватило.** На него опираются находки 4
  («Секрет не покидает конфиг», **critical**, необратимо) и гипотеза про имя
  копии («Имя файла на диске задаёт сервис, а в журнал не идёт», **critical**).
  Ранжирование по обратимости взято оттуда же, а не выведено из кода.
- **Не хватило: у `[server] debug` нет дома, называющего исчерпывающий перечень
  его следствий в одном месте.** Перечень объявлен трижды — комментарием
  `internal/config/config.go:65-71`, комментарием `config.example.toml:7-13` и
  требованием дельта-спеки, — и три копии уже расходятся: комментарий конфига
  называет пять исключённых следствий, образец — четыре (в нём нет «проверок
  старта»). Строка о том, где перечень канонический, отсутствует, и триаж
  выбирал спеку по общему правилу «спека нормативна», а не по записанному
  указателю.
- **Не хватило: `docs/conventions/logging.md` не называет, каким уровнем
  пользоваться, когда отладочный недостижим.** Уровень журнала у сервиса зашит,
  ключа у него нет, и конвенция про это молчит — поэтому находка 1 подана
  развилкой, а не инлайном: своего основания выбрать вариант у триажа нет.
- **Оракул из журнала дефектов не применялся:** ни одна запись журнала
  `docs/review.md` не описывает класс, совпадающий с находками этого прогона.
  Ближайшая — «ключ бюджета ограничителя выбирал тот, кого ограничивают»
  (2026-08-23) — соседствует с гипотезой про `X-Forwarded-For`, но предмет у неё
  другой.

### Сработавшие потолки

- **По проходам: ни один не сообщил свой потолок.** Ни `autotests` (1 находка),
  ни `specs` (4), ни `code` (5), ни `architecture` (3 + 2 замечания), ни
  `adversary` (3 + 3 свойства), ни `ops` (1) не сказали, каков был их предел и
  что осталось за срезом. Это находка о прогоне, вынесенная в сводку отдельной
  строкой; закрыть её отсюда нечем.
- **Потолок триажа сработал.** На входе 21 находка, в первые две секции влезло
  7. **Не влезло и здесь названо поимённо:**
  - `A1`/`S2` — `SubstitutedHeaderNames` не вызвана ни одним тестом
    (`go tool cover -func` → 0,0 %). Триаж добыл ей однократный оракул: прогон
    настоящего бинарника печатает `headers=[Remote-User]` — имена, не значения,
    — то есть **дефекта сегодня нет**, есть отсутствие защиты от регрессии
    против MUST NOT дельта-спеки («строка старта MUST не нести значений»).
    Понижено до minor, инлайн-правка на один тест, если у оркестратора останется
    бюджет;
  - `C3` — умолчания `Debug` и `TestHeaders` заданы нулём типа, а не в
    `defaultConfig()`. Нарушена записанная конвенция
    `docs/conventions/config.md:181-191`: «Умолчания задаются в `defaultConfig()`…
    Новое поле требует правки обоих мест», и там же форма обязательного поля —
    «умолчания нет ни в `defaultConfig()`, ни по нулевому значению типа». Форма
    записи необязательного поля стала неотличима от формы обязательного. `nit`,
    инлайн;
  - `C4` — `internal/config/test_headers_test.go` объявлен `package config` и
    импортирует `internal/controller/http`, ребро запрещено той же правкой в
    `docs/conventions/config.md`. `nit`; отражён оговоркой в Promote candidates,
    потому что чинить его в одиночку смысла меньше, чем вместе со сканером;
  - `C5` — `ValidateTestHeaders` возвращается на первом несовпадении вместо
    `errors.Join`. Уехал в Promote candidates: правило шире этого кода;
  - `C2` — комментарий `Dockerfile:49-50` объясняет исключение `cmd/devtools`
    словами «оснастка разработчика (подставной прокси)», а подкоманды больше нет;
    приёмочный шаг `tasks.md:88` искал следы по строке `devtools proxy` и эту не
    поймал. Плюс `internal/controller/http/mounts.go:54-56` перечисляет три звена
    цепочки, тогда как `AppChain` одевает четыре. `nit`, инлайн, две строки;
  - **расхождение записи имени ключа**: `[auth] test_headers` в дельта-спеке,
    `docs/security.md`, `docs/architecture.md` и `docs/review.md` против
    `[auth.test_headers]` в `config.example.toml`, `README.md`, `CLAUDE.md`,
    `docs/conventions/config.md` и в текстах отказов старта самого кода
    (`test_headers.go:16`). Человек, ищущий в конфиге то, что назвал отказ
    старта, найдёт вторую форму; первая в файле не встречается вовсе. **Не
    находка этого прохода:** `CLAUDE.md`, «Гейт», относит согласованность
    документов между собой и с кодом к скиллу `av-dev:doc-healthcheck`. Названо
    здесь, чтобы не потерялось;
  - **рецепт локального входа записан четырьмя копиями** — `config.example.toml`
    (канон), `README.md:48-61`, `CLAUDE.md:276-288`,
    `docs/conventions/config.md:66-75`. Замечание `architecture` «дешевле
    переделать до мерджа»; по той же причине уходит в `doc-healthcheck`;
  - границы прохода `specs`, перенесённые без изменений: значения
    `Remote-Name`/`Remote-Email` в секции имитации на старте не судятся ничем
    (годность проверяется только у логина); `strings.TrimSpace` над именем ключа
    — поведение сверх спеки, последствий у него не найдено.

### Урожай враждебного прохода

Пути обхода **самой подстановки** — предмета этого изменения — не построено:
шесть отрицательных проб (два значения `Remote-User` при включённой подстановке
→ `401`; чужие `remote-email`/`remote-name` в нижнем регистре на живом сервере →
слой владеет тройкой целиком; сверка адреса идёт той же функцией, что у
узнавания; неразобранный `RemoteAddr` → отказ подстановки; канонизация ключей
против регистра, NBSP, ZWSP → старт падает; у `[server] debug` второго
потребителя нет). Состояния «подстановка работает, а владелец не знает» не
найдено. **Это положительный исход по теме, а не отсутствие работы.**

Построенное легло на соседнюю поверхность. Судьба каждой:

| Находка | Чинится этим мерджем? | Куда |
|---|---|---|
| V1 — почта берётся первым значением, сквоттинг молчит | **развилка**, вариант 1 берёт в мердж | находка 5 |
| `.env` не игнорируется git | **да**, одной строкой | находка 4 (инлайн) |
| `godotenv.Load()` мёртв (ничто не читает переменные окружения), а `WARN` на каждом старте приглашает завести `.env` | нет | **задачей**: снять зависимость `github.com/joho/godotenv` из `go.mod`, четыре строки из `cmd/transcriber/main.go:114-117` и строку `.env` из `.dockerignore` — либо, если переменные окружения нужны, завести им читателя. Оракул для задачи: `grep -rn "os.Getenv\|os.LookupEnv" --include=*.go internal/ cmd/ \| grep -v _test` → пусто; прогон бинарника печатает `level=WARN msg="Warning: .env file not found, using system environment variables"` |
| V2 — имя копии выводится из `record_id` инкрементом | нет | **задачей**, гипотеза выше; оракулы прохода названы поимённо |
| V3 — управляющий знак в расширении → `500` и `ERROR` | нет | **задачей**, гипотеза выше |
| Текст отказа провайдера с `sourceURI` в `error_text` | нет | **задачей**, оракула нет и на этом прогоне быть не может (запрет на реальный SpeechKit) |
| Требование к прокси про `X-Forwarded-For` не записано | нет | **задачей** в `docs/security.md`, рядом с уже записанным требованием про `Remote-*` |

Заведение задач — не работа триажа; формулировки выше отданы с оракулами, чтобы
ни одна не потерялась при переносе.

### Оракулы, добытые триажем

Все тесты писались во временные файлы пакетов и **удалены** после прогона;
рабочее дерево на момент сдачи отчёта содержит ровно те изменения, что были на
входе (`git status --short` сверен). Прогоны бинарника шли в каталог скретчпада,
не в `data/`; поднятый сервис остановлен за собой (`pkill`), порт освобождён —
правило `docs/review.md:16-23`.

1. `go test ./internal/config/ -run TestTriage -v` — три случая разбора TOML
   (дубль по регистру, опечатка в имени секции, опечатка в имени ключа).
2. `go test ./internal/controller/http/ -run TestTriage -v` — сквозной сквоттинг
   почты на настоящей поверхности `AppChain` и асимметрия правила многозначности.
3. `go build -o <скретчпад>/transcriber ./cmd/transcriber` + два прогона
   настоящего бинарника на порту 18099 с каталогами данных в скретчпаде: конфиг
   с опечаткой в имени секции и конфиг правильный.
4. `git check-ignore -v .env`; `grep -rn "\.Debug(" --include=*.go internal/ cmd/`;
   `grep -rn "os.Getenv\|os.LookupEnv" --include=*.go internal/ cmd/`;
   `grep -n "config" internal/archrules/arch_test.go`.

Гейт триаж не перезапускал: его исход взят у прохода `autotests` как замер,
снятый на этом прогоне.