@onlineapps/conn-orch-validator 8.1.0 → 10.0.0

package/CHANGELOG.md

@@ -4,6 +4,418 @@ All notable changes to this package. Follows [Keep a Changelog](https://keepacha
 
 ## [Unreleased]
 
+## [10.0.0] — 2026-09-16
+
+### Removed — `MockStorage` (d.583)
+
+Dvojník bez konzumenta (po d.576) smazán i se souborem a vlastním testem; `MockMQClient`/`MockRegistry` zůstávají
+(interní čtenáři), povrch exportů beze změny (17 jmen).
+
+### Changed — `tests/cookbooks` je podmínka bootu, ne doporučení (d.584)
+
+Chybějící nebo prázdný adresář = error `MISSING_COOKBOOKS` (severity boot; orchestrátor fail-fast na kroku 1) místo dvou
+warningů, které nechaly absenci projít až k odmítnutému důkazu. `tests/unit`/`tests/integration` zůstávají doporučením
+(uniforma jejich existenci nevymáhá). Jedna kolej s F-DOCKERIGNORE (`!tests/cookbooks`). Kaskáda: žádná — 8/8 služeb recepty má.
+
+### Changed — F-DOCKERIGNORE vylučuje testovací strom, `tests/cookbooks` zůstává v obrazu (d.560)
+
+`tests/` všech 8 služeb jelo do produkčního obrazu (`COPY . .`, ingest 632 K). Pravidlo `dockerignoreEntries()` = gitignore ∪
+{`tests`, `**/tests`} ∖ {`tests/cookbooks`}: testy do artefaktu nepatří (analogie `L-PACK-TESTS`), cookbooky jsou deklarace
+Tier-1, které boot čte ve fázi 0.2 — obraz bez nich nenaběhne (`ValidationProofGenerator` odmítne důkaz s `testsRun 0`).
+Blok `oa-dockerignore v1` je výstup pravidla; ověřeno skutečným buildem (BuildKit `!tests/cookbooks`). Běžec netrpí (bind mount).
+Kaskáda: služby přegenerují `.dockerignore` (`oa-sync-template`).
+
+### Fixed — šablona `jest.config.js` má `testTimeout` 120 000 ms (d.580)
+
+30 s na sdíleném dev stroji (load 47–94, běžci víc služeb) shazovalo `beforeAll` sad, které samostatně projdou (BIZ-converter);
+limit má chytat zaseknutý test, ne frontu na procesor. `maxWorkers: 1` beze změny (konf `biz-memory-limits` 001). Řádek F-JEST
+generovaný → služby přegenerují `jest.config.js`.
+
+### Removed — koncept `mockInfrastructure` (d.576)
+
+Volba konstruktoru `CookbookTestRunner` i pole `test.mockInfrastructure` v receptu se odmítají JMÉNEM (hlášky s `Fix:`,
+recept navíc se jménem souboru); `src/index.js` nepublikuje `MockMQClient`/`MockRegistry`/`MockStorage` ani `createMock*`
+(surface 23 → 17 jmen). Krok se dispatchuje in-process proti vlastnímu v3 handleru, DB je skutečná — `this.mqClient`/
+`this.registry` nikdo nečetl, mimo balíček 0 konzumentů (konf `declaration-removal` 001). Nahrazuje řádek „Documentation —
+`mockInfrastructure` staví nápodobu MQ a registry" (d.521). DOPAD kaskády: recepty s tím polem (converter `ping.json`, meta 2,
+hello 12) a volba v bootstrap testech (converter, ingest, hello, emailer) prevalidaci shodí, dokud služba pole neodstraní.
+
+### Fixed — agregát běhu sčítá jen změřené hodnoty (d.576b)
+
+`results.totalTests/passedTests/failedTests` přes `readStepMeasurement()`; `|| 0` byl zdroj neměřené nuly, kvůli které
+odmítnutí generátoru (d.524) nikdy nevystřelilo. Změřená nula zůstává nulou. Smazán mrtvý `createEncodedProof` v testu.
+
+### Fixed — throwaway schéma odmítne příkaz kvalifikovaný cizím schématem (d.538)
+
+`<schema>.<tabulka>` jiného než throwaway schématu poslal příkaz testu do živého schématu (změřeno: řádek přistál v živé
+tabulce). Jediná výjimka je read-only `information_schema` (22 živých migrací ve 4 repech). Úvodní `USE` se dál stripuje —
+standard `repository-installation-sql-contract.md` o `USE` neříká nic; zpřísnění patří vlastníkovi standardu.
+
+### Fixed — hlavičková brána instalačního kontraktu kryje i `database.seeds` mimo `migrations/**` (d.541)
+
+Konf `installation-sql-contract-scope` 003: rozsah hlavičky je, co instalátor aplikuje. Deklarovaný chybějící seed =
+nález, ne ENOENT. Změřeno nad 8 repy: žádné nezčervená (ingest opravil `bfd04b9`).
+
+### Fixed — každá NOT RUN věta nese nápravu, padlý recept své jméno, `docsLintBridge.js` je zase text (d.523)
+
+`biz-ci-gate.js` hlásil u odmítnutého receptu `step_id: undefined`; 5× `describeNotRun` a `runManifest` bez `Fix:` →
+jeden vlastník `describeWorkspaceFix`; duplicitní blok a NUL v `docsLintBridge.js`; `uniformFiles.js` lepil druhý `Fix:`.
+`biz-ci-gate.js` má mód 755 jako ostatní CLI (`bin` + shebang).
+
+### Changed — validační důkaz píše výhradně `ValidationProofGenerator`, i na bootovací cestě (d.524)
+
+Druhá kolej v `ValidationOrchestrator` mohla zapsat důkaz s `testsRun: 0`; jméno a verze validátoru se čtou z vlastního
+`package.json` a nelze je přebít (`validatorVersion || '1.0.0'` pryč). Služba bez receptů v `tests/cookbooks/` validaci
+neprojde (dřív psala důkaz, který registry stejně odmítl jako NO_TESTS) — všech 8 biz rep recepty má.
+
+### Removed — `ValidationProofGenerator.createValidationError()` (d.524)
+
+Bez konzumentů.
+
+### Fixed — ctx Tier-1 běžce nese `step_id`, jako produkční `OperationContext` (d.549)
+
+Content-resolver 4.0.1 `createDescriptor` bez `step_id` odmítá; producent tak mohl přejít na `ctx.step_id` až teď (BIZ-pdfgen).
+
+### Documentation — balíčková kopie `shared.env` má čtenáře; zapsáno k otázce d.536 (d.557)
+
+`renderTree` → `oa-sync-template template` → `templateMirror` drží zrcadlo `api/templates/business-service` byte za bytem; zrcadlo
+čtou `biz-deploy-uniform-gate.bats:165` (kopie do fixtury), `redis-requirepass.bats:51,55,164` (kontrakt `REDIS_URL`) a
+`shared-env-sync.bats`. d.536 ukončilo jen čtení VERDIKTEM (`G-SHARED-ENV` renderuje SSOT, `runNew` přepisuje živým renderem).
+Soubor zůstává, šablona má dál 25 souborů.
+
+### Added — řádky `S-UNIT-C` a `S-COOK-C`: každý běžcový skript šablony má svůj řádek (d.527)
+
+Šablona nesla `test:container` a `test:cookbooks:container` bez řádku manifestu, converter měl `test:bootstrap/unit/integration/
+all/cookbooks:container`, property žádný `*:container` — mapa vydání jmenovala příkaz, který ve službě neexistoval (BIZ-converter
+nález 25). Šablona = výstup řádků: `test:unit:container` (`S-UNIT-C`), `test:cookbooks:container` (`S-COOK-C`) vedle `S-ALL-C`/`S-INT-C`;
+výjimka pro běžcový skript bez řádku zrušena. Kaskáda: 5 služeb přejmenuje `test:container` → `test:unit:container`, hello a pdfgen doplní
+`test:cookbooks:container`.
+
+### Changed — env šablona služby nedeklaruje `SERVICE_NAME` (d.539)
+
+Identitu vlastní `config/service/config.json` (`ServiceWrapper._serviceName()`, předává se do `MonitoringConnector.init({serviceName})`);
+klíč v env nečetl nikdo, emailer a pdfgen bez něj běží (BIZ-emailer, BIZ-invoicing). Komentář k `MARIADB_MIGRATION_USER/PASSWORD` říká
+hostitelský kontrakt (`env-active/<svc>.env` na boxu, konf `db-migrations-first-deploy` 001 fáze 1); README šablony říká, že F-JEST ruší
+lokální `setupFiles` (env bere běžec z `env_file`).
+
+### Changed — `oa-sync-template` chybějící blok `init.sh` vloží (d.552)
+
+Řádek F-INIT jen hlídal existující blok a chybějící kázal opsat ručně (`BLOCKED … paste the block from the template once`, BIZ-invoicing);
+hláška „udělej to ručně" u generovaného obsahu je defekt. `insertBlockAfterFunction` + `F-INIT.insert_after_function`: bez kotvy odmítne s `Fix:`.
+
+### Removed — scaffold už nerenderuje `scripts/verify-deploy-uniform.sh` do služby (d.555)
+
+Oba CI joby ho od d.529 volají z pinovaného balíčku; soubor v repu služby nečetl nikdo. `PACKAGE_ONLY` v renderu, zrcadlo
+`api/templates/business-service/scripts/` smazáno; šablona má 25 souborů.
+
+### Fixed — `GIT_CLONE_PATH` uniformního běhu má vlastní slot runneru (d.556)
+
+`validate-uniform` běží na každém pipelinu; dva souběžné pipeliny na jednom runneru sdílely build adresář →
+`$CI_BUILDS_DIR/oa-uniform/$CI_CONCURRENT_ID/api_biz/<svc>`.
+
+### Added — job `validate-uniform` v generovaném bloku `oa-ci v1`: uniforma běží na každém pipelinu (d.529)
+
+Konfirmace `biz-service-manifest` 010 (vlastník 2026-09-16): 008 říká, KDE brána musí být před nasazením, ne že
+se jinde nepouští. Job `validate-uniform` (stage `test`, rules MR/main/devel/production) klonuje `api` a spouští
+celou uniformu biz služby; `deploy-production` zůstává závaznou poslední instancí. `secret_detection` běží i na
+`devel`, kam post-commit zrcadlo posílá každý commit (dosud `pipelines?ref=devel` = 0). `build` na `devel` záměrně
+NEběží — 010 žádá kontrolu z každého commitu, ne obraz; `IMAGE_LATEST` z devel by přepsal `latest` platformy.
+
+### Changed — oba běhy uniformy volají `verify-deploy-uniform.sh` z pinovaného balíčku (d.529)
+
+`scripts/verify-deploy-uniform.sh` neexistoval v žádném z 8 biz repozitářů (jen v šabloně) → `deploy-production`
+padal na prvním kroku `script:`. Oba joby ho volají z `node_modules/@onlineapps/conn-orch-validator/templates/
+business-service/scripts/` — brána i engine z jednoho pinu, žádná kopie do 8 rep; klon `api` přes `$API_CHECKOUT`
+nejde, skript ho sám maže. Rozvržení a runtime obou jobů deklaruje jednou skrytý klíč `.oa-uniform` (`extends`).
+Řádek `G-CI`: `why` přepsáno na dnešní stav (šablona od d.470 nenese `verify-installation-contract:`), `doc` → 010.
+
+### Changed — `G-SHARED-ENV` čte SSOT `api/config/shared-env.json` ve workspace, ne render zabalený v balíčku (d.536)
+
+Ingest, emailer, hello, invoicing, pdfgen po dovydání 2: řádek porovnával s renderem zabaleným v 9.0.0 (d.229),
+`oa-sync-template shared-env` renderoval z živého SSOT (d.500/d.510) → služba nemohla být zároveň „synced" i
+DEPLOYABLE („10 line(s) differ"). Řádek renderuje SSOT týmž rendererem jako sync; bez dosažitelného workspace
+NOT RUN s `Fix:` (v deploy jobu je `api` naklonované, 008). Kaskáda: každá biz služba po pinu spustí
+`oa-sync-template readme-uniform --target .` (region README nese `from` řádku).
+
+### Changed — `oa-validate .` odvozuje kořen workspace od kořene služby (d.540)
+
+Z `<workspace>/api_biz/<svc>` bez `--workspace` hlásil validator instalovaný v `node_modules` služby
+`Workspace root: NOT RESOLVED` (kořen hledal jen od balíčku) → U-*/D-* NOT RUN. Třetí otázka: nejbližší předek
+kořene služby s `api/config/services.json`; explicitní `--workspace` dál vyhrává.
+
+### Fixed — F-RUNNER porovnává směrem render; zpětná substituce jména služby zrušena (d.531)
+
+`normalizeRunnerBlock` nahrazovala jméno služby v bloku zpět na `__SERVICE_NAME__`, takže u služby jménem `meta`
+přepsala i literál v komentáři šablony (`api_biz/meta/docker-compose.yml carries the full numbers`) a řádek hlásil
+nález, zatímco `oa-sync-template docker-compose.yml --check` říkal `unchanged`. Jedna kolej = referenci vyrenderovat
+jménem služby a porovnat (`renderRunnerIdentity`); `normalizeRunnerBlock` smazána (jediný čtenář byl tento řádek).
+
+### Changed — důkaz validace odmítá neměřenou nulu; kontrakt odmítá `db: true` bez bloku `database` (d.521)
+
+`ValidationProofGenerator.generateProof()` čte `durationMs`, `testsRun`, `testsPassed`, `testsFailed` z agregátu
+runneru JMÉNEM a chybějící měření odmítne místo doplnění `0`; běh, který nic nespustil (`testsRun === 0`), je
+odmítnut u autora, ne až v registru (`ValidationProofCodec.decode()` = NO_TESTS). Integrační kontrakt odmítá
+`requiredConnectors.db: true` bez bloku `database` — směr, který přechodová výjimka F4 nechala otevřený
+(shoda hotová: 7/8 služeb má obojí, pdfgen ani jedno, 0 repozitářů nese `ci-setup-db.js`).
+
+### Removed — `ValidationProofGenerator.extractTestSummary()` (d.521)
+
+Nula konzumentů od 98d155f1 (2025-09-30); jediné pole nad agregátem, `coverage`, na platformě nic neměří.
+
+### Documentation — `mockInfrastructure` staví nápodobu MQ a registry, databázi ne (d.521)
+
+README § „What `mockInfrastructure` covers — and what it does not": `run-prevalidation` běží proti skutečnému
+schématu každé služby, která ho deklaruje, a patří až za `ci:gate:setup`; pokrytou množinu připíná test.
+
+### Fixed — každá NOT RUN věta nese svou nápravu, každý padlý záznam svou identitu (d.516, d.516b, d.518)
+
+Jediný vlastník věty `Fix: run with --workspace pointing at a checkout that carries …` je
+`manifest/workspaceRoot.js` § `describeWorkspaceFix`; berou ji `docsLintBridge` (D-PORT, D-RETIRED, D-LINT),
+`libraryWorkspace.js` § `notRunBecause` (U-ORPHAN, U-MISMATCH, L-PINS, L-CONSUMER, L-TOOLING) a `readmeRegion.js`
+(L-README-REGION). `X-IGNORED` nad stromem bez `.git` jmenuje vlastní nápravu — běh nad klonem, ne nad exportem.
+`results.steps` runneru nese dva druhy záznamů (`kind: step` / `cookbook-load-failure`): odmítnutý recept se hlásí
+jako recept (soubor + chyba), krok bez `step_id` je chyba §5, `validateCookbook` vyžaduje `step_id` jako cookbook-core 5.0.0.
+
+### Changed — kontrola se scope vyžadujícím workspace vlastní svou NOT RUN větu (d.518)
+
+`runManifest.js` už nepůjčuje výchozí větu „the workspace root is not reachable"; kontrola bez `describeNotRun`
+běh odmítne na každém běhu. Na výchozí větu nedosahovala žádná registrovaná kontrola (`automation-gates.md` §5).
+
+### Fixed — `results.steps` říká, co každý záznam je; krok bez `step_id` se neobejde pojmenováním (d.516b)
+
+`results.steps` nese dva druhy záznamu a nejsou to oba kroky: výsledek kroku, a záznam, který
+`CookbookTestRunner.runCookbooks` uloží za recept, jejž formátová kontrola odmítla — celý recept, který
+žádný krok nevydal. Splývaly, takže odmítnutý soubor hlásil krok, který neexistuje:
+`cookbook "broken.json" step "step #1": … cookbook format version is missing`. Každý záznam teď svůj druh
+**deklaruje** (`kind: 'step'` / `kind: 'cookbook-load-failure'`) tam, kde vzniká, a nikdo ho nedovozuje
+z chybějícího pole (`architecture-principles.md` §8). Nenačtený recept se hlásí jménem souboru:
+`cookbook "broken.json" could not be run: …`.
+
+Teprve na tom stojí druhá polovina: `utils/stepFailure.js` § `describeStepIdentity` **odmítne** záznam
+kroku bez `step_id` místo aby ho pojmenoval pozicí (`step #3 (operation: convert)`). Ta náhrada byla
+správná odpověď, dokud se tvar usazoval — alternativou bylo `undefined`. Dnes je `step_id` povinné od
+`@onlineapps/cookbook-core` 5.0.0 a orchestrátor od d.460 odmítne task krok bez operace
+(`_requireStepOperation`), takže krok bez `step_id` je vadný recept a pravděpodobné jméno ho čte jako
+v pořádku (§3). Pozice zůstává v hlášce — jako to, čím se vadný krok najde, ne jako jeho jméno (§5).
+
+`CookbookTestRunner.validateCookbook` nově žádá `step_id` jako první ze tří polí, která cookbook-core 5.0.0
+u task kroku vyžaduje; tím zmizel i `Step ${step.step_id || 'unknown'}` z hlášek o `service`/`operation` —
+případ, který zastupoval, už nenastane. Ověřeno pozitivní kontrolou nad 43 ostrými recepty
+(`api/templates/business-service` + `api_biz/*/tests/cookbooks`): žádný krok bez `step_id`.
+
+### Fixed — NOT RUN „workspace není dosažitelný" nese týž Fix (d.516b)
+
+`checks/docsLintBridge.js` § `describeNotRun` (obě kontroly) končil u toho, že workspace není — druhý kanál
+vedle toho, který zavřela d.516, a týž nedostatek (`automation-gates.md` §1 požadavek 4). Věta pochází
+z téhož vlastníka, `workspaceRoot.js` § `describeWorkspaceFix`. Ostatní `describeNotRun` (`readmeRegion.js`,
+`libraryWorkspace.js`) a výchozí hláška v `runManifest.js` Fix stále nenesou — nahlášeno, neopraveno.
+
+### Fixed — most k dokumentačnímu lintu píše u NOT RUN týž Fix jako chybějící kořen (d.516)
+
+`checks/docsLintBridge.js` skládal větu NOT RUN z vlastního textu a končil tam, kde skončil linter:
+`F002:http-ports could not be decided — api_biz/*/docker-compose.yml lives in a sibling checkout this run
+does not have, so the probe could not be evaluated`. Pravda, a nic, co může čtenář udělat — přitom ve
+**stejném běhu** a o **témže chybějícím adresáři** řekl `U-ORPHAN` příkaz (`automation-gates.md` §1
+požadavek 4). Dvě věty pro jednu nápravu jsou druhá kolej (`change-discipline.md` § One rail per concern).
+
+Příkaz má teď jednoho vlastníka, `workspaceRoot.js` § `describeWorkspaceFix`; `runManifest.js`
+§ `describeMissingRoots` (d.511) i obě kontroly mostu (`D-PORT`/`D-RETIRED`/`D-LINT`) berou větu odtud.
+Co musí checkout nést, zůstává na volajícím: řádek své kořeny deklaruje a jmenuje, kdežto most dostává
+text od linteru, jehož kanál `skipped` nese jen `{ rule, reason }` (`api/scripts/ci/lint-biz-docs.mjs`
+§ `markSkipped`) — parsovat tu větu by byl soukromý dialekt mezi řádkem a nástrojem, jmenovat sourozence
+zde by z mostu udělalo druhého vlastníka konfigurace prób. Měřeno nad `git archive HEAD` do adresáře bez
+`api_biz`; kontrolní případ: nad workspace, který `api_biz` nese, nejde žádný `D-*` řádek do NOT RUN.
+
+### Fixed — `runPreValidation` nehlásí padlý krok pod jménem jeho operace (d.516)
+
+`utils/preValidation.js` skládal seznam padlých kroků jako `step_id: step.step_id || step.operation`, takže
+krok bez `step_id` dorazil ke čtenáři výsledku pod **jménem operace** — pole se jmenuje `step_id` a neslo
+něco, co jím není, bez jakékoli stopy po záměně (`architecture-principles.md` §3). Od
+`@onlineapps/cookbook-core` 5.0.0 je `step_id` povinné (`schemas/cookbook.v2.schema.json`
+definitions.TaskStep.required jmenuje step_id, type, service, operation) a od d.460 orchestrátor odmítne
+task krok, který nejmenuje operaci (`_requireStepOperation`), takže krok bez `step_id` je vadný recept —
+a vadný recept má výsledek ukázat, ne ho přejmenovat. Kontrolní případ: krok s oběma poli hlásí své
+vlastní `step_id` beze změny.
+
+### Fixed — NOT RUN chybějícího sourozence nese svůj Fix (d.511)
+
+`describeMissingRoots` (`src/manifest/runManifest.js`) hlásil, CO chybí, a nikdy CO s tím; věta s příkazem
+se tiskla jen u čistého verdiktu (`report.js` § `describeClearOutcome`), takže běh, který zároveň něco
+našel, Fix neukázal nikde. Příkaz je odvozen z chybějících kořenů. Měřeno nad exportem
+`api_biz/hello-service` vedle klonu api bez `api_biz/`; v rozvržení deploy brány (`<root>/api_biz/<služba>`
+vedle `<root>/api`) je `notRun` prázdné — U-ORPHAN i R-NODE se rozhodnou (R-NODE i bez `api_biz`, d.238).
+
+### Added — úplnost manifestu proti šabloně v obou směrech (d.511, nález 18)
+
+`tests/unit/templateCoverage.test.js` žádal řádek nebo třídu `own` pro každý soubor šablony; opačný směr
+mlčel — `describeFromProblem` kontroluje tvar reference `from:`, nikdy existenci souboru, takže přejmenovaný
+soubor šablony nechal balíček zelený a spadl až v cizím repu (`[ManifestDiscovery] Packaged file not found`).
+Nově každá `from: { package }` jmenuje soubor, který balíček nese, a každý `files.own.allowed` má v šabloně
+něco za sebou. Rozdíl obou množin je dnes nulový — bez baseline, bez výjimky.
+
+### Fixed — `sharedEnv.js` neslibuje kontrolu pole `consumers`, kterou nic nedělá (d.510)
+
+Komentář nad `renderSharedEnv` tvrdil, že kdo klíč čte, je „fakt, který kód vlastní a kontrola
+měří". Neměří: pole `keys[].consumers` nečte žádný kód tohoto balíčku (`grep -rn consumers src/`
+vrací jen `MockMQClient` a jednu větu komentáře) a žádná brána jinde — manifest
+`api/config/shared-env.json` to sám říká od d.505 (`_consumers`: „NOTHING measures it").
+Slib mechanismu, který neexistuje, je přesně vada z `doc-code-binding.md` §5: odstavec se čte
+jako krytý, takže se nikdo nepodívá.
+
+Komentář teď říká obě poloviny pravdivě: **měřená** je jen ta, že se `consumers` nerenderuje —
+kontrolní případ v `tests/unit/sharedEnv.test.js` polem hne a tvrdí, že vykreslený text se
+nehne; obsah pole drží **review**; a strojová odpověď na „kdo tento název čte" je per služba,
+řádek `C-ENV-READS` (check `env-contract`), který porovnává názvy čtené kódem služby s jejím
+`config/service/integration-contract.json`. Renderer se nezměnil o řádek.
+
+### Changed — `LOG_LEVEL` v zabalené šabloně říká, kdo ho čte a kdo ne (d.510)
+
+Klíč nese komentář „the log level an infra service's config/logging.json resolves through
+`${LOG_LEVEL}`" — pravdivý o infrastruktuře, mlčící o biz řetězci, kde ho **nečte nikdo**:
+v `shared/*/src` je 66 čtení `process.env` a ani jedno tohoto názvu, `@onlineapps/monitoring-core`
+nečte prostředí vůbec (princip 1) a úroveň bere z konfigurace, kterou dostane. Čtenář biz
+`shared.env` tak mohl klíč přenastavit a čekat účinek, který mít nemůže.
+
+Klíč zůstává v jedné sdílené sadě — každá kopie je bajtově shodná s platformní šablonou
+(konfirmace `biz-service-manifest` 003 §18, akceptace bod 4), takže odebrat ho jen biz nositelům
+by znamenalo druhou sadu, tedy změnu konceptu, ne opravu věty. Opravena je věta: `why` nově
+jmenuje infrastrukturní kolej i to, že v biz řetězci je klíč **nesen, ne čten**, a proč tam
+přesto je. `consumers` je srovnán s měřením (přibyly `api_monitoring` a `api_meta_reader`, které
+`LOG_LEVEL` čtou — `src/consumer/config/logging.json`, `src/config.js`).
+
+Dopad na konzumenty: vykreslený komentář klíče se změnil, takže `oa-validate` nad biz službou,
+která svůj `shared.env` nepřegenerovala, nahlásí `G-SHARED-ENV`. Náprava je týž jeden běh jako
+u d.500: `npx oa-sync-template shared-env --target .`.
+
+### Fixed — `oa-sync-template` neplánuje řádky, ze kterých nemá co renderovat (d.507)
+
+`npx oa-sync-template --target . --check` končil v každém biz repu dvěma řádky, které nešlo
+vyřešit: `NOT RUN G-PROD-IMAGE …` a `NOT RUN G-SETUP docs/80-setup/ - the row declares no
+"from" reference`. Oba řádky manifestu žádnou `from:` referenci nedeklarují, protože to nejsou
+soubory renderované z reference — `G-PROD-IMAGE` je požadavek NA obsah souboru (pin digestem),
+`G-SETUP` požadavek na existenci adresáře; odpovídá na ně běh manifestu (`npx oa-validate`).
+Hlášení, se kterým čtenář nemůže nic udělat, je falešná záruka (`automation-gates.md` §5) a
+hláška bez `Fix` (§1 požadavek 4).
+
+Množina řádků synchronizace se nově bere podle toho, co manifest už dnes rozlišuje: řádek
+s `from:` referencí je soubor, který běh renderuje (`syncRows`), řádek bez ní se neplánuje
+vůbec. Rozhoduje reference, ne seznam id — nový požadavkový řádek tedy nevyžaduje změnu kódu.
+`uniformRows` zůstává celou deklarací tříd `identical`/`generated`/`contains`, takže CLI umí
+odmítnout `docs/80-setup/` jako požadavek (se jménem řádku a během, který na něj odpovídá), ne
+jako překlep.
+
+`NOT RUN` zůstává pro svůj jediný případ: řádek, který běh renderovat MÁ a nedosáhne na svou
+referenci (reference do workspace, běh mimo workspace) — nově i s `Fix: … --workspace <root>`.
+Chování řádků s referencí se nemění (kontrolní případ v `tests/unit/uniformFilesSync.test.js`).
+
+Dopad na konzumenty: výstup `--check` nad konformním repem je o dva řádky kratší a neobsahuje
+žádné `NOT RUN`; `oa-sync-template docs/80-setup/ --target .` nově končí exit 2 s vysvětlením
+místo NOT RUN.
+
+### Changed — zabalená šablona `shared.env` nese dvě meze souborového logu (d.500)
+
+`@onlineapps/monitoring-core` 3.0.0 vyžaduje `file.maxSize` a `file.maxFiles` bez defaultu
+v kódu (`src/logger.js` § `REQUIRED_FILE_BOUNDS`) — služba, která je nedeklaruje, spadne při
+konstrukci loggeru. Hodnoty rozhodl vlastník: `LOG_MAX_SIZE_BYTES=52428800`, `LOG_MAX_FILES=10`
+(`api/docs/governance/confirmations/log-file-bounds.md` 001). Klíče přibyly do manifestu
+`api/config/shared-env.json`, který je vlastníkem klíčové sady, a tím i do zabalené kopie
+`templates/business-service/config/env-templates/shared.env`, kterou čte řádek `G-SHARED-ENV`.
+
+Dopad na konzumenty: `oa-validate` nad biz službou, která klíče ve svém `shared.env` nemá,
+nahlásí `G-SHARED-ENV`. Náprava je jeden běh: `npx oa-sync-template shared-env --target .`.
+
+### Added — `resolveMigrationPlan` na veřejném API balíčku (d.492)
+
+Migrační plán (které `.sql` soubory tvoří množinu a v jakém pořadí) byl dostupný jen z vnitřní
+cesty `@onlineapps/conn-orch-validator/src/utils/setupDatabase`. Cesta dovnitř balíčku není
+kontrakt: každý přesun v `src/utils/` rozbije konzumenta, který na nic takového nepřistoupil.
+Funkce je nově na `src/index.js` jako **tatáž** funkce (test `toBe` proti vnitřnímu modulu), ne
+obal — jedna definice, jedno chování (`change-discipline.md` § One rail per concern). Množina
+exportů se jinak nemění; kontrolní případ v `tests/unit/indexExports.test.js` porovnává celý
+seznam klíčů se snímkem před změnou.
+
+Biz repa mají přejít na veřejnou cestu `require('@onlineapps/conn-orch-validator')`; přechod
+v jednotlivých repech patří jejich vláknům (vnitřní cestou dnes importují
+`api_biz/converter/tests/integration/integrationEnv.js` a tři soubory v `api_biz/emailer/tests/`).
+
+### Fixed — brána test-coverage hlásila PASS nad prázdnou množinou testů (d.486, nález d.205)
+
+Prázdný match je jestí exit 0 bez výstupu a každé porovnání brány iteruje množinu, takže nad
+prázdnou nenašlo protipříklad („0 file(s) matched, 0 run by the test:all chain"). Totéž o krok
+níž — krok řetězu `test:all` mířící do prázdného adresáře. Obojí je nález `TEST_SET_EMPTY` se
+jménem skriptu i vzoru; hlásí se jen tam, kde je kořenem (prázdné T a `TEST_NOT_MATCHED` umlčují
+kontrolu jednotlivých kroků). `TEST_COVERAGE_SCOPE` nové měření jmenuje.
+
+### Fixed — R6 odmítá `^`/`~`/`latest` v každé `@onlineapps/*` závislosti, i biz-only (d.485)
+
+Kontrola exaktnosti pinu (`libCompat.js`) seděla uvnitř větve `gated`, takže balíček, který
+žádná infra služba neinstaluje, mohl plavat pod zelenou branou (W413). Zúžení podle
+`infraConsumed` dál rozhoduje jen o tom, co se porovnává s infra verzí; exaktní pin platí pro
+každou `@onlineapps/*` závislost bez výjimky (`architecture-principles.md` § Version pinning).
+Hláška je pro gated i biz-only jedna a nese `Fix: npm install <pkg>@<verze> --save-exact`;
+kontrola existence v SSOT předchází kontrole exaktnosti, aby `Fix:` mohl verzi jmenovat.
+
+### Added — pravidlo `S010`: invertované tvrzení v bats netvrdí nic (d.482)
+
+`lintScripts` čte nově i **kódové** řádky testů a hlásí příkaz s invertovaným návratovým kódem
+ve dvou tvarech, které bats nese: `! cmd` samostatně a `cmd || ! cmd`. Změřeno na bats 1.13.0:
+takový příkaz je vyjmut z `errexit`, takže pod `set -e` **nezpůsobí pád testu**, pokud zrovna
+není posledním příkazem těla — řádek vypadá jako tvrzení a tvrzením je jen náhodou polohy, kterou
+libovolný vložený řádek pod ním tiše zruší. Pravidlo proto hlásí **každý** výskyt a nerozlišuje
+poslední příkaz. Oprava je podmíněný tvar, který návratový kód spotřebuje záměrně a řekne, co našel
+(`if <co nesmí platit>; then echo "[ctx] problem - found: …" >&2; return 1; fi`); `if ! cmd; then … fi`
+je právě ta oprava, ne vada, a nehlásí se. Brána přistává nad již čistým rozsahem — 0 nálezů
+ve 146 souborech, 32 výskytů platformy přepsáno předem — bez baseline a bez skip flagu
+(`automation-gates.md` §3). Norma: `api/docs/standards/SCRIPTS-STANDARD.md` § Enforcement.
+
+### Changed — rozsah citací je `tests/**`, ne jen `tests/scripts/` (d.482)
+
+`CITATION_SCOPE` je nově `tests` (rekurzivně; přípony `.bats`/`.bash`/`.sh` beze změny), a platí pro
+`S009` i `S010`. Adresář, ve kterém se `S009` narodilo, není jediný, který testy drží: mimo něj leží
+12 shellových souborů (`tests/scripts-docker`, `tests/e2e/helpers`, `tests/fixtures/…`). Pravidlo, které
+čte jeden adresář a sousední ne, má díru, kterou nikdo nevidí — běh ohlásí `0 finding(s)` a nikdy neřekne,
+které soubory neotevřel (`automation-gates.md` §5). Rozsah byl před rozsířením změřen čistý pro obě
+pravidla, takže ani zde není baseline. Jméno konstanty se nemění — exportuje ji CLI do svých hlášek.
+
+## [9.0.0] — 2026-09-15
+
+### Removed — šablona už nenese job `verify-installation-contract` (d.470)
+
+Blok `oa-ci v1` v `templates/business-service/.gitlab-ci.yml` deklaroval job, který pouštěl
+`sh scripts/verify-installation-docs-sql-contract.sh`. Šablona ten skript **nikdy nenesla**
+(`templates/business-service/scripts/` = jen `verify-deploy-uniform.sh`) — osm biz repozitářů mělo
+každý vlastní kopii a mapa vydání d.320 ruší všech osm. Job v bloku tedy sliboval kontrolu, kterou
+nově nascaffoldovaná služba nemůže provést (`automation-gates.md` §5).
+
+Norma se nikam neztratila, jen má jednu kolej místo dvou: `install-contract` je ve validatoru
+(`src/utils/installContract.js`) a manifest ji vymáhá řádky `G-SETUP`, `D-DB-PACKAGE` a
+`D-DB-HEADERS`, které běží v uniformě před SSH krokem téhož deploy jobu (konfirmace
+`biz-service-manifest` 008) — a jako podpříkaz `biz-ci-gate verify-install-contract`.
+
+### Changed — test job šablony nedělá `REGISTRY_URL` (d.470)
+
+`test:` (mimo značky, výchozí job nové služby) deklaroval `REGISTRY_URL: "http://localhost:33100"`.
+Nic, co ten job spouští, ho nečte: `test:ci` je `jest`, `jest.config.js` matchuje
+`**/tests/**/*.test.js` a jediný test šablony požaduje `src/handlers/v3/echo.js`. Klíč byl HTTP
+adresou registru pro `getService()`; konfirmace `biz-discovery-redis` 001 přesunula čtení na Redis
+projekci a `725b25c2` HTTP volání odstranil. Čtyři otázky před rušením deklarace jsou zodpovězeny
+v `api/docs/governance/confirmations/declaration-removal.md` 001. Deklarace klíče v
+`config/env-templates/shared.env` se netýká — tu vlastní `api/config/shared-env.json`.
+
+### Changed — deploy job migruje jen tam, kde fáze 1 proběhla (d.477)
+
+Krok migrací dělal `touch "$TRACKER"` a poté aplikoval vše, co tracker neznal — na boxu, kde
+fáze 1 nikdy neběžela, by tak deploy aplikoval **celou řadu sám**. Konfirmace
+`api/docs/governance/confirmations/db-migrations-first-deploy.md` 001 dělí práci na dvě fáze a
+první z nich (schéma, účet a první běh téhož běžce ručně podle runbooku) nechává člověku.
+
+Tracker `config/runtime/applied-migrations-<schema>.txt` je proto od teď **precondition**, ne
+výstup: chybí-li, job končí fail-fast hláškou `[deploy] Migrations tracker <cesta> missing -
+phase 1 … has not run on this box` a jmenuje runbook `api/docs/setup/INSTALL.md`. Žádný `touch`,
+žádné `mkdir` — krok nezakládá nic, stejně jako nezakládá schéma ani účet. Prázdný tracker
+zůstává platným stavem (fáze 1 bez přenesených souborů). `docs/80-setup/INSTALL.md` šablony
+§ Migrations at deploy time to říká třetí odrážkou.
+
 ## [8.1.0] — 2026-09-15
 
 ### Changed — deploy job šablony aplikuje migrace DB mezi `pull` a `up` (d.421)

package/README.md

@@ -23,7 +23,7 @@ This is **NOT** a development testing tool. This is a **production validation or
 2. **Validates configuration** - `config.json`, `operations.json` and `integration-contract.json`, through the manifest rows that own them
 3. **Validates the environment contract** - every `env.required` name is set
 4. **Validates operations** - the v3 handler-registry rules
-5. **Validates business logic** - cookbook tests with mocked infrastructure
+5. **Validates business logic** - cookbook tests against the two mocked doubles named below
 6. **Validates connector integration** - the two declarations agree and the environment backs them
 7. **Generates validation proof** - SHA256 proof carried into registration
 
@@ -58,7 +58,7 @@ runs Tier-1 validation in phase 0.2 — before MQ connects, before registration.
    sentences of its own, and the same defect was reported twice
 3. **Environment Contract** - every variable the contract declares `env.required` is set
 4. **Operations Compliance** - every operation declares `handler`, `bundle_scope`, `input`, `output`, and none carries a retired v2 field (`endpoint`, `method`, `path`); a missing `description` is a warning
-5. **Cookbook Tests** - business logic + integration (MOCKED infra)
+5. **Cookbook Tests** - business logic + integration; every step is dispatched in-process, with no transport, and against the service's real database (see below)
 6. **Connector Integration** - the connector declarations agree and the environment backs them
 7. **Manifest conformance** - the repository against the uniform manifest shipped in this package (see below)
 
@@ -70,6 +70,35 @@ signal saved to `ci/deployability.json`
 
 ---
 
+## Pre-validation runs in-process — and against the real database
+
+A cookbook step is dispatched **in this process**, against the service's own v3
+handler, with no transport of any kind. There is nothing to mock: the ctx slots
+are `null` (pinned by `tests/unit/CookbookTestRunner.ctxShape.test.js`), and a
+handler that needs a schema reaches it the way it reaches it in production — by
+importing the service's own database module. **That connection is real.**
+
+`mockInfrastructure` — the option that once built a MockMQClient and a
+MockRegistry for transport dispatch — is retired: the runner and the cookbook
+format both refuse it by name (`tests/unit/mockInfrastructureRetired.test.js`).
+
+What the real database requires is ORDER, and the contract is what makes the
+order decidable:
+
+- a service that needs a database declares **both** `requiredConnectors.db: true`
+  **and** the `database` block; the contract refuses either one standing alone,
+  in both directions;
+- `setup-db` therefore builds a schema exactly where one is declared, and reports
+  `NOT APPLICABLE` — never `OK` — where none is;
+- `run-prevalidation` (`npm run test:cookbooks`) comes **after** `ci:gate:setup`
+  in the job, because by then the schema its handlers will reach exists.
+
+Run out of that order, or against a service whose schema was never built, the
+cookbooks fail in the handler's own database error. That is the truthful
+failure.
+
+---
+
 ## Environment contract (`env` block)
 
 One declaration in `config/service/integration-contract.json`, two consumers:
@@ -373,6 +402,17 @@ the test precisely so that the next file cannot be exempted by editing a test
 behind two files that had no row at all: `gitignore` (now `F-GITIGNORE`) and
 `.gitlab-ci.yml` (now `G-CI`).
 
+The same suite reads the other two directions, which were silent until d.511 and silent in
+a worse way, because nothing reads a `from:` reference until a run needs it. Every
+`from: { package }` reference the manifest makes must name a file this package carries:
+`describeFromProblem` (`manifestShape.js`) checks a reference's SHAPE and never whether the
+file is there, so a template file renamed or deleted left every suite green here and threw
+`[ManifestDiscovery] Packaged file not found` later — inside whichever repository ran the
+uniform next, a service's CI or a container at boot. And every `files.own.allowed` entry
+must have something behind it in the template, so the class stays a decision about real
+files rather than a list nobody re-derives. Both read the references through `collectRows`,
+the manifest's own walk, so a row that moves into another block cannot fall out of them.
+
 #### `.gitignore`: the `contains` class
 
 `F-GITIGNORE` compares the ignore ENTRIES the packaged template declares against the
@@ -628,13 +668,32 @@ the directories it walks (`requiresSiblings({ row, block })`, derived from the r
 patterns), and the runner verifies them before running it:
 
 ```
-NOT RUN  L-CONSUMER — sibling root api_biz is not present in this checkout
+NOT RUN  L-CONSUMER — sibling root api_biz is not present in this checkout - an absent
+directory is not an empty one, so this row is not answered. Fix: run with --workspace
+pointing at a checkout that carries api_biz.
 ```
 
 Measured against a `git archive` export of this repository on 2026-09-09: without the gate,
 `--library --all` raised a blocking `L-CONSUMER` on `conn-base-db` about files nobody
 opened. Never a finding, never a pass (`automation-gates.md` §5).
 
+The line carries its fix because of where it is read. Measured 2026-09-15 over a
+`git archive` export of `api_biz/hello-service` placed beside an api clone with no
+`api_biz/` around them: the reason ended at "is not present in this checkout", and the
+report's own incomplete-run sentence — the one that does name the command — prints only on
+a CLEAR verdict (`report.js` § `describeClearOutcome`), so a run that also had findings
+named no fix anywhere. `automation-gates.md` §1 requirement 4 asks for the exact command,
+and the sync half of this package already gave it (`src/sync/uniformFiles.js` § `planRow`).
+The command is derived from the missing roots, so a row that starts reading a new sibling
+needs no second edit.
+
+In the layout the deploy gate demands — the service at `<root>/api_biz/<service>` beside
+`<root>/api`, which `templates/business-service/.gitlab-ci.yml` asks GitLab for through
+`GIT_CLONE_PATH` — nothing is skipped: measured the same day over that export, `notRun` is
+empty and both `U-ORPHAN` and `R-NODE` decide. `R-NODE` left the NOT RUN list in d.238 and
+decides even where `api_biz` is absent, because the platform major it reads is this
+package's own `engines.node`.
+
 One case is neither mode: a service root that does not lie under the given workspace root.
 Filtering there would drop every finding and the empty table would read as "the row
 looked and found nothing", so each row that needs the workspace — `workspace` and `bearer`
@@ -875,12 +934,17 @@ class — `src/**`, `tests/**`, the content of `docs/**` — are never written.
 file, and since d.229 most of them read a file this package carries. The predicate is the
 one the manifest run uses (`rowNeedsWorkspace`), so the `fix` command of `F-INIT`,
 `F-JEST` and `F-RUNNER` can be typed where their finding is now raised: inside the service
-image. A row that does need one is printed `NOT RUN` by name, never skipped in silence.
-
-A row the manifest does not make renderable is printed `NOT RUN` with the reason instead
-of being filled from a guess. Today that is `G-PROD-IMAGE` and `G-SETUP`: they declare no
-`from:` reference, so nothing says what their content is rendered from — the first is a
-requirement ABOUT a file, the second a directory that must exist. A row whose file
+image. A row that does need one is printed `NOT RUN` by name with the `--workspace` fix,
+never skipped in silence.
+
+A row the manifest does not make renderable is **not a row of this run**. Today that is
+`G-PROD-IMAGE` and `G-SETUP`: they declare no `from:` reference, so nothing says what
+their content would be rendered from — the first is a requirement ABOUT a file, the second
+a directory that must exist, and `oa-validate` is the run that answers both. Until d.507
+the sync planned them and printed `NOT RUN`, which every `--check` in every repository
+ended on: a line naming a state its reader could do nothing about, with no `Fix`
+(`automation-gates.md` §5 and §1 requirement 4). Naming a requirement path as an argument
+is refused by what it is, with the run that does answer it. A row whose file
 blocks the write — an `init.sh` carrying no block marker, where inserting one would mean
 choosing a position among somebody's own install steps; an installation document missing a
 section, where writing one would mean rewriting somebody's prose — is printed `BLOCKED`
@@ -1107,6 +1171,16 @@ services/my-service/
 ```
 
 **Proof Lifecycle:**
+- **Every number in it is a measurement.** `testsRun`, `testsPassed`,
+  `testsFailed` and `durationMs` are read from the aggregate the runner returns,
+  and a missing one is refused by name rather than filled with `0`: the same
+  number would otherwise stand for both "measured, and it was zero" and "nobody
+  measured this", with no way for a reader to tell them apart. A run that
+  executed nothing — a service whose `tests/cookbooks/` holds no `.json` file —
+  is refused outright: it has no failing step, so it used to publish a signed
+  proof asserting a passing validation of zero tests, which
+  `ValidationProofCodec.decode()` then refused at the registry as `NO_TESTS`,
+  days later and far from the cause.
 - **Written:** on every successful validation, i.e. on every boot. There is no
   proof cache — the one that existed skipped steps 1-3 and 5-6 to save 6 ms and
   bought a window of up to seven days in which validation asserted something no

package/docs/DESIGN.md

@@ -25,17 +25,31 @@ surface was removed together with the now-retired `ServiceValidator` /
 - **Production-ready** — the exact same code runs locally, in CI and during
   wrapper startup.
 - **Fail-fast** — missing logger, missing operations.json: immediate throw.
-  `serviceUrl` is *not* among them: it fed the retired `/health` probe and
-  nothing reads it (ADR 0005). It is accepted and ignored so existing callers
-  keep working.
+  `serviceUrl` is not among them because it is gone: it fed the retired
+  `/health` probe (ADR 0005), and neither `ValidationOrchestrator` nor
+  `CookbookTestRunner` reads, stores or documents it any more
+  (`tests/unit/ValidationOrchestrator.unit.test.js` § Constructor). Nor is one
+  passed: `ServiceWrapper._createValidationOrchestrator()` builds the
+  orchestrator from four options and this is not one of them
+  (`tests/unit/preValidation.test.js` § the runner is built with the service
+  identity and no retired options).
 
 ## Components
 
-### Mock Infrastructure (for unit tests)
+### Internal test doubles — not published
 
-- `MockMQClient` — in-memory message queue simulation
-- `MockRegistry` — service registry simulation
-- `MockStorage` — object storage simulation
+The package exports no infrastructure doubles. `mockInfrastructure`, the option
+that built them, is retired (d.576): a cookbook step is dispatched in-process
+against the service's own v3 handler, so there is no transport to stand in for
+and the database a handler reaches is the real one
+(`tests/unit/mockInfrastructureRetired.test.js`).
+
+- `MockRegistry` — the registry stand-in of `helpers/createServiceReadinessTests`,
+  internal to the package
+- `MockMQClient` — used by `tests/unit/RegistrationFlow.test.js` alone
+
+A double with no consumer is not kept: `MockStorage` was deleted with its own
+unit test in d.583 (`tests/unit/mockInfrastructureRetired.test.js`).
 
 ### Production Validation