@rt-tools/agent-kit 0.3.0 → 0.5.0

package/assets/rules/api-layer.md

@@ -2,52 +2,70 @@
 name: api-layer
 kind: rule
 law: frontend-application
-description: Правило под закон «Фронтовое приложение». Брать при правке слоя обращения к серверу во фронтовом домене — пары «фасад и служба» и переводчиков моделей при ней. Один вход выборки у списка, общий конвертер страницы, поток вместо ожидания. Готовый код — в паттерне api-layer-pair. Чем это названо здесь — в implementation.md рядом.
+description: Правило под «Закон о фронтовом приложении». Брать при правке слоя api фронтового домена — *-api.facade.ts, *-api.service.ts и мапперов в его mappers/ под libs/admin и libs/site. Называет пару «фасад и сервис», один вход выборки у списка и общий конвертер страницы. Готовый код — в паттерне api-layer-pair.
 ---
 
-# Обращение к серверу — каким приёмом
+# Обращение к серверу — как это устроено здесь
 
-Правило под закон `{{lawsDir}}/frontend-application.md`. Закон говорит, что должно быть верно;
-здесь — из чего сложен слой обращения к серверу. Как названы модели выборки, где лежат
-переводчики и чем зовётся общий конвертер — `implementation.md` рядом. Состояние —
-`angular-patterns`, файл компонента — `component-structure`, оформление — `styling-bem`,
-окружение браузера — `platform-access`. Все пять под одним законом.
+Правило под закон `docs/constitution/frontend-application.md`. Закон говорит, что должно быть
+верно; здесь — из чего сложен слой обращения к серверу. Состояние — `angular-patterns`, файл
+компонента — `component-structure`, стили — `styling-bem`, окружение браузера —
+`platform-access`. Все пять под одним законом.
 
-Правило про фронтовые семьи. На серверной стороне тем же словом называют выход к чужому
-сервису, и устроен он иначе.
+Правило про обе фронтовые семьи: `libs/admin/*/api/**` и `libs/site/*/api/**`. На бэкенде слово
+`api` означает выход к чужому сервису и устроено иначе — там `typescript-conventions`.
 
-## Когда берётся
+## Как это называется здесь
 
-Правка слоя обращения к серверу во фронтовом домене: фасада, службы, переводчиков моделей при
-них.
+| В законе         | Здесь                                                                          |
+| ---------------- | ------------------------------------------------------------------------------ |
+| страница записей | `IPageModel` — `pageNumber`, `pageSize`, `totalCount`                          |
+| выборка списка   | `IList.Query.State` — страница, порядок, условия отбора, строка поиска         |
+| ответ списка     | `data`, `pageModel`, `sortModel`, `filterModel`, `searchTerm`                  |
+| путь запроса     | экран → стор → `<Сущность>ApiService` → `<Сущность>ApiFacade` → клиент Connect |
 
-## Что здесь действует
+## Где это лежит
 
-- **Домен ходит за данными парой классов: фасад зовёт обработчика, служба переводит модели.**
+В этом дереве — таблица в `implementation.md` рядом. Пути живут там, а не здесь: правило
+переносится между репозиториями, раскладка — нет, и путь, названный в правиле, врёт в первом
+же дереве, которое держит код иначе.
+
+## Как закон применяется здесь
+
+- **Домен ходит за данными парой классов: фасад зовёт процедуру, сервис переводит модели.**
   Один класс на оба дела означал бы, что подмена источника тянет за собой перевод.
-- **Фасад знает только контракт, служба отдаёт только модель.** Тип из контракта до стора и
+- **Фасад знает только контракт, сервис отдаёт только `State`.** Тип из контракта до стора и
   шаблона не доходит.
-- **У списка один вход — выборка.** Объект, к которому привязан список, род ленты, состояние
-  подписки — такие же условия отбора, и лежат они в её условиях, а не отдельными входами.
+- **У списка один вход — выборка.** Объект, к которому привязан список, тип фида, состояние
+  подписки — такие же условия отбора, и лежат они в `filterModel`.
 - **Ответ списка ложится в общий конвертер целиком.** Контракт отдаёт страницу в той же форме,
-  что и модель, и промежуточного объекта в службе не остаётся.
+  что и модель, и промежуточного объекта в сервисе не остаётся.
 - **Поля порядка и отбора — перечисления домена, а не голая строка.** Голая строка означает,
-  что имя, по которому сервер не сортирует, компилируется и падает уже запросом.
-- **Пара отдаёт поток, а не ожидание.** Основа списочного стора работает потоками, и служба на
-  обещаниях в неё не ложится.
+  что имя, по которому сервер не сортирует, компилируется и падает запросом.
+- **Пара отдаёт поток, а не ожидание.** Основа списочного стора работает потоками, и промисный
+  сервис в неё не ложится.
+
+## Чего из закона здесь нет
+
+Общей выборкой ходят только те списки, которым сервер отдаёт страницу — признак `page_model` в
+ответе процедуры. Заявки и объекты приходят целиком: процедуры со страницей у них пока нет, и
+это долги `Q-L-5` и `Q-L-7`, а не другая форма слоя.
+
+Сторы, которые ещё держат прежнюю сигнатуру, зовут поток через `firstValueFrom` и несут над
+классом комментарий с тем, когда мост уйдёт. Новый стор моста не заводит.
 
 ## Паттерны
 
-- `api-layer-pair` — готовые фасад, служба и перевод выборки.
+- `api-layer-pair` — готовые фасад, сервис и перевод выборки.
 
 ## Ловушки
 
 - **Выборка в ответе — применённая, а не запрошенная.** Порядок по умолчанию и отброшенное
   сервером условие экран иначе не увидит.
-- **Одна пара — одна сущность.** У связанных сущностей свои пары, даже когда их обработчики
-  лежат в одном сервисе контракта.
+- **Одна пара — одна сущность.** У объекта, его прежних адресов и подписок на календари свои
+  пары, хотя процедуры лежат в одном proto-сервисе.
 - **Метод, которого у домена нет, не объявляется.** Список читают все, правят не все.
-- **Серверный поток событий — исключение из правила про поток.** Живой срез приходит
-  асинхронным итератором, и заворачивать его некуда.
-- **Своей копии общих переводчиков страницы, порядка и отбора домен не заводит.** Второй
-  экземпляр ловит проверка повторов — правило `shared-code`.
+- **Серверный стрим — исключение из правила про поток:** живой срез аналитики и лента тредов
+  приходят асинхронным итератором, и заворачивать его некуда.
+- Своей копии общих мапперов страницы, порядка и отбора домен не заводит — второй экземпляр
+  ловит `npm run check:dupes`.

package/assets/rules/browser-verification.md

@@ -2,68 +2,87 @@
 name: browser-verification
 kind: rule
 law: verifiability
-description: Правило под закон «Проверяемость». Брать при любой проверке через браузер и при запросах к поднятому приложению из командной строки. Чему на сервере разработки верить нельзя, чем измерять вместо взгляда, почему браузер водится одним драйвером. Готовый код — в паттернах browser-verification-stand и browser-verification-measure. Чем это названо здесь — в implementation.md рядом.
+description: Правило под «Закон о проверяемости». Брать при любой проверке через браузер и при запросах curl или wget к дев-серверу. Называет порты сайта, админки и API, чему на дев-сервере верить нельзя и чем измерять вместо взгляда. Готовый код — в паттернах browser-verification-stand и browser-verification-measure.
 ---
 
-# Проверка работающего приложения — каким приёмом
+# Проверка работающего приложения — как это устроено здесь
 
-Правило под закон `{{lawsDir}}/verifiability.md`. Закон говорит, что считается подтверждением;
-здесь — каким приёмом приложение проверяется живьём. На каких портах оно поднято, каким
-драйвером водится браузер и где лежит конфиг прокси — `implementation.md` рядом. Тесты под тем
-же законом — правило `testing`.
+Правило под закон `docs/constitution/verifiability.md`. Закон говорит, что считается
+подтверждением; здесь — где живут приложения, чему на них можно верить и чем измерять. Тесты
+под тем же законом — правило `testing`.
 
-## Когда берётся
+## Как это называется здесь
 
-Любая проверка через браузер, любой запрос к поднятому приложению из командной строки, любой
-вывод о вёрстке.
+| В законе                          | Здесь                                                                                           |
+| --------------------------------- | ----------------------------------------------------------------------------------------------- |
+| работающее приложение             | то, что поднято в этом дереве; перечень и порты — в `implementation.md` рядом                   |
+| место, где его видит пользователь | прод-сборка за настоящим `deploy/nginx.conf`, а не дев-сервер                                   |
+| замер                             | `getComputedStyle`, `getBoundingClientRect`, контраст, совпадение центров, попадание во вьюпорт |
+| драйвер браузера                  | `claude-in-chrome` на закреплённом профиле этого дерева                                         |
 
-## Что здесь действует
+## Где это лежит
 
-- **Свой сервер разработки не поднимается.** Приложения уже подняты владельцем; второй
-  экземпляр слушает другой порт и отвечает другой сборкой, а расхождение читается как дефект
-  правки.
+В этом дереве — таблица в `implementation.md` рядом. Пути живут там, а не здесь: правило
+переносится между репозиториями, раскладка — нет, и путь, названный в правиле, врёт в первом
+же дереве, которое держит код иначе.
+
+## Как закон применяется здесь
+
+- **Второй экземпляр уже поднятого приложения не поднимается.** До первого запроса выясняется,
+  кто отвечает на порту: поднятый заново экземпляр отвечает своей сборкой, а не той, которую
+  проверяют. Кто поднимает стенд — владелец или агент, — сказано в именах дерева.
 - **Браузер водится одним драйвером на закреплённом профиле.** Остальные двери — второй
-  драйвер, открытие ссылки средствами системы, запуск бинарника — закреплённый профиль не
-  спрашивают вовсе и приходят в сеанс без входа.
-- **Выбор браузера протухает и требует повторного вызова.** Выбор, сделанный в начале сессии,
-  не держится: после паузы следующий вызов открывает вкладку в другом профиле молча.
+  драйвер, `open`, `osascript`, запуск бинарника — закреплённый профиль не спрашивают вовсе.
+- **Выбор браузера протухает и требует повторного вызова.** Выбор, сделанный в начале
+  сессии, не держится: после паузы следующий вызов открывает вкладку в другом профиле молча.
 - **Профиль не выбирается из списка и не спрашивается у владельца.** Список отдаёт неустойчивые
   имена, которые не опознают ничего, а выбор из него ведёт на профиль без входа.
-- **Прод-конфигурация проверяется только за настоящим прокси.** Голый сервер отдачи страниц про
-  кэш, перенаправления и заголовки не знает ничего.
-- **Вывод о вёрстке подкрепляется числом.** «Выглядит нормально» результатом проверки не
-  является; чем мерить — паттерн `browser-verification-measure`.
+- **Прод-конфигурация проверяется только за настоящим прокси.** Голый сервер отдачи страниц
+  про кэш, перенаправления и заголовки не знает ничего.
+
+Вывод о вёрстке подкрепляется числом: «выглядит нормально» результатом проверки не является.
+Этого не стережёт ничто — как измерять, разобрано в паттерне `browser-verification-measure`.
+
+## Чего из закона здесь нет
+
+Проверки на прямое обращение к окружению браузера нет — это `Q-FA-1` в законе о фронтовом
+приложении: такое обращение компилируется и падает только при отдаче страницы сервером.
 
 ## Паттерны
 
-- `browser-verification-stand` — честный стенд из прод-сборки, вход в приложение, разбор порта.
-- `browser-verification-measure` — замер вместо взгляда, ловушки инструмента снимка экрана.
+- `browser-verification-stand` — честный стенд из прод-сборки, вход в админку, разбор порта.
+- `browser-verification-measure` — замер вместо взгляда, ловушки инструмента `computer`.
 
 ## Ловушки
 
-- **Сначала выяснить, что отвечает на порту.** На порту регулярно висит собранный артефакт из
-  прошлой сессии: он отвечает успехом на старом коде, а заведённого в ветке обработчика у него
-  нет вовсе — и отказ читается как дефект регистрации. Таких процессов бывает несколько, и
-  завершение по имени команды не попадает ни в один: убивать по идентификатору процесса,
-  каждый.
-- **Инкрементальная сборка протухает поштучно.** Разметка бывает уже новой, а клиентский кусок
-  — от компиляции до правки. Признак сборки для разработки — имена файлов сборки без хеша.
-  Расхождение между ответом из командной строки и страницей после оживления — повод пересобрать,
-  а не искать дефект в коде; вывод «такого маршрута нет» отсюда тоже не следует.
-- **Кэш объясняет расхождение, но не подтверждает его.** Вывод «дефекта нет, это кэш» закрывает
-  разбор, поэтому принимается только после проверки на чистой сборке.
-- **Сообщение об отсутствии отладочных API каркаса принадлежит расширению браузера, а не
-  приложению.** Прод-сборка их не публикует, и лечить это правкой кода не надо: опубликованные,
-  они дают карту внутренностей любому, кто откроет консоль.
-- **Поведение маршрутизации воспроизводится нажатиями.** Подстановка адреса и заход по прямой
-  ссылке поднимают приложение заново, и накопленного состояния у него нет.
-- **Замер отвечает только на заданный вопрос.** Отступы, кегль и скругление сходятся с
-  образцом, пока никто не спросил про фон на наведении, — а держится расхождение при верных
-  числах ровно столько, сколько его не спрашивают.
+- **Сначала выяснить, что отвечает на порту:** `lsof -nP -iTCP:<порт> -sTCP:LISTEN` до первого
+  запроса. На 3333 регулярно висит собранный артефакт из прошлой сессии — он отвечает 200
+  старым кодом, а заведённой в ветке процедуры у него нет вовсе, и 404 читается как дефект
+  регистрации. Таких процессов бывает несколько; `pkill` по `nx serve api` не попадает ни в
+  один — убивать по PID из `lsof`, каждый.
+- Инкрементальная сборка протухает поштучно: разметка на 4900 бывает уже новая, а клиентский
+  чанк — от компиляции до правки. Признак дев-сборки — имена бандла без хеша (`main.js`).
+  Расхождение между `curl` и страницей после гидратации — повод пересобрать, а не искать
+  дефект в коде. Отсюда же нельзя делать вывод «такого маршрута нет»: сверяться с
+  `app.routes.ts`.
+- **Кэш объясняет расхождение, но не подтверждает его.** В `.angular/cache/…/vite/deps` лежат
+  только пакеты из `node_modules`, кода репозитория там нет вовсе. Вывод «дефекта нет, это
+  кэш» закрывает разбор, поэтому принимается только после проверки на чистой сборке — три
+  круга ушло на застрявшую панель ленты событий, пока дефект лежал в снятии аутлета.
+- Сообщение `Angular debugging APIs are not available` в консоли принадлежит расширению
+  Chrome, а не приложению: прод-сборка не публикует `window.ng`. Лечить правкой кода не надо —
+  `window.ng` в проде это карта внутренностей в руках любого, кто откроет консоль.
+- Поведение роутера воспроизводится нажатиями: подстановка адреса и заход по прямой ссылке
+  поднимают приложение заново, и накопленного состояния у него нет.
+- Замер отвечает только на заданный вопрос. Строки попапа профиля сошлись с образцом по
+  отступам, кеглю и скруглению, а фон на наведении образец в этом месте не красит вовсе —
+  полноширинная подсветка держалась два круга при верных числах.
 - **Если сменилась версия пакета, который рисует вёрстку, экраны обходят руками.** Тесты
-  нажимают по меткам и остаются зелёными, даже когда отступ съехал, размер пропал, а строка
-  стала другой высоты: они проверяют переходы, а не вид. Пары снимков тут тоже мало — смотрят
-  по очереди все экраны, которые этот пакет рисует.
-- **Путей запуска несколько, и проверять их надо порознь.** Локальная команда, образ и состав
-  прода — разные пути; переменная, заданная в команде проверки, не говорит про образ ничего.
-  Пути перечисляются до проверки, а не после того, как один из них сошёлся.
+  нажимают по `qa-dataid` и остаются зелёными, даже когда отступ съехал, размер пропал, а
+  строка стала другой высоты: они проверяют переходы, а не вид. Пары скриншотов тут тоже мало
+  — смотрят по очереди все экраны, которые этот пакет рисует.
+- **Путей запуска здесь три, и проверять их надо порознь:** локальная команда, образ
+  `deploy/api.Dockerfile` и состав `docker-compose.prod.yml`. Переменная, заданная в команде
+  проверки, не говорит про образ ничего: в составе прода она есть, а ручной прогон того же
+  образа идёт без неё. Пути перечисляются до проверки, а не после того, как один из них
+  сошёлся.

package/assets/rules/component-structure.md

@@ -2,33 +2,45 @@
 name: component-structure
 kind: rule
 law: frontend-application
-description: Правило под закон «Фронтовое приложение». Брать при правке любого файла компонента и его шаблона — порядок свойств декоратора, группировка импортов, договорённости шаблона, обязательный якорь для спек, класс блока на хосте. Готовый код — в паттерне component-structure-new. Чем это названо здесь — в implementation.md рядом.
+description: Правило под «Закон о фронтовом приложении». Брать при правке любого *.component.ts и его шаблона. Называет порядок свойств декоратора, группировку импортов, договорённости шаблона и обязательный qa-dataid. Готовый код — в паттерне component-structure-new.
 ---
 
-# Файл компонента — каким приёмом
+# Файл компонента — как это устроено здесь
 
-Правило под закон `{{lawsDir}}/frontend-application.md`. Закон говорит, что должно быть верно;
-здесь — как устроен сам файл компонента и его шаблон. Какой у компонентов префикс, чем зовётся
-якорь спек и где лежат правила линтера — `implementation.md` рядом. Состояние и потоки —
-`angular-patterns`, оформление — `styling-bem`, окружение браузера — `platform-access`, слой
+Правило под закон `docs/constitution/frontend-application.md`. Закон говорит, что должно быть
+верно; здесь — как устроен сам файл компонента и его шаблон. Состояние и потоки —
+`angular-patterns`, стили — `styling-bem`, окружение браузера — `platform-access`, слой
 обращения к серверу — `api-layer`. Все пять под одним законом.
 
-## Когда берётся
+## Как это называется здесь
 
-Заведение или правка файла компонента и его шаблона.
+| В законе                           | Здесь                                                                        |
+| ---------------------------------- | ---------------------------------------------------------------------------- |
+| компонент                          | `vm-<имя>` — префикс один на сайт и админку                                  |
+| готовое, а не вычисление в шаблоне | `computed()`; там, где значение приходит из контекста шаблона, — чистый пайп |
+| якорь для проверки                 | атрибут `qa-dataid` в kebab-case по смыслу элемента                          |
+| корень разметки                    | `:host` с классом блока от `host: { class: 'vm-<имя>' }`                     |
 
-## Что здесь действует
+## Где это лежит
 
-- **Шаблон не зовёт методов.** Вызов в привязке считается заново на каждую проверку изменений;
-  готовое значение объявляется вычисляемым, а там, где оно зависит от контекста шаблона, —
-  чистым преобразователем.
-- **Каждый интерактивный элемент несёт якорь для спек.** Это единственная устойчивая зацепка:
-  классы оформления меняются вместе с вёрсткой, а поиск по роли и тексту ломается на первой же
-  второй локали.
+В этом дереве — таблица в `implementation.md` рядом. Пути живут там, а не здесь: правило
+переносится между репозиториями, раскладка — нет, и путь, названный в правиле, врёт в первом
+же дереве, которое держит код иначе.
+
+## Как закон применяется здесь
+
+- **Шаблон не зовёт методов.** Правило линтера банит `{{ getTotal() }}` и `@if
+(computeFlag())`, чтения сигналов не трогает.
+- **Каждый интерактивный элемент несёт `qa-dataid`.** Это единственный якорь спек: классы BEM
+  меняются вместе с вёрсткой, а поиск по роли и тексту ломается на локалях перевода.
 - **Класс блока висит на хосте, а не на обёртке внутри шаблона.** Лишняя обёртка вокруг всех
-  детей — это раскладка, и ей место на хосте.
-- **Якорь для спек не заменяет доступности и не снимается при правке вёрстки.** Доступность
-  отдельно, якорь отдельно; на якорь завязаны спеки, и снятый он роняет их молча.
+  детей — это раскладка, и ей место на `:host`.
+
+## Чего из закона здесь нет
+
+Порядок свойств декоратора, группировку импортов и самозакрывающиеся теги не проверяет ничто —
+они держатся чтением соседнего файла. Проверки на прямое обращение к окружению браузера тоже
+нет — это `Q-FA-1` в законе.
 
 ## Паттерны
 
@@ -36,13 +48,17 @@ description: Правило под закон «Фронтовое прилож
 
 ## Ловушки
 
-- **Ссылка на фрагмент в разметке не прокручивает страницу.** Когда в разметке объявлен
-  базовый адрес, браузер разрешает фрагмент относительно него: вместо прокрутки получается
-  полная навигация с перезагрузкой. Прокрутка делается средствами маршрутизатора.
-- **Один и тот же компонент в обеих ветках условия — это условная привязка.** Две ветки с
+- **`href="#id"` в разметке не работает.** Сборка одна на все локали, в разметке стоит
+  `<base href="/">`, и браузер разрешает фрагмент относительно базы: вместо прокрутки
+  получается полная навигация с перезагрузкой. Прокрутка — через роутер:
+  `<a [routerLink]="[]" fragment="booking">`.
+- **Один и тот же компонент в обеих ветках `@if` — это условная привязка.** Две ветки с
   разными входами пересоздают компонент и теряют его состояние.
-- **Компонент, который рисуется в перекрытии, из хоста вызывающего не адресуется.** Его
-  разметка лежит вне хоста, и селектор от хоста до его кнопок не дотянется: такие кнопки носят
-  собственные якоря в своём шаблоне.
-- **Готовое не пишется заново.** Своя разметка с ролью оповещения, таблицы, диалога, вкладок
-  или подсказки означает, что мимо готового компонента прошли. Правило целиком — `reuse-first`.
+- **Кит, который рисуется в оверлее, из хоста вызывающего не адресуется:** его разметка лежит
+  вне хоста, и `[qa-dataid="x"] button` до кнопок не дотянется. Такие кнопки носят собственные
+  якоря прямо в шаблоне кита, а гард каталог зависимостей не проверяет.
+- **`qa-dataid` не заменяет `aria-label` и роли:** доступность отдельно, якорь отдельно. И не
+  снимается при правке вёрстки — на него завязаны спеки.
+- Готовое из кита не пишется заново: своя разметка с `role="alert"`, `<table>`,
+  `role="dialog"`, `role="tablist"` или `role="tooltip"` означает, что мимо `<префикс>-message`,
+  `<префикс>-table`, `<префикс>-dialog`, `<префикс>-tabs` или `<префикс>-tooltip` прошли. Правило целиком — `reuse-first`.

package/assets/rules/dependencies.md

@@ -0,0 +1,66 @@
+---
+name: dependencies
+kind: rule
+law: delivery
+description: Правило под «Закон о поставке». Брать при правке package.json, pnpm-lock.yaml и pnpm-workspace.yaml и при обновлении любого пакета. Называет точный номер версии вместо диапазона, снимок дерева, подмену чужих версий, выдержку новой версии и границу переформатирования после обновления форматтера. Готовый порядок — в паттерне dependencies-upgrade.
+---
+
+# Зависимости — как это устроено здесь
+
+Правило под закон `docs/constitution/delivery.md`. Закон говорит, что должно быть верно;
+здесь — чем это названо в этом дереве, где лежит и что из закона у нас не применяется. Ветка,
+коммит и выкатка под тем же законом — правило `git-workflow`.
+
+## Как это называется здесь
+
+| В законе                     | Здесь                                                                                              |
+| ---------------------------- | -------------------------------------------------------------------------------------------------- |
+| объявление зависимости       | точный номер в `package.json` — `"prettier": "3.9.6"`; `^` и `~` в файле не встречаются ни разу    |
+| снимок установленного дерева | `pnpm-lock.yaml`; едет тем же коммитом, что и объявление                                           |
+| подмена чужой версии         | `overrides` в `pnpm-workspace.yaml` — там лежат подменённые транзитивные зависимости               |
+| выдержка новой версии        | `minimumReleaseAge`; пакет, нужный раньше срока, выписывается номером в `minimumReleaseAgeExclude` |
+| менеджер пакетов             | pnpm: `npm run` зовёт скрипты, установку делает `pnpm install`                                     |
+
+## Где это лежит
+
+В этом дереве — таблица в `implementation.md` рядом. Пути живут там, а не здесь: правило
+переносится между репозиториями, раскладка — нет, и путь, названный в правиле, врёт в первом
+же дереве, которое держит код иначе.
+
+## Как закон применяется здесь
+
+- **Версия пакета записана точным номером.** Из диапазона сегодня и через неделю поставится
+  разное, и откат правки это не исправит.
+- **Подменённые версии чужих зависимостей собраны в один список, и его пересматривают при
+  каждом обновлении.** Подмена, оставшаяся в списке после того, как основной пакет подняли,
+  незаметно откатывает его зависимость назад.
+- **Свежая версия сначала выдерживается, а нужная раньше срока выписывается отдельно.** Иначе
+  выпуск, который автор успел отозвать, попадёт в снимок.
+- **Переформатируется только то, чьё форматирование проверяет линтер.** Обновлённый форматтер
+  меняет все файлы, до которых дотянется, а `.md` и `.json` здесь не проверяет никто: правка в
+  них — просто шум, который придётся читать глазами.
+
+## Чего из закона здесь нет
+
+Никто не сверяет, что объявленные версии совпадают со снимком: `--frozen-lockfile` стоит
+только в выкатке, а она идёт от пуша в главную ветку, то есть уже после мержа. Диапазоны тоже
+не проверяются: один `^` в `package.json` пройдёт все проверки дерева.
+
+## Паттерны
+
+- `dependencies-upgrade` — подъём версий, выбор верхней границы, разбор последствий обновления.
+
+## Ловушки
+
+- **Диапазон пропускает версию, которой в реестре нет.** В объявление кита записали `^0.2.0`,
+  а снимок остался на прежней версии: объявление выглядело верным, но всё собиралось на 0.1.0,
+  где нужного размера у компонента нет вовсе, и главная ветка перестала собираться. Нашли это
+  через две недели — когда понадобилось дерево для сравнения, а сравнивать оказалось не с чем.
+- **Верхнюю границу задают peer-диапазоны, а не последний номер в реестре.** TypeScript
+  остался на 6.0.3 при вышедшей седьмой версии, потому что Angular объявляет `>=6.0 <6.1`.
+  `pnpm install` такую ошибку не ловит: `autoInstallPeers` молча доставляет недостающее.
+- **После обновления плагина линтера появляются правила, которых вчера не было.** eslint 10
+  добавил `no-useless-assignment`, `eslint-plugin-playwright` 2 — сразу три правила. Замечания
+  приходят на файлы, которых правка не касалась, и выглядят её последствиями.
+- Прогон тестов после обновления — правило `testing`: после смены версии Playwright браузер
+  надо поставить заново, и это не регрессия.