@dzhechkov/p-replicator 1.13.2 → 1.13.3

package/templates/.claude/rules/docker-ports.md

@@ -123,6 +123,34 @@ bindings/Compose-метки и только там проверяет runtime-а
 **Чего она НЕ делает.** Она не привязана ни к какому событию — её надо позвать. Не выводите из
 присутствия правила или последней зелёной квитанции, что кто-то продолжает смотреть за машиной.
 
+## Тестовый compose: две вещи, которые ломают не тест, а прод
+
+Обе — обобщённые из отклонённой заявки на `compose.test.yml`; правила ниже generic, самого файла в
+пакете нет и не будет.
+
+**1. Пароли тестового стека задаются через `${VAR:?}` — без значения по умолчанию.**
+
+```yaml
+environment:
+  POSTGRES_PASSWORD: ${TEST_DB_PASSWORD:?переменная обязана быть задана}
+```
+
+Запись `${VAR:-по-умолчанию}` кажется удобной и делает ровно одну вещь: превращает забытую
+переменную в ТИХО РАБОТАЮЩИЙ стек с известным паролем. Форма `:?` останавливает запуск с
+названной причиной, то есть переводит отказ из молчаливого в громкий. Пароль по умолчанию в
+тестовом стеке — это пароль по умолчанию, который однажды переедет в прод вместе с файлом.
+
+**2. Тестовый compose обязан задавать своё `name:`.**
+
+```yaml
+name: myproject-test
+```
+
+Без него docker выводит имя проекта из ИМЕНИ КАТАЛОГА, поэтому тестовый и рабочий стек в одном
+каталоге получают одно имя. Практическое следствие: `docker compose -f compose.test.yml up`
+останавливает и пересоздаёт контейнеры рабочего стека, потому что для docker это тот же проект.
+Отказ здесь не в тесте — он в том, что тест сносит то, что тестом не является.
+
 ## Быстрая самопроверка
 
 ```bash

package/templates/.claude/rules/feature-lifecycle.md

@@ -96,6 +96,27 @@ After 3 retries with 🔴, halt and surface to user.
 
 **Quality gate:** tests pass, lint clean, build succeeds.
 
+### Comment density — match the host project, not this toolkit
+
+**Правило одной строкой: комментарий пишется только для ограничения, которое КОД НЕ МОЖЕТ ПОКАЗАТЬ
+САМ, а плотность комментариев берётся от целевого репозитория, а не от этого тулкита.**
+
+Что считается таким ограничением: измеренная причина («порог 2, потому что при 1 счётчик указывает
+на одну запись»), внешний контракт, который нельзя вывести из кода, ссылка на инцидент, объясняющая
+неочевидную защиту. Что им НЕ является: пересказ того, что делает следующая строка; заголовок
+раздела; преамбула о замысле функции, чьё имя уже это говорит.
+
+**Почему это правило здесь.** [FIELD, 2026-08-30] Коллега владельца о сгенерированном коде:
+«пишется очень много документации, в коде в основном одни комментарии, это переполняет контекст».
+ИЗМЕРЕНО 2026-09-03 на отгружаемых шаблонах этого пакета: проза составляет 70,3% их объёма
+(1 105 072 байта разметки против 466 914 байт кода), а внутри самого кода комментарии занимают
+33,6% (156 660 байт). Это стиль ЭТОГО репозитория, и в нём он оправдан: код тут читают агенты,
+которым неоткуда узнать историю. В чужом проекте он и чужая конвенция, и налог на контекст каждого
+будущего чтения.
+
+**Практическая проверка перед тем, как оставить комментарий:** удалите его мысленно и спросите,
+теряется ли при этом факт, который нельзя восстановить из кода. Нет — удаляйте по-настоящему.
+
 ### Positive file receipt (required)
 
 Each unit gets a unique `WORK_UNIT_ID` and unique absolute `TRACE_PATH`. Its worker MUST write a

package/templates/.claude/rules/replicate-pipeline.md

@@ -215,14 +215,14 @@ are project-agnostic and can be enhanced (read by Phase 3) but never recreated.
 [`incoming-webhooks`](incoming-webhooks.md), [`long-running-job`](long-running-job.md),
 [`model-call-cost`](model-call-cost.md)
 
-**Hooks (25 files in `.claude/hooks/`, cross-platform Node).** Only four are wired to an
+**Hooks (26 files in `.claude/hooks/`, cross-platform Node).** Only four are wired to an
 event in `.claude/settings.json`; the rest are utilities you invoke deliberately, and the
 difference matters — a hook of this package is NON-BLOCKING by contract and can only print.
 
 *Wired to an event (4):* `session-insights.cjs` (SessionStart) · `autocommit-roadmap.cjs`,
 `autocommit-insights.cjs`, `autocommit-plans.cjs` (Stop)
 
-*Invoked deliberately, wired to nothing (21):* `statusline.cjs` (a statusLine, not a hook) ·
+*Invoked deliberately, wired to nothing (22):* `statusline.cjs` (a statusLine, not a hook) ·
 `state-update.cjs` (argv utility) · `write-insight.cjs` (harvest carrier writer) ·
 `check-ports.cjs` (docker-ports Правило №0, exits 0/1/2) ·
 `check-docs-complete.cjs` (are the Phase-1 documents written, exits 0/1/2) ·
@@ -236,7 +236,7 @@ safe against reordering, exits 0/1/2)
 `check-job-contract.cjs` (does long-running work have a handle, three states and a resuming retry, exits 0/1/2)
 `check-model-cost.cjs` (does every external model call name a binding spend ceiling, exits 0/1/2) ·
 `check-review-contract.cjs` (does review-report.md answer every AC id and name the spec revision it judged, exits 0/1/2)
-`check-canon.cjs` (before a WRITING fan-out: is the shared canon named and pinned, exits 0/1/2)
+`check-canon.cjs` · `check-dangling-refs.cjs` (before a WRITING fan-out: is the shared canon named and pinned, exits 0/1/2)
 `check-file-ownership.cjs` (one writer per file, and a split-born file owned at creation, exits 0/1/2)
 `check-source-version.cjs` (does every edit and verdict declare the source version it was built on, exits 0/1/2)
 `check-handoff-manifest.cjs` (did every enumerated Phase-0 output get an answer from Phase 1, exits 0/1/2)

package/templates/.claude/skills/brutal-honesty-review/resources/assessment-rubrics.md

@@ -21,12 +21,22 @@
 |-------|----------|---------|
 | 🔴 **Failing** | Crashes on invalid input | Uncaught exceptions, panics |
 | 🟡 **Passing** | Returns error codes/exceptions | `try/catch`, error returns |
-| 🟢 **Excellent** | Graceful degradation + logging | Circuit breakers, retry logic |
+| 🟢 **Excellent** | Graceful degradation + logging — **но НЕ для значения, которое продукт ОТДАЁТ наружу** | Circuit breakers, retry logic |
+
+> **Оговорка к высшей оценке, и она несущая.** Мягкая деградация заслуживает 🟢 для НЕДОСТУПНОСТИ
+> (сервис не ответил — вернём кэш, попробуем позже) и заслуживает 🔴 для ЗНАЧЕНИЯ, которое уходит
+> потребителю (цена, остаток, право доступа, результат расчёта). Подставить приблизительное вместо
+> точного и записать это в журнал — значит выдать неверный ответ и назвать это устойчивостью.
+> Правильный исход для значения — ОТКАЗ С НАЗВАННОЙ ПРИЧИНОЙ, а не правдоподобная замена.
+>
+> Оговорка появилась потому, что прежняя формулировка прямо ПООЩРЯЛА механизм, который в разборе
+> реальных отказов назван причиной каждого происшествия высшей категории: подстановка запасного
+> значения там, где честный ответ — «не знаю».
 
 ### Concurrency Safety
 | Level | Criteria | Example |
 |-------|----------|---------|
-| 🔴 **Failing** | Race conditions, deadlocks | Shared mutable state, no locks |
+| 🔴 **Failing** | Race conditions, deadlocks; **а также: последовательный тест, поданный как доказательство параллельной безопасности** | Shared mutable state, no locks; «тест проходит» при одном писателе |
 | 🟡 **Passing** | Thread-safe with locks | Proper mutex usage |
 | 🟢 **Excellent** | Lock-free or proven safe | Immutable data, atomic operations |
 

package/templates/.claude/skills/cc-toolkit-generator-enhanced/references/security-patterns-library.md

@@ -49,6 +49,28 @@ ALWAYS use parameterized set_config():
   `SET LOCAL key = '${value}'`. Applies to all session-level config.
 ```
 
+**Шесть строк к S-01 и S-02, каждая ловит отдельный способ обойти изоляцию арендаторов:**
+
+```
+RULE: BYPASSRLS on the service role is NOT a safety net — it is the removal of one.
+      Under it a FORGOTTEN tenant filter returns other tenants' rows SILENTLY,
+      with no error to notice. Reserve it for migrations, never for request paths.
+RULE: SET LOCAL ROLE, never SET ROLE. Plain SET ROLE outlives the transaction and
+      leaks into whatever the pooled connection serves next.
+RULE: current_setting('app.tenant_id', true) — the second argument makes a missing
+      setting return NULL instead of raising. Without it an unset tenant is an
+      exception you will catch and swallow; with it, it is a value you can test for.
+RULE: Tests MUST NOT run as a superuser. A superuser bypasses RLS unconditionally,
+      so every policy test passes and proves nothing.
+RULE: A table carrying a policy but no CROSS-TENANT test counts as UNPROTECTED.
+      The policy is a claim; the test is the evidence.
+```
+
+**Почему они здесь, а не отдельным разделом.** Каждая — способ, которым изоляция ЕСТЬ в коде и
+НЕ РАБОТАЕТ на прогоне. Все пять отказывают молча: под `BYPASSRLS` нет ошибки, у суперпользователя
+нет ошибки, у утёкшей роли нет ошибки. Молчаливый отказ защиты — единственный вид, который доживает
+до продакшена, потому что громкий чинят в первый же день.
+
 ---
 
 ### S-03: Fail-Fast Secret Validation at Startup
@@ -159,6 +181,29 @@ NEVER: expose stack traces in production error responses
 
 ---
 
+### S-08: Image Type Comes From CONTENT, Never From `Content-Type`
+
+**Pattern:**
+```
+RULE: An uploaded image's type is decided by INSPECTING ITS BYTES, never by the
+      Content-Type header or the file extension — both are attacker-supplied.
+RULE: SVG is REJECTED WHOLESALE for user uploads. It is a script-bearing document
+      that happens to render as a picture; sanitising it is a losing arms race.
+RULE: Serve user-supplied files with `X-Content-Type-Options: nosniff`, so a browser
+      cannot re-decide the type you already decided.
+
+NEVER: trust `req.file.mimetype` as the type
+NEVER: allow `image/svg+xml` through an "allowed image types" list
+NEVER: serve uploads from the same origin as the application without nosniff
+```
+
+**Why all three, and not just the first.** Sniffing the bytes stops a `.png` that is really a
+script. It does NOT stop SVG, because an SVG genuinely IS an image by content and genuinely CAN
+carry script. And neither stops a browser that ignores your decision and sniffs for itself — that
+is what the header is for. Drop any one of the three and the other two leave a path open.
+
+---
+
 ## Integration Patterns for Generated Toolkit
 
 ### How Patterns Map to Generated Files

package/tests/snapshot/baseline.json

@@ -1,6 +1,6 @@
 {
-  "generatedAt": "2026-09-02T07:49:08.074Z",
-  "totalFiles": 166,
+  "generatedAt": "2026-09-03T05:28:07.394Z",
+  "totalFiles": 167,
   "files": {
     ".claude/agents/doc-validator.md": "e57950758cd4764b2cb54b3f1905567e9dbc1ed20ac6ecd30998614894689f4f",
     ".claude/agents/harvest-coordinator.md": "71e524e8379df46bbf457dbc1d4480634e05c99b7d3a4f59a356b8d71a0a4166",
@@ -14,7 +14,7 @@
     ".claude/commands/myinsights.md": "f31c5e133b5027197359e4179cbba1ab535f990634a69ea7c5c73bd2bc329d68",
     ".claude/commands/next.md": "1e4984306c3aa80dfc8734dc1c975dfe5fdf2cf6396ddd759e4c7635646107b8",
     ".claude/commands/plan.md": "6fef889f51168981bf4a98b8392a0d595e3d199e1cfaa8e08c0a181ec6c440e4",
-    ".claude/commands/replicate.md": "165d7b3c0606be6817893b53cbfc5ca55c7b81cbe35cbdd0dccf8679d702e81a",
+    ".claude/commands/replicate.md": "f176d8ec871459b5a8d2111b8527331f34340d6e169da8cc7792953e3e334774",
     ".claude/commands/run.md": "87144dfe8c56c15ba7c117daa544d8a08b84d7205f21dafcc48d27c6c3995059",
     ".claude/commands/start.md": "fb8a7762f4073b9e8689dec3830680907efb9ec68bb2faa39b8a547793d9a078",
     ".claude/hooks/autocommit-insights.cjs": "5e7cef87b24d457f25315d79fe15f0dfaf94d9269495d638817f0faee2593c6f",
@@ -22,7 +22,8 @@
     ".claude/hooks/autocommit-roadmap.cjs": "f4dcc9ffd9a3aed91dd56e011e699fcf8af903cc81594e4ab1ef61e5432a36ad",
     ".claude/hooks/capture-source-path.cjs": "bed92548c3313d69110b6cc06e6b2b858d9d548b8c18c82750ae90d514212bf2",
     ".claude/hooks/check-canon.cjs": "99e6bff9b0078eb2ec23f7df98b7ac06c894f9018eba4a8c358e8f92e5ec7b06",
-    ".claude/hooks/check-docs-complete.cjs": "27c05c2adcedc806e395b30b455243193a4fbd0968ce96e415679e1f78db951a",
+    ".claude/hooks/check-dangling-refs.cjs": "8f012876b1af110a1093319d36a2f84208a15780dbb8abb5a43eb4aeb8f76865",
+    ".claude/hooks/check-docs-complete.cjs": "0f516df0882c9da53d166a1b4e30ff1fc37bd5a2027c7e5fbdab6cba116ca828",
     ".claude/hooks/check-embed-contract.cjs": "9e963a07c12350b760264133021e75fb699439b1f060332e1ccdd962b645b4a0",
     ".claude/hooks/check-external-deps.cjs": "7bce49a744170a3193edf4b2238bcc5a6f1b0efa29333760a52e4fd145739d18",
     ".claude/hooks/check-file-ownership.cjs": "c6273e7b0817d15e375586131924a08095722aff7d0e6a6a04c857a480788e1f",
@@ -40,25 +41,25 @@
     ".claude/hooks/check-webhook-contract.cjs": "dfa27bd24cee8868fd60be5d24749c206f303fe4afcc1e72024d526324562a39",
     ".claude/hooks/session-insights.cjs": "31fbe90d81b01dfb56557ed5d68dbde2211a14d5469c5d3761f45fb63c07c3a7",
     ".claude/hooks/state-update.cjs": "47146a76b768ac2273abe8f2f017856a0e28b45afaf90048148da417dd19604e",
-    ".claude/hooks/statusline.cjs": "50c08decec3e80ed325f50d7b062fbe0add47e8594002fcc165248492242ab56",
+    ".claude/hooks/statusline.cjs": "bac385da01dd9f1548d0db48a2acdada5e89a7822a7f0ecfb61cb74ff4cda138",
     ".claude/hooks/write-insight.cjs": "743f2d85b037cf522dfaf4775947b0cd331e52f2f304e88360c160e0e8e9a589",
-    ".claude/rules/cost-of-detection-ladder.md": "f15309ee8f1494478ff7678380dbe8fc8eecd154be36d57c9090cd17126a07da",
-    ".claude/rules/docker-ports.md": "59eb430f29dd762e8b76ad6d1177fe8b5b250de007856c743387cb88ee157942",
+    ".claude/rules/cost-of-detection-ladder.md": "d2e7da3d56c8d4c6d1aa58e793fa0d5eecd65a5c01be38dfa0dc434273306838",
+    ".claude/rules/docker-ports.md": "a9e5bb9a797ea4ef4c0671cee2cbec95f2557f8b9e1d20b84bbcee7ce4c21162",
     ".claude/rules/embeddable-widget.md": "0159224f8e9599b67a860738bb42e3e40adf598176c48ea6c86a01c891f0f18c",
-    ".claude/rules/feature-lifecycle.md": "4e926f84f244feb6824114a0624733738669c93e0508693fa2afa4e9a35c2aa3",
+    ".claude/rules/feature-lifecycle.md": "a7d0adf6bc63b942d3dec339b3ae68972c3dedc0b48a91d27653309c7da7f11f",
     ".claude/rules/git-workflow.md": "7d8d2ded47fcc0fb95da3dc226efa6cb3c80d6adf7296977588c181dfce20192",
     ".claude/rules/honest-configuration.md": "851bc28e9e2baf1043bc09b982f3df3431bc7af1e076f8ff9df3d6729835bad5",
     ".claude/rules/incoming-webhooks.md": "92f3de02814ed0610df644acf554f4b41b2bae2f9d281695e2e217a1d6558e84",
     ".claude/rules/insights-capture.md": "d529e6be79178636ca362d83366b1dd7a843371e8ba4f2b09d65c009fab52dc4",
     ".claude/rules/long-running-job.md": "e6bd0efff89338998d34440a94dc9288cf7bcf790b27bcaa51b83d43f57942ed",
     ".claude/rules/model-call-cost.md": "26c3b20ac3ed7f9cf6deb5e94302ade87f9e3e51fffca7ac2377ff31bc144f34",
-    ".claude/rules/replicate-pipeline.md": "13bf073273820addeb87167402495b2f683cefac70a9f6cb07b6e054b1851e0f",
+    ".claude/rules/replicate-pipeline.md": "9c4bbaa9ac628ec5d4e44d3ace6eec0b5bd602b5dccc5d36f123d73be448f159",
     ".claude/rules/skill-interface-protocol.md": "c3f624d0a8a4c7e0f5744e529eb4486cc0589fdb732b9799bccc75091a6d63ca",
     ".claude/rules/swarm-file-evidence.md": "c71a216dbc3fd633c30949823ceac354f8439b96279a1a8dd606afb1b3ef5c45",
     ".claude/settings.json": "18db09827dce410667b93e2b1a41ef8e46d4431114733e4304a5fc2192b2fc66",
     ".claude/skills/brutal-honesty-review/evals/brutal-honesty-review.yaml": "855c155d55575e12aab23fb3a5fb2fada74d93974ff755dfedac6f2d5bd41f13",
     ".claude/skills/brutal-honesty-review/README.md": "2a026b4af50b21456e50424fbfa089cb983fbbaa0c68024c8c17c695bea25a57",
-    ".claude/skills/brutal-honesty-review/resources/assessment-rubrics.md": "dac09c91c765e2211799cc230738fb72a966f47511edb872306a906e49640cbe",
+    ".claude/skills/brutal-honesty-review/resources/assessment-rubrics.md": "b64894e1ddf8b9da7f2f146c737d35215e7281e3d8be10891d4a9b8aa2bd6d07",
     ".claude/skills/brutal-honesty-review/resources/review-template.md": "95182c8605b1d821360257e1c5dbac4300bda333d861785de417cbb84090b25b",
     ".claude/skills/brutal-honesty-review/schemas/output.json": "2e252a3497b86322e1a6e6bd1aca8708b44389db3a2d81a6f893d467b6351210",
     ".claude/skills/brutal-honesty-review/scripts/assess-code.sh": "2b10d2972b1379adde9a68ddf8bcdb399b7d65075e458a54523ffd8d99ddc746",
@@ -79,7 +80,7 @@
     ".claude/skills/cc-toolkit-generator-enhanced/references/enhanced-recommendations.md": "657e35db0cb77d3a9d1a4d01215a9b8d50441dd863593bee3a84f62aad8b00bc",
     ".claude/skills/cc-toolkit-generator-enhanced/references/extended-mapping.md": "5e87c91956eabc70b4a1084b47b2c9a20ede18bb245735812ead956eafabf3af",
     ".claude/skills/cc-toolkit-generator-enhanced/references/maturity-integration.md": "aa4e743bcd0281525336a298d0489c31481f69ff1a534e1ed1d262d888937deb",
-    ".claude/skills/cc-toolkit-generator-enhanced/references/security-patterns-library.md": "5f1d650c426cbd2c9536b385306605ea62a5a520ee4566d23ca7254409c672a5",
+    ".claude/skills/cc-toolkit-generator-enhanced/references/security-patterns-library.md": "4a7fae9ea1870c30b71c923fd5d3626a8926c5e960209fad709f4b8e0534fc80",
     ".claude/skills/cc-toolkit-generator-enhanced/references/templates/automation-commands.md": "9ce3db4c3c5b9696a312152067c1869b1f421ce77fbcfdca83edaa797c5caf3f",
     ".claude/skills/cc-toolkit-generator-enhanced/references/templates/ddd-agents.md": "c91f81da197a072b57378fd0018eea26c35d909a558bdca6f070eb60153c97b3",
     ".claude/skills/cc-toolkit-generator-enhanced/references/templates/ddd-hooks-commands.md": "8398f2493434db101476300e514a34bf8124a51eb732cf81923f9a5b5a3d5db4",

package/tests/unit/capture-source-path.test.js

@@ -104,19 +104,55 @@ function site({ robots = null, forbid = [] } = {}) {
     if (!body) { res.writeHead(404); return res.end('nf'); }
     res.writeHead(200, { 'content-type': 'text/html; charset=utf-8' }); res.end(body);
   });
-  return { srv, hits, listen: () => new Promise((r) => srv.listen(0, '127.0.0.1', () => r(srv.address().port))) };
+  // `close()` НЕ закрывает сервер, пока жив хоть один keep-alive сокет: он ждёт их естественной
+  // смерти. ИЗМЕРЕНО 2026-09-03 — тест P20 после этого не завершался вовсе, и полоса вместе с ним
+  // висела дольше десятиминутного потолка вызова. `closeAllConnections()` рвёт живые сокеты, то
+  // есть закрывает сервер ДЕТЕРМИНИРОВАННО, а не при удаче. `shutdown()` возвращает обещание,
+  // поэтому вызывающий может дождаться закрытия вместо того, чтобы надеяться на него.
+  const shutdown = () => new Promise((r) => {
+    if (typeof srv.closeAllConnections === 'function') srv.closeAllConnections();
+    srv.close(() => r());
+  });
+  return {
+    srv, hits, shutdown,
+    listen: () => new Promise((r) => srv.listen(0, '127.0.0.1', () => r(srv.address().port))),
+  };
 }
 
 /** АСИНХРОННЫЙ запуск — см. измерение в шапке файла. */
+/**
+ * Потолок времени на один запуск инструмента.
+ *
+ * ИЗМЕРЕНО 2026-09-03: без него полоса `npm run test:browser` не завершалась ВООБЩЕ — убита по
+ * внешнему таймауту дважды, на 400 с и на 560 с. Ждущий вечно тест не отличим от идущего долго, и
+ * снаружи оба выглядят как «ещё работает». Потолок превращает зависание в ИМЕНОВАННЫЙ отказ, то
+ * есть в результат, который можно прочитать.
+ *
+ * Значение выбрано не на глаз: браузерные сценарии этого файла на живой машине укладываются в
+ * единицы секунд, а сценарии ОТСУТСТВИЯ браузера обязаны отвечать почти мгновенно — им нечего
+ * запускать. 20 секунд оставляют десятикратный запас медленному сценарию и всё равно ловят
+ * зависание за время, которое человек готов ждать.
+ */
+const RUN_TIMEOUT_MS = 20_000;
+
 function run(args, env) {
   return new Promise((resolve) => {
     const child = spawn(process.execPath, [TOOL, ...args], {
       env: { ...process.env, ...(PW ? { PLAYWRIGHT_MODULE: PW } : {}), ...env },
     });
     let out = '';
+    let settled = false;
+    const finish = (code) => { if (settled) return; settled = true; clearTimeout(timer); resolve({ code, out }); };
+    const timer = setTimeout(() => {
+      out += `\n[ТАЙМАУТ ТЕСТА] инструмент не завершился за ${RUN_TIMEOUT_MS} мс и был убит; ` +
+             'это НЕ «не удалось проверить», а именованный отказ: зависание есть дефект.\n';
+      child.kill('SIGKILL');
+      finish('timeout');
+    }, RUN_TIMEOUT_MS);
     child.stdout.on('data', (d) => { out += d; });
     child.stderr.on('data', (d) => { out += d; });
-    child.on('close', (code) => resolve({ code, out }));
+    child.on('close', (code) => finish(code));
+    child.on('error', (e) => { out += String(e && e.message); finish('spawn-error'); });
   });
 }
 
@@ -340,7 +376,7 @@ describe('ось «путь»: детерминированная половин
 
 describe('ось «путь»: живые прогоны браузером по локальной оснастке', { skip: LIVE_SKIP }, () => {
   test('P14 - СНЯТ: путь прокликан, строки выданы, нумерация продолжена', async () => {
-    const { srv, listen } = site();
+    const { srv, listen, shutdown } = site();
     const port = await listen();
     const dir = tmp();
     try {
@@ -358,11 +394,11 @@ describe('ось «путь»: живые прогоны браузером по
       // И измеренные закономерности стартового экрана, а не значения чужого оформления.
       assert.match(r.out, /шаг сетки отступов: 4px/, 'сетка 4px обязана вывестись: ' + r.out);
       assert.match(r.out, /брейкпоинты из настоящих @media: 768, 1024/, r.out);
-    } finally { srv.close(); fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally { await shutdown(); fs.rmSync(dir, { recursive: true, force: true }); }
   });
 
   test('P15 - доказательства помечены чужим материалом и закрыты своим .gitignore', async () => {
-    const { srv, listen } = site();
+    const { srv, listen, shutdown } = site();
     const port = await listen();
     const dir = tmp();
     try {
@@ -379,11 +415,11 @@ describe('ось «путь»: живые прогоны браузером по
         'DOM по умолчанию не сохраняется: ' + files.join(', '));
       assert.ok(files.some((f) => f.endsWith('.aria.txt')), 'семантический слепок — наш вывод');
       assert.ok(files.includes('capture.json'), 'измерения сохраняются');
-    } finally { srv.close(); fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally { await shutdown(); fs.rmSync(dir, { recursive: true, force: true }); }
   });
 
   test('P16 - ВЕЖЛИВОСТЬ: один поток, пауза выдержана, потолок страниц соблюдён', async () => {
-    const { srv, hits, listen } = site();
+    const { srv, hits, listen, shutdown } = site();
     const port = await listen();
     const dir = tmp();
     try {
@@ -397,13 +433,17 @@ describe('ось «путь»: живые прогоны браузером по
         'пауза между экранами обязана выдерживаться, измерено ' + (pages[1].t - pages[0].t) + ' мс');
       assert.match(pages[0].ua, new RegExp(lib.ROBOTS_AGENT),
         'User-Agent честный: маскировка под обычный браузер была бы обходом защиты');
-    } finally { srv.close(); fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally { await shutdown(); fs.rmSync(dir, { recursive: true, force: true }); }
   });
 
   test('P17 - robots.txt спрашивается ПЕРЕД обходом, и запрет — это исход', async () => {
+    // Закрытие серверов — в `finally`: упавшая проверка не должна превращаться в зависание
+    // (см. измерение в P18 ниже; там это стоило полосе всего её бюджета).
     const dir = tmp();
+    const deny = site({ robots: 'User-agent: *\nDisallow: /\n' });
+    const broken = site({ robots: 500 });
+    const one = site({ robots: 'User-agent: *\nDisallow: /\n' });
     try {
-      const deny = site({ robots: 'User-agent: *\nDisallow: /\n' });
       const p1 = await deny.listen();
       const r1 = await run([`http://127.0.0.1:${p1}/`, '--project', dir, '--out', 'e',
         '--max-pages', '3']);
@@ -411,53 +451,62 @@ describe('ось «путь»: живые прогоны браузером по
       assert.match(r1.out, /НЕ ИЗМЕРЕНО: robots-disallowed/, r1.out);
       assert.equal(deny.hits.filter((h) => h.url !== '/robots.txt').length, 0,
         'ни одной страницы не тронуто: robots.txt читается ДО обхода, а не после');
-      deny.srv.close();
 
       // Нечитаемый robots.txt — запрет, а не разрешение: «не смогли спросить» ≠ «нам разрешили».
-      const broken = site({ robots: 500 });
       const p2 = await broken.listen();
       const r2 = await run([`http://127.0.0.1:${p2}/`, '--project', dir, '--out', 'e',
         '--max-pages', '3']);
       assert.equal(r2.code, 2, r2.out);
       assert.match(r2.out, /robots-disallowed/, r2.out);
       assert.match(r2.out, /трактуется как запрет/, r2.out);
-      broken.srv.close();
 
       // ОДНА страница — не обход, robots.txt не запрашивается вовсе.
-      const one = site({ robots: 'User-agent: *\nDisallow: /\n' });
       const p3 = await one.listen();
       const r3 = await run([`http://127.0.0.1:${p3}/lonely`, '--project', dir, '--out', 'e',
         '--max-pages', '1']);
       assert.equal(one.hits.filter((h) => h.url === '/robots.txt').length, 0,
         'обхода нет — robots.txt не спрашивается: ' + r3.out);
-      one.srv.close();
-    } finally { fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally {
+      await deny.shutdown();
+      await broken.shutdown();
+      await one.shutdown();
+      fs.rmSync(dir, { recursive: true, force: true });
+    }
   });
 
   test('P18 - 403 и экран входа — исходы с НАЗВАННОЙ причиной, никогда не обход', async () => {
+    // ЗАКРЫТИЕ СЕРВЕРОВ СТОИТ В `finally`, И ЭТО НЕ СТИЛЬ, А ПОЧИНКА ЗАВИСАНИЯ.
+    // ИЗМЕРЕНО 2026-09-03: закрытие стояло ПОСЛЕ проверок, поэтому первая же упавшая проверка
+    // выбрасывала исключение до него, сервер оставался слушать, и `node --test` ждал опустошения
+    // цикла событий ВЕЧНО. Снаружи это выглядело как «полоса идёт долго»: она не шла, она висела —
+    // убита по внешнему потолку на 400 с и на 560 с. Сам P18 в одиночку отрабатывает за секунды.
+    // Общая форма: ресурс, удерживающий цикл событий, закрывается в `finally`, иначе падение
+    // проверки превращается в зависание, а зависание неотличимо от долгой работы.
     const dir = tmp();
+    const blocked = site({ forbid: ['/'] });
+    const walled = site();
     try {
-      const blocked = site({ forbid: ['/'] });
       const p1 = await blocked.listen();
       const r1 = await run([`http://127.0.0.1:${p1}/`, '--project', dir, '--out', 'e',
         '--max-pages', '1']);
       assert.equal(r1.code, 2, r1.out);
       assert.match(r1.out, /НЕ ИЗМЕРЕНО: bot-protected/, r1.out);
       assert.match(r1.out, /ЗАПРЕЩЕНО/, 'и запрет на обход защиты обязан быть сказан: ' + r1.out);
-      blocked.srv.close();
 
-      const walled = site();
       const p2 = await walled.listen();
       const r2 = await run([`http://127.0.0.1:${p2}/signup`, '--project', dir, '--out', 'e',
         '--max-pages', '2']);
       assert.equal(r2.code, 2, 'стартовый экран за входом — не «снято»: ' + r2.out);
       assert.match(r2.out, /НЕ ИЗМЕРЕНО: auth-required/, r2.out);
-      walled.srv.close();
-    } finally { fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally {
+      await blocked.shutdown();
+      await walled.shutdown();
+      fs.rmSync(dir, { recursive: true, force: true });
+    }
   });
 
   test('P19 - ИСТОЧНИКА НЕТ: экран открылся, перехода нет — доказанный отрицательный ответ', async () => {
-    const { srv, listen } = site();
+    const { srv, listen, shutdown } = site();
     const port = await listen();
     const dir = tmp();
     try {
@@ -468,13 +517,13 @@ describe('ось «путь»: живые прогоны браузером по
       assert.match(r.out, /\*\*Статус съёмки \(путь\):\*\* ИСТОЧНИКА НЕТ/,
         'и печатает готовую строку профиля: ' + r.out);
       assert.ok(!/FR-LOOK-\d{3} \|/.test(r.out), 'строк не выпускается — записывать нечего: ' + r.out);
-    } finally { srv.close(); fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally { await shutdown(); fs.rmSync(dir, { recursive: true, force: true }); }
   });
 
   test('P20 - один двоичный файл выдаёт все три исхода в одном прогоне', async () => {
     // Каждый случай выше утверждает ОДНО направление, поэтому реализация с постоянным ответом
     // прошла бы подмножество. Тот же исполняемый файл обязан выдать 0, 1 и 2.
-    const { srv, listen } = site();
+    const { srv, listen, shutdown } = site();
     const port = await listen();
     const dir = tmp();
     try {
@@ -487,6 +536,6 @@ describe('ось «путь»: живые прогоны браузером по
           '--max-pages', '1'])).code,
       ];
       assert.deepEqual(seen, [0, 1, 2], 'ожидались снято/пути-нет/не-измерено: ' + JSON.stringify(seen));
-    } finally { srv.close(); fs.rmSync(dir, { recursive: true, force: true }); }
+    } finally { await shutdown(); fs.rmSync(dir, { recursive: true, force: true }); }
   });
 });

package/tests/unit/check-dangling-refs.test.js

@@ -0,0 +1,91 @@
+'use strict';
+
+/**
+ * Текст, ссылающийся на несуществующий файл, обязан быть замечен машиной.
+ *
+ * ПОЧЕМУ ЭТО ЕСТЬ. Этот класс дефекта ловился вручную минимум четыре раза: список хуков называл
+ * 4 из 8; таблица говорила «Rules 5» при шести; справка обещала 18 видов отказа при 17 в массиве;
+ * путь вывода называл несуществующий каталог. `verify` его не ловит ПО ПОСТРОЕНИЮ: он идёт от
+ * зарегистрированного объекта к его наличию, а этот дефект живёт в обратном направлении — от
+ * текста к объекту, которого нет.
+ *
+ * ПОЧЕМУ БАЗА, А НЕ НОЛЬ. Измерено 2026-09-03: 58 висячих ссылок в 23 файлах, и они не появляются
+ * после `init` (проверено на пустом проекте). Требовать ноль значило бы отказать каждому проекту в
+ * первый же день, то есть выключить заставу. База закреплена и может только уменьшаться.
+ */
+
+const { test, describe } = require('node:test');
+const assert = require('node:assert/strict');
+const fs = require('node:fs');
+const os = require('node:os');
+const path = require('node:path');
+
+const { spawnSync } = require('node:child_process');
+const HOOK = path.join(__dirname, '..', '..', 'templates', '.claude', 'hooks', 'check-dangling-refs.cjs');
+const { danglingRefs, BASELINE } = require('../../templates/.claude/hooks/check-dangling-refs.cjs');
+const TEMPLATES = path.join(__dirname, '..', '..', 'templates');
+
+describe('висячие ссылки не могут стать хуже базы', () => {
+  test('текущее дерево не превышает закреплённую базу', () => {
+    const found = danglingRefs(TEMPLATES);
+    assert.notEqual(found, null, 'templates/.claude должен существовать');
+    const unique = new Set(found.map((f) => `${f.from} → ${f.to}`));
+    assert.ok(unique.size <= BASELINE,
+      `висячих ссылок ${unique.size} при базе ${BASELINE} — новая ссылка на несуществующий файл`);
+  });
+
+  test('база не завышена: она равна измеренному, а не взята с запасом', () => {
+    // Запас в базе — это тихое разрешение добавить ещё столько же. База обязана совпадать с
+    // измерением, иначе она перестаёт быть границей и становится квотой.
+    const found = danglingRefs(TEMPLATES);
+    const unique = new Set(found.map((f) => `${f.from} → ${f.to}`));
+    assert.equal(unique.size, BASELINE,
+      `база ${BASELINE} разошлась с измеренным ${unique.size}: если починили — опустите базу, если добавили — верните ссылку`);
+  });
+
+  test('сторож видит внедрённую висячую ссылку', () => {
+    // Дискриминация: застава, которая ничего не нашла, неотличима от заставы, которая ничего не
+    // умеет. Подкладываем ровно ту форму, которую она обязана поймать.
+    const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'dangl-'));
+    try {
+      fs.mkdirSync(path.join(dir, '.claude', 'rules'), { recursive: true });
+      fs.writeFileSync(path.join(dir, '.claude', 'rules', 'a.md'),
+        'Смотри `.claude/hooks/nonexistent-guard.cjs` — его нет.\n');
+      const found = danglingRefs(dir);
+      assert.equal(found.length, 1);
+      assert.equal(found[0].to, '.claude/hooks/nonexistent-guard.cjs');
+    } finally { fs.rmSync(dir, { recursive: true, force: true }); }
+  });
+
+  test('существующая цель висячей не считается', () => {
+    const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'dangl-ok-'));
+    try {
+      fs.mkdirSync(path.join(dir, '.claude', 'hooks'), { recursive: true });
+      fs.writeFileSync(path.join(dir, '.claude', 'hooks', 'real.cjs'), '// real\n');
+      fs.writeFileSync(path.join(dir, '.claude', 'a.md'), 'Смотри `.claude/hooks/real.cjs`.\n');
+      assert.deepEqual(danglingRefs(dir), []);
+    } finally { fs.rmSync(dir, { recursive: true, force: true }); }
+  });
+
+  test('честный вход: дерево без висячих ссылок даёт exits 0 и печатает измеренное', () => {
+    // Требование каталога хуков: у каждого check-*.cjs должен быть тест ЧЕСТНОГО ВХОДА — прогон на
+    // заведомо правильных данных. Без него застава, которая всегда красная, выглядела бы рабочей.
+    const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'dangl-honest-'));
+    try {
+      fs.mkdirSync(path.join(dir, '.claude', 'hooks'), { recursive: true });
+      fs.writeFileSync(path.join(dir, '.claude', 'hooks', 'real.cjs'), '// real\n');
+      fs.writeFileSync(path.join(dir, '.claude', 'ok.md'), 'Ссылка на `.claude/hooks/real.cjs` — она есть.\n');
+      const r = spawnSync(process.execPath, [HOOK, dir], { encoding: 'utf8' });
+      assert.equal(r.status, 0, r.stderr || r.stdout);
+      assert.match(r.stdout, /висячих ссылок 0/);
+      assert.match(r.stdout, /Проверено файлов: 1/);
+    } finally { fs.rmSync(dir, { recursive: true, force: true }); }
+  });
+
+  test('отсутствие .claude — это НЕ УСТАНОВЛЕНО, а не «чисто»', () => {
+    const dir = fs.mkdtempSync(path.join(os.tmpdir(), 'dangl-none-'));
+    try {
+      assert.equal(danglingRefs(dir), null, 'пустое дерево обязано дать null, а не пустой список');
+    } finally { fs.rmSync(dir, { recursive: true, force: true }); }
+  });
+});

package/tests/unit/guard-honest-input-meta.test.js

@@ -62,3 +62,52 @@ test('honest-input catalog probe reports a fake check with no same-named test',
   }
 });
 
+/**
+ * ВТОРОЙ УКУС — на ветку, которую первый не трогал.
+ *
+ * ИЗМЕРЕНО 2026-09-03: удаление проверки `missing-honest-input-title` из аудита оставляло ОБА
+ * метатеста зелёными. Первый укус подкладывает хук БЕЗ теста и потому доказывает только ветку
+ * `missing-test`; вторая ветка не проверялась ничем и могла быть удалена незаметно. Страж,
+ * половина которого удаляется без единого красного теста, охраняет ровно ту половину, что осталась.
+ */
+test('honest-input catalog probe reports a test file with no honest-input title', () => {
+  const root = fs.realpathSync(fs.mkdtempSync(path.join(os.tmpdir(), 'p-rep-honest-meta2-')));
+  const hooksCopy = path.join(root, 'hooks');
+  const testsCopy = path.join(root, 'unit');
+  try {
+    fs.cpSync(HOOKS, hooksCopy, { recursive: true });
+    fs.cpSync(TESTS, testsCopy, { recursive: true });
+    fs.writeFileSync(path.join(hooksCopy, 'check-yyy.cjs'), "'use strict';\n");
+    // Тест ЕСТЬ — и в нём нет ни одного заголовка честного входа. Это ровно та форма, которую
+    // первый укус пропускает: файл на месте, обязанность не выполнена.
+    fs.writeFileSync(path.join(testsCopy, 'check-yyy.test.js'),
+      "'use strict';\nconst { test } = require('node:test');\n" +
+      "test('refuses on a bad input', () => {});\n");
+
+    const result = auditHonestInputs(hooksCopy, testsCopy);
+    assert.deepEqual(result.issues.filter((issue) => issue.hook === 'check-yyy.cjs'), [{
+      hook: 'check-yyy.cjs', testFile: 'check-yyy.test.js', reason: 'missing-honest-input-title',
+    }], 'ветка отсутствующего заголовка обязана иметь собственный укус, иначе её удалят молча');
+  } finally {
+    fs.rmSync(root, { recursive: true, force: true });
+  }
+});
+
+/**
+ * ЧЕСТНАЯ ГРАНИЦА ЭТОГО ИНВАРИАНТА, названная здесь, чтобы её не пришлось выводить.
+ *
+ * Проверяется ЗАГОЛОВОК теста, а не его содержание. Заголовок «honest input exits 0» над пустым
+ * телом инвариант удовлетворяет. То есть страж ловит ЗАБЫВЧИВОСТЬ (никто не написал такого теста)
+ * и не ловит ОБМАН (написали заголовок, не написав проверки).
+ *
+ * Это осознанная граница, а не недосмотр: доказать по телу теста, что он действительно прогоняет
+ * честный вход, значит разбирать чужой код, а разбор кода регулярным выражением — тот самый
+ * механизм, который в этом пакете уже дважды давал ложные вердикты. Забывчивость при этом и есть
+ * массовый случай: заголовок пишут те, кто про обязанность помнит.
+ */
+test('the invariant is a TITLE check, and that boundary is stated rather than implied', () => {
+  const source = fs.readFileSync(__filename, 'utf8');
+  assert.match(source, /Проверяется ЗАГОЛОВОК теста, а не его содержание/,
+    'граница инварианта обязана быть написана в файле, а не подразумеваться');
+});
+