transcriber/openspec/changes/archive/2026-08-22-trusted-header-login/review/report.md

Ревью изменения trusted-header-login

Сводка

• Режим прогона: по графу. Метка: large. Размер и сложность в задании триажу не переданы — обоснование разметки воспроизвести нечем, метка взята как объявленная.
• База диффа: origin/master. Изменение читалось вместе с непрослеженными файлами (cmd/devtools/, internal/adapter/repo/pocketbase/identity.go, migrations/202608220001_trusted_header_login.go, internal/controller/http/identity.go, дельта-спеки change).
• Состояние гейта: зелёный целиком, кроме шага dockerfile — hadolint даёт DL3066 на Dockerfile:94. Отказ унаследован (воспроизведён на чистом origin/master), долг объявлен строкой в CLAUDE.md, раздел «Гейт». Новым красным шагом это изменение гейт не красит.
• На входе: 31 пронумерованная находка проходов + 4 пункта «дешевле переделать до мерджа» от architecture + 1 замер без дефекта от ops. На выходе: 3 + 4 = 7 в основных секциях, остальное — ниже, ничего не выброшено молча.

План с исходом по каждой теме

тема	дом	глубина	кто закрывает	исход
requirements	дельта-спеки change + openspec/specs/	разбор	specs	закрыта, 8 находок (5–12); в отчёт ушли 2, ещё 4 — ниже
autotests	CLAUDE.md, «Гейт»	—	autotests	закрыта, 4 находки (1–4); в отчёт не ушла ни одна самостоятельно, одна закрывается правкой №3
conventions	docs/conventions/	разбор	code	закрыта, 8 находок (15–22); в отчёт ушли 2
architecture	docs/architecture.md + docs/passport.md	доказательство	architecture	закрыта, 2 находки + 4 пункта «до мерджа»; в отчёт ушла 1
security	docs/security.md	доказательство	adversary	закрыта, 6 находок (23–28); в отчёт ушли 3
operations	docs/architecture.md «Эксплуатация» + docs/database.md	доказательство	ops	закрыта, 3 находки + 1 замер без дефекта; в отчёт не ушла ни одна, старшая — в гипотезах

• Тем без отчёта нет. Тем без дома в плане нет.
• basics не запускался — своих тем проекта нет, все шесть разобраны именными проходами.
• Сигнал о заниженной метке: review-code отработал и возражений по метке не подал; review-basics не запускался, поднять метку было некому. Молчание здесь — молчание одного корректора из двух, а не двух из двух.

---

Блокирует мердж

Запрос, отвергнутый ограничителем частоты, всё равно заводит учётную запись

• Файл: internal/controller/http/identity.go:91, internal/controller/http/errors.go:219
• Severity: major (critical не ставлю: инвариант CLAUDE.md этим не нарушен, а путь ведёт к мусору в коллекции, а не к порче чужих данных)
• Confidence: high
• Оракул: свой падающий тест, прогнан на этом прогоне. Слой узнавания стоит на DefaultLoadAuthTokenMiddlewarePriority + 1 = −1019, ограничитель библиотеки — на −1000 (apis/middlewares_rate_limit.go:16), то есть узнавание отрабатывает до ограничителя. Прогон: 120 запросов выбирают бюджет, следующие 50 запросов новыми логинами получают 429 — все 50, — а учётных записей в коллекции становится 2 → 52.
• Последствие: ограничитель частоты не защищает ничего из того, что делает слой узнавания. Каждый отвергнутый запрос — это как минимум чтение из базы (поиск по логину идёт на каждом запросе по норме access), а с новым именем — ещё и запись. Учётная запись, заведённая мусором, из сервиса не убирается: спека access называет цену прямо — «слить их или убрать нечем». Барьер «заголовок ставит прокси» этот путь сужает, но не закрывает: docs/review.md, «Недоступно проверке», записывает поведение прокси как непроверяемое отсюда, и строить на нём защиту базы значит держать один барьер вместо двух.
• Предложение: перенести слой узнавания на apis.DefaultRateLimitMiddlewarePriority + 1 (−999), а RequireUser — на + 2 (−998). Порядок «токен (−1020) → ограничитель (−1000) → узнавание (−999) → требование записи (−998) → предел тела (−990)» сохраняется целиком.
• Найдено проходом: adversary (25); подтверждено собственным прогоном триажа.
• Действие: инлайн

Ответ на первый вопрос задания — перестановка проверена запуском. С приоритетами −999/−998 прогнан весь go test ./...: единственным красным остался мой временный тест на находку про общий бюджет (ниже, №4), все существующие проверки пакета internal/controller/http — включая оба критерия приёмки, победу предъявленного токена над заголовком и «проба здоровья учётной записи не заводит» — прошли. Заведение записи после 429 при этом пропало: 2 → 2. Предел тела на −990 действительно остаётся после требования учётной записи, «отказ неузнанному до чтения тела» сохраняется.

Одно последствие перестановки задание не называет, и оно настоящее. Сейчас RequireUser (−1018) отказывает неузнанному до ограничителя, и отказы бюджета не тратят. После переноса — тратят: замер на этом прогоне, 125 запросов без заголовка, и следующий запрос узнанного человека получает 429 (до перестановки — 200). Само по себе это правильнее (счёт отказов и есть работа ограничителя), но вместе с общим бюджетом (№4) оно даёт анониму, дотянувшемуся до контейнера, выключение сервиса для всех. Поэтому №1 и №4 едут одной правкой, а не порознь.

Ключ учётной записи правится рукой в панели, и архив уезжает следующему с этим именем

• Файл: internal/adapter/repo/pocketbase/migrations/202608220001_trusted_header_login.go:77-82, internal/adapter/repo/pocketbase/panel.go:33-34

• Severity: major

• Confidence: high

• Оракул: дословное требование дельта-спеки openspec/changes/trusted-header-login/specs/access/spec.md: «Ключ учётной записи MUST не правиться ничем, кроме заведения самим сервисом. Ни запросом снаружи, ни рукой в панели». Плюс grep -rn "OnRecordUpdateRequest" --include=*.go internal/ cmd/ → единственная привязка стоит на migrations.RecordsCollection, на users хука нет. Шаг схемы закрывает правила API (UpdateRule = nil), а панель работает суперпользователем — это записано комментарием самого шага, строки 48–50.

• Последствие: переписанный в панели provider_login отдаёт весь архив прежнего владельца тому, кто придёт с этим именем следующим. Владелец записи назначается один раз и не меняется — вернуть архив нечем. Правка своя, сознательная, но необратимая и молчаливая: журнала событий у коллекции пользователей нет.

• Предложение: развилка ниже.

• Найдено проходом: specs (6)

• Действие: развилка

  Вопрос владельцу. Требование спеки «ключ не правится рукой в панели» сегодня не держит ничто: правила API закрыты, но панель ходит суперпользователем. Три варианта: (А) завести хук OnRecordUpdateRequest(users), отвергающий смену непустого provider_login — в проекте уже есть тот же приём для записей (pbrepo.BindPanelRules), цена — десяток строк и проверка; (Б) переписать требование, назвав панель доверенной и записав цену («ключ правится владельцем сервиса, откатить правку нечем»); (В) оставить как есть — тогда спека и код расходятся молча, и это расхождение переживёт мердж.

Заведение учётной записи не оставляет в журнале ни строки, а поломка контура пишется на уровне, которого в бою нет

• Файл: internal/controller/http/identity.go:101-108,128-151, internal/adapter/repo/pocketbase/identity.go:52-87
• Severity: major
• Confidence: high
• Оракул: свой прогон. Запрос новым логином с доверенного адреса → ответ 200, учётная запись заведена, перехваченный журнал — пустая строка (""). Дословное требование дельта-спеки access: «Исход узнавания MUST оставлять строку журнала — и когда заголовок пришёл с недоверенного адреса, и когда учётная запись заведена. […] Строка несёт адрес пира и идентификатор учётной записи». Второй симптом: ветвь «более одного значения Remote-User» (строки 103–106) пишет Debug, боевой уровень — Info (docs/conventions/logging.md, «Расхождение: уровень зашит константой»).
• Последствие: сервис заводит учётные записи молча — владелец не отличит «никто не заходил» от «завелось двадцать записей», а по спорной учётной записи не скажет, когда и с какого адреса она появилась. Хуже второе: docs/security.md называет прокси, добавляющий заголовок вместо замены, главным барьером контура, и половину этой беды сервис закрывает сам — но закрывает невидимо: строка о двух значениях в боевом журнале не появляется вовсе. Поломка контура, которую сервис поймал, владельцу неотличима от тишины.
• Предложение: logger.Info на исходе «учётная запись заведена» — с адресом пира и идентификатором записи, без значения заголовка (инвариант «Содержимое записи остаётся приватным» и требование спеки «MUST не нести значения заголовка»); уровень ветви «два значения» поднять до Warn — ровно как у ветви недоверенного пира, по той же причине и с той же ценой.
• Найдено проходами: specs (5) и adversary (26) — две находки об одной причине, слиты; оракула у согласия проходов нет, оракул свой.
• Действие: инлайн

---

Стоит исправить сейчас

Бюджет ограничителя частоты общий на весь сервис: один человек выключает сервис остальным

• Файл: internal/controller/http/rate_limit.go:20-23, internal/controller/http/app.go:43-63, internal/config/config.go:91-96, cmd/transcriber/main.go:238-246

• Severity: major

• Confidence: high

• Оракул: свой падающий тест. 125 запросов первого человека выбирают бюджет, первый запрос второго человека получает 429. Причина — в исходниках библиотеки: checkRateLimit берёт ключом e.RealIP() (apis/middlewares_rate_limit.go), а RealIP() при пустом Settings.TrustedProxy.Headers откатывается к адресу пира (core/event_request.go:40-75). Пир теперь всегда обратный прокси.

• Последствие: объявленная сервисом частота опроса выводится из доли бюджета (pollBudgetShare = 8, PollIntervalMs = 4000) в расчёте на то, что бюджет делят немногие. Делят его все: восемь одновременных опросов выбирают его целиком, и девятый человек получает 429 на пустом месте. Отказ шумный, но причина невидима — по журналу он неотличим от собственной активности.

• Дефект старше этой задачи (правило заведено spa-skeleton 2026-08-15, прокси перед сервисом стоял и тогда). Уточнение к формулировке прохода: docs/database.md:344 и app.go:43-49 не утверждают обратного — там прямо написано «бюджет считается по адресу спрашивающего, а не по учётной записи», и даже назван случай «двое за одним домашним адресом делят его пополам». Сломалось не правило, а основание правила: «адрес спрашивающего» выродился в один адрес на всех, и число 120/60 выбиралось не под это.

• Найдено проходами: architecture (13) и adversary (23); подтверждено собственным прогоном.

• Действие: развилка

  Ответ на второй вопрос задания: чинить здесь. Не потому, что дефект этой задачи — он не её, — а потому, что правка №1 делает его достижимым для анонима: после переноса RequireUser за ограничитель отказы неузнанному начинают тратить общий бюджет (замерено на этом прогоне: 125 анонимных запросов → узнанный человек получает 429). Мерджить №1 без ответа на №4 значит завести новый путь к отказу сервиса.

  Вопрос владельцу. Чем считать бюджет ограничителя, когда весь трафик приходит с одного адреса: (А) заполнять Settings.TrustedProxy.Headers при подъёме (там же, где ApplyAppRateLimit) — тогда ключом станет адрес человека из X-Forwarded-For. Доверие к этому заголовку той же природы, что доверие к Remote-User, и опирается на тот же перечень адресов; цена — ещё одно требование к контуру, которое отсюда не проверить; (Б) признать бюджет общим на сервис: поднять числа под ожидаемое число людей, переписать docs/database.md и обоснование pollBudgetShare; (В) отложить в урожай и мерджить №1 с известным ухудшением — тогда анонимный поток через прокси выключает приложение всем.

Негодное значение Remote-Name запирает человека в сервисе навсегда пятисоткой

• Файл: internal/adapter/repo/pocketbase/identity.go:71-87,147-159, internal/controller/http/identity.go:133-147
• Severity: major
• Confidence: high
• Оракул: свой прогон. Запрос с доверенного адреса, Remote-User: namebearer, Remote-Name из 5000 знаков → ответ 500 {"error_code":"internal","message":"Внутренняя ошибка сервиса"}, в журнале level=ERROR msg="Failed to resolve account by login header" error="failed to create user account: name: Must be no more than 255 character(s)..". Значение заголовка в ответ и в журнал при этом не уехало — инвариант приватности цел.
• Последствие: приёму подвергается только логин (AcceptProviderLogin), а имя и почта уезжают в колонку как есть. Человек, чьё имя у провайдера длиннее 255 знаков, получает 500 на каждом запросе и в сервис не попадёт никогда; владелец получает ERROR на каждый такой запрос. Смежный симптом той же причины: разбор отказа судит по наличию колонки в validation.Errors, а не по причине отказа — негодный адрес почты неотличим от занятого, и запись молча заводится без почты вместо честного разбора.
• Предложение: привести имя и почту к годным значениям в одном месте с логином — имя усечь до предела колонки, негодную почту не ставить вовсе. Этой же правкой закрывается непокрытая ветвь «отказ хранилища → отказ сервиса» (identity.go:144-146), которую autotests называет единственным намеренным исключением из «слой отказа не выдаёт»: у неё появляется достижимый и проверяемый вход.
• Найдено проходами: specs (7, 10), code (15, 16), adversary (24) — пять формулировок, две причины, одно место правки; слиты. Согласие пяти проходов Confidence не повышает — оракул свой.
• Действие: инлайн

Образец конфига велит верить всей подсети docker: любой контейнер на хосте входит под любым именем

• Файл: config.example.toml:69-77

• Severity: major

• Confidence: medium (путь не построен: второго контейнера в прогоне нет)

• Оракул: положение docs/security.md:109 дословно — источник заголовков есть «Обратный прокси — и всякий, кто дотянулся до сервиса с доверенного адреса». Образец задаёт этим адресом 172.16.0.0/12, то есть весь умолчательный диапазон docker: под него попадает любой контейнер на хосте, а не только Caddy.

• Последствие: барьер узнавания держится только на адресе пира (кук и токенов сервис не выдаёт). Любой сосед по хосту — а хост держит пет-проекты, а не один сервис — ставит Remote-User: <чужой логин> и получает чужой архив целиком, молча. Класс риска в security.md назван, ширина перечня — нет.

• Предложение: развилка ниже.

• Найдено проходом: adversary (27)

• Действие: развилка

  Вопрос владельцу. Чем сузить перечень доверенных адресов до самого прокси: (А) выделенная сеть compose с фиксированной подсетью под пару «прокси ↔ сервис» — правка живёт в pet-project-server, здесь остаётся значение образца и строка требования к контуру; (Б) статический адрес прокси в сети docker — то же, но проще и хрупче; (В) принять /12 как цену и записать её строкой в docs/security.md рядом с уже названным классом — тогда это осознанная цена, а не умолчание образца.

Три конвенции проекта описывают снятый механизм, и одна противоречит себе внутри файла

• Файл: docs/conventions/web-ui.md:107-109, docs/conventions/config.md:60-64 против :99, docs/conventions/logging.md:34-37
• Severity: minor
• Confidence: high
• Оракул: чтение файлов на этом прогоне. web-ui.md: «Сессия живёт кукой transcriber_session» — кук сервис больше не ставит вовсе. config.md строка 60–64: «Секретов в этой секции больше нет», строка 99 в том же файле по-прежнему перечисляет auth.client_secret среди секретов. logging.md строки 34–37 описывают расхождение у пакета cmd/oidcstub, который этим же изменением удалён (git status → D cmd/oidcstub/main.go).
• Последствие: конвенции — канон проекта, по ним работает следующая задача. Запись про куку заставит следующего агента искать куку и объяснять её отсутствие; запись про client_secret заставит охранять секрет, которого нет. Машина этого не ловит: согласованность документов между собой и с кодом судят агенты, и звать их надо руками (CLAUDE.md, «Гейт»).
• Предложение: снять три записи, поправить перечень секретов в config.md.
• Найдено проходом: code (20)
• Действие: инлайн

---

Гипотезы без доказательства

Понижено и не влезло в потолок; каждая с причиной понижения.

• Откат бинаря поверх шага схемы 202608220001 обрывает вход (ops, 29; было major). Оракул у прохода настоящий — падающий тест на восстановленном старом коде во временном worktree, 401 вместо 302. Понижаю до minor по стадии и по перекрытию: (1) стадия — стройка, сервис на сервере остановлен, данных нет, откатываться не с чего; (2) docs/architecture.md:142 уже объявляет откат неработающим начиная с шага 202608140002 — то есть любой бинарь старше 2026-08-14 и так не поднимается; новое окно отката — только версии между 14 и 22 августа, ни одна из которых не выкладывалась; (3) старый бинарь на новом конфиге и вовсе не стартует, если владелец убрал ключи OIDC по процедуре из «Эксплуатации» — тогда отказ громкий, а не молчаливый. Ответ на третий вопрос задания: да, стадия меняет серьёзность. Правка тем не менее дешёвая и уместная — строка в docs/architecture.md, «Эксплуатация», рядом с уже стоящей про 202608140002: не потому что откат сегодня возможен, а потому что порог перехода там принято называть прямо.
• Уникальный индекс по provider_login не частичный (code, 17). Оракул прохода — исходники библиотеки (core/collection_model.go:648-671, индекс собирается без WHERE, сосед по коллекции — WHERE email != ''). Понижаю: сервис пустого логина в колонку не кладёт никогда (AcceptProviderLogin отвергает), коллекция пользователей на выкладке пуста, и последствие сводится к «в панели рукой не завести вторую запись без логина». Промах будущего, не дефект сегодня.
• Предел логина считается в байтах, колонка — в знаках (specs, 8; code, 18). Проверено чтением: len(login) > 255 в identity.go:174 против Max: 255 у текстовой колонки. Понижаю: перекос только в сторону строгости, кириллический логин длиннее 127 знаков у Authelia не встречается, следа Debug хватает. Пути нет — гипотеза.
• Склейка значений заголовка запятой обходит защиту «два значения» (adversary, 28). Пути нет и построить его отсюда нечем: net/http заголовки запятой не сливает, а прокси, который сливает, — ровно тот класс, который docs/review.md относит к «не проверит ни один проход». Последствие при этом было бы неприятным и тихим (человек попадает в новую пустую учётную запись вместо своей), поэтому строка оставлена, а не выброшена.
• Откат шага схемы не восстанавливает OAuth2.Enabled и минирует записи без почты (specs, 9; ops, 30). Оракул у ops есть — прогон на временной базе, email: cannot be blank. Понижаю по тому же основанию, что и №29: down на сервере не зовётся, а применённый шаг не переписывается по инварианту.
• Отказ хранилища при узнавании не покрыт ничем (autotests, 2). Не выведена отдельной строкой: правка про негодное имя даёт этой ветви достижимый вход, и тест на неё пишется той же правкой. Если владелец выберет не чинить негодное имя — эта строка возвращается самостоятельной находкой.
• Непокрытые ветви retryAfterConflict и web/src/api.ts (autotests, 1, 3, 12). Понижаю по записанному решению проекта: CLAUDE.md, «Гейт» — «покрытие изменённых строк не считается ничем». Своего api.test.ts у нового web/src/api.ts действительно нет (проверено ls web/src/), и это стоит завести — но это задача, а не блокирующая находка.

---

Promote candidates

Претензии на правило, а не на этот код.

• Поле peer заведено мимо словаря имён журнала (code, 21). docs/conventions/logging.md:99 требует точечной иерархии для системных доменов (http.*, ext.*, webapp.*), а в файле уже стоит Расхождение с перечнем самозаведённых имён. Кандидат в конвенцию: внести http.peer_addr в таблицу полей — тогда следующий агент возьмёт имя из словаря, а не сочинит третье.
• Третий способ вывода в репозитории (code, 22). cmd/devtools печатает через stdlib log, тогда как logging.md знает два. Записанной конвенции об оснастке у проекта нет — значит это кандидат в правило, а не нарушение.
• Единственный дом имён заголовков Remote-* (architecture, 14). cmd/devtools/main.go:92-97 пишет "Remote-User", "Remote-Name", "Remote-Email" своими литералами, тогда как нормативные константы лежат в internal/controller/http/identity.go:23-27. Правка на две строки, но правило общее — «нормативное имя объявляется один раз» — и его стоит записать, а не чинить точечно. Смежный вопрос docs/review.md, «Вопросы по темам»: не завёл ли инструмент разработчика второй дом тому, что уже есть в проверках.
• Второй словарь текстов на клиенте (code, 19). Половина находки — ложноположительная: docs/conventions/web-ui.md:118 сам разрешает клиентский текст «связи нет» состоянием, а не ошибкой. Настоящий остаток — расхождение текстов: сервер на 401 отвечает «Требуется вход» про вход, которого у сервиса больше нет, а экран показывает свой текст поверх. Кандидат в правило: конвенция сегодня не различает «текст под код ответа» и «текст под состояние клиента», и на этом различии находка и разошлась.

---

Урожай

Настоящее, но не для этого мерджа.

• Бюджет ограничителя частоты по человеку, а не по адресу — если владелец выберет вариант (В) на развилке №4.
• Секция конфига называется [auth] при отсутствии всякого входа (architecture). Имя ключа конфига — из перечня необратимого в CLAUDE.md («спрашивается у человека всегда»), но сегодня стадия стройки: на сервере ничего нет, и переименование стоит ноль. После первой выкладки — уже решение человека. Если переименовывать, то сейчас.
• Колонка почты без единого читателя (architecture). Почта пишется при заведении и не читается ничем. Не дефект: спека объявляет её необязательной и берёт «при заведении». Но колонка без читателя — долг, который стоит либо оправдать спекой, либо снять.
• Корень /auth перестал быть зарезервированным (architecture). Проверено: упоминаний /auth в app.go больше нет. Освободившееся адресное пространство стоит либо занять, либо назвать свободным в спеке webapp.
• Свой тест у web/src/api.ts — файл новый, разбор отказов в нём есть, проверки нет.
• Строка про порог отката в docs/architecture.md, «Эксплуатация» — см. гипотезу №29.

---

Границы покрытия

План: темы, дома, глубины

Воспроизведён таблицей в сводке выше целиком. Тем без дома в плане нет, тем без отчёта нет.

Что запускалось

• Режим: по графу, метка large. Запущены specs, autotests, code, architecture, adversary, ops.
• basics не запускался — своих тем проекта у него на этом прогоне нет, все шесть тем разобраны именными проходами. Следствие: сигнал о заниженной метке мог подать только review-code, и он его не подал.

Чего не хватило триажу, и это находки о прогоне

• Блоков «Coverage of this pass» в сырых выводах нет ни у одного прохода. Контракт находок требует их у каждого, и сводить мне было нечего: строку «что этот проход не мог проверить в принципе» я по каждому проходу воспроизвести не могу. Ниже — только то, что выводится из плана и из документов проекта.
• Сработавшие потолки ни один проход не назвал. Сколько находок проход показал, каков был его потолок и что осталось за срезом — не сообщено никем. Значит утверждать «проход показал всё, что нашёл» нельзя ни про один из шести.
• Размер и сложность изменения триажу не переданы — только метка. Обоснование разметки в отчёте воспроизвести нечем.

Что осталось целиком на человеке

Из docs/review.md, «Недоступно проверке». Два списка, и они не сливаются.

Не проверит ни один проход:

• operations: поведение внешних сервисов под нагрузкой и на границах — SpeechKit и Object Storage поднять в тесте нечем;
• operations: реальный профиль нагрузки; утверждения о росте остаются условиями, а не замерами;
• security: стойкость ffmpeg к вредоносному входу;
• security: поведение настоящей Authelia и правило обратного прокси на домен сервиса. С 2026-08-22 от прокси зависит весь барьер: он обязан заголовки Remote-* перезаписывать, а не пропускать пришедшие. Правило живёт в pet-project-server, и отсюда его не проверить. Прямо на этом висят находки №1 (насколько узок путь к заведению мусорных записей), №6 (ширина перечня доверенных адресов) и гипотеза про склейку запятой;
• security: поведение браузера с куками — своих кук сервис больше не ставит, класс сузился до кук панели хранилища.

Перестали проверять сознательно:

• autotests: разбор вывода настоящего ffprobe — решение и цена в ADR-2026-08-11-stub-adapters-in-tests.md;
• работа сервиса с настоящими внешними собеседниками в остатке: за настоящие SpeechKit и Object Storage живой прогон не отвечает — ключи выдуманные, распознавание подменяется в коде. Вход при этом с 2026-08-22 живой прогон проверяет целиком (cmd/devtools proxy), и это сдвиг в другую сторону.

Плюс общее, что не проверяет ни один прогон: история инцидентов, поведение под реальным потоком, поведение внешних систем в их версиях, завязка потребителей на текущее поведение и вопрос «а нужна ли эта функциональность вообще».

Каких документов проекта не хватило

• docs/review.md, «Типовые ложноположительные» — есть и не пуст, отсев по нему выполнен. Одна находка (code, 19) отсеяна наполовину по общим критериям, а не по нему: разрешение клиентского текста для состояния «связи нет» стоит в docs/conventions/web-ui.md, а не в разделе ложноположительных.
• CLAUDE.md, «Инварианты» — есть; ни одна находка этого прогона до critical по этому основанию не поднята, потому что ни одна инвариант не нарушает: проверено поимённо для приватности содержимого (значение заголовка в журнал и в ответ не уходит — замерено), для секрета в конфиге (секретов в секции [auth] больше нет) и для запрета переписывать применённый шаг схемы.
• Прочих пробелов в документах проходы не назвали — но назвать их было некому: блоков границ у проходов нет (см. выше). Отсутствие строки здесь не означает, что документов хватило.

Четыре строки, которых не принёс ни один проход

1. Решения проекта не сверялись. docs/adr.* — процессный документ, прогон его не открывает. Изменение заводит ADR-2026-08-22-login-by-trusted-header.md, и сверку его с остальными записанными решениями — включая те, что это изменение помечает (ADR-2026-08-12-oidc-exchange-via-own-route, ADR-2026-08-12-session-without-refresh), — конвейер ревью не делал. Расхождение изменения с записанным решением ловит скилл av-dev:doc-healthcheck, и звать его надо руками.
2. Записанные наблюдения проекта не использовались. docs/research.* — тоже процессный. Всякое число в этом отчёте снято на этом прогоне: приоритеты слоёв взяты из исходников библиотеки в GOMODCACHE, счёт учётных записей и коды ответов — из прогонов, приложенных к находкам.
3. Поимённая сверка с руководствами по стилю Go и Vue не задавалась ни одним проходом. Различение «идиоматично против распространено» на этом прогоне не спрашивал никто.
4. Альтернативной реализации, с которой можно сдиффить решения, у конвейера нет. Проход независимой реализации снят по стоимости, а не по замеру. «Не знаю, чего не знаю» про схему узнавания по доверенному заголовку никто не доставал.

Пятой строки — про метку small — на этом прогоне нет: метка large, дома тем security, operations и architecture открывались.

Что делал сам триаж

• Прочитаны: дифф изменения, CLAUDE.md, docs/review.md целиком, docs/security.md, docs/architecture.md «Эксплуатация», docs/database.md «Настройки с числовым значением», три конвенции, дельта-спека access, исходники pocketbase@v0.39.10 (apis/middlewares*.go, core/event_request.go).
• Запущено во временном файле проверок пакета internal/controller/http (удалён после прогона, дерево восстановлено, go build ./... и go test ./internal/controller/http ./internal/adapter/repo/pocketbase зелёные):
  • заведение учётных записей запросами, ответившими 429 (2 → 52);
  • общий бюджет ограничителя между двумя людьми;
  • 500 и ERROR на длинном Remote-Name;
  • пустой журнал на заведении учётной записи;
  • расход бюджета анонимными отказами до и после перестановки приоритетов (200 → 429).
• Перестановка приоритетов на −999/−998 применена временно и откачена; на ней прогнан весь go test ./.... Код изменения не правился.