@rt-tools/agent-kit 0.5.2 → 0.6.0

package/assets/rules/browser-verification.md

@@ -2,7 +2,7 @@
 name: browser-verification
 kind: rule
 law: verifiability
-description: Правило под «Закон о проверяемости». Брать при любой проверке через браузер и при запросах curl или wget к дев-серверу. Называет порты сайта, админки и API, чему на дев-сервере верить нельзя и чем измерять вместо взгляда. Готовый код — в паттернах browser-verification-stand и browser-verification-measure.
+description: Правило под «Закон о проверяемости». Брать при любой проверке через браузер и при запросах curl или wget к дев-серверу. Называет, где подняты приложения дерева, чему на дев-сервере верить нельзя и чем измерять вместо взгляда. Готовый код — в паттернах browser-verification-stand и browser-verification-measure.
 ---
 
 # Проверка работающего приложения — как это устроено здесь
@@ -16,7 +16,7 @@ description: Правило под «Закон о проверяемости».
 | В законе                          | Здесь                                                                                           |
 | --------------------------------- | ----------------------------------------------------------------------------------------------- |
 | работающее приложение             | то, что поднято в этом дереве; перечень и порты — в `implementation.md` рядом                   |
-| место, где его видит пользователь | прод-сборка за настоящим `deploy/nginx.conf`, а не дев-сервер                                   |
+| место, где его видит пользователь | прод-сборка за настоящим прокси дерева, а не дев-сервер                                         |
 | замер                             | `getComputedStyle`, `getBoundingClientRect`, контраст, совпадение центров, попадание во вьюпорт |
 | драйвер браузера                  | `claude-in-chrome` на закреплённом профиле этого дерева                                         |
 
@@ -39,6 +39,11 @@ description: Правило под «Закон о проверяемости».
   имена, которые не опознают ничего, а выбор из него ведёт на профиль без входа.
 - **Прод-конфигурация проверяется только за настоящим прокси.** Голый сервер отдачи страниц
   про кэш, перенаправления и заголовки не знает ничего.
+- **Первый заход на публичный экран метится признаком служебного посещения.** Драйвер водит
+  обычный браузер, и счётчик посещений не отличает проверку от гостя: `navigator.webdriver` у
+  него `false`, строка `User-Agent` — живого браузера. Чем метится заход, сказано в именах
+  дерева; признак, который живёт в хранилище браузера, дописывается один раз на профиль, а не
+  к каждому адресу.
 
 Вывод о вёрстке подкрепляется числом: «выглядит нормально» результатом проверки не является.
 Этого не стережёт ничто — как измерять, разобрано в паттерне `browser-verification-measure`.
@@ -50,21 +55,21 @@ description: Правило под «Закон о проверяемости».
 
 ## Паттерны
 
-- `browser-verification-stand` — честный стенд из прод-сборки, вход в админку, разбор порта.
+- `browser-verification-stand` — честный стенд из прод-сборки, вход в закрытое приложение,
+  разбор порта.
 - `browser-verification-measure` — замер вместо взгляда, ловушки инструмента `computer`.
 
 ## Ловушки
 
 - **Сначала выяснить, что отвечает на порту:** `lsof -nP -iTCP:<порт> -sTCP:LISTEN` до первого
-  запроса. На 3333 регулярно висит собранный артефакт из прошлой сессии — он отвечает 200
-  старым кодом, а заведённой в ветке процедуры у него нет вовсе, и 404 читается как дефект
-  регистрации. Таких процессов бывает несколько; `pkill` по `nx serve api` не попадает ни в
-  один — убивать по PID из `lsof`, каждый.
-- Инкрементальная сборка протухает поштучно: разметка на 4900 бывает уже новая, а клиентский
-  чанк — от компиляции до правки. Признак дев-сборки — имена бандла без хеша (`main.js`).
-  Расхождение между `curl` и страницей после гидратации — повод пересобрать, а не искать
-  дефект в коде. Отсюда же нельзя делать вывод «такого маршрута нет»: сверяться с
-  `app.routes.ts`.
+  запроса. На порту приложения регулярно висит собранный артефакт из прошлой сессии — он
+  отвечает 200 старым кодом, а заведённого в ветке обработчика у него нет вовсе, и 404 читается
+  как дефект регистрации. Таких процессов бывает несколько; снятие по шаблону команды не
+  попадает ни в один — убивать по PID из `lsof`, каждый.
+- Инкрементальная сборка протухает поштучно: разметка бывает уже новая, а клиентский чанк — от
+  компиляции до правки. Признак дев-сборки — имена бандла без хеша (`main.js`). Расхождение
+  между `curl` и страницей после гидратации — повод пересобрать, а не искать дефект в коде.
+  Отсюда же нельзя делать вывод «такого маршрута нет»: сверяться с объявлением маршрутов.
 - **Кэш объясняет расхождение, но не подтверждает его.** В `.angular/cache/…/vite/deps` лежат
   только пакеты из `node_modules`, кода репозитория там нет вовсе. Вывод «дефекта нет, это
   кэш» закрывает разбор, поэтому принимается только после проверки на чистой сборке — три

package/assets/rules/component-structure.md

@@ -16,10 +16,10 @@ description: Правило под «Закон о фронтовом прило
 
 | В законе                           | Здесь                                                                        |
 | ---------------------------------- | ---------------------------------------------------------------------------- |
-| компонент                          | `vm-<имя>` — префикс один на сайт и админку                                  |
+| компонент                          | `<префикс>-<имя>` — префикс один на все приложения дерева                    |
 | готовое, а не вычисление в шаблоне | `computed()`; там, где значение приходит из контекста шаблона, — чистый пайп |
 | якорь для проверки                 | атрибут `qa-dataid` в kebab-case по смыслу элемента                          |
-| корень разметки                    | `:host` с классом блока от `host: { class: 'vm-<имя>' }`                     |
+| корень разметки                    | `:host` с классом блока от `host: { class: '<префикс>-<имя>' }`              |
 
 ## Где это лежит
 
@@ -33,6 +33,10 @@ description: Правило под «Закон о фронтовом прило
 (computeFlag())`, чтения сигналов не трогает.
 - **Каждый интерактивный элемент несёт `qa-dataid`.** Это единственный якорь спек: классы BEM
   меняются вместе с вёрсткой, а поиск по роли и тексту ломается на локалях перевода.
+- **Компоненту разрешён только элементный селектор.** Правило линтера требует у компонента
+  элемент с приставкой дерева и именем через дефис, у директивы — атрибут и имя одним словом.
+  Приём, который вешается на чужой тег, пишется директивой с самого начала: у компонента с
+  селектором-атрибутом линт краснеет уже после того, как написаны все три файла и стили.
 - **Класс блока висит на хосте, а не на обёртке внутри шаблона.** Лишняя обёртка вокруг всех
   детей — это раскладка, и ей место на `:host`.
 

package/assets/rules/doc-style.md

@@ -56,6 +56,20 @@ description: Правило под «Закон о документации пр
   имена веток и правила линтеров: выглядят адресом, адресом не являются.
 - **Документ едет в том же коммите, что и правка, которую он описывает.** Обход — строка
   `Docs-skip: <причина>` в теле коммита; пустая причина не принимается.
+- **Документ не длиннее предела длины.** Текст, который не влезает на экран целиком, дописывают
+  в конец, не перечитав начала, — так в одном документе и оказываются два ответа на один вопрос.
+  Предел тот же, что у кода, и считается так же — все строки; выросший спек делится на
+  поддомены, а не переносит границу. Описание прошлого из счёта выведено: архив по устройству
+  перечисляет то, чего в дереве уже нет, а папка задачи умирает со слиянием.
+- **Файл, уезжающий в описание прошлого, называет в шапке свой прежний адрес.** Записи архива
+  ссылались на него, пока он был живым, и после переезда эти ссылки ведут в пустоту: проверка
+  путей архив не читает вовсе, поэтому промах не краснеет никогда. Найти переехавшее нечем —
+  имя записи архива с прежним адресом не совпадает, и поиск по нему её не показывает. Одна
+  строка в шапке дешевле правки всех ссылающихся записей и прошлого не трогает.
+- **Текст, называющий состояние машины, устаревает без единой правки в дереве.** Ловушка о том,
+  что на машине установлено, верна в день, когда её пишут, и становится неправдой сама собой —
+  ни одна сверка этого не видит: они читают дерево, а состарилась машина. Утверждение о машине
+  пишется способом её спросить: команда и то, с чем сверять ответ, вместо снимка ответа.
 
 ## Чего из закона здесь нет
 
@@ -74,6 +88,8 @@ description: Правило под «Закон о документации пр
 
 - `doc-style-write` — как формулировать: примеры «так» и «не так», правила для комментариев.
 - `doc-style-sweep` — разбор документа, накопившего список работ, на действующее и закрытое.
+- `doc-style-trace` — обратный проход: закрытые задачи против текстов, поиск того, чего не
+  написали.
 
 ## Скилы дерева
 

package/assets/rules/git-workflow.azure.md

@@ -2,7 +2,7 @@
 name: git-workflow
 kind: rule
 law: delivery
-description: Правило под «Закон о поставке» для дерева в Azure DevOps. Брать на заведение задачи, ветки, коммит, пуш, создание PR, слияние, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет рабочий элемент как начало работы, его состояние как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration и git-workflow-restart.
+description: Правило под «Закон о поставке» для дерева в Azure DevOps. Брать на заведение задачи, ветки, коммит, пуш, создание PR, слияние, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет рабочий элемент как начало работы, его состояние как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration, git-workflow-restart, git-workflow-docker и git-workflow-secrets.
 ---
 
 # Поставка — как это устроено здесь
@@ -63,6 +63,11 @@ description: Правило под «Закон о поставке» для д
 - **Задачи, чинящиеся одной правкой, сливаются до слияния ветки.** Вторая закрывается как
   дубликат, а недостающее из неё дописывается в первую. После слияния слить уже нельзя: ветка
   въехала, и откатывается она целиком.
+- **Работа, которую одним заходом не закрыть, помечена в двух местах, и они сверяются.** Метка
+  на доске и строка о заходах с передачей в линии работ говорят одно и то же двум читателям:
+  исполнитель открывает карточку раньше, чем линию, а планирует по линии. Одна пометка без
+  другой лжёт молча, поэтому сверка очереди судит пару в обе стороны. Помечается только то, что
+  законно не делится: пометка объёма правом делить не становится.
 - **Слияние в главную ветку выкатывает прод.** Фильтры путей конвейера покрывают документы
   отдельно, поэтому переменные окружения, секреты и записи имён ставятся до слияния, а не
   после.
@@ -72,6 +77,24 @@ description: Правило под «Закон о поставке» для д
   умолчаниями, которые он разрешает. Умолчание образа задаётся в самом образе.
 - **Образы выкатываются по sha коммита, а не по метке «последний».** Метка в реестре отстаёт
   от главной ветки, и прод молча возвращается к прежней версии, продолжая отвечать.
+- **Выкатка убирает за собой старые образы, оставляя три последних sha.** Помеченный sha образ
+  висячим не бывает никогда, и чистка висячего его не касается: за полгода они съедают диск
+  сервера целиком. Три sha — это глубина отката, и меньше брать нельзя: поломка, замеченная
+  через две выкатки, откатывается уже некуда.
+- **Описание прода правится вместе с составом прода.** Устройство, путь запроса, гейты и
+  бэкапы описаны текстами вне слоёв правил, и ни линтер, ни сборка их не читают: расхождение
+  копится молча, а читают эти тексты как действующие. Пару стережёт гард документов.
+- **Правка конвейера прогоняется до слияния ручным запуском.** Конвейер запускается на любой
+  ветке, а задание выкатки прибито условием к главной: прогон ради проверки доходит до сборок и
+  там кончается. Прогон команд задания на своей машине его не покрывает: он проверяет команды,
+  а не файл конвейера, — верность самого файла читается только по списку прогонов после пуша.
+- **Отчёт проверяется до слияния тем же конвейером, что и главная ветка.** Проверки и сборки
+  образов идут на конвейере проверки PR, выкатка — нет: её держит условие по главной ветке у
+  своего задания, а образ отчёта в реестр не уезжает.
+- **Расхождение прода с главной веткой видно сверкой очереди работ.** Рабочий элемент уходит из
+  очереди слиянием, но слияние — ещё не прод: отказавшая выкатка не трогает ни элемент, ни его
+  состояние, и заметить её неоткуда. Сверка спрашивает последний прогон главной ветки и судит
+  только завершённый: идущий ещё может кончиться выкаткой.
 - **Цепочка миграций прогоняется с пустого хранилища до слияния.** Порядок применения
   лексикографический по имени каталога, а метку времени ставит момент создания: миграция из
   ветки, начатой раньше, встаёт перед той, от которой зависит.
@@ -81,6 +104,10 @@ description: Правило под «Закон о поставке» для д
   заголовок читается списком, а свободный текст — только целиком.
 - **Перед пушем прогоняются все линтеры, а не один.** Линтер кода обычно не читает файлы
   стилей вовсе, и правила оформления без второго прогона не проверяет ничто.
+- **Сборка входит в набор наравне с линтом и юнитами.** Линтер типов не читает, а юниты читают
+  только то, что импортировано тестом: ошибка типов в непокрытом коде доживает до сборки
+  образа, то есть до слияния. Четыре слияния подряд так и уехали в главную ветку, ломая
+  выкатку.
 - **Рабочий элемент привязывается к PR при создании, а не после.** `az repos pr create`
   принимает `--work-items`; привязка второй командой обходится молча, когда у токена нет права
   править чужой элемент, и PR остаётся ни с чем не связанным.
@@ -124,6 +151,8 @@ description: Правило под «Закон о поставке» для д
 - `git-workflow-merge` — главная ветка влита в ветку задачи, конфликт разобран.
 - `git-workflow-migration` — правка схемы хранилища и её миграций.
 - `git-workflow-restart` — ручной перезапуск прода.
+- `git-workflow-docker` — образы на своей машине: демон, реестр, сборка под платформу сервера.
+- `git-workflow-secrets` — ключи внешних служб: где лежат, как заводятся, что говорит их состояние.
 
 ## Ловушки
 
@@ -148,6 +177,21 @@ description: Правило под «Закон о поставке» для д
   записи, на следующий вызов это не переносится: PR открывают токеном учётной записи машинной
   работы, и от того, чьей записью он открыт, зависит, кого можно назначить ревьювером. Однажды
   смена записи ради пуша утекла в публикацию — отчёт вышел от владельца.
+- **Невалидный файл конвейера виден прогоном нулевой длительности сразу после пуша.** Прогон
+  заводится и кончается на разборе файла, не начав ни одного задания: в списке он стоит
+  отказом, а внутри нет ни задания, ни лога — читается только длительность. Поэтому список
+  прогонов ветки смотрится тем же движением, что и пуш: `az pipelines runs list` по своей
+  ветке.
+- **`online` у агента на своей машине означает запущенный процесс, а не работающий конвейер.**
+  Две стороны сходятся отдельно: требования заданий и возможности самого агента в его пуле.
+  Пока пересечения нет, агент стоит `online` и не берёт ничего, а задания ждут размещённого
+  пула — по состоянию это выглядит настроенным. Владельцу называют выполненное задание с его
+  номером, а не строку состояния.
+- **Вход в реестр образов из агента, запущенного службой, отказывает молча.** Служба идёт без
+  сеанса пользователя, а клиент реестра уходит в системный помощник хранения ключей и получает
+  отказ во взаимодействии — задание падает до сборки. Свой каталог настроек с пустым помощником
+  не спасает: клиент переписывает пустое значение обратно сам. Готовые команды — паттерн
+  `git-workflow-docker`.
 - **Новое рабочее дерево получает только то, что лежит в индексе.** `git worktree add`
   разворачивает коммит, а настройки, ключи, локальные разрешения и зависимости в коммит не
   входят: свежее дерево выглядит готовым и упирается в нехватку не сразу, а на первом гарде,

package/assets/rules/git-workflow.github.md

@@ -2,7 +2,7 @@
 name: git-workflow
 kind: rule
 law: delivery
-description: Правило под «Закон о поставке» для дерева на GitHub. Брать на заведение задачи, ветки, коммит, пуш, создание PR, мерж, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет задачу на борде как начало работы, колонку задачи как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration и git-workflow-restart.
+description: Правило под «Закон о поставке» для дерева на GitHub. Брать на заведение задачи, ветки, коммит, пуш, создание PR, мерж, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет задачу на борде как начало работы, колонку задачи как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration, git-workflow-restart, git-workflow-docker и git-workflow-secrets.
 ---
 
 # Поставка — как это устроено здесь
@@ -73,6 +73,11 @@ description: Правило под «Закон о поставке» для д
 - **Задачи, чинящиеся одной правкой, сливаются до мержа.** Вторая стирается вместе с номером,
   а недостающее из неё дописывается в первую. После мержа слить уже нельзя: ветка въехала, и
   откатывается она целиком.
+- **Работа, которую одним заходом не закрыть, помечена в двух местах, и они сверяются.** Метка
+  на борде и строка о заходах с передачей в линии работ говорят одно и то же двум читателям:
+  исполнитель открывает карточку раньше, чем линию, а планирует по линии. Одна пометка без
+  другой лжёт молча, поэтому сверка очереди судит пару в обе стороны. Помечается только то, что
+  законно не делится: пометка объёма правом делить не становится.
 - **Мерж в главную ветку выкатывает прод.** Исключения по путям покрывают только документы,
   поэтому переменные окружения, секреты и записи имён ставятся до мержа, а не после.
 - **Признак режима объявлен в образе, а не только в составе прода.** Значение, заданное
@@ -81,6 +86,26 @@ description: Правило под «Закон о поставке» для д
   умолчаниями, которые он разрешает. Умолчание образа задаётся в самом образе.
 - **Образы выкатываются по sha коммита, а не по метке «последний».** Метка в реестре отстаёт
   от главной ветки, и прод молча возвращается к прежней версии, продолжая отвечать.
+- **Выкатка убирает за собой старые образы, оставляя три последних sha.** Помеченный sha образ
+  висячим не бывает никогда, и чистка висячего его не касается: за полгода они съедают диск
+  сервера целиком. Три sha — это глубина отката, и меньше брать нельзя: поломка, замеченная
+  через две выкатки, откатывается уже некуда.
+- **Описание прода правится вместе с составом прода.** Устройство, путь запроса, гейты и
+  бэкапы описаны текстами вне слоёв правил, и ни линтер, ни сборка их не читают: расхождение
+  копится молча, а читают эти тексты как действующие. Пару стережёт гард документов.
+- **Правка конвейера прогоняется до мержа ручным запуском.** `workflow_dispatch` у выкатки
+  запускает её на любой ветке, а сама выкатка прибита условием к главной: прогон ради проверки
+  доходит до сборок и там кончается. Триггер регистрируется по главной ветке, поэтому правку,
+  которая его заводит или переносит, ручной запуск не покрывает. Прогон команд задания на своей
+  машине не покрывает её тоже: он проверяет команды, а не файл конвейера, — верность самого
+  файла читается только по списку прогонов после пуша.
+- **Отчёт проверяется до мержа тем же конвейером, что и главная ветка.** Проверки и сборки
+  образов идут на событии `pull_request`, выкатка — нет: её держит условие по главной ветке у
+  своего задания, а образ отчёта в реестр не уезжает.
+- **Расхождение прода с главной веткой видно сверкой очереди работ.** Задача уходит из очереди
+  мержем, но мерж — ещё не прод: отказавшая выкатка не трогает ни задачу, ни её колонку, и
+  заметить её неоткуда. Сверка спрашивает последний прогон главной ветки и судит только
+  завершённый: идущий ещё может кончиться выкаткой.
 - **Цепочка миграций прогоняется с пустого хранилища до мержа.** Порядок применения
   лексикографический по имени каталога, а метку времени ставит момент создания: миграция из
   ветки, начатой раньше, встаёт перед той, от которой зависит.
@@ -90,6 +115,9 @@ description: Правило под «Закон о поставке» для д
   заголовок читается списком, а свободный текст — только целиком.
 - **Перед пушем прогоняются все линтеры, а не один.** Линтер кода обычно не читает файлы
   стилей вовсе, и правила оформления без второго прогона не проверяет ничто.
+- **Сборка входит в набор наравне с линтом и юнитами.** Линтер типов не читает, а юниты читают
+  только то, что импортировано тестом: ошибка типов в непокрытом коде доживает до сборки
+  образа, то есть до мержа. Четыре мержа подряд так и уехали в главную ветку, ломая выкатку.
 - **Автор PR не может быть его ревьювером.** Запрос разбора на самого себя GitHub принимает и
   молча не создаёт — разбор при этом выглядит запрошенным.
 - **Метки, исполнитель и ревьювер PR ставятся вызовами `gh api`, а не `gh pr edit`.** На
@@ -131,6 +159,8 @@ description: Правило под «Закон о поставке» для д
 - `git-workflow-merge` — главная ветка влита в ветку задачи, конфликт разобран.
 - `git-workflow-migration` — правка схемы хранилища и её миграций.
 - `git-workflow-restart` — ручной перезапуск прода.
+- `git-workflow-docker` — образы на своей машине: демон, реестр, сборка под платформу сервера.
+- `git-workflow-secrets` — ключи внешних служб: где лежат, как заводятся, что говорит их состояние.
 
 ## Ловушки
 
@@ -154,6 +184,27 @@ description: Правило под «Закон о поставке» для д
   записи, на следующий вызов это не переносится: PR открывают токеном учётной записи машинной
   работы, и от того, чьей записью он открыт, зависит, кого можно назначить ревьювером. Однажды
   смена записи ради пуша утекла в публикацию — отчёт вышел от владельца.
+- **Невалидный файл конвейера виден прогоном нулевой длительности сразу после пуша.** GitHub
+  заводит такой прогон и на ветке, на которую ни один триггер не подписан: в списке он стоит
+  отказом, а внутри у него нет ни задания, ни лога — читается только длительность. Поэтому
+  список прогонов ветки смотрится тем же движением, что и пуш — `gh run list --branch <ветка>`.
+  Один такой отказ простоял в списке до мержа, и на него никто не посмотрел: выкатка после
+  мержа отказала ровно тем же.
+- **Контекст `runner` в `env` задания отбивает весь файл конвейера.** Там доступны только
+  `github`, `needs`, `strategy`, `matrix`, `vars`, `secrets` и `inputs`; `runner` появляется на
+  уровне шага, где то же значение приходит переменной окружения. Такой файл не принимается
+  вовсе: прогон кончается за ноль секунд, не начав ни одного задания. Разбор YAML этого не
+  ловит — синтаксис верный, а доступность контекстов синтаксисом не является.
+- **`online` у раннера на своей машине означает запущенный процесс, а не работающий
+  конвейер.** Две стороны сходятся отдельно: `runs-on` у заданий и метки самого раннера. Пока
+  пересечения нет, раннер стоит `online` и не берёт ничего, а задания уходят в облако — по
+  состоянию это выглядит настроенным. Владельцу называют выполненное задание с его номером, а
+  не строку состояния.
+- **Вход в реестр образов из раннера, запущенного службой, отказывает молча.** Служба идёт без
+  сеанса пользователя, а клиент реестра уходит в системный помощник хранения ключей и получает
+  отказ во взаимодействии — задание падает до сборки. Свой каталог настроек с пустым помощником
+  не спасает: клиент переписывает пустое значение обратно сам. Готовые команды — паттерн
+  `git-workflow-docker`.
 - **Новое рабочее дерево получает только то, что лежит в индексе.** `git worktree add`
   разворачивает коммит, а настройки, ключи, локальные разрешения и зависимости в коммит не
   входят: свежее дерево выглядит готовым и упирается в нехватку не сразу, а на первом гарде,

package/assets/rules/git-workflow.gitlab.md

@@ -2,7 +2,7 @@
 name: git-workflow
 kind: rule
 law: delivery
-description: Правило под «Закон о поставке» для дерева на GitLab. Брать на заведение задачи, ветки, коммит, пуш, создание MR, слияние, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет задачу на борде как начало работы, колонку задачи как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав MR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration и git-workflow-restart.
+description: Правило под «Закон о поставке» для дерева на GitLab. Брать на заведение задачи, ветки, коммит, пуш, создание MR, слияние, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет задачу на борде как начало работы, колонку задачи как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав MR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration, git-workflow-restart, git-workflow-docker и git-workflow-secrets.
 ---
 
 # Поставка — как это устроено здесь
@@ -62,6 +62,11 @@ description: Правило под «Закон о поставке» для д
 - **Задачи, чинящиеся одной правкой, сливаются до слияния ветки.** Вторая стирается вместе с
   номером, а недостающее из неё дописывается в первую. После слияния слить уже нельзя: ветка
   въехала, и откатывается она целиком.
+- **Работа, которую одним заходом не закрыть, помечена в двух местах, и они сверяются.** Метка
+  на доске и строка о заходах с передачей в линии работ говорят одно и то же двум читателям:
+  исполнитель открывает карточку раньше, чем линию, а планирует по линии. Одна пометка без
+  другой лжёт молча, поэтому сверка очереди судит пару в обе стороны. Помечается только то, что
+  законно не делится: пометка объёма правом делить не становится.
 - **Слияние в главную ветку выкатывает прод.** Правила `only`/`rules` конвейера покрывают
   документы отдельно, поэтому переменные окружения, секреты и записи имён ставятся до слияния,
   а не после.
@@ -71,6 +76,25 @@ description: Правило под «Закон о поставке» для д
   умолчаниями, которые он разрешает. Умолчание образа задаётся в самом образе.
 - **Образы выкатываются по sha коммита, а не по метке «последний».** Метка в реестре отстаёт
   от главной ветки, и прод молча возвращается к прежней версии, продолжая отвечать.
+- **Выкатка убирает за собой старые образы, оставляя три последних sha.** Помеченный sha образ
+  висячим не бывает никогда, и чистка висячего его не касается: за полгода они съедают диск
+  сервера целиком. Три sha — это глубина отката, и меньше брать нельзя: поломка, замеченная
+  через две выкатки, откатывается уже некуда.
+- **Описание прода правится вместе с составом прода.** Устройство, путь запроса, гейты и
+  бэкапы описаны текстами вне слоёв правил, и ни линтер, ни сборка их не читают: расхождение
+  копится молча, а читают эти тексты как действующие. Пару стережёт гард документов.
+- **Правка конвейера прогоняется до слияния ручным запуском.** Конвейер запускается на любой
+  ветке, а задание выкатки прибито правилом к главной: прогон ради проверки доходит до сборок и
+  там кончается. Прогон команд задания на своей машине его не покрывает: он проверяет команды,
+  а не файл конвейера, — верность самого файла читается только по списку конвейеров после
+  пуша, и синтаксис отдельно судит проверка `.gitlab-ci.yml` в проекте.
+- **Отчёт проверяется до слияния тем же конвейером, что и главная ветка.** Проверки и сборки
+  образов идут на конвейере запроса слияния, выкатка — нет: её держит правило по главной ветке
+  у своего задания, а образ отчёта в реестр не уезжает.
+- **Расхождение прода с главной веткой видно сверкой очереди работ.** Задача уходит из очереди
+  слиянием, но слияние — ещё не прод: отказавшая выкатка не трогает ни задачу, ни её список, и
+  заметить её неоткуда. Сверка спрашивает последний конвейер главной ветки и судит только
+  завершённый: идущий ещё может кончиться выкаткой.
 - **Цепочка миграций прогоняется с пустого хранилища до слияния.** Порядок применения
   лексикографический по имени каталога, а метку времени ставит момент создания: миграция из
   ветки, начатой раньше, встаёт перед той, от которой зависит.
@@ -80,6 +104,10 @@ description: Правило под «Закон о поставке» для д
   заголовок читается списком, а свободный текст — только целиком.
 - **Перед пушем прогоняются все линтеры, а не один.** Линтер кода обычно не читает файлы
   стилей вовсе, и правила оформления без второго прогона не проверяет ничто.
+- **Сборка входит в набор наравне с линтом и юнитами.** Линтер типов не читает, а юниты читают
+  только то, что импортировано тестом: ошибка типов в непокрытом коде доживает до сборки
+  образа, то есть до слияния. Четыре слияния подряд так и уехали в главную ветку, ломая
+  выкатку.
 - **Слияние по кнопке «Merge when pipeline succeeds» не заменяет проверок до пуша.** Конвейер
   видит только то, что уже отправлено, а отправленная красная ветка занимает очередь работ и
   выглядит готовой к разбору.
@@ -121,6 +149,8 @@ description: Правило под «Закон о поставке» для д
 - `git-workflow-merge` — главная ветка влита в ветку задачи, конфликт разобран.
 - `git-workflow-migration` — правка схемы хранилища и её миграций.
 - `git-workflow-restart` — ручной перезапуск прода.
+- `git-workflow-docker` — образы на своей машине: демон, реестр, сборка под платформу сервера.
+- `git-workflow-secrets` — ключи внешних служб: где лежат, как заводятся, что говорит их состояние.
 
 ## Ловушки
 
@@ -144,6 +174,21 @@ description: Правило под «Закон о поставке» для д
   записи, на следующий вызов это не переносится: MR открывают токеном учётной записи машинной
   работы, и от того, чьей записью он открыт, зависит, кого можно назначить ревьювером. Однажды
   смена записи ради пуша утекла в публикацию — отчёт вышел от владельца.
+- **Невалидный файл конвейера виден отказом сразу после пуша, а не упавшим заданием.** Конвейер
+  на такой файл не заводится вовсе: в списке стоит запись об ошибке разбора, а внутри нет ни
+  задания, ни лога. Поэтому список конвейеров ветки смотрится тем же движением, что и пуш —
+  `glab ci list --branch <ветка>`, — а сам файл до пуша судит проверка `.gitlab-ci.yml` в
+  проекте.
+- **`online` у раннера на своей машине означает запущенный процесс, а не работающий
+  конвейер.** Две стороны сходятся отдельно: `tags` у заданий и теги самого раннера. Пока
+  пересечения нет, раннер стоит `online` и не берёт ничего, а задания ждут общего раннера — по
+  состоянию это выглядит настроенным. Владельцу называют выполненное задание с его номером, а
+  не строку состояния.
+- **Вход в реестр образов из раннера, запущенного службой, отказывает молча.** Служба идёт без
+  сеанса пользователя, а клиент реестра уходит в системный помощник хранения ключей и получает
+  отказ во взаимодействии — задание падает до сборки. Свой каталог настроек с пустым помощником
+  не спасает: клиент переписывает пустое значение обратно сам. Готовые команды — паттерн
+  `git-workflow-docker`.
 - **Новое рабочее дерево получает только то, что лежит в индексе.** `git worktree add`
   разворачивает коммит, а настройки, ключи, локальные разрешения и зависимости в коммит не
   входят: свежее дерево выглядит готовым и упирается в нехватку не сразу, а на первом гарде,

package/assets/rules/lists.md

@@ -30,11 +30,24 @@ description: Правило под «Закон о списке записей»
 
 ## Как закон применяется здесь
 
+- **Страница собирается общим компонентом страницы списка, а не своей разметкой.** Заголовок,
+  панель действий, зона прокрутки и переключатель страниц одинаковы у всех списков, и
+  переписанные заново они расходятся молча.
+- **Механика экрана берётся из общей основы списочного экрана, а не пишется заново.** Экран
+  домена объявляет стор, ключ таблицы, поля сортировки и столбцы; выборка из адреса и в адрес,
+  страница, её размер, сортировка, тост отказа и переходы в панель уже там.
+- **Таблицу экран объявляет сам и кладёт внутрь шаблона.** Обернуть её нельзя: столбцы она
+  собирает собственным запросом по содержимому, и через посредника они до неё не доходят.
 - **Список собирается `<префикс>-table`, а не своей разметкой.** Скелетоны, пустое состояние,
   карточки на узком экране и настройка столбцов — входы таблицы; свой
   `@if (rows().length === 0)` означает, что экран собран мимо неё.
 - **Строки объявляются на `rowsTable.displayedColumns()`, а не на своём списке.** Столбец с
   меню таблица добавляет сама.
+- **Заголовок сортируемой колонки называет поле сервера, а не ключ колонки.** Колонка и поле
+  совпадают не всегда, и пока в разметке стоит ключ колонки, экран держит две карты перевода в
+  обе стороны.
+- **Сортируема та колонка, у чьей ячейки шапки стоит заголовок сортировки.** Отдельного
+  признака рядом со списком столбцов нет, и расходиться нечему.
 - **Клик по строке открывает запись, а меню — для действий над ней.** Вид нажимаемой строки
   даёт `clickable`, активацию мышью и с клавиатуры — `vmTableRow`; клик по кнопке внутри строки
   активацией не считается.