@pgcorp/ui-kit 0.10.0 → 0.10.2

package/docs/versioning.md

@@ -11,6 +11,45 @@
 Официальный release публикуется из защищённого git tag после package contract,
 consumer builds и browser proof. Один и тот же номер версии не публикуется повторно.
 
+### Release proof
+
+Корневая команда `make ui-kit-release-check` выполняет последовательность:
+
+1. release contract;
+2. LVS backend;
+3. LVS frontend static quality;
+4. LVS frontend unit coverage;
+5. LVS Storybook/browser proof;
+6. LVS product end-to-end proof;
+7. полный CSS consumer gate;
+8. полный TestOps consumer gate;
+9. smoke опубликованного package boundary;
+10. dependency audit.
+
+Успешная стадия получает receipt с хешем tracked inputs, своей командой,
+релевантными версиями toolchain, конфигурацией workers/окружения и fingerprints
+зависимых стадий. Совпадающий receipt переиспользуется. Изменение исходников,
+dependency manifest или lock-файла, команды, применимого toolchain либо
+конфигурации инвалидирует соответствующую стадию; зависящие от неё стадии также
+выполняются повторно. Независимые совместимые receipts сохраняются. Dependency
+audit действителен шесть часов, потому что состояние advisory registry является
+внешним входом. Его dependency fingerprint исключает только release metadata
+(`name`/`version`) собственного workspace; изменение dependency fields или
+разрешённого графа lock-файла всегда требует нового audit.
+
+`make ui-kit-release-proof-verify` проверяет полный набор receipts для точного Git
+commit/tree. Release artifact содержит digest этого proof и публикуется только
+командой `make ui-kit-publish`. Ручного пропуска стадий в release contract нет.
+
+Для нового release tree используется `make ui-kit-release-proof-staged`. Команда
+требует, чтобы все tracked-изменения были добавлены в index, а untracked и
+unstaged-файлы отсутствовали. До и после каждой стадии проверяется точный
+`git write-tree`, поэтому proof нельзя случайно получить для меняющегося набора
+файлов. После коммита этого же дерева `make ui-kit-release-proof-verify` принимает
+staged proof без повторного запуска зелёных стадий. Другой итоговый tree,
+изменение зависимости, lock-файла, применимого toolchain или переменной окружения
+инвалидирует соответствующие receipts по их входам.
+
 ## English
 
 The package follows Semantic Versioning:
@@ -21,3 +60,35 @@ The package follows Semantic Versioning:
 
 An official release is published from a protected git tag after package-contract,
 consumer-build, and browser-proof checks. A version number is never republished.
+
+### Release proof
+
+The root `make ui-kit-release-check` target runs the release contract, separate
+LVS backend, frontend static-quality, unit-coverage, Storybook/browser, and
+product end-to-end stages, the full CSS and TestOps consumer gates,
+package-boundary smoke, and the dependency audit in sequence.
+
+Each successful stage receives a receipt containing the tracked-input digest,
+command, applicable toolchain versions, worker/environment configuration, and
+dependency fingerprints. A matching receipt is reused. Changes to source files,
+dependency manifests or lockfiles, the stage command, applicable toolchain, or
+configuration invalidate the affected stage and its dependants while preserving
+independent compatible receipts. The dependency-audit receipt expires after six
+hours because registry advisory state is an external input. Its dependency
+fingerprint excludes only the workspace's own release metadata (`name` and
+`version`); dependency-field or resolved lock-graph changes always require a
+fresh audit.
+
+`make ui-kit-release-proof-verify` validates the complete receipt set against the
+exact Git commit and tree. The release artifact embeds this proof digest and is
+published only through `make ui-kit-publish`. The release contract has no manual
+stage-skip option.
+
+Use `make ui-kit-release-proof-staged` for a new release tree. Every tracked
+change must be staged, with no untracked or unstaged files. The runner verifies
+the exact `git write-tree` value before and after every stage, so a changing tree
+cannot receive release proof. Once that exact tree is committed,
+`make ui-kit-release-proof-verify` accepts the staged proof without rerunning
+green stages. A different final tree, dependency or lockfile change, applicable
+toolchain change, or relevant environment change invalidates the matching
+receipts according to their declared inputs.