@rt-tools/agent-kit 0.5.3 → 0.7.0

package/README.md

@@ -185,6 +185,19 @@ npx agent-kit init --laws access,delivery,verifiability
 трогает. Имена законов — из `agent-kit list`, там же видно, что взято, что не выбрано и что
 пропущено.
 
+**Отказ от закона снимает его правила и паттерны сам.** Связь читается из вступления ресурсов —
+у правила стоит `law`, у паттерна `rule`, — и перечислять потомков в `skip` не надо: строка,
+которая после этого ничего не снимает, называется вслух предупреждением, а раскладка идёт
+дальше. Каскад идёт только сверху вниз: отказ от паттерна ни правила, ни закона не трогает.
+
+Правило, названное в `only` при невыбранном законе, тоже называется вслух: раскладка говорит,
+что оно не приедет и по какому родителю. Файл такого правила, разложенный прежней настройкой,
+перечисляется отдельно от брошенного — дерево от него не отказывалось.
+
+Ресурс, ушедший из набора совсем, пакет помнит по имени: файл, положенный им в дерево прежней
+редакцией, назван при раскладке вместе с причиной снятия. Убирает его дерево — в чужие файлы
+пакет не пишет.
+
 ## Конфиг
 
 `.claude/rt-kit.json` коммитится: раскладка обязана повторяться на чужой машине без вопросов.
@@ -212,7 +225,8 @@ npx agent-kit init --laws access,delivery,verifiability
   называет: перечислив законы, проект говорит о законах, а не обо всём, что пакет везёт, —
   шаблоны при нём остаются.
 - **`skip`** — ресурсы, от которых проект отказался, теми же идентификаторами. Вычитает из
-  выбранного, поэтому отказ от одного закона не требует переписывать весь список.
+  выбранного, поэтому отказ от одного закона не требует переписывать весь список. Правила при
+  отвергнутом законе и паттерны при них перечислять не надо: их снимает каскад.
 
 ## Надстройки
 

package/assets/checks/check-file-size.mjs

@@ -0,0 +1,127 @@
+#!/usr/bin/env node
+/**
+ * Проверка того, что файл не длиннее предела.
+ *
+ * Файл, который не влезает на экран целиком, читают по частям, и правку в нём
+ * делают, не увидев остального. У кода длину стережёт линтер; здесь — всё, до
+ * чего он не доходит: проза, стили, шаблоны, обвязка разработки и сами гарды.
+ *
+ * Судятся `.md`, `.scss`, `.html`, `.js`, `.mjs` и `.sh`. Данные не судятся
+ * вовсе: словарь локали и настройка сборки читаются поиском, а не подряд, и
+ * делить их не на что. Код на языке, где длину стережёт линтер, тоже не
+ * судится — два отказа на один файл читаются как две разные претензии.
+ *
+ * Строки считаются все, включая пустые и комментарии, и тем же способом, каким
+ * их считает линтер: по числу разрывов плюс один. Файл, кончающийся переводом
+ * строки, поэтому весит на строку больше, чем показывает `wc -l`, — зато у обеих
+ * проверок дерева одно понятие длины.
+ *
+ * Описание прошлого из счёта выведено: архив по устройству перечисляет то, чего
+ * в дереве уже нет, а папка задачи умирает со слиянием. Сгенерированное выведено
+ * каталогом: его переписывает генератор целиком, и спорить с ним о длине некому.
+ *
+ * Накопленное к моменту заведения проверки лежит в списке известного и отказом
+ * не считается: гейт падает на НОВОМ длинном файле, а старое остаётся видимым
+ * числом в сводке. Принятое и долг там различаются: принятое дерево делить не
+ * собирается, на долг заведена работа. Строка снимается вместе с делением своего
+ * файла, и проверка сама говорит, какую строку пора убрать.
+ *
+ * Ненулевой код возврата и перечень расхождений.
+ */
+import { execFileSync } from 'node:child_process';
+import { existsSync, readFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+import { allowlistOf, CONFIG, ROOT } from './rt-kit-checks.config.mjs';
+
+const ALLOWLIST = allowlistOf('file-size');
+/** Предел один на все роды файлов: своё число каждому роду — спор о числе на каждой правке. */
+const LIMIT = CONFIG.fileSizeLimit;
+
+/** Роды файлов, которых не читает линтер. Код остаётся за ним. */
+const JUDGED = ['.md', '.scss', '.html', '.js', '.mjs', '.sh'];
+
+/** Описание прошлого, папка задачи и то, что переписывает генератор. */
+const SKIPPED_PREFIXES = [CONFIG.archiveDir, `${CONFIG.tasksDir}/`, ...CONFIG.generatedDirs];
+
+/** Дерево спрашивается у системы контроля версий: иначе каталоги с точки не видны, а сборка видна. */
+function trackedFiles() {
+    return execFileSync('git', ['ls-files'], { cwd: ROOT, encoding: 'utf8', maxBuffer: 1024 * 1024 * 32 })
+        .split('\n')
+        .filter(Boolean);
+}
+
+function judged(path) {
+    if (SKIPPED_PREFIXES.some((prefix) => prefix && path.startsWith(prefix))) {
+        return false;
+    }
+
+    return JUDGED.some((extension) => path.endsWith(extension));
+}
+
+/** Тем же способом, каким считает линтер: число разрывов плюс один. */
+function lineCount(path) {
+    return readFileSync(join(ROOT, path), 'utf8').split('\n').length;
+}
+
+/**
+ * Список известного читается отдельно от общего читателя: у этой проверки нет файла — это
+ * не пустой список, а нечитаемая настройка, и молчать о ней нельзя. Пустой список законен
+ * ровно один раз — в дереве, где длинных файлов нет вовсе.
+ */
+function readKnown() {
+    const path = join(ROOT, ALLOWLIST);
+    if (!existsSync(path)) {
+        return { accepted: [], debt: [] };
+    }
+    try {
+        const parsed = JSON.parse(readFileSync(path, 'utf8'));
+
+        return { accepted: parsed.accepted ?? [], debt: parsed.debt ?? [] };
+    } catch (error) {
+        console.error(`check-file-size: список известного не прочитан — ${ALLOWLIST}: ${error.message}`);
+        process.exit(1);
+    }
+}
+
+const { accepted, debt } = readKnown();
+const known = new Map([...accepted.map((path) => [path, 'принято']), ...debt.map((path) => [path, 'долг'])]);
+
+const tooLong = new Map();
+const tracked = trackedFiles().filter(judged);
+
+for (const path of tracked) {
+    const lines = lineCount(path);
+    if (lines > LIMIT) {
+        tooLong.set(path, lines);
+    }
+}
+
+if (process.argv.includes('--baseline')) {
+    console.log(JSON.stringify({ accepted, debt: [...tooLong.keys()].sort() }, null, 4));
+    process.exit(0);
+}
+
+const fresh = [...tooLong].filter(([path]) => !known.has(path));
+/** Строка на файл, которого в дереве нет, — устаревшая: иначе список копит мёртвое. */
+const gone = [...known.keys()].filter((path) => !existsSync(join(ROOT, path)));
+/** Файл поделили, а строку оставили: список перестал бы отвечать за то, что в нём стоит. */
+const shrunk = [...known.keys()].filter((path) => !tooLong.has(path) && existsSync(join(ROOT, path)));
+
+const problems = [
+    ...fresh.map(([path, lines]) => `${path}: ${lines} строк, предел ${LIMIT} — делить, а не дописывать строку в ${ALLOWLIST}`),
+    ...gone.map((path) => `${path}: строка в ${ALLOWLIST} устарела — файла в дереве нет`),
+    ...shrunk.map((path) => `${path}: значится в ${ALLOWLIST}, но уже короче предела — строку убрать`),
+];
+
+if (problems.length > 0) {
+    console.error(`check-file-size: расхождений ${problems.length}\n`);
+    problems.forEach((problem) => console.error(`  ${problem}`));
+    console.error('\nПредел длины файла — правило о языке для кода и правило о текстах для прозы.');
+    process.exit(1);
+}
+
+console.log(
+    `check-file-size: проверено ${tracked.length} файлов, длиннее ${LIMIT} строк ${tooLong.size}, ` +
+        `из них принято ${accepted.length}, долг ${debt.length} — новых нет`
+);

package/assets/checks/check-push-gate.mjs

@@ -0,0 +1,139 @@
+#!/usr/bin/env node
+/**
+ * Проверка того, что набор гейта пуша не уже набора конвейера.
+ *
+ * Гейт пуша — обещание, что пуш не приедет красным. Пока его набор уже набора
+ * конвейера, обещание шире того, что гейт проверяет, и неверно оно молча: ни
+ * гейт, ни его вывод не говорят, чего в нём нет. Дважды подряд правка, прошедшая
+ * гейт целиком, была отбита конвейером — и оба раза зелёный гейт был прочитан
+ * как «локально всё зелено».
+ *
+ * Файл конвейера машиной не толкуется: команды там произвольны, а часть шагов
+ * локально неисполнима вовсе — кэш, выгрузка следов, вход в реестр. Отсюда
+ * берутся только ИМЕНА шагов, а чем каждое из них закрывается в гейте,
+ * объявляет дерево. Необъявленное имя краснеет: дыра видна на месте, а не
+ * выводится сверкой двух списков глазами.
+ *
+ * Объявление бывает двух родов. Строка — та самая команда, которую печатает
+ * `rt_push_checks` профиля; она сверяется с его выводом, потому что объявление
+ * без исполнения — та же дыра. Исключение — причина, по которой шага в гейте
+ * нет; пустая причина исключением не считается: она единственное, чем
+ * постоянная дыра отличается от забытой строки.
+ *
+ * Дерево без файла конвейера сверки не получает: проверка, падающая там, где
+ * конвейера нет, отбивала бы работу вместо промаха.
+ *
+ * Ненулевой код возврата и перечень расхождений.
+ */
+import { execFileSync } from 'node:child_process';
+import { existsSync, readFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+import { CONFIG, ROOT } from './rt-kit-checks.config.mjs';
+
+const GATE = CONFIG.pushGate ?? {};
+const PIPELINE = GATE.pipelineFile ?? '';
+const DECLARED = GATE.steps ?? {};
+
+/**
+ * Профиль дерева ищется той же цепочкой, что и у гарда пуша: умолчание пакета, поверх него
+ * надстройка проекта. Разойдись они — проверка судила бы не тот набор, который гоняет гард.
+ */
+const PROFILES = ['.claude/rt-kit/defaults/project.sh', '.claude/rt-kit/project.sh'];
+
+if (!PIPELINE || !existsSync(join(ROOT, PIPELINE))) {
+    console.log('check-push-gate: пропущено — файла конвейера в дереве нет');
+    process.exit(0);
+}
+
+/**
+ * Имена шагов конвейера. Образец задаёт дерево: у каждого хостинга своя форма записи, и
+ * угадывать её за все три пакет не берётся. Умолчание — форма GitHub Actions.
+ */
+const stepPattern = new RegExp(GATE.stepPattern ?? '^\\s*-\\s*name:\\s*(.+?)\\s*$');
+
+function pipelineSteps() {
+    return readFileSync(join(ROOT, PIPELINE), 'utf8')
+        .split('\n')
+        .map((line) => line.match(stepPattern)?.[1])
+        .filter(Boolean)
+        .map((name) => name.replace(/^['"]|['"]$/g, ''));
+}
+
+/**
+ * Набор гейта берётся у профиля его же оболочкой, а не переписывается сюда: два списка одного
+ * набора расходятся молча, и расходиться начинают в тот день, когда правят один из них.
+ *
+ * Профиля нет, функции в нём нет или оболочка отказала — набор неизвестен, и тогда проверка
+ * судит только полноту объявлений: сверять строки не с чем.
+ */
+function gateChecks() {
+    const present = PROFILES.filter((path) => existsSync(join(ROOT, path)));
+    if (present.length === 0) {
+        return null;
+    }
+    const script = `${present.map((path) => `. "${path}"`).join('\n')}
+command -v rt_push_checks >/dev/null 2>&1 || exit 42
+rt_push_checks ""`;
+    try {
+        return execFileSync('bash', ['-c', script], { cwd: ROOT, encoding: 'utf8' })
+            .split('\n')
+            .map((line) => line.trim())
+            .filter(Boolean);
+    } catch {
+        return null;
+    }
+}
+
+const steps = pipelineSteps();
+const checks = gateChecks();
+const problems = [];
+
+for (const step of steps) {
+    const declaration = DECLARED[step];
+
+    if (declaration === undefined) {
+        problems.push(
+            `шаг конвейера «${step}» не объявлен: закрой его строкой набора в pushGate.steps ` + 'либо объяви исключением с причиной'
+        );
+        continue;
+    }
+
+    if (typeof declaration === 'object' && declaration !== null) {
+        const reason = String(declaration.skip ?? '').trim();
+        if (!reason) {
+            problems.push(`шаг конвейера «${step}» объявлен исключением без причины — пустая причина не считается`);
+        }
+        continue;
+    }
+
+    const line = String(declaration).trim();
+    if (!line) {
+        problems.push(`шаг конвейера «${step}» объявлен пустой строкой — назови команду либо объяви исключение`);
+        continue;
+    }
+
+    if (checks && !checks.some((check) => check.includes(line))) {
+        problems.push(`шаг конвейера «${step}» объявлен строкой «${line}», а набор гейта её не печатает`);
+    }
+}
+
+/** Строка о шаге, которого в конвейере нет, — устаревшая: иначе объявления копят мёртвое. */
+const known = new Set(steps);
+for (const step of Object.keys(DECLARED)) {
+    if (!known.has(step)) {
+        problems.push(`объявление «${step}» устарело — такого шага в ${PIPELINE} нет`);
+    }
+}
+
+if (problems.length > 0) {
+    console.error(`check-push-gate: расхождений ${problems.length}\n`);
+    problems.forEach((problem) => console.error(`  ${problem}`));
+    console.error('\nНабор гейта пуша не бывает уже набора конвейера — правило поставки.');
+    process.exit(1);
+}
+
+const skipped = Object.values(DECLARED).filter((value) => typeof value === 'object' && value !== null).length;
+console.log(
+    `check-push-gate: шагов конвейера ${steps.length}, закрыто набором ${steps.length - skipped}, ` + `объявлено исключениями ${skipped}`
+);

package/assets/checks/rt-kit-checks.config.mjs

@@ -53,6 +53,16 @@ const DEFAULTS = {
     tasksDir: 'docs/tasks',
     /** Куда сложены списки принятых долгов. */
     allowlistDir: 'tools',
+    /**
+     * Каталоги, которые переписывает генератор целиком: контракт, клиент хранилища, разложенное
+     * из пакета. Спорить с генератором о длине файла и о повторе некому.
+     */
+    generatedDirs: [],
+    /**
+     * Предел длины файла — одно число на все роды: своё число каждому роду означает спор о
+     * числе на каждой правке, а не о длине файла.
+     */
+    fileSizeLimit: 500,
     /** Корни сквозных тестов; пусто — их в дереве нет. */
     e2eRoots: ['apps/site-e2e', 'apps/admin-e2e'],
     /** Корни бэкенда: у него нет ни компонентов, ни шаблонов, и часть признаков к нему не применяется. */
@@ -74,6 +84,17 @@ const DEFAULTS = {
      * не считается никогда.
      */
     productionMarks: [],
+    /**
+     * Гейт пуша против конвейера. `pipelineFile` — файл, из которого берутся имена шагов;
+     * пусто или файла нет — сверки нет вовсе. `stepPattern` — чем имя шага оттуда достаётся;
+     * умолчание записано под GitHub Actions. `steps` — чем каждое имя закрыто: строка набора
+     * либо `{ "skip": "<причина>" }`. Необъявленный шаг отбивает пуш.
+     */
+    pushGate: {
+        pipelineFile: '',
+        stepPattern: '^\\s*-\\s*name:\\s*(.+?)\\s*$',
+        steps: {},
+    },
     /** Очередь работ: владелец, репозиторий, борда и учётная запись машинной работы. */
     board: {
         owner: '',

package/assets/defaults/gate-map.sh

@@ -15,32 +15,21 @@
 #
 # Порядок веток решает: первое совпадение выигрывает, поэтому частное идёт раньше общего.
 
-# Правила, которые вступают не от рода файла, а от того, что в него пишут.
-#
-# Обращение к среде исполнения приходит в обычный сервис, а число-настройка и перечисление —
-# в обычный класс: по имени файла ни то ни другое не видно, и правило, требуемое только по
-# расширению, здесь молчало бы.
-skill_for_written() {
-    target="$1"
-    written="$2"
-
-    [ -z "$written" ] && return 0
-
-    case "$target" in
-        *.spec.ts | */docs/* | *.md) return 0 ;;
-    esac
-
-    printf '%s' "$written" | grep -qE '(globalThis|window\.|document\.defaultView|PLATFORM_ID|isPlatformBrowser|localStorage|sessionStorage)' \
-        && printf '%s\n' 'platform-access'
+# Правила, вступающие не от рода файла, а от того, что в него пишут, здесь не выбираются:
+# они приходят слоем поверх доменного — `hooks/skill-gate-layers.sh`. Карта судит путь, слой
+# судит текст, и оба зовутся из гейта в одной оболочке.
 
-    case "$target" in
-        *.ts)
-            printf '%s' "$written" | grep -qE '^[[:space:]]*(export[[:space:]]+)?(const[[:space:]]+[A-Z][A-Z0-9_]*[[:space:]]*(:[^=]*)?=[[:space:]]*-?[0-9]|enum[[:space:]])' \
-                && printf '%s\n' 'shared-code'
-            ;;
-    esac
-
-    return 0
+# Команда считается ВЫЗОВОМ, только когда стоит в начале строки или сразу за разделителем.
+# Совпадение по подстроке ловит любое УПОМИНАНИЕ: строка о коммите в теле самого коммита и поиск
+# по истории отбивались как настоящий коммит.
+#
+# `([A-Za-z_]…=…[[:space:]]+)*` — переменные окружения перед вызовом: адрес хранилища ставят
+# приставкой самой команды, и без этого куска вызов не опознавался вовсе. `(npx…)?` — запуск
+# через раннер пакетов, `([^[:space:]]*/)?` — путь до исполняемого файла. Многострочную команду
+# поиск разбирает построчно, поэтому начало строки — начало каждой.
+rt_gate_invokes() {
+    printf '%s\n' "$1" \
+        | grep -qE "(^|[;&|(])[[:space:]]*([A-Za-z_][A-Za-z0-9_]*=[^[:space:]]*[[:space:]]+)*((npx|pnpm|yarn|bun|npm)([[:space:]]+(exec|run|dlx))?[[:space:]]+)?([^[:space:]]*/)?$2([[:space:]]|$)"
 }
 
 skill_for_default() {
@@ -81,6 +70,37 @@ skill_for_default() {
                 # строк комментария стоят захода, а второе прочитанное правило не пригождается.
                 */tools/check-dupes.mjs | */tools/dupes-allowlist.json) printf '%s\n' 'shared-code' ;;
 
+                # Остальные проверки — то же самое: проверка исполняет утверждения своего
+                # правила, и признаки, по которым она судит, объявлены у него в привязке. Правя
+                # признак в проверке, второе место открывают рядом — иначе они расходятся молча,
+                # и проверка числит отказом то, что правило разрешает.
+                */check-specs.mjs) printf '%s\n' 'spec-driven' ;;
+                */check-doc-paths.mjs | */doc-paths-allowlist.json | */check-file-size.mjs)
+                    printf '%s\n' 'doc-style' ;;
+                */check-styles.mjs | */styles-allowlist.json | */stylelint-rules/*)
+                    printf '%s\n' 'styling-bem' ;;
+                */check-lib-layers.mjs | */lib-layers-allowlist.json) printf '%s\n' 'lib-layers' ;;
+                */check-reuse.mjs | */reuse-allowlist.json) printf '%s\n' 'reuse-first' ;;
+                */check-board.mjs | */board.mjs | */task-new.mjs | */check-schema-drift.mjs)
+                    printf '%s\n' 'git-workflow' ;;
+                # Своё правило линтера кода пишется по тем же соглашениям, что и код под ним.
+                */eslint-rules/*) printf '%s\n' 'typescript-conventions' ;;
+
+                # Схема хранилища и её миграции: порядок каталогов лексикографический, а метку
+                # времени ставит инструмент в момент заведения — цепочка ломается молча и падает
+                # только накатом с нуля, то есть уже после слияния. Правило живёт при поставке.
+                */schema.prisma | */prisma/migrations/*) printf '%s\n' 'git-workflow' ;;
+                # Конвейер и образ: проверки решают, что вообще гоняется до слияния, а образ —
+                # что приезжает на прод. И то и другое правилось без единого правила поставки.
+                */.github/workflows/*.yml | */.gitlab-ci.yml | */azure-pipelines*.yml)
+                    printf '%s\n' 'git-workflow' ;;
+                */Dockerfile | */*.Dockerfile | */docker-compose*.yml | */docker-compose*.yaml)
+                    printf '%s\n' 'git-workflow' ;;
+
+                # Сквозная спека проверяет поднятое приложение, а не класс: по имени файла она от
+                # обычного модуля не отличается, и без этой ветки уходила бы в соглашения языка.
+                *-e2e/*) printf '%s\n' 'testing' ;;
+
                 # Поставка: состав зависимостей — это то, что приезжает на прод. Правка
                 # скриптов зависимостью не является, и правило про версии на неё не вступает.
                 # Оговорка: удаление зависимости приходит правкой без номера версии и сюда не
@@ -105,18 +125,54 @@ skill_for_default() {
 
                 *.ts) printf '%s\n' 'typescript-conventions' ;;
             esac
-            skill_for_written "$target" "$written"
             ;;
         bash)
-            case "$target" in
-                *git\ commit* | *git\ push* | *git\ merge* | *git\ rebase* | *git\ cherry-pick* | *gh\ pr\ * | *glab\ mr\ * | *az\ repos\ *)
-                    printf '%s\n' 'git-workflow' ;;
-                *git\ worktree\ add* | *git\ worktree\ remove*)
-                    printf '%s\n' 'git-workflow' ;;
-                *prisma\ migrate* | *prisma\ db\ *) printf '%s\n' 'git-workflow' ;;
-                *curl\ *localhost* | *wget\ *localhost*) printf '%s\n' 'browser-verification' ;;
-            esac
+            # Ветки идут проверкой на вызов, а не совпадением по подстроке: упоминание команды
+            # командой не является, и гейт отбивал собственный текст о коммите.
+            if rt_gate_invokes "$target" "git[[:space:]]+(commit|push|merge|rebase|cherry-pick)" \
+                || rt_gate_invokes "$target" "git[[:space:]]+worktree[[:space:]]+(add|remove)" \
+                || rt_gate_invokes "$target" "git[[:space:]]+checkout[[:space:]]+-b" \
+                || rt_gate_invokes "$target" "git[[:space:]]+switch[[:space:]]+-c" \
+                || rt_gate_invokes "$target" "(gh|glab)[[:space:]]+(pr|mr|issue)[[:space:]]+(create|merge|edit)" \
+                || rt_gate_invokes "$target" "az[[:space:]]+(repos|boards)" \
+                || rt_gate_invokes "$target" "[^[:space:]]*task:new" \
+                || rt_gate_invokes "$target" "prisma[[:space:]]+(migrate|db)"; then
+                printf '%s\n' 'git-workflow'
+            # Правка тела отчёта через клиент хостинга ловится двумя признаками сразу — вызовом
+            # клиента И адресом запроса: одного слова о заявке мало, оно попадает в строку любой
+            # команды, которая о ней пишет. Тело отчёта не читает ни одна проверка, и утверждение
+            # о дереве стареет в нём молча.
+            elif rt_gate_invokes "$target" "(gh|glab)[[:space:]]+api" \
+                && printf '%s' "$target" | grep -qE '(-X|--method)[[:space:]]+(PATCH|PUT).*(pulls|merge_requests)/[0-9]+'; then
+                printf '%s\n' 'git-workflow'
+            # Образы и реестр на машине владельца: там же лежат его собственные стенды и работы
+            # других его веток. Снятие и чистка важнее сборки — они уносят чужое безвозвратно.
+            # Команды чтения остаются вне гейта: ими нехватку места и разбирают, и требовать на
+            # них правило значило бы отбивать сам приём. Поэтому общая чистка ловится с `prune`.
+            elif rt_gate_invokes "$target" "docker[[:space:]]+(build|buildx|pull|push|run|compose|login|rm|rmi|stop|start|restart|image|volume|builder|network)" \
+                || rt_gate_invokes "$target" "docker[[:space:]]+system[[:space:]]+prune"; then
+                printf '%s\n' 'git-workflow'
+            fi
+
+            # Слияние отчёта — последний момент, когда папку закрытой задачи ещё можно разобрать
+            # тем же отчётом: после слияния сверка очереди её видит, а отвечать за неё уже
+            # некому. Требуется ВТОРЫМ слоем, дополнительно к правилу поставки.
+            rt_gate_invokes "$target" "(gh[[:space:]]+pr|glab[[:space:]]+mr)[[:space:]]+merge" \
+                && printf '%s\n' 'task-flow'
+
+            # Обращение к поднятому приложению: врёт здесь не код, а то, что отвечает на порту.
+            # Ответ сборки прошлого захода неотличим от ответа живой ветки. Нужны оба признака —
+            # вызов клиента И адрес: одного адреса мало, он попадает в строку любой команды,
+            # которая о нём пишет, и гейт отбивал проверку самого гейта. Порт не перечисляется:
+            # свой разовый стенд поднимается на любом свободном.
+            if printf '%s' "$target" | grep -qE '(localhost|127\.0\.0\.1):[0-9]{4,5}' \
+                && { rt_gate_invokes "$target" curl || rt_gate_invokes "$target" wget; }; then
+                printf '%s\n' 'browser-verification'
+            fi
             ;;
+        # Проверка через браузер — единственная область, где правило нужно не под правку файла, а
+        # под инструмент: врут там не файлы, а стенд и координаты.
+        browser) printf '%s\n' 'browser-verification' ;;
     esac
 
     return 0

package/assets/defaults/project.sh

@@ -25,19 +25,42 @@ rt_runner() {
 # Порты у каждого дерева свои, поэтому умолчание молчит: назвать чужой порт хуже, чем не назвать.
 RT_STANDS="${RT_STANDS:-}"
 
+# Где лежат проверки дерева и набор сценариев его гардов. Проверку, которой в дереве нет, гейт
+# пуша не зовёт: список печатается по тому, что лежит на диске.
+RT_CHECKS_DIR="${RT_CHECKS_DIR:-tools}"
+RT_HOOKS_TESTS="${RT_HOOKS_TESTS:-.claude/hooks/tests/run.sh}"
+
 # Команды, которые обязаны пройти перед пушем. По одной на строку; первая упавшая отбивает пуш.
 # Линтер стилей отдельной строкой: линтер кода файлы стилей не читает вовсе.
 #
 # Первый параметр — база: ветка, относительно которой считается вклад. Пустая означает, что
 # удалённого нет, и тогда гоняется всё: набор строже нужного безопасен, набор уже нужного — нет.
+#
+# Сборка идёт наравне с линтом и спеками. Линтер типов не читает, а спеки читают только то, что
+# кто-то ввёз в них импортом: ошибка типов в непокрытом коде доживает до сборки образа, то есть
+# до слияния. Стоит это мало — дальше работает кэш прогонщика.
+#
+# Заведённая проверка встаёт сюда, а не только в общий прогон, который никто не зовёт сам:
+# новая строка в её списке известного уезжает в главную ветку молча, а список при этом читается
+# как действующая охрана.
 rt_push_checks_default() {
     runner="$(rt_runner)"
+    root="${CLAUDE_PROJECT_DIR:-.}"
     if [ -n "$1" ]; then
-        printf '%s\n' "$runner nx affected -t lint test --base=$1"
+        printf '%s\n' "$runner nx affected -t lint test build --base=$1"
     else
-        printf '%s\n' "$runner nx run-many -t lint test --all"
+        printf '%s\n' "$runner nx run-many -t lint test build --all"
     fi
-    [ -f "${CLAUDE_PROJECT_DIR:-.}/stylelint.config.js" ] && printf '%s\n' "$runner stylelint \"**/*.scss\" --max-warnings 0"
+    [ -f "$root/stylelint.config.js" ] && printf '%s\n' "$runner stylelint \"**/*.scss\" --max-warnings 0"
+
+    # Сценарии гардов — такой же код, как всё остальное: на них держится и разбор ветки, и
+    # уверенность, что обвязка ещё работает. Прогон занимает секунды: он ничего не собирает.
+    [ -x "$root/$RT_HOOKS_TESTS" ] && printf '%s\n' "bash $RT_HOOKS_TESTS"
+
+    for check in check-doc-paths check-specs check-file-size check-dupes check-styles \
+        check-lib-layers check-reuse check-schema-drift check-push-gate; do
+        [ -f "$root/$RT_CHECKS_DIR/$check.mjs" ] && printf '%s\n' "node $RT_CHECKS_DIR/$check.mjs"
+    done
 
     return 0
 }