@rt-tools/agent-kit 0.16.1 → 0.18.0

package/assets/laws/work-conduct.md

@@ -41,6 +41,15 @@
   принимается заново.** Отменённое решение следа в работе не оставляет — по результату не видно ни
   того, что его принимали, ни того, что от него отказались. Принятое заново оно расходится с
   прежним молча и стоит той же работы второй раз.
+- **Решение, которое переживёт задачу, записывается там, где оно переживёт.** Ход работы умирает
+  вместе с папкой задачи, а имя, адрес и выбранный способ, названные владельцем посреди серии
+  работ, нужны следующим её задачам. Не переехавшее решение существует только в переписке того
+  захода, в котором принято: следующий заход делает разведку честно, не находит ничего — и
+  задаёт владельцу вопрос, на который тот уже отвечал.
+- **Инструмент, названный в просьбе, входит в просьбу.** Замена его на свой — отступление от
+  просьбы, даже когда свой даёт тот же ответ: равноценность инструментов решает тот, кто просит.
+  Одинаковый результат равноценностью не является — у названного инструмента бывает видно то,
+  чего у заменителя нет вовсе.
 - **Понимание записано там, где идёт работа.** Оставленное в переписке живёт у одного участника и
   до следующего дня; работу продолжает тот, у кого этой переписки нет.
 - **Сказанное владельцем записывается его словами и задним числом не переписывается.** Пересказ
@@ -197,6 +206,12 @@
 - **Уборка за работой идёт до того, как о готовности сказано.** Всё, что работа обязана убрать за
   собой, убирается раньше просьбы включить её в общее дерево, а не после согласия. После включения
   убирать уже некому: работа перешла к следующей задаче.
+- **Постоянное указание среды исполнения слабее правила дерева.** Среда описывает своё
+  умолчание и о дереве не знает; дерево вправе его отменить и отменяет молча — тем, что говорит
+  иначе. Расхождение разрешается в пользу дерева, а не того из двух текстов, который строже
+  сформулирован или ближе стоит к делу. Опознаётся оно чтением обоих, а не проверкой: указание
+  среды приходит в заход текстом, и сличить его с правилом машине не по чему.
+
 - **Пока эпик не кончился, следующая работа не выбирается, а берётся.** Выбор, предложенный
   владельцу при назначенном порядке, — это просьба назначить его заново: он уже назначен, и
   предлагать его повторно значит отменять собственное планирование.

package/assets/patterns/browser-verification-measure.md

@@ -67,7 +67,9 @@ description: Паттерн правила browser-verification. Брать, к
 - Между кликами обязателен `await`: синхронный цикл «кликнул — прочитал DOM» читает состояние
   до перерисовки и возвращает устаревшие значения.
 - `select_browser` протухает через 300 секунд. На длинной проверке это срабатывает посреди
-  работы — это не сбой стенда, повторить вызов и продолжить. Закреплённый профиль — тот, что записан в дереве, идентификатор `062b17db-ae82-4264-927c-e9904d0dd5be`.
+  работы — это не сбой стенда, повторить вызов и продолжить. Закреплённый профиль называет само дерево — переменной окружения либо своим файлом рядом с
+  настройками раскладки; спрашивается он у помощника, а не помнится: идентификатор локален для
+  машины и в пакет не едет вовсе.
 
 ## Поведение роутера воспроизводится нажатиями
 

package/assets/patterns/browser-verification-stand.md

@@ -40,6 +40,10 @@ PORT={{prodSitePort}} node dist/apps/site/server/server.mjs
 Это не дев-сервер: гард ловит `nx|ng serve`, пакетные раннеры и статические серверы, а запуск
 собранного сервера пропускает.
 
+Поведение, зависящее от хоста — адрес владельца, увод, разный ответ на разных именах, —
+проверяется прямо здесь одним запросом с заданным заголовком. Прокси с подменой для этого не
+нужен: он добавляет ещё один процесс, чьё поведение придётся отделять от проверяемого.
+
 ## Стенд админки
 
 ```bash
@@ -107,8 +111,9 @@ docker run -d --name <префикс>-stand-nginx \
   `nginx.conf`, — файл с расширением `.conf` в смонтированном каталоге попал бы в `include`
   и уронил бы nginx на директиве `user`. Без него стенд поднимается на конфиге образа, и
   предел соединений на воркер там свой.
-- Сервер отдачи страниц отвечает `400` на чужой `Host`: все запросы идут с
-  `-H "Host: localhost"`.
+- Чужой `Host` отбивает **дев-сервер**, а не собранное приложение: прод-сборка отвечает на него
+  тем же, чем и на свой. За настоящим прокси запросы идут со своим заголовком ровно потому, что
+  прокси стоит перед дев-сервером, — оттуда и `-H "Host: localhost"`.
 - Переменные окружения стенда обязаны смотреть на процессы стенда. `CACHE_REFRESH_URL`,
   направленный на {{sitePort}}, сбрасывает кэш мимо того процесса, который держит справочник
   перенаправлений в памяти, — исправный механизм при этом выглядит сломанным.
@@ -128,8 +133,11 @@ pnpm install --frozen-lockfile         # из ../<префикс>-base: node_mod
   коммит — проверяют сборкой, а не тем, что он в главной ветке.
 - Стенд второго дерева поднимают на своих портах: {{sitePort}}, {{adminPort}} и {{apiPort}} заняты владельцем, а {{ssrPort}}
   занимать нельзя — стенд разработчика ходит по имени `ssr:{{ssrPort}}`.
-- Оба стенда держат поднятыми одновременно: если сравнивать по памяти между двумя запусками,
-  заметишь только то, что успел запомнить.
+- Оба стенда держат поднятыми одновременно — ровно до конца сравнения: если сравнивать по памяти
+  между двумя запусками, заметишь только то, что успел запомнить. Со сравнением стенд второго
+  дерева гасится тем же ходом, а не оставляется до конца захода: оставленные стенды копятся
+  заходами и держат соединения к хранилищу, и правило говорит об этом ловушкой. Снятие отбито —
+  стенд называется владельцу в конце захода поимённо, с портом.
 
 ## Состояние портов снимается до первой сборки захода
 
@@ -155,6 +163,11 @@ done
   это по её длительности.
 - Свой дев-сервер не поднимать: сайт на {{sitePort}}, админка на {{adminPort}}, API на {{apiPort}} уже подняты
   владельцем, и второй экземпляр отбивается гардом.
+- **Дев-сервер владельца — место, где смотрят, а не место, где проверяют.** Вывод о том, что
+  экран верен, делается на прод-сборке за настоящим прокси: разметка от сервера, локали, кэш,
+  перенаправления и заголовки на дев-сервере либо другие, либо отсутствуют вовсе. Взгляд на
+  поднятый дев-сервер годится, чтобы понять, что происходит на незнакомом экране, и не годится
+  подтверждением: подтверждение — замер на стенде из прод-сборки.
 - **Общая сборка глушит все три дев-сервера владельца, а не только API.** После
   `nx run-many -t build` ложатся и сайт на {{sitePort}}, и админка на {{adminPort}}. Собирать надо то, что
   проверяешь (`npx nx build site`), а не всё дерево. Если серверы легли, поднять их обратно

package/assets/patterns/doc-style-write.md

@@ -48,7 +48,7 @@ description: Паттерн правила doc-style. Брать при напи
 
 «Не планируется», «не будет», «отдельная фича по запросу» — это намерение владельца, а не
 свойство системы. Что не сделано — да, почему не сделано — да, что не будет сделано никогда —
-нет. Вместо приговора — открытый вопрос `Q-N` с тем, что решение изменит.
+нет. Вместо приговора — открытый вопрос `Q-<буква закона>-<номер>` с тем, что решение изменит.
 
 Ошибка беззвучная: сверять утверждение о будущем не с чем, оно проходит любую проверку. Так в
 первый живой спек попало «онлайн-оплаты нет и не планируется», хотя оплата в планах.
@@ -69,7 +69,40 @@ description: Паттерн правила doc-style. Брать при напи
 ✓ у пустого списка должен быть текст, у отказа — кнопка повтора
 ```
 
-Проверка: прочитать фразу вслух. Если так не говорят — переписать.
+Проверка: прочитать фразу вслух. Если так не говорят — переписать. Слухом это ловится в той
+фразе, которую читают, и не ловится в файле на восемьсот строк: оборот всплывает по всему
+тексту, и глазами он не считается.
+
+Берётся чужой оборот оттуда, что писавший только что читал, и сильнее всего это бьёт при письме
+в том же роде: ни одного слова вне словаря в такой фразе нет, каждое проходит вычитку по
+отдельности, а непонятной оказывается фраза целиком. Вводный абзац поэтому пишется последним —
+когда источник уже выветрился.
+
+Вторая половина проверки — счёт, и там, где дерево разложило проверку слога
+`checks/check-prose-style.mjs`, набор оборотов накоплен в ней самой: каждый признак назван
+вместе с заменой, а находка печатается файлом и строкой. Оборот, найденный вычиткой,
+дописывается в набор тем же ходом — иначе следующий пишущий начинает с пустого места и
+собирает его заново из своей памяти.
+
+Читается не только слово, но и то, одно ли у фразы прочтение. Три причины нечитаемости приходят
+по очереди, и правка одной заводит следующую — статью закона переписывали трижды, и каждый раз
+владелец не понимал её по новой причине:
+
+```text
+✗ не различать их нельзя                        — двойное отрицание читается наоборот сказанному
+✗ у каждого видно, откуда он взялся             — местоимение без хозяина, а «взялся» не называет действия
+✗ либо снимается ролью, либо остаётся навсегда  — два исхода через «или» без правила, по которому наступает тот или другой
+
+✓ выданное лично снимается только лично: роль этого не трогает
+```
+
+Довод «без такого устройства было бы так» в текст не идёт вовсе: он спорит с тем, чего нет, и
+читается как «это к чему?».
+
+Чего не видит ни слух, ни она: повтора законного оборота. Каждое его появление законно
+поодиночке, а стоящий в тексте десятками он уже не приём, а тик — читатель перестаёт замечать
+его вместе со смыслом. Считается это грепом по тексту, и число само по себе отказом не бывает:
+судит его тот, кто правит следующим.
 
 ## Факт проверяется, а не вспоминается
 
@@ -79,6 +112,33 @@ description: Паттерн правила doc-style. Брать при напи
 Особенно это касается отказов: «вернётся `value out of range`» продержалось в двух документах,
 хотя такой отказ недостижим — в контракте и в колонке одна ширина.
 
+**Утверждение о состоянии другой ветки читается из неё, а не из своей копии.** Копия, снятая при
+отведении, отвечает на любой вопрос о содержимом файла и ни одним признаком не показывает,
+насколько она отстала. Трижды за один заход состояние общей ветки вывели из файла на своей,
+отставшей на семь коммитов; все три вывода неверны, один доехал до документа задачи и был назван
+владельцу как факт. Поймано ребейзом, то есть случайно.
+
+```bash
+git fetch origin
+git show origin/main:<путь к файлу>
+```
+
+**Утверждение «все N таких-то» пишется после перечисления маршрутов, которыми значение попадает в
+место, а не после скана по одному образцу.** Скан подтверждает ровно тот маршрут, который в него
+заложен, и молчит обо всех прочих — тем увереннее, чем точнее образец. Посчитали места по образцу
+самого вызова, получили 22 и записали в план и в описание заявки, что порядок держится
+устройством; мимо прошли десять вызовов обёртки, которая берёт значение аргументом. Мест
+оказалось 32, и у десяти значение стояло числом.
+
+**Команда, которой получено число, проверяется на том, что она мерит спрошенное.** Вывод команды
+— не подтверждение сам по себе: инструмент отвечает на тот вопрос, который понял, и о непонятой
+части образца молчит. Три числа подряд за один заход: граница слова, не реализованная в этой
+сборке инструмента и не объявленная отказом, дала 278 вхождений вместо 79; счёт вызовов
+регулярным выражением дал 32 и 42 на одном и том же, а по синтаксическому дереву их 27.
+
+**Число, пришедшее из прошлой сессии, замером не считается.** Оно неотличимо от замеренного и в
+документе выглядит так же уверенно; пересчитывается заново тем же ходом, которым пишется.
+
 ## Не пересказывать то, у чего есть источник
 
 - типы и поля контракта — `libs/common/proto/proto/<область>/v1/`, ссылкой;

package/assets/patterns/git-workflow-commit.github.md

@@ -26,6 +26,19 @@ description: Паттерн правила git-workflow. Брать на зав
 
 Все четыре шага делает одна команда дерева, а не рука: делить их значит забывать третий.
 
+**Очередь работ спрашивается до заведения задачи, а не после.** Найденное собственной сверкой
+ощущается новым, и это ощущение — единственное, что стоит за решением завести задачу: команда
+заведения отвечает за свои вызовы и о содержании очереди не знает ничего. Спрашивается она
+поиском по словам темы, вместе с закрытым за последний месяц: дефект, закрытый и вернувшийся, —
+та же работа, а не новая. Дубль стоит дорого — по нему проходит вся работа целиком, а сводить
+две задачи в одну потом приходится руками.
+
+```bash
+/opt/homebrew/bin/gh issue list --state all --limit 200 --search '<слова темы>' \
+    --json number,title,state
+```
+
+
 ```bash
 npm run task:new -- --title 'Письма владельцу не уходят молча' \
     --label bug --label area:api --slug mail-owner-silence < описание.md
@@ -102,7 +115,7 @@ $GH api graphql -f query='mutation { deleteIssue(input: {issueId: "<node-id>"})
 составная команда отклоняется целиком — ветки в ней ещё нет:
 
 ```bash
-✗ git checkout -b <КЛЮЧ>-85-guest-token && git commit -m 'feat(admin): …'
+✗ git checkout -b <КЛЮЧ>-85-guest-token && git commit -m 'feat(<область>): …'
 ✓ git checkout -b <КЛЮЧ>-85-guest-token
 ✓ git commit -F -
 ```
@@ -153,11 +166,25 @@ GIT_COMMITTER_NAME="<бот>" GIT_COMMITTER_EMAIL="<номер>+<бот>@users.n
 конце заголовка не принимается, длина — до 150 знаков.
 
 ```
-feat(site): availability calendar with season prices
-fix(api): reject overlapping booking dates
+feat(<область>): availability calendar with season prices
+fix(<область>): reject overlapping booking dates
 chore(deploy): docker-compose for vps
 ```
 
+## Файлы своей работы называются поимённо
+
+Рабочее дерево одно, а работ в нём бывает несколько: чужая незакоммиченная папка, оставленный
+черновик, правка соседнего захода. Каталог, добавленный целиком, уносит их с собой, и в главную
+ветку уезжает то, о чём эта работа не просила.
+
+```bash
+git add docs/tasks/<КЛЮЧ>-<номер>-<slug>/plan.md docs/tasks/<КЛЮЧ>-<номер>-<slug>/progress.md
+git diff --cached --name-only     # что действительно встало в индекс
+```
+
+Проверки индекса после добавления мало: однажды добавленный чужой файл становится
+отслеживаемым и дальше едет молча — следующий `git add` его уже не спрашивает.
+
 ## Документ едет тем же коммитом
 
 `docs-guard` требует пару и называет её сам. Обход — строка в теле, причина обязательна:
@@ -169,6 +196,7 @@ Docs-skip: правка только в тестах хука, зеркала у
 ## Частые промахи
 
 - `gh` в оболочке пользователя подменён — звать `/opt/homebrew/bin/gh` напрямую.
+- Каталог добавлен целиком при чужом незакоммиченном рядом: чужая папка задачи уехала в главную ветку и стала отслеживаемой.
 - `git add` с несколькими путями не добавляет ничего, если хоть один путь не существует:
   команда обрывается на первом промахе целиком, а не пропускает его. Следующий
   `git commit --amend` при этом уносит в коммит всё, что осталось в индексе, — так в коммит
@@ -180,13 +208,13 @@ Docs-skip: правка только в тестах хука, зеркала у
   каталог диагностики.
 - `gh project` с `--owner` отвечает `unknown owner type`: владелец борды — другая учётная
   запись, и правка идёт только через GraphQL.
-- Заведённый тикет на борду сама она не забирает: репозиторий с ней не связан, и добавление
+- Заведённую задачу на борду сама она не забирает: репозиторий с ней не связан, и добавление
   идёт отдельным вызовом. Два тикета так и остались вне очереди работ — поэтому все четыре
   шага и делает `npm run task:new`, а не рука.
 - Исполнитель у задачи не проставляется сам ни при заведении через веб, ни при добавлении на
   борду: из девяноста девяти открытых задач он стоял у двух.
 - Задача, заведённая через веб, мимо команды, на борду не попадает и гардом не отбивается —
-  он смотрит команду, а не тикет. Ловится это только сверкой очереди.
+  он смотрит команду, а не задачу. Ловится это только сверкой очереди.
 - Колонка задачи сама не двигается ни от заведения ветки, ни от открытия PR: борда ветки не
   видит вовсе, а связь с PR заполняет только поле «Linked pull requests». Взятие в работу не
   ловит и сверка — ей ветка тоже не видна.

package/assets/patterns/git-workflow-docker.md

@@ -96,6 +96,14 @@ docker builder prune --force --filter until=24h       # вчерашний кэ
 Освобождают отбором, а не общей чисткой: у сценария чистки образов сперва спрашивают, что он
 снял бы, и только потом дают снимать.
 
+**Снятие образов отбивает не гейт, а режим захода.** В автоматическом режиме команда с
+необратимым удалением — снятие образа, чистка слоёв — отклоняется независимо от разрешений, и
+разрешающее правило на ту же команду отказа не снимает. Повторный вызов отбивается так же: отказ
+не зависит от того, как команда набрана, поэтому переформулировка тут не путь. Ходов отсюда два —
+освободить место тем, что удаления не требует, либо назвать это владельцу: режим переключает он,
+и снимает образы тоже он. Названное в конце захода стоит целого прогона: конвейер всё это время
+стоит красным по нехватке места.
+
 ## Демон поднимается своим CLI
 
 Открытие приложения виртуальную машину не поднимает: приложение считается запущенным, а демон
@@ -176,6 +184,20 @@ docker info --format 'демон: {{.ServerVersion}}'
 содержимым или `403`, но не `401`. Каталог снимается в конце — раннер живёт между прогонами, и
 пароль реестра остался бы лежать на диске владельца.
 
+## Права токена спрашиваются до того, как конвейер на них обопрётся
+
+Токен, которым ходят руками, и токен, которым ходит выкатка, — один и тот же ровно до первой
+записи в реестр образов: области у него могут кончаться на чтении. Узнаётся это отказом, когда
+весь путь выкатки уже написан, поэтому спрашивается раньше — и не догадкой, а заголовком ответа
+хостинга:
+
+```bash
+curl -sI -H "Authorization: Bearer <токен>" '<адрес хостинга>' | grep -i '^x-oauth-scopes:'
+```
+
+Первая выкатка, сделанная руками из-за такого отказа, путь выкатки не проверяет — она проверяет
+образы. Об этом говорится владельцу прямо: иначе зелёный прод читается как пройденный конвейер.
+
 ## Образ собирается под платформу прод-сервера
 
 Машина владельца и прод-сервер бывают разной архитектуры. Без явной платформы собирается образ

package/assets/patterns/git-workflow-freshness.md

@@ -0,0 +1,87 @@
+---
+name: git-workflow-freshness
+kind: pattern
+rule: git-workflow
+description: Паттерн правила git-workflow. Брать перед пушем, при взятии задачи и после каждого известного слияния: чтение всех своих открытых заявок разом, отделение отставания от спора в файлах, сверка локальной вершины с хостингом.
+---
+
+# Свежесть открытых заявок
+
+Паттерн правила `git-workflow`. Что при этом должно быть верно — закон
+`docs/constitution/delivery.md`. Разбор одного конфликта — паттерн `git-workflow-merge`,
+череда веток из одного основания — `git-workflow-stack`.
+
+## Когда брать
+
+Три места, и в каждом чтение обязательно:
+
+- перед пушем — вершина главной могла уйти, пока шла работа;
+- при взятии новой задачи — прежние заявки остались открытыми и о себе не напомнят;
+- после каждого слияния, о котором стало известно, — оно отставило все остальные разом.
+
+## Что читается
+
+Одной командой по всем своим открытым заявкам, а не по той, чья ветка сейчас взята:
+
+```bash
+/opt/homebrew/bin/gh pr list --author '<машинная запись>' --state open \
+    --json number,headRefName,isDraft,mergeable,mergeStateStatus,statusCheckRollup
+```
+
+| Поле                 | Что говорит                                                                       |
+| -------------------- | --------------------------------------------------------------------------------- |
+| `mergeable`          | `MERGEABLE` — кнопку нажать можно; `CONFLICTING` — нельзя; `UNKNOWN` — ещё не посчитано |
+| `mergeStateStatus`   | `BEHIND` — отстала от главной; `DIRTY` — спор в файлах; `BLOCKED` — ждёт разбора  |
+| `isDraft`            | черновик: кнопка слияния заблокирована хостингом при любом цвете прогона          |
+| `statusCheckRollup`  | прогон на вершине: пустой список — прогона нет вовсе, а не «зелено»               |
+
+`UNKNOWN` означает «ещё не посчитано» и читается как «спросить снова через несколько секунд»,
+а не как «конфликтов нет».
+
+## Спор в файлах отделяется от отставания
+
+Метка хостинга говорит одно — «нажать нельзя». Что именно чинить, отвечает слияние деревьев,
+и отвечает без сети:
+
+```bash
+git fetch origin
+git merge-tree "$(git merge-base origin/main <ветка>)" origin/main <ветка> | grep -c '^<<<<<<<'
+```
+
+Ноль — ветка просто отстала, и лечится это вливанием главной. Больше нуля — спор в файлах, и
+каждый разбирается по роду файла: паттерн `git-workflow-merge`.
+
+## Что делается с найденным
+
+| Найдено                                | Что делается                                                       |
+| -------------------------------------- | ------------------------------------------------------------------ |
+| отстала, спора нет                     | главная вливается в ветку и отправляется тем же ходом              |
+| спор в файлах                          | разбор по роду файла, затем отправка                               |
+| прогона на вершине нет                 | вершина перезапускается или дожидается — цвета нет ни у той, ни у другой |
+| черновик при зелёном прогоне           | черновик снимается — у него кнопка слияния заблокирована           |
+| заявка открыта человеком, а не машиной | ревьювера ей уже не поставить: заводится заново машинной записью   |
+
+Внутри одной ветки порядок один: влить главную → прогнать набор гейта → отправить → перечитать
+состояние у хостинга. Перечитывание — часть работы, а не отчёт о ней.
+
+## Локальная вершина сверяется с той, что на хостинге
+
+Догнанная в рабочем дереве и не отправленная ветка работой не считается: человек видит прежнее
+состояние.
+
+```bash
+git rev-parse HEAD
+/opt/homebrew/bin/gh pr view <номер> --json headRefOid --jq .headRefOid
+```
+
+Разошлись — отправка не сделана, и это первое, что чинится.
+
+## Частые промахи
+
+- Состояние заявки прочитано по памяти прошлого хода: между ходами человек влил соседнюю работу.
+- `UNKNOWN` прочитан как «конфликтов нет» — хостинг ещё считал.
+- Читалась заявка текущей ветки, а брошенные остались отставшими: спрашиваются все свои открытые.
+- Главная влита в рабочем дереве и не отправлена: снаружи это «не сделано ничего».
+- Отставание лечили разбором конфликта: спора в файлах не было вовсе, хватило бы вливания.
+- Спор разрешили выбором стороны целиком: род файла решает приём, и стороны у него разные.
+- Круг догоняния начат по окрику человека, а не сам: к этой минуте отстали уже все заявки.

package/assets/patterns/git-workflow-merge.md

@@ -10,6 +10,10 @@ description: Паттерн правила git-workflow. Брать, когда
 Паттерн правила `git-workflow`. Что при этом должно быть верно — закон
 `docs/constitution/delivery.md`.
 
+**Вызовы здесь даны клиентом GitHub.** Дерево на другом хостинге читает их как форму, а команду
+берёт у своего клиента: имена полей и подкоманд у клиентов разные, а спрашиваемое — одно.
+Соответствие называет редакция правила поставки, разложенная в этом дереве.
+
 ## Когда брать
 
 - PR отмечен конфликтующим, и его надо вернуть к сливаемому состоянию.
@@ -40,6 +44,23 @@ git diff --name-only --diff-filter=U     # что встало конфликт
 | компаньон правила рядом со скилом | сохранением обеих сторон — те же две дописи в одну таблицу; после — `npm run check:specs` |
 | список работ (`docs/BACKLOG.md`) | признаком отбора — паттерн `doc-style-sweep`                                       |
 
+## Коммит переносится черри-пиком
+
+Ветка, которой коммит должен был уехать, ушла: влилась, была снята хостингом или заведена не под
+ту задачу. Сам коммит при этом цел и лежит в отпавшей ветке.
+
+```bash
+GIT_COMMITTER_NAME="<бот>" GIT_COMMITTER_EMAIL="<номер>+<бот>@users.noreply.github.com" \
+    git cherry-pick <sha>
+```
+
+Переменные подписи стоят на самой команде переноса. Черри-пик сохраняет автора коммита и ставит
+коммиттером того, кто его зовёт, — то есть человека; коммиттера читает набор проверок перед
+пушем, и чинится это уже перебазированием, а не правкой одного коммита.
+
+Отпавшая ветка снимается с обеих сторон тем же ходом — иначе она стоит в перечне как незакрытая
+работа.
+
 ## Что дописала ветка, видно только от точки расхождения
 
 Конфликтный маркер показывает место, а не правку: сторона ветки в нём — её допись вместе со
@@ -98,14 +119,34 @@ PR описывал дерево на день, когда его написал
 /opt/homebrew/bin/gh api -X PATCH repos/<владелец>/<репозиторий>/pulls/<номер> -f body="$(cat тело.md)"
 ```
 
+## Зелёный прогон стареет вместе с главной веткой
+
+Прогон говорит про то основание, на котором шёл. Пока он идёт, а заявка ждёт разбора, главная
+ветка живёт своей жизнью, и локальная ссылка об этом молчит: она описывает день, когда её
+подтянули. Перед тем как назвать заявку готовой к слиянию, отставание спрашивается у хранилища:
+
+```bash
+/opt/homebrew/bin/gh api repos/<владелец>/<репозиторий>/compare/<главная>...<ветка> --jq .behind_by
+```
+
+Ноль — заявка готова. Больше нуля — главная вливается, набор проверок пересматривается по тому,
+что ветка везёт теперь, и прогон идёт заново: зелёные задания прошлого прогона после вливания не
+значат ничего.
+
 ## Частые промахи
 
 - «Сохранить обе стороны» применено ко всем файлам одинаково: в спеке это верно, в коде и в
   списке работ — нет.
+- Команда мержа взята без переменных подписи: коммит слияния подписан человеком, и отбивает его
+  набор пуша — на том шаге, где все проверки уже зелёные. Чинится это переписыванием ветки, а не
+  правкой одного коммита: за слиянием обычно уже лежат разрешения конфликтов.
 - Сторона ветки перенесена без сверки с очередью работ: одна работа стала двумя записями.
 - После разрешения прогнана сборка, а проверки текстов — нет: конфликта в них сборке не видно.
 - Тело PR оставлено прежним: ревьювер читает утверждение о дереве, которого больше нет.
+- Заявка названа готовой по зелёному прогону: задания шли от основания, которого в главной ветке
+  уже нет.
 - Раздел, снятый главной веткой, вернулся «сохранением обеих сторон»: в спеке два экземпляра
   одного абзаца, и снятый читается как действующий.
+- Черри-пик взят без переменной коммиттера: автор у коммита прежний, коммиттер — человек, и отправку отбивает набор проверок.
 - Мерж ушёл за подписью человека: переменных в команде слияния не было, а строка о подписи
   лежит ниже команды и читается уже после коммита.

package/assets/patterns/git-workflow-migration.md

@@ -74,6 +74,11 @@ npx prisma migrate resolve --applied <новое имя>
 
 ## Частые промахи
 
+- **Накат в образе настраивается файлом настройки, а не адресом в окружении.** Седьмая редакция
+  читает адрес хранилища только из своего файла настройки: ни объявление в схеме, ни переменная
+  окружения в составе прода его не заменяют. Этот файл кладётся в образ явно, рядом со схемой и
+  миграциями. Без него сборка зелёная целиком — генерация клиента на стадии сборки проходит, — а
+  отказывает первый же накат на узле.
 - Метку времени ставит момент создания, а порядок применения лексикографический: миграция из
   ветки, начатой раньше, встаёт перед той, от которой зависит. На существующей базе это
   незаметно — падает только накат с нуля.
@@ -86,3 +91,9 @@ npx prisma migrate resolve --applied <новое имя>
   через деплой, данные — через админку.
 - Строки адресуются по первичному ключу, а не по маске: удаление по маске почты однажды унесло
   вместе с тестовыми записями демонстрационные брони владельца.
+- **Формой запроса вопрос гарда не снимается.** Условие по идентификатору он судит одинаково в
+  любой записи — что по одному, что по списку, — и на обе отвечает вопросом владельцу; отказ
+  приходит только на условие не по идентификатору. Там, где вопрос читается отказом, ход один:
+  назвать владельцу отбитую команду и попросить режим, в котором вопрос дойдёт, — а не
+  переписывать запрос, пока он не пройдёт. Иначе из захода уносят вывод о требованиях гарда,
+  которых у него нет.

package/assets/patterns/git-workflow-pr.github.md

@@ -177,6 +177,12 @@ $GH api "repos/$REPO/pulls/321" \
 назначить автора ревьювером нельзя, а отказа на такой запрос не приходит. Владельцу называют
 то, что прочитали, а не то, что заказывали.
 
+Прочитанное расхождение имеет назначенное действие, а не остаётся наблюдением: автора у заявки
+не сменить, правкой это не чинится. Заявка закрывается и открывается заново токеном машинной
+записи — с переносом тела, меток, ревьювера и исполнителя. Номер при этом сменится, и строки,
+которые ссылались на прежний, переписываются тем же ходом. Развилка, вынесенная тут владельцу,
+означает, что порядок поставки прочитан и не исполнен: ход отсюда один.
+
 Учётная запись, из-под которой пришлось пушить, в этот вызов не переносится: пуш и авторство
 PR выбираются отдельно, и `GH_TOKEN` для публикации — всегда токен бота.
 
@@ -185,6 +191,11 @@ PR выбираются отдельно, и `GH_TOKEN` для публикац
 фразой владелец успевает влить PR, и всё сказанное о нём после этого — про вчерашний день. Так
 владельцу и было предложено влить то, что он влил часом раньше.
 
+Читается состояние и перед пушем в ветку, у которой есть заявка, а не только перед словом о
+ней. Влитая заявка означает, что ветки на сервере уже нет: пуш её не обновит, а заведёт заново,
+и вклад останется вне главной ветки. Ответ пуша говорит это одной строкой — отметкой о новой
+ветке вместо перечня коммитов, — и её читают: на удачную отправку такой ответ похож целиком.
+
 Открытый PR означает, что задача ждёт разбора, — колонка переставляется тем же движением:
 
 ```bash
@@ -276,5 +287,5 @@ in-review`, — и `npm run check:board` прогоняется ещё раз:
   выглядя работающей. Так шестнадцать PR ждали разбора, которого никто не запрашивал.
 - Метки поставлены по названию PR, а не прочитаны у задачи: область теряется, и по борде не
   видно, что правка задела ещё и сайт.
-- Задача закрыта не полностью, а метки перенесены целиком: тикет остаётся открытым, и это
+- Задача закрыта не полностью, а метки перенесены целиком: задача остаётся открытой, и это
   говорится в теле PR, а не подразумевается строкой `Closes`.

package/assets/patterns/git-workflow-restart.md

@@ -41,6 +41,24 @@ docker inspect <контейнер> --format '{{.Config.Image}}'
 `integrations` из логов исчезает, хотя `API is running` остаётся на месте. После перезапуска —
 тот же `inspect` и наличие ожидаемых строк в логе.
 
+## Откат: тот же вызов с прежним sha
+
+Откат — не отдельный механизм, а тот же подъём по sha, только взятому на шаг назад. Прежний sha
+берётся у реестра, где чистка оставляет три последних, — глубже отката нет:
+
+```bash
+docker image ls '<реестр>/<образ>' --format '{{.Tag}}\t{{.CreatedAt}}' | sort -k2 -r | head -3
+IMAGE_TAG='<прежний sha>' docker compose -f docker-compose.prod.yml --env-file .env.prod up -d --no-build
+```
+
+Откат возвращает прежний образ, но не прежнюю схему хранилища: миграция, уехавшая с новой
+версией, остаётся применённой, и прежний образ работает с изменённой схемой. Правка схемы
+поэтому и делится на совместимую и несовместимую — паттерн миграции.
+
+Откаченный прод сходится с главной веткой не сразу: главная везёт правку, которой на проде уже
+нет. Строкой очереди работ это не видно вовсе, и владельцу называется словами, вместе с sha, на
+который откатились.
+
 ## Частые промахи
 
 - Вывод «прод жив, значит выкатилось» — код ответа подмену образа не показывает.

package/assets/patterns/git-workflow-secrets.md

@@ -17,6 +17,20 @@ description: Паттерн правила deploy-flow. Брать при раб
 - Разбирается, что именно выкачено и чего приложению не хватает для работы, — включая ключ,
   который живёт в окружении и экрана не имеет.
 
+## Секрет выкатки — не ключ внешней службы
+
+Ключи из этого паттерна живут в хранилище или в составе прода, и читает их приложение. Секреты
+выкатки — ключ доступа к узлу, пароль реестра, адрес и токен приёма — приложением не читаются
+вовсе: их читает конвейер, лежат они в настройках репозитория, и хранилище о них не знает.
+
+Отсюда и разный ход при промахе. Ключ службы, которого не хватает, молчит на экране: возможность
+не работает, а приложение отвечает. Секрет выкатки, которого не хватает, роняет шаг конвейера, и
+до приложения дело не доходит вовсе — разбирают его в журнале задания, а не в браузере.
+
+Про то, как секрет выкатки заводится и чем проверяется его право, говорит паттерн работы с
+образами — `git-workflow-docker`, если дерево его разложило. Здесь остаётся граница: пришедший
+за секретом выкатки читает дальше не этот текст.
+
 ## Ключ, заводимый владельцем, живёт в хранилище, а не в окружении
 
 Такой ключ лежит строкой в хранилище, зашифрованной ключом шифрования секретов; рядом открытая