@dzhechkov/p-replicator 1.10.4 → 1.13.1

package/templates/.claude/rules/embeddable-widget.md

@@ -0,0 +1,73 @@
+# Встраиваемый виджет: он живёт на ЧУЖОЙ странице
+
+Действует, когда поставляемое — кусок, который клиент вставляет к себе: сборщик отзывов, чат-пузырь,
+калькулятор. Там виджет есть ПРОДУКТ ЦЕЛИКОМ: не работает у клиента — не работает ничего.
+
+## Своя страница — не проверка
+
+**Проверка виджета ОБЯЗАНА выполняться на странице ЧУЖОГО origin** (origin = схема+хост+порт,
+браузерное определение «другого сайта»). Другого порта достаточно: `http://localhost:8099` чужой
+для `http://localhost:3000` и даёт настоящий предполётный запрос.
+
+«Открыли свою демо-страницу, виджет отрисовался» — НЕ проверка. На своей странице origin совпадает
+(предполётного запроса нет вовсе), чужого CSS нет, чужой политики безопасности нет: ни один из трёх
+классов отказа там не может проявиться. Зелёный результат получен на единственной странице, чьё
+поведение не имеет значения.
+
+Механизм: **условия отказа принадлежат чужой странице, а тестируется своя.** Тот же дефект даёт
+подтверждение развёртывания обращением к `localhost` — проверка обязана пользоваться адресом,
+который система ВЫДАЛА, а не тем, который знает сама.
+
+## Три класса отказа
+
+Набор ЗАКРЫТЫЙ и ОБЯЗАТЕЛЬНЫЙ: виджет, переживший чужой CSS и умерший на чужом CSP, у клиента не
+работает. Первый и третий отказывают при полностью зелёной проверке у вас.
+
+| Класс | Признак у клиента | Лечение |
+|---|---|---|
+| `перекрёстный-запрос` | виджет виден, данные не идут; в консоли клиента `blocked by CORS policy`, а в вашем журнале запрос ЕСТЬ и отвечен 200 — ответ отбросил браузер | отвечать `Access-Control-Allow-Origin` с origin ХОЗЯИНА из явного списка; `OPTIONS` → 204 с `Allow-Methods`/`Allow-Headers`. С `credentials` джокер `*` НЕЛЕГАЛЕН, браузер отклонит |
+| `протечка-стилей` | вёрстка едет только у клиента и у каждого по-своему: чужие reset, `* { box-sizing }`, `img { width: 100% }`, война `z-index`. Обратное направление — тоже отказ: ваши глобальные селекторы ломают хозяйскую страницу | изоляция ГРАНИЦЕЙ, а не специфичностью: Shadow DOM либо iframe; внутри `all: initial` на корне и свои единицы вместо унаследованных |
+| `политика-безопасности` | виджет не появляется ВООБЩЕ; в консоли `Refused to load … violates the following Content Security Policy directive` | никаких инлайновых `<script>`/`<style>` (не требовать `unsafe-inline`); опубликовать точный список директив, который хозяин обязан разрешить (`script-src`, `connect-src`, `frame-src`, `img-src`); проверять ПОД ограничительным CSP |
+
+**Оснастка, воспроизводящая все три:** страница по HTTP на ДРУГОМ порту, вставляющая виджет по
+ПУБЛИЧНОМУ адресу, который выдало развёртывание, отдающая ограничительный `Content-Security-Policy`
+и несущая враждебный CSS.
+
+## Артефакт и ворота
+
+`docs/embed-contract.md` — объявление плюс квитанция, по строке на каждый класс, и в каждой строке
+ДОКАЗАТЕЛЬСТВО с адресом. Точная форма полей и закрытые списки значений — в шапке проверки:
+
+```bash
+node .claude/hooks/check-embed-contract.cjs .
+```
+
+`0` все три класса проверены и каждое доказательство называет ЧУЖОЙ origin · `1` дефект ДОКАЗАН и
+назван (проверка на своём origin, страница `file://`, пропущенный класс, `НЕ ПРОВЕРЕН` под вывеской
+выполненной проверки, доказательство без адреса, `credentials` вместе с `*`) · `2` **проверка НЕ
+ВЫПОЛНЕНА** (нет контракта, нераспознанное значение, неразбираемый адрес, либо законные ответы «не
+встраивается» и «НЕ ВЫПОЛНЕНА с причиной»). Код `2` никогда не значит «всё в порядке».
+
+## Честная разметка слоя
+
+Слои — по [`cost-of-detection-ladder`](./cost-of-detection-ladder.md).
+
+**Слой 1 (детерминированно):** доказательство называет origin, и он не ваш; все три класса названы;
+пара `credentials` + `*` отвергнута. Это проверка ДЕКЛАРАЦИИ.
+
+**Слой 3–4 (остаётся суждением, и сузить нечем):** цел ли виджет на враждебной странице; те ли это
+директивы CSP, которые нужны хозяину; не отражает ли список разрешённых origin произвольный origin
+обратно. Детерминированной половины здесь быть НЕ МОЖЕТ по названной причине: у пакета ноль
+зависимостей и нет браузера, а вердикт выносит только настоящий браузер на настоящей чужой странице.
+
+**Нового семейства идентификаторов НЕТ, и это решение.** `FR-LOOK-nnn` отвечает «снятое с источника
+доехало до спецификации?»; здесь снимать нечего — обязательство рождается из топологии доставки, а
+не из внешности источника, и статусы `СНЯТ`/`НЕ ИЗМЕРЕНО` к нему неприменимы. Наблюдение о том, КАК
+встраивается сам источник (iframe или Shadow DOM), — законная строка `FR-LOOK-nnn` оси `облик`; три
+класса отказа — не она.
+
+## Самопроверка
+
+1. Назови origin страницы, где виджет проверяли. Совпал с origin виджета? Проверки не было.
+2. Та страница отдавала CSP и враждебный CSS? Нет — проверены не те условия.
+3. Адрес виджета там — тот, который ВЫДАЛО развёртывание, или тот, который ты знал заранее?

package/templates/.claude/rules/feature-lifecycle.md

@@ -89,13 +89,21 @@ After 3 retries with 🔴, halt and surface to user.
 **Strategy:** maximum parallelism via `Task` tool.
 
 1. Identify independent work units from Phase 1's Architecture
-2. Spawn one Task per unit
-3. Each Task: read SPARC sections + implement + test + commit
-4. Coordinator merges/integrates after all Tasks complete
+2. Allocate one `RUN_ID`, a unique `WORK_UNIT_ID`, and an absolute `TRACE_PATH` per unit
+3. Spawn one Task per unit; each writes its substantive trace before its one-line pointer
+4. Coordinator validates every trace before merge/integration
 5. Run full test suite
 
 **Quality gate:** tests pass, lint clean, build succeeds.
 
+### Positive file receipt (required)
+
+Each unit gets a unique `WORK_UNIT_ID` and unique absolute `TRACE_PATH`. Its worker MUST write a
+substantive body ending in `Status: completed` or `Status: failed` to `TRACE_PATH` before its one-line
+pointer. Before integration, the coordinator MUST verify a regular, non-symlink, substantive,
+post-launch file with a terminal status. Narrative/chat/silence is never a receipt; any invalid receipt
+MUST block merge/completion. Full rule and bounded exception: [`rules/swarm-file-evidence.md`](./swarm-file-evidence.md).
+
 ## Phase 4: REVIEW (brutal-honesty-review)
 
 **Skill:** `.claude/skills/brutal-honesty-review/SKILL.md`
@@ -118,6 +126,8 @@ After 3 retries with 🔴, halt and surface to user.
 | Tests + lint + build | 3 | Re-run, max 3 attempts |
 | No `blocker` findings | 4 | Loop Phase 4 until clean |
 
+Place each gate on the strongest reliable enforcement layer; see [`cost-of-detection-ladder`](./cost-of-detection-ladder.md).
+
 ## Commit Discipline
 
 - After Phase 1: `docs(<feature>): SPARC plan`

package/templates/.claude/rules/honest-configuration.md

@@ -0,0 +1,54 @@
+# Honest Configuration
+
+## Rule
+
+A value that controls external output, access, limits, routing, or an authoritative measurement must
+not become a plausible or permissive result when its meaning is absent or unproven. Refuse or expose
+unknown; never manufacture health.
+
+## Mechanics
+
+### Substitution axis
+
+Absence is not permission to invent a runtime value. Validate required values at the boundary and
+derive degradation from the value actually obtained, even when no failure-only sentinel was set.
+
+### Interpretation axis
+
+Keep `undefined` distinct from `''`. Validate empty, misspelled, unmapped, and authority-derived values
+against a closed set in versioned code. Environment variables may select a code-owned variant; they
+must not define the allowlist. A declared input that no decision reads is fail-open-by-omission.
+
+| Case | Observable signal | Required response |
+|---|---|---|
+| CFG-S1 | Required runtime value is absent | REFUSE and name the external consequence; no plausible default. |
+| CFG-S2 | Obtained value is invalid although the failure sentinel is unset | REFUSE from the obtained value. |
+| CFG-I1 | Value is `undefined` | REFUSE or UNKNOWN; preserve the absent state. |
+| CFG-I2 | Value is the empty string `''` | REFUSE; do not collapse it into `undefined` or unrestricted. |
+| CFG-I3 | Variant is misspelled, unknown, or unmapped | REFUSE; list the code-owned recognized variants. |
+| CFG-I4 | Source of truth is unreachable | UNKNOWN or REFUSE; do not use cached permissive meaning. |
+| CFG-I5 | Declared allowlist/config input is never read by the decision | REFUSE and wire the decision to the input. |
+| CFG-I6 | Empty CIDR becomes `/0`, allowlist is empty, `BASE_URL='/'`, or tariff is unmapped | REFUSE; no unlimited access or plausible output. |
+| CFG-I7 | Ratio denominator is zero (`0/0`) | UNAVAILABLE or UNKNOWN; render empty with the reason, never `0%`. |
+| CFG-I8 | Allowlist or recognized-variant universe comes from environment | CODE-OWNED closed set; environment selects only. |
+
+## Bounded exception
+
+A named build phase may use a substitute only when that phase cannot emit or publish the external
+result; generic “non-production” is not a boundary. An optional dependency may fall back only when
+its absence cannot alter the governed external output, access, limit, route, or measurement.
+
+## Observable violation → replacement
+
+| Observable violation | Required replacement |
+|---|---|
+| Missing URL/project name becomes localhost, `/`, or an inferred name | Validate at the boundary and refuse with the affected output named. |
+| Empty/unknown access or limit value becomes unrestricted | Reject before the access, routing, or limiting decision. |
+| Failure is logged but the invalid obtained value still emits a healthy result | Compute status from the value/outcome and stop the emitting action. |
+| Undefined measurement renders as numeric zero | Render unavailable/empty and preserve why it could not be measured. |
+
+## Self-check
+
+For each governed value, enumerate absent, empty, invalid, unknown, and unreachable states beside one
+explicit valid control. Trace the value into the decision that emits output. If any bad state reaches
+a default, `ALLOW`, unlimited behavior, `/0`, or `0%` for `0/0`, the boundary is fail-open.

package/templates/.claude/rules/incoming-webhooks.md

@@ -0,0 +1,99 @@
+# Входящие вебхуки: событие приходит дважды, и приходит от кого угодно
+
+Действует, когда в продукт ЗВОНЯТ снаружи: платёжный провайдер, биллинг, партнёрская сеть. Где
+вебхук несёт деньги, он и есть учётная запись.
+
+## Одна доставка — не одно событие
+
+**Платёжные системы доставляют одно событие НЕСКОЛЬКО РАЗ по построению.** Гарантия — «не менее
+одного раза», а не «ровно один раз»: таймаут, 500, оборванный ACK — и событие приезжает снова. Это
+контракт провайдера, не сбой.
+
+Обработчик без ключа повторности начисляет партнёру комиссию дважды, и **никто этого не замечает**:
+оба начисления по отдельности законны: ни ошибки, ни упавшего запроса — отказ без симптома, только
+неверные деньги.
+
+**Ключ повторности ОБЯЗАН быть НАЗВАН, а не подразумеваться.** «Сделаем идемпотентно» — намерение,
+не ключ. Названы должны быть три:
+
+1. **ПОЛЕ** — тождество события У ОТПРАВИТЕЛЯ (`event.id`): одинаково во всех попытках доставки
+   одного события, различно у двух разных. Значение, выданное получателем на приёме, различно на
+   каждой доставке — им повтор не узнать никогда.
+2. **МЕСТО** — таблица и колонка, ключ в Redis. Стор внутри процесса пуст после рестарта и невидим
+   второй реплике: с двумя воркерами событие обработают оба.
+3. **МЕХАНИЗМ**, и он ОБЯЗАН быть атомарным. «Прочитать, потом записать» — не исключение: две попытки
+   приходят ОДНОВРЕМЕННО, обе не находят ключа, обе пишут. Такая дедупликация проходит однопоточный
+   тест и падает на настоящей двойной доставке. Атомарно — уникальный индекс, конфликт вставки
+   и есть ответ «уже обработано».
+
+## Подпись проверяется ПЕРВОЙ
+
+Адрес вебхука публичен: без подписи событие «оплата прошла» присылает кто угодно. Четыре свойства
+ОБЯЗАТЕЛЬНЫ вместе: **до разбора тела** (иначе чужие данные уже прошли через логику) · **по СЫРЫМ
+байтам** (разбор и сборка меняют байты, подпись не совпадёт никогда, и обычное «лечение» — выключить
+проверку) · **сравнением постоянного времени** (обычное выдаёт временем длину угаданного префикса) ·
+**в окне свежести** (иначе перехваченный запрос годен вечно).
+
+## Порядок доставки не гарантирован — и это ТА ЖЕ причина
+
+Попытки доставки независимы: случившееся раньше событие приезжает позже и перезаписывает более
+новое состояние — снова тихо и снова про деньги.
+
+**Это часть правила, а не отдельная запись бэклога.** Дубль и перестановка — одно следствие ретрая.
+Правило, закрывающее дубли и молчащее о порядке, выдаёт ЛОЖНОЕ закрытие класса: читатель чинит
+дедупликацию, считает ретрай разобранным и пишет обработчик, присваивающий состояние вслепую.
+Лечатся обе половины в одном месте: цена совместного изложения — строка контракта, цена разделения —
+та половина, которая не спасает.
+
+Ответов два: применять событие, только если его версия новее применённой, либо сделать обработчик
+перестановочным. «Порядок гарантирует отправитель» фактически неверно и потому доказанный дефект,
+а не выбор.
+
+## Три класса отказа
+
+Набор ЗАКРЫТЫЙ и ОБЯЗАТЕЛЬНЫЙ: обработчик с подписью, но с двойным начислением, теряет столько же,
+сколько тот, что подпись не проверял.
+
+| Класс | Признак у владельца | Лечение |
+|---|---|---|
+| `подделка` | в базе события, которых нет в кабинете отправителя | подпись первой, по сырому телу, постоянным сравнением |
+| `повтор` | в отчёте партнёра ДВЕ комиссии за один платёж | ключ из события, общий стор, атомарное исключение |
+| `перестановка` | статус подписки «откатился» сам, без действий клиента | применять событие новее применённого |
+
+## Артефакт и ворота
+
+`docs/webhook-contract.md` — объявление плюс квитанция: по строке на класс, и в каждой
+ДОКАЗАТЕЛЬСТВО — файл теста, доставляющего ОДНО событие ДВАЖДЫ и утверждающего ОДНО начисление.
+Форма полей и закрытые списки — в шапке проверки:
+
+```bash
+node .claude/hooks/check-webhook-contract.cjs .
+```
+
+`0` классы закрыты и решения названы · `1` дефект ДОКАЗАН и назван · `2` **проверка НЕ ВЫПОЛНЕНА**
+(нет контракта, нераспознанное значение, законные «вебхуков нет» и «НЕ ВЫПОЛНЕНА с причиной»).
+Код `2` никогда не значит «всё в порядке».
+
+## Честная разметка слоя
+
+Слои — по [`cost-of-detection-ladder`](./cost-of-detection-ladder.md).
+
+**Слой 1 (детерминированно):** ключ, источник, стор и механизм названы и не из форм, которые
+заведомо не работают; подпись объявлена со всеми четырьмя свойствами; порядок имеет ответ;
+классы закрыты, и файл теста в каждой строке СУЩЕСТВУЕТ. Это проверка ДЕКЛАРАЦИИ.
+
+**Слой 3–4 (остаётся суждением, и сузить нечем):** доставляет ли названный тест то же событие дважды
+и утверждает ли ОДНО начисление; есть ли уникальный индекс в развёрнутой схеме. Детерминированной
+половины здесь быть НЕ МОЖЕТ по названной причине: у пакета ноль зависимостей, он не запускает тесты
+проекта, не ходит в базу и не разбирает исходники языков продукта.
+
+**Нового семейства идентификаторов НЕТ, и это решение.** `FR-LOOK-nnn` отвечает «снятое с источника
+доехало до спецификации?»; здесь снимать нечего — обязательство рождается из ТОПОЛОГИИ ДОСТАВКИ
+отправителя, свойства протокола, а не наблюдаемой черты чужого продукта.
+
+## Самопроверка
+
+1. Назови ПОЛЕ ключа повторности и МЕСТО его хранения. Не можешь назвать оба — ключа нет.
+2. Что будет, если две попытки придут одновременно? «Одна увидит запись первой» — это оба начисления.
+3. Подпись проверяется до первого разбора тела? Что сделает обработчик с событием, приехавшим после
+   более нового? «Такого не бывает» — не ответ.

package/templates/.claude/rules/insights-capture.md

@@ -1,7 +1,7 @@
 # Insights Capture Rules
 
 When and how to record development "грабли" (rakes) into the project knowledge
-base. Used by `/myinsights` and the `SessionStart` hook
+base. Used by `/myinsights` and the `SessionStart`/`UserPromptSubmit` hook
 (`.claude/hooks/session-insights.cjs`).
 
 ## When to Capture
@@ -53,11 +53,16 @@ Use lowercase, hyphenated, specific tags:
 
 Aim for 2-5 tags per entry.
 
-## Auto-Injection on SessionStart
+## Prompt-Time Injection on UserPromptSubmit
 
-The `SessionStart` hook runs `node .claude/hooks/session-insights.cjs` which
-prints recent insights to stdout. Claude Code captures stdout and injects
-it into the initial session context.
+Markdown at `.claude/insights/index.md` remains the source of truth. After it is
+established, capture makes a best-effort idempotent `dz teach` duplicate; optional dz
+failure cannot undo the file write.
+
+On `UserPromptSubmit`, a successful non-empty `dz recall` result from the insight
+domain is the only state that suppresses local output. Absent, failing, or empty recall
+uses the local fallback of the three most recent Markdown entries, never both sources.
+`SessionStart` retains only the missing-carrier hint.
 
 ## Storage Lifecycle
 

package/templates/.claude/rules/long-running-job.md

@@ -0,0 +1,73 @@
+# Долгая задача: минуты, а не секунды
+
+Действует, когда одна операция работает МИНУТЫ: расшифровка и нарезка видео, генерация
+изображения, большой отчёт. Обычный запрос-ответ через веб такое не выдерживает ПО ПОСТРОЕНИЮ.
+
+## «Нет ответа» — это не «выполняется»
+
+Молчат ОДИНАКОВО три разные вещи: живая задача, умерший исполнитель и оборванный посредник
+(прокси, балансировщик, CDN, сам браузер — у каждого свой таймаут простоя). Различает их только
+ЧТЕНИЕ состояния. Прочитать молчание как «выполняется» — значит стереть третье состояние, и из
+этой одной подмены растут все три отказа ниже.
+
+**Идентификатор ОБЯЗАН выдаваться ДО начала работы.** Не «сделайте асинхронно», а: назовите ПОЛЕ,
+по которому клиент второй раз находит СВОЮ задачу (`job_id`), и покажите, где оно живёт — в каком
+ответе выдаётся и по какому чтению возвращается. Ручка, приходящая вместе с результатом, умирает
+вместе с оборванным ответом: работа выполнена, платёж списан, спросить больше нечем.
+
+## Три отказа
+
+| Отказ | Что видит клиент | Лечение |
+|---|---|---|
+| `разрыв` | ошибка при успешно потраченных деньгах: посредник закрыл соединение по таймауту простоя, работа при этом дошла до конца | вызов создания возвращает идентификатор СРАЗУ (202), результат — отдельным чтением. Синхронный ответ законен, только если потолок работы КОРОЧЕ самого короткого таймаута на пути |
+| `повтор-заново` | счёт за внешние вызовы удваивается с каждой попыткой | **Повтор ОБЯЗАН ПРОДОЛЖАТЬ, а не начинать заново.** Механизм называется: идемпотентный ключ (тот же ключ → та же задача), запись в хранилище (строка задачи — источник истины), аренда исполнителя (второй воркер не заберёт занятое) |
+| `третья-копия` | состояния не видно, пользователь жмёт кнопку ещё раз | показывать состояние по идентификатору и гасить кнопку, пока задача жива |
+
+**Смежность с вебхуками названа, но не переписана.** Повторная доставка ВХОДЯЩИХ вебхуков — про то
+же удвоение, и у неё СВОЁ соседнее правило в `.claude/rules/`. Механизм другой: там повтор приходит
+ИЗВНЕ и вы им не управляете, здесь его порождает ваш же клиент, и потому лечится он на стороне
+создания задачи.
+
+## Три состояния, не два
+
+Набор ЗАКРЫТЫЙ и ОБЯЗАТЕЛЬНЫЙ: `выполняется` · `успех` · `отказ`. Два состояния («идёт» и
+«готово») — это и есть дефект: отказу негде появиться, и он показывается пользователю как вечный
+прогресс. Каждое состояние обязано ВЫГЛЯДЕТЬ по-своему — прогресс «2 из 7», список готовых ссылок,
+причина отказа с кнопкой «повторить». Два состояния, неразличимые на экране, — одно состояние.
+
+## Артефакт и ворота
+
+`docs/long-job-contract.md` — объявление плюс квитанция, по строке на каждое состояние, и в каждой
+строке ДОКАЗАТЕЛЬСТВО, называющее идентификатор. Точная форма полей и закрытые списки значений — в
+шапке проверки:
+
+```bash
+node .claude/hooks/check-job-contract.cjs .
+```
+
+`0` три состояния различимы и проверены по идентификатору · `1` дефект ДОКАЗАН и назван (молчание
+объявлено «выполняется», идентификатор выдаётся после завершения, повтор начинает заново,
+пропущенное состояние, два неразличимых состояния, след без идентификатора, синхронный ответ на
+работу длиннее окна) · `2` **проверка НЕ ВЫПОЛНЕНА** (нет контракта, нераспознанное значение,
+длительность без единицы, либо законные ответы «долгих задач нет» и «НЕ ВЫПОЛНЕНА с причиной»).
+Код `2` никогда не значит «всё в порядке».
+
+## Честная разметка слоя
+
+Слои — по [`cost-of-detection-ladder`](./cost-of-detection-ladder.md).
+
+**Слой 1 (детерминированно):** идентификатор назван именем поля и выдаётся до начала работы;
+молчание объявлено «неизвестно»; три состояния названы, различимы и каждое со следом; повтор
+продолжает по названному механизму; потолок работы сравнён с окном посредника. Это проверка
+ДЕКЛАРАЦИИ.
+
+**Слой 3–4 (остаётся суждением, и сузить нечем):** переживает ли сервер настоящий разрыв; тот ли
+это потолок; действительно ли повторный запрос попадает в ту же задачу. Детерминированной половины
+здесь быть НЕ МОЖЕТ по названной причине: у пакета ноль зависимостей, нет ни исполнителя, ни
+посредника, а вердикт выносит только прогон с оборванным соединением и повтором.
+
+## Самопроверка
+
+1. Назови поле идентификатора. Клиент получает его ДО начала работы или вместе с результатом?
+2. Что показывается пользователю в каждом из трёх состояний — три разных экрана или два?
+3. Второй одинаковый запрос попадёт в ту же задачу или начнёт вторую? Чем это обеспечено?

package/templates/.claude/rules/model-call-cost.md

@@ -0,0 +1,85 @@
+# Стоимость внешних вызовов модели: счёт выставляют чужие действия
+
+Действует, когда продукт зовёт наружу платную модель — распознавание фото, расшифровку записи,
+векторизацию базы. Цена берётся за ВЫЗОВ, а вызов чаще запускает посетитель, а не разработчик.
+
+**Отказ, который НЕЛЬЗЯ ОТКАТИТЬ, и этим класс отличается от всех прочих.** Открытый порт закрывают,
+виджет перепроверяют — история кончается. Здесь один незакрытый цикл или один злонамеренный
+посетитель даёт СЧЁТ: деньги ушли, и никакая правка кода их не вернёт. Поэтому вопрос не «заметим
+ли», а «что отказало ДО вызова».
+
+## Правило №0 — несконфигурированный потолок ОТКАЗЫВАЕТ
+
+**Инвариант:** предел, который не задан, ОБЯЗАН валить запуск, называя ненастроенный вызов. Пустая
+переменная окружения не значит «ограничений нет».
+
+Это [`honest-configuration`](./honest-configuration.md) CFG-S1, продолженный на деньги: отсутствующее
+обязательное значение отказывает и называет внешнее последствие. Последствие здесь — счёт, поэтому
+второго шанса нет и правило безусловное.
+
+## Два источника расхода — набор ЗАКРЫТЫЙ, и они отказывают по-разному
+
+| Источник | Кто крутит счётчик | Чем ограничивается |
+|---|---|---|
+| `свой-код` | ваш цикл, повтор, пересчёт таблицы | вы разоряете СЕБЯ; границу ставит ваш же код, суточного потолка достаточно |
+| `посторонний` | посетитель решает, сколько раз позвать | вас разоряет ДРУГОЙ; суточного потолка НЕДОСТАТОЧНО — один посетитель съедает дневной бюджет до обеда, поэтому предел НА ПОЛЬЗОВАТЕЛЯ обязан уметь связать |
+
+Связать он умеет, только когда названо, **что такое один пользователь** для того, кто вошёл или не
+вошёл. Предел «на аккаунт» для анонимного посетителя не связывает НИ ОДНОГО вызова: написан как
+защита, ведёт себя как её отсутствие.
+
+## Что обязано быть названо
+
+1. **Предел ОБЯЗАН быть назван числом, а не намерением.** «Разумный», «по ситуации», пустая клетка —
+   это отсутствие предела: сравнить со счётчиком нечего. Чисел два — на пользователя и на сутки,
+   причём персональное НЕ БОЛЬШЕ суточного, иначе оно не сработает никогда.
+2. **Достижение предела есть ОТКАЗ, а не тихая деградация.** Деградация — предел, о котором
+   пользователь не узнал, а вы узнаете из счёта: система зовёт модель «поменьше» и платит дальше.
+   Очередь тоже не годится: она переносит трату, а не отменяет.
+3. **Названо место, где расход виден** — адрес, который можно открыть: панель, файл, команда. Предел,
+   о котором нельзя узнать до счёта, не предел.
+4. **Счёт ведётся по ПОПЫТКАМ.** Провайдер берёт деньги за попытку: таймаут, отказ модели и повтор
+   оплачены как успех. Счётчик по успехам оставляет повторы вне предела — а повтор долгой фоновой
+   задачи удваивает счёт (правило этого пакета о долгих фоновых задачах; здесь только денежная
+   сторона, политика повторов — там).
+
+## Артефакт и ворота
+
+`docs/model-cost-contract.md` — объявление плюс строка на каждый вызов: кто запускает, нужен ли вход,
+единица счёта, два предела, поведение при достижении. Точная форма полей и закрытые списки значений —
+в шапке проверки:
+
+```bash
+node .claude/hooks/check-model-cost.cjs .
+```
+
+`0` каждый вызов назван и каждый предел — число, способное связать · `1` дефект ДОКАЗАН и назван
+(намерение или бесконечность вместо числа, персональный предел выше суточного, деградация либо
+очередь вместо отказа, «без ограничений» при ненастроенном потолке, счёт по успехам, расход без
+адреса, посторонний вызов без единицы счёта или с несуществующей для него) · `2` **проверка НЕ
+ВЫПОЛНЕНА** (нет контракта, нераспознанное значение, повтор строк, либо законные ответы «внешних
+вызовов модели нет» и «НЕ ВЫПОЛНЕНА с причиной»). Код `2` никогда не значит «всё в порядке».
+
+## Честная разметка слоя
+
+Слои — по [`cost-of-detection-ladder`](./cost-of-detection-ladder.md).
+
+**Слой 1 (детерминированно):** пределы — положительные числа; персональный не выше суточного; у
+постороннего вызова единица счёта названа и существует для него; при достижении отказ; ненастроенный
+потолок валит запуск; у расхода есть адрес. Это проверка ДЕКЛАРАЦИИ.
+
+**Слой 3–4 (остаётся суждением, и сузить нечем):** применяет ли код объявленное число; растёт
+счётчик до вызова или после; та ли цена у провайдера сегодня. Детерминированной половины здесь быть
+НЕ МОЖЕТ по названной причине: у пакета ноль зависимостей, он не исполняет ваш код и не видит
+биллинга, а применение подтверждает только прогон, упершийся в предел, и счёт после него.
+
+**Таблицы-семени НЕТ, и это решение.** `FR-LOOK-nnn` отвечает «снятое СНАРУЖИ доехало до
+спецификации?»; здесь снаружи ничего не снимали. Перенос числа из одного нашего документа в другой
+доказал бы, что мы умеем копировать свой текст, — про деньги он не говорит ничего.
+
+## Самопроверка
+
+1. Назови число предела на одного пользователя. Назвал прилагательное — предела нет.
+2. Вызов может запустить посторонний? Тогда что такое «один» для него, пока он не вошёл?
+3. При достижении предела — отказ или продолжение подешевле?
+4. Куда посмотришь, чтобы увидеть сегодняшний расход раньше счёта?