@rt-tools/agent-kit 0.5.3 → 0.7.0

package/assets/patterns/task-flow-close.md

@@ -148,7 +148,27 @@ npm run check:docs    # пути, названные в текстах, суще
   выкачено» с тем, что работает месяц, — беззвучная ложь, тем убедительнее, чем старше.
 - **Номера сценариев при вливании не пересчитываются.** Идентификатор — ключ связи с тестами;
   сдвиг рвёт сверку у соседей, которых правка не касалась.
+- **«Что не входит» после вливания читается целиком, а не дописывается.** Договорённость несёт
+  свои границы, и при вливании они ложатся рядом с границами домена: половина повторяет уже
+  стоявшее другими словами, а строка «этого раздела ещё нет» становится ложью ровно той
+  работой, которая её вливает. Сверка спеков в этот раздел не смотрит вовсе. Снимается
+  дословный повтор и то, что работа сделала входящим.
+- **Шаги закрытия с владельцем не согласуются — они перечислены здесь.** Разбор работы
+  правилами входит в закрытие так же, как вливание договорённости и разбор папки; владелец
+  решает не то, запускать ли его, а что делать с находками. Ход, кончившийся таким вопросом,
+  отбивает гард разговора: за ход правила не читались, а ответ стоит в них. Спрашивается только
+  то, чего в правилах нет.
+- **Блок готового кода в паттерне стареет от чужой правки.** Он не привязан ни к чему: сверка
+  спеков читает утверждения правила, а пример под ними не читает вовсе. Два поля, ставших
+  обязательными в чужой работе, сделали пример в соседнем паттерне несобираемым — сам он при
+  этом не изменился ни на знак и в след задачи не попал, потому что ни одного слова той работы
+  в нём нет. Паттерн находится по имени правленого символа, а не по теме работы.
 - **Правило без привязки в спек домена не въезжает.** Кода, который его исполняет, нет —
   значит это намерение, и место ему в открытых вопросах домена, а не в правилах.
+- **Замысел линии работ правят только там, где вписывают «чем кончилась».** Границы линии и
+  порядок задач в ней при этом остаются прежними, а работа их уже нарушила: задача, решившая
+  читать спеки, оставила над собой границу «спеки — вторая очередь», и следующий исполнитель
+  прочитает её как действующую. Границы линии перечитываются целиком тем же заходом, что и
+  итог работы.
 - **Архив не обновляется после выкатки.** Уехавшее туда описывает день переезда, и правится
   оно только вместе с признанием, что описывало неверно.

package/assets/patterns/task-flow-resume.md

@@ -102,5 +102,10 @@ git log --oneline origin/main..HEAD
   несохранённым и почему» — единственное, по чему это видно, пока отчёта нет.
 - **Подтверждение — вывод команды или замер, а не пересказ.** «Проверил, работает» через
   заход неотличимо от «казалось, что работает».
+- **Число из передачи пересчитывается до того, как на нём что-то делят.** Передача описывает
+  день, когда её писали, лежит вне дерева, и не читает её ни одна проверка. Оценка «работы
+  вдвое больше предыдущей» при пересчёте на текущем коммите не подтвердилась: по числу
+  утверждений объёмы оказались почти равны. Деление работы по чужой оценке делит не то, и
+  владельцу называются свои числа.
 - **Доэтапное отделяется от своего.** Красное, найденное по дороге и не этой работой
   сделанное, помечается таковым сразу: иначе следующий заход примет его за свою поломку.

package/assets/patterns/translations-content.md

@@ -0,0 +1,107 @@
+---
+name: translations-content
+kind: pattern
+rule: translations
+description: Паттерн правила translations. Брать при работе с переводами содержимого записи — производный перевод при сохранении, запись локали руками через язык админки, разбор отказа провайдера, сброс кэша отданных страниц. Не брать для подписей интерфейса — это паттерн translations-key.
+---
+
+# Перевод содержимого записи
+
+Паттерн правила `translations`. Что при этом должно быть верно — закон
+`docs/constitution/application/locales.md`.
+
+## Когда брать
+
+- Владелец правит тексты записи, и остальные локали должны догнать.
+- Админка ответила, что сохранила на языке ввода, а перевод на остальные не удался.
+- Локаль надо заполнить руками: провайдер недоступен, а страница на этом языке нужна сегодня.
+- Проверяется, что отданная страница показывает свежий текст.
+
+## Перевод идёт сам, и просить его нечем
+
+Кнопки «перевести» нет. Владелец печатает на своём языке, а процедура сохранения зовёт перевод
+до транзакции и кладёт в хранилище уже все локали. Локаль ввода приезжает полем запроса и
+берётся из языка админки, а не из браузера гостя.
+
+В партию идёт не всё подряд: сборщик отбрасывает строку, чей исходный текст не менялся **и**
+которая переведена на все целевые локали. Отсюда два следствия:
+
+- сохранение записи без правки текстов провайдера не зовёт вовсе — перестановка изображения или
+  правка числа ничего не стоит;
+- строка, у которой хоть одна локаль пуста, поедет на перевод при первом же сохранении, без
+  правки самого текста.
+
+## Локаль пишется руками через язык админки
+
+Табов локалей в форме нет, и это не упущение: поле одно, а какая локаль за ним стоит, решает
+язык интерфейса. Значит записать перевод руками — это переключить язык в шапке админки и
+заполнить те же поля.
+
+Путь этот не аварийный: пока у провайдера пуст счёт, он и есть обычный порядок, и каждый
+видимый текст заводится по разу на локаль. Считать его временным и ждать автоперевода не надо.
+
+Порядок такой:
+
+1. Меню владельца в шапке → выбрать язык.
+2. Открыть запись. Текстовые поля покажут текст **этой** локали; пустые они там, где локали у
+   записи нет.
+3. Заполнить и сохранить.
+
+Соседние локали при этом целы: черновик пишет в карту по коду локали, а остальные ключи уезжают
+в запрос как пришли. Отказ провайдера ничего не портит — в хранилище ложится ровно то, что
+прислала форма.
+
+Записанное руками потом не перетирается: у поля заполнены все локали, и сборщик партии больше
+не берёт его, пока владелец не изменит исходный текст.
+
+Собирать вызов сохранения скриптом для этого не надо, и правило это прямо запрещает: черновик
+перезаписывает запись целиком, а вложенная запись, не попавшая в список, удаляется вместе со
+своими связями.
+
+## Отказ провайдера читается не по экрану
+
+Владельцу показывается одна фраза без причины. Причина живёт в логах строкой своего контекста:
+
+```bash
+docker compose -f <состав прода> --env-file <файл окружения> logs api --since 30m \
+    | grep -i translation
+```
+
+Строка несёт код ответа, но не текст: клиент бросает отказ по коду, не читая тела. Что именно
+ответил провайдер, спрашивается у него напрямую тем же ключом; для разового вызова его берут
+руками — приложение эту переменную не читает, но значение там то же, что владелец завёл в
+админке. Отказ по деньгам означает пустой счёт, а не сломанный ключ: список моделей при этом
+отдаётся, и строка интеграции показывает «работает». Где лежит сам ключ и почему проба
+зелёная — паттерн `git-workflow-secrets`.
+
+## Отданная страница показывает прежний текст, пока не сброшен кэш
+
+Записанный перевод виден в хранилище сразу, а гостю — нет: страницы лежат в кэше прокси. На
+проде он сбрасывается так же, как на стенде:
+
+```bash
+docker exec <контейнер прокси> sh -c 'rm -rf /var/cache/nginx/site/*; nginx -s reload'
+```
+
+Сверяется отданной разметкой по каждой правленой локали, а не взглядом на админку:
+
+```bash
+for l in <локали>; do
+    printf '%-8s ' "$l"
+    curl -sL "https://<адрес сайта>/$l/" | grep -oE '<meta name="description" content="[^"]{0,80}'
+done
+```
+
+## Частые промахи
+
+- **Проверять результат в админке.** Форма показывает то, что в хранилище, и молчит о кэше: три
+  локали были записаны и проверены, а сайт ещё полчаса отдавал прежний текст на всех.
+- **Считать, что перевода нет, раз пришло предупреждение.** Прежние локали остаются на месте;
+  пустой окажется только та, которой не было раньше.
+- **Писать в хранилище напрямую.** Запись в боевое хранилище запрещена совсем, а колонка со
+  свободной структурой выглядит безобидной целью — тексты правятся через админку, и другого
+  пути у них нет.
+- **Переводить имя собственное.** Оно остаётся как есть во всех локалях: так велит словарь в
+  задании провайдеру, и рукописный перевод обязан вести себя так же.
+- **Копировать одно письмо языка в другое.** Упрощённое и традиционное письмо — разные локали и
+  разное письмо; посимвольная копия простояла на проде, и гость читал чужие иероглифы.

package/assets/patterns/translations-key.md

@@ -27,7 +27,7 @@ description: Паттерн правила translations. Брать, когда
 | `admin.json`  | админ-панель                |
 | `mail.json`   | письма и документ-основание |
 
-Локалей восемь: `en`, `ru`, `de`, `zh-Hans`, `zh-Hant`, `ko`, `th`, `hi`. Ключ заводится во
+Набор локалей перевода назван в `implementation.md` правила. Ключ заводится во
 всех — пустое значение считается пропуском, а не переводом.
 
 ## Подстановка

package/assets/rules/angular-patterns.md

@@ -40,6 +40,11 @@ description: Правило под «Закон о фронтовом прило
   объявлена подписка.
 - **Источник действия носит суффикс `Source` в имени.** Иначе поток и значение в коде
   неотличимы, и `next` уходит не туда.
+- **Вызов сервиса внутри `computed` зависимостью не становится.** Производное значение следит
+  только за прочитанными сигналами, а обычный метод сигналом не является: значение остаётся
+  таким, каким было в момент первого счёта. Текущий язык, текущее владение, текущий признак
+  среды читаются сигналом службы — тогда производное пересобирается вместе с их сменой. Ни
+  сборка, ни линтер этого не видят.
 - **Списочный стор наследует общую основу.** Записи, страница, порядок, условия отбора, строка
   поиска и конфиг выборки уже там, и наследнику остаются четыре строки.
 

package/assets/rules/browser-verification.md

@@ -2,7 +2,7 @@
 name: browser-verification
 kind: rule
 law: verifiability
-description: Правило под «Закон о проверяемости». Брать при любой проверке через браузер и при запросах curl или wget к дев-серверу. Называет порты сайта, админки и API, чему на дев-сервере верить нельзя и чем измерять вместо взгляда. Готовый код — в паттернах browser-verification-stand и browser-verification-measure.
+description: Правило под «Закон о проверяемости». Брать при любой проверке через браузер и при запросах curl или wget к дев-серверу. Называет, где подняты приложения дерева, чему на дев-сервере верить нельзя и чем измерять вместо взгляда. Готовый код — в паттернах browser-verification-stand и browser-verification-measure.
 ---
 
 # Проверка работающего приложения — как это устроено здесь
@@ -16,7 +16,7 @@ description: Правило под «Закон о проверяемости».
 | В законе                          | Здесь                                                                                           |
 | --------------------------------- | ----------------------------------------------------------------------------------------------- |
 | работающее приложение             | то, что поднято в этом дереве; перечень и порты — в `implementation.md` рядом                   |
-| место, где его видит пользователь | прод-сборка за настоящим `deploy/nginx.conf`, а не дев-сервер                                   |
+| место, где его видит пользователь | прод-сборка за настоящим прокси дерева, а не дев-сервер                                         |
 | замер                             | `getComputedStyle`, `getBoundingClientRect`, контраст, совпадение центров, попадание во вьюпорт |
 | драйвер браузера                  | `claude-in-chrome` на закреплённом профиле этого дерева                                         |
 
@@ -39,6 +39,11 @@ description: Правило под «Закон о проверяемости».
   имена, которые не опознают ничего, а выбор из него ведёт на профиль без входа.
 - **Прод-конфигурация проверяется только за настоящим прокси.** Голый сервер отдачи страниц
   про кэш, перенаправления и заголовки не знает ничего.
+- **Первый заход на публичный экран метится признаком служебного посещения.** Драйвер водит
+  обычный браузер, и счётчик посещений не отличает проверку от гостя: `navigator.webdriver` у
+  него `false`, строка `User-Agent` — живого браузера. Чем метится заход, сказано в именах
+  дерева; признак, который живёт в хранилище браузера, дописывается один раз на профиль, а не
+  к каждому адресу.
 
 Вывод о вёрстке подкрепляется числом: «выглядит нормально» результатом проверки не является.
 Этого не стережёт ничто — как измерять, разобрано в паттерне `browser-verification-measure`.
@@ -50,21 +55,21 @@ description: Правило под «Закон о проверяемости».
 
 ## Паттерны
 
-- `browser-verification-stand` — честный стенд из прод-сборки, вход в админку, разбор порта.
+- `browser-verification-stand` — честный стенд из прод-сборки, вход в закрытое приложение,
+  разбор порта.
 - `browser-verification-measure` — замер вместо взгляда, ловушки инструмента `computer`.
 
 ## Ловушки
 
 - **Сначала выяснить, что отвечает на порту:** `lsof -nP -iTCP:<порт> -sTCP:LISTEN` до первого
-  запроса. На 3333 регулярно висит собранный артефакт из прошлой сессии — он отвечает 200
-  старым кодом, а заведённой в ветке процедуры у него нет вовсе, и 404 читается как дефект
-  регистрации. Таких процессов бывает несколько; `pkill` по `nx serve api` не попадает ни в
-  один — убивать по PID из `lsof`, каждый.
-- Инкрементальная сборка протухает поштучно: разметка на 4900 бывает уже новая, а клиентский
-  чанк — от компиляции до правки. Признак дев-сборки — имена бандла без хеша (`main.js`).
-  Расхождение между `curl` и страницей после гидратации — повод пересобрать, а не искать
-  дефект в коде. Отсюда же нельзя делать вывод «такого маршрута нет»: сверяться с
-  `app.routes.ts`.
+  запроса. На порту приложения регулярно висит собранный артефакт из прошлой сессии — он
+  отвечает 200 старым кодом, а заведённого в ветке обработчика у него нет вовсе, и 404 читается
+  как дефект регистрации. Таких процессов бывает несколько; снятие по шаблону команды не
+  попадает ни в один — убивать по PID из `lsof`, каждый.
+- Инкрементальная сборка протухает поштучно: разметка бывает уже новая, а клиентский чанк — от
+  компиляции до правки. Признак дев-сборки — имена бандла без хеша (`main.js`). Расхождение
+  между `curl` и страницей после гидратации — повод пересобрать, а не искать дефект в коде.
+  Отсюда же нельзя делать вывод «такого маршрута нет»: сверяться с объявлением маршрутов.
 - **Кэш объясняет расхождение, но не подтверждает его.** В `.angular/cache/…/vite/deps` лежат
   только пакеты из `node_modules`, кода репозитория там нет вовсе. Вывод «дефекта нет, это
   кэш» закрывает разбор, поэтому принимается только после проверки на чистой сборке — три

package/assets/rules/component-structure.md

@@ -16,10 +16,10 @@ description: Правило под «Закон о фронтовом прило
 
 | В законе                           | Здесь                                                                        |
 | ---------------------------------- | ---------------------------------------------------------------------------- |
-| компонент                          | `vm-<имя>` — префикс один на сайт и админку                                  |
+| компонент                          | `<префикс>-<имя>` — префикс один на все приложения дерева                    |
 | готовое, а не вычисление в шаблоне | `computed()`; там, где значение приходит из контекста шаблона, — чистый пайп |
 | якорь для проверки                 | атрибут `qa-dataid` в kebab-case по смыслу элемента                          |
-| корень разметки                    | `:host` с классом блока от `host: { class: 'vm-<имя>' }`                     |
+| корень разметки                    | `:host` с классом блока от `host: { class: '<префикс>-<имя>' }`              |
 
 ## Где это лежит
 
@@ -33,6 +33,10 @@ description: Правило под «Закон о фронтовом прило
 (computeFlag())`, чтения сигналов не трогает.
 - **Каждый интерактивный элемент несёт `qa-dataid`.** Это единственный якорь спек: классы BEM
   меняются вместе с вёрсткой, а поиск по роли и тексту ломается на локалях перевода.
+- **Компоненту разрешён только элементный селектор.** Правило линтера требует у компонента
+  элемент с приставкой дерева и именем через дефис, у директивы — атрибут и имя одним словом.
+  Приём, который вешается на чужой тег, пишется директивой с самого начала: у компонента с
+  селектором-атрибутом линт краснеет уже после того, как написаны все три файла и стили.
 - **Класс блока висит на хосте, а не на обёртке внутри шаблона.** Лишняя обёртка вокруг всех
   детей — это раскладка, и ей место на `:host`.
 

package/assets/rules/doc-style.md

@@ -56,6 +56,20 @@ description: Правило под «Закон о документации пр
   имена веток и правила линтеров: выглядят адресом, адресом не являются.
 - **Документ едет в том же коммите, что и правка, которую он описывает.** Обход — строка
   `Docs-skip: <причина>` в теле коммита; пустая причина не принимается.
+- **Документ не длиннее предела длины.** Текст, который не влезает на экран целиком, дописывают
+  в конец, не перечитав начала, — так в одном документе и оказываются два ответа на один вопрос.
+  Предел тот же, что у кода, и считается так же — все строки; выросший спек делится на
+  поддомены, а не переносит границу. Описание прошлого из счёта выведено: архив по устройству
+  перечисляет то, чего в дереве уже нет, а папка задачи умирает со слиянием.
+- **Файл, уезжающий в описание прошлого, называет в шапке свой прежний адрес.** Записи архива
+  ссылались на него, пока он был живым, и после переезда эти ссылки ведут в пустоту: проверка
+  путей архив не читает вовсе, поэтому промах не краснеет никогда. Найти переехавшее нечем —
+  имя записи архива с прежним адресом не совпадает, и поиск по нему её не показывает. Одна
+  строка в шапке дешевле правки всех ссылающихся записей и прошлого не трогает.
+- **Текст, называющий состояние машины, устаревает без единой правки в дереве.** Ловушка о том,
+  что на машине установлено, верна в день, когда её пишут, и становится неправдой сама собой —
+  ни одна сверка этого не видит: они читают дерево, а состарилась машина. Утверждение о машине
+  пишется способом её спросить: команда и то, с чем сверять ответ, вместо снимка ответа.
 
 ## Чего из закона здесь нет
 
@@ -74,6 +88,8 @@ description: Правило под «Закон о документации пр
 
 - `doc-style-write` — как формулировать: примеры «так» и «не так», правила для комментариев.
 - `doc-style-sweep` — разбор документа, накопившего список работ, на действующее и закрытое.
+- `doc-style-trace` — обратный проход: закрытые задачи против текстов, поиск того, чего не
+  написали.
 
 ## Скилы дерева
 

package/assets/rules/git-workflow.azure.md

@@ -2,7 +2,7 @@
 name: git-workflow
 kind: rule
 law: delivery
-description: Правило под «Закон о поставке» для дерева в Azure DevOps. Брать на заведение задачи, ветки, коммит, пуш, создание PR, слияние, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет рабочий элемент как начало работы, его состояние как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration и git-workflow-restart.
+description: Правило под «Закон о поставке» для дерева в Azure DevOps. Брать на заведение задачи, ветки, коммит, пуш, создание PR, слияние, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет рабочий элемент как начало работы, его состояние как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration, git-workflow-restart, git-workflow-docker и git-workflow-secrets.
 ---
 
 # Поставка — как это устроено здесь
@@ -63,6 +63,11 @@ description: Правило под «Закон о поставке» для д
 - **Задачи, чинящиеся одной правкой, сливаются до слияния ветки.** Вторая закрывается как
   дубликат, а недостающее из неё дописывается в первую. После слияния слить уже нельзя: ветка
   въехала, и откатывается она целиком.
+- **Работа, которую одним заходом не закрыть, помечена в двух местах, и они сверяются.** Метка
+  на доске и строка о заходах с передачей в линии работ говорят одно и то же двум читателям:
+  исполнитель открывает карточку раньше, чем линию, а планирует по линии. Одна пометка без
+  другой лжёт молча, поэтому сверка очереди судит пару в обе стороны. Помечается только то, что
+  законно не делится: пометка объёма правом делить не становится.
 - **Слияние в главную ветку выкатывает прод.** Фильтры путей конвейера покрывают документы
   отдельно, поэтому переменные окружения, секреты и записи имён ставятся до слияния, а не
   после.
@@ -72,6 +77,24 @@ description: Правило под «Закон о поставке» для д
   умолчаниями, которые он разрешает. Умолчание образа задаётся в самом образе.
 - **Образы выкатываются по sha коммита, а не по метке «последний».** Метка в реестре отстаёт
   от главной ветки, и прод молча возвращается к прежней версии, продолжая отвечать.
+- **Выкатка убирает за собой старые образы, оставляя три последних sha.** Помеченный sha образ
+  висячим не бывает никогда, и чистка висячего его не касается: за полгода они съедают диск
+  сервера целиком. Три sha — это глубина отката, и меньше брать нельзя: поломка, замеченная
+  через две выкатки, откатывается уже некуда.
+- **Описание прода правится вместе с составом прода.** Устройство, путь запроса, гейты и
+  бэкапы описаны текстами вне слоёв правил, и ни линтер, ни сборка их не читают: расхождение
+  копится молча, а читают эти тексты как действующие. Пару стережёт гард документов.
+- **Правка конвейера прогоняется до слияния ручным запуском.** Конвейер запускается на любой
+  ветке, а задание выкатки прибито условием к главной: прогон ради проверки доходит до сборок и
+  там кончается. Прогон команд задания на своей машине его не покрывает: он проверяет команды,
+  а не файл конвейера, — верность самого файла читается только по списку прогонов после пуша.
+- **Отчёт проверяется до слияния тем же конвейером, что и главная ветка.** Проверки и сборки
+  образов идут на конвейере проверки PR, выкатка — нет: её держит условие по главной ветке у
+  своего задания, а образ отчёта в реестр не уезжает.
+- **Расхождение прода с главной веткой видно сверкой очереди работ.** Рабочий элемент уходит из
+  очереди слиянием, но слияние — ещё не прод: отказавшая выкатка не трогает ни элемент, ни его
+  состояние, и заметить её неоткуда. Сверка спрашивает последний прогон главной ветки и судит
+  только завершённый: идущий ещё может кончиться выкаткой.
 - **Цепочка миграций прогоняется с пустого хранилища до слияния.** Порядок применения
   лексикографический по имени каталога, а метку времени ставит момент создания: миграция из
   ветки, начатой раньше, встаёт перед той, от которой зависит.
@@ -81,6 +104,25 @@ description: Правило под «Закон о поставке» для д
   заголовок читается списком, а свободный текст — только целиком.
 - **Перед пушем прогоняются все линтеры, а не один.** Линтер кода обычно не читает файлы
   стилей вовсе, и правила оформления без второго прогона не проверяет ничто.
+- **Сборка входит в набор наравне с линтом и юнитами.** Линтер типов не читает, а юниты читают
+  только то, что импортировано тестом: ошибка типов в непокрытом коде доживает до сборки
+  образа, то есть до слияния. Четыре слияния подряд так и уехали в главную ветку, ломая
+  выкатку.
+- **Набор гейта пуша не бывает уже набора конвейера.** Гейт — обещание, что пуш не приедет
+  красным; набор, из которого выкинуты сборка и снимки, обещает то, чего не проверяет. Шаг
+  конвейера, которому в наборе гейта нет ни строки, ни объявленного исключения с причиной,
+  отбивает пуш, а не печатается рядом с ним: напечатанное предупреждение исполнитель читает как
+  разрешение. Дважды подряд правка, прошедшая гейт целиком, была отбита конвейером — и оба раза
+  зелёный гейт был прочитан как «локально всё зелено».
+- **После вливания главной ветки набор проверок пересматривается по тому, что ветка везёт
+  теперь.** Вливание меняет состав правки: проверять по тому, что правил автор, — значит
+  проверять половину, а отвечает ветка целиком. Ветка, не тронувшая ни строки показа, прогоняет
+  снимки витрин с того момента, как вливание принесло чужую правку оформления.
+- **Утверждение о главной ветке делается по удалённой ссылке, а не по локальной.** Локальная
+  протухает в ту минуту, когда её подтянули в последний раз, и молчит об этом: она не пуста и не
+  сломана, она описывает вчерашний день. Сравнение веток пишется от `origin/main` целиком —
+  смешав в одной команде удалённую ссылку для одной стороны и локальную для другой, промах
+  изнутри выглядит правильным.
 - **Рабочий элемент привязывается к PR при создании, а не после.** `az repos pr create`
   принимает `--work-items`; привязка второй командой обходится молча, когда у токена нет права
   править чужой элемент, и PR остаётся ни с чем не связанным.
@@ -124,6 +166,8 @@ description: Правило под «Закон о поставке» для д
 - `git-workflow-merge` — главная ветка влита в ветку задачи, конфликт разобран.
 - `git-workflow-migration` — правка схемы хранилища и её миграций.
 - `git-workflow-restart` — ручной перезапуск прода.
+- `git-workflow-docker` — образы на своей машине: демон, реестр, сборка под платформу сервера.
+- `git-workflow-secrets` — ключи внешних служб: где лежат, как заводятся, что говорит их состояние.
 
 ## Ловушки
 
@@ -148,6 +192,21 @@ description: Правило под «Закон о поставке» для д
   записи, на следующий вызов это не переносится: PR открывают токеном учётной записи машинной
   работы, и от того, чьей записью он открыт, зависит, кого можно назначить ревьювером. Однажды
   смена записи ради пуша утекла в публикацию — отчёт вышел от владельца.
+- **Невалидный файл конвейера виден прогоном нулевой длительности сразу после пуша.** Прогон
+  заводится и кончается на разборе файла, не начав ни одного задания: в списке он стоит
+  отказом, а внутри нет ни задания, ни лога — читается только длительность. Поэтому список
+  прогонов ветки смотрится тем же движением, что и пуш: `az pipelines runs list` по своей
+  ветке.
+- **`online` у агента на своей машине означает запущенный процесс, а не работающий конвейер.**
+  Две стороны сходятся отдельно: требования заданий и возможности самого агента в его пуле.
+  Пока пересечения нет, агент стоит `online` и не берёт ничего, а задания ждут размещённого
+  пула — по состоянию это выглядит настроенным. Владельцу называют выполненное задание с его
+  номером, а не строку состояния.
+- **Вход в реестр образов из агента, запущенного службой, отказывает молча.** Служба идёт без
+  сеанса пользователя, а клиент реестра уходит в системный помощник хранения ключей и получает
+  отказ во взаимодействии — задание падает до сборки. Свой каталог настроек с пустым помощником
+  не спасает: клиент переписывает пустое значение обратно сам. Готовые команды — паттерн
+  `git-workflow-docker`.
 - **Новое рабочее дерево получает только то, что лежит в индексе.** `git worktree add`
   разворачивает коммит, а настройки, ключи, локальные разрешения и зависимости в коммит не
   входят: свежее дерево выглядит готовым и упирается в нехватку не сразу, а на первом гарде,

package/assets/rules/git-workflow.github.md

@@ -2,7 +2,7 @@
 name: git-workflow
 kind: rule
 law: delivery
-description: Правило под «Закон о поставке» для дерева на GitHub. Брать на заведение задачи, ветки, коммит, пуш, создание PR, мерж, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет задачу на борде как начало работы, колонку задачи как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration и git-workflow-restart.
+description: Правило под «Закон о поставке» для дерева на GitHub. Брать на заведение задачи, ветки, коммит, пуш, создание PR, мерж, а также на правку схемы хранилища, её миграций и вызовы миграций. Называет задачу на борде как начало работы, колонку задачи как ход работы, соответствие задачи и ветки один к одному, имя ветки, формат коммита, учётную запись машинной работы, обязательный состав PR, гарды поставки и сверку очереди работ. Готовый код — в паттернах git-workflow-commit, git-workflow-merge, git-workflow-migration, git-workflow-restart, git-workflow-docker и git-workflow-secrets.
 ---
 
 # Поставка — как это устроено здесь
@@ -73,6 +73,11 @@ description: Правило под «Закон о поставке» для д
 - **Задачи, чинящиеся одной правкой, сливаются до мержа.** Вторая стирается вместе с номером,
   а недостающее из неё дописывается в первую. После мержа слить уже нельзя: ветка въехала, и
   откатывается она целиком.
+- **Работа, которую одним заходом не закрыть, помечена в двух местах, и они сверяются.** Метка
+  на борде и строка о заходах с передачей в линии работ говорят одно и то же двум читателям:
+  исполнитель открывает карточку раньше, чем линию, а планирует по линии. Одна пометка без
+  другой лжёт молча, поэтому сверка очереди судит пару в обе стороны. Помечается только то, что
+  законно не делится: пометка объёма правом делить не становится.
 - **Мерж в главную ветку выкатывает прод.** Исключения по путям покрывают только документы,
   поэтому переменные окружения, секреты и записи имён ставятся до мержа, а не после.
 - **Признак режима объявлен в образе, а не только в составе прода.** Значение, заданное
@@ -81,6 +86,26 @@ description: Правило под «Закон о поставке» для д
   умолчаниями, которые он разрешает. Умолчание образа задаётся в самом образе.
 - **Образы выкатываются по sha коммита, а не по метке «последний».** Метка в реестре отстаёт
   от главной ветки, и прод молча возвращается к прежней версии, продолжая отвечать.
+- **Выкатка убирает за собой старые образы, оставляя три последних sha.** Помеченный sha образ
+  висячим не бывает никогда, и чистка висячего его не касается: за полгода они съедают диск
+  сервера целиком. Три sha — это глубина отката, и меньше брать нельзя: поломка, замеченная
+  через две выкатки, откатывается уже некуда.
+- **Описание прода правится вместе с составом прода.** Устройство, путь запроса, гейты и
+  бэкапы описаны текстами вне слоёв правил, и ни линтер, ни сборка их не читают: расхождение
+  копится молча, а читают эти тексты как действующие. Пару стережёт гард документов.
+- **Правка конвейера прогоняется до мержа ручным запуском.** `workflow_dispatch` у выкатки
+  запускает её на любой ветке, а сама выкатка прибита условием к главной: прогон ради проверки
+  доходит до сборок и там кончается. Триггер регистрируется по главной ветке, поэтому правку,
+  которая его заводит или переносит, ручной запуск не покрывает. Прогон команд задания на своей
+  машине не покрывает её тоже: он проверяет команды, а не файл конвейера, — верность самого
+  файла читается только по списку прогонов после пуша.
+- **Отчёт проверяется до мержа тем же конвейером, что и главная ветка.** Проверки и сборки
+  образов идут на событии `pull_request`, выкатка — нет: её держит условие по главной ветке у
+  своего задания, а образ отчёта в реестр не уезжает.
+- **Расхождение прода с главной веткой видно сверкой очереди работ.** Задача уходит из очереди
+  мержем, но мерж — ещё не прод: отказавшая выкатка не трогает ни задачу, ни её колонку, и
+  заметить её неоткуда. Сверка спрашивает последний прогон главной ветки и судит только
+  завершённый: идущий ещё может кончиться выкаткой.
 - **Цепочка миграций прогоняется с пустого хранилища до мержа.** Порядок применения
   лексикографический по имени каталога, а метку времени ставит момент создания: миграция из
   ветки, начатой раньше, встаёт перед той, от которой зависит.
@@ -90,6 +115,24 @@ description: Правило под «Закон о поставке» для д
   заголовок читается списком, а свободный текст — только целиком.
 - **Перед пушем прогоняются все линтеры, а не один.** Линтер кода обычно не читает файлы
   стилей вовсе, и правила оформления без второго прогона не проверяет ничто.
+- **Сборка входит в набор наравне с линтом и юнитами.** Линтер типов не читает, а юниты читают
+  только то, что импортировано тестом: ошибка типов в непокрытом коде доживает до сборки
+  образа, то есть до мержа. Четыре мержа подряд так и уехали в главную ветку, ломая выкатку.
+- **Набор гейта пуша не бывает уже набора конвейера.** Гейт — обещание, что пуш не приедет
+  красным; набор, из которого выкинуты сборка и снимки, обещает то, чего не проверяет. Шаг
+  конвейера, которому в наборе гейта нет ни строки, ни объявленного исключения с причиной,
+  отбивает пуш, а не печатается рядом с ним: напечатанное предупреждение исполнитель читает как
+  разрешение. Дважды подряд правка, прошедшая гейт целиком, была отбита конвейером — и оба раза
+  зелёный гейт был прочитан как «локально всё зелено».
+- **После вливания главной ветки набор проверок пересматривается по тому, что ветка везёт
+  теперь.** Вливание меняет состав правки: проверять по тому, что правил автор, — значит
+  проверять половину, а отвечает ветка целиком. Ветка, не тронувшая ни строки показа, прогоняет
+  снимки витрин с того момента, как вливание принесло чужую правку оформления.
+- **Утверждение о главной ветке делается по удалённой ссылке, а не по локальной.** Локальная
+  протухает в ту минуту, когда её подтянули в последний раз, и молчит об этом: она не пуста и не
+  сломана, она описывает вчерашний день. Сравнение веток пишется от `origin/main` целиком —
+  смешав в одной команде удалённую ссылку для одной стороны и локальную для другой, промах
+  изнутри выглядит правильным.
 - **Автор PR не может быть его ревьювером.** Запрос разбора на самого себя GitHub принимает и
   молча не создаёт — разбор при этом выглядит запрошенным.
 - **Метки, исполнитель и ревьювер PR ставятся вызовами `gh api`, а не `gh pr edit`.** На
@@ -131,6 +174,8 @@ description: Правило под «Закон о поставке» для д
 - `git-workflow-merge` — главная ветка влита в ветку задачи, конфликт разобран.
 - `git-workflow-migration` — правка схемы хранилища и её миграций.
 - `git-workflow-restart` — ручной перезапуск прода.
+- `git-workflow-docker` — образы на своей машине: демон, реестр, сборка под платформу сервера.
+- `git-workflow-secrets` — ключи внешних служб: где лежат, как заводятся, что говорит их состояние.
 
 ## Ловушки
 
@@ -154,6 +199,27 @@ description: Правило под «Закон о поставке» для д
   записи, на следующий вызов это не переносится: PR открывают токеном учётной записи машинной
   работы, и от того, чьей записью он открыт, зависит, кого можно назначить ревьювером. Однажды
   смена записи ради пуша утекла в публикацию — отчёт вышел от владельца.
+- **Невалидный файл конвейера виден прогоном нулевой длительности сразу после пуша.** GitHub
+  заводит такой прогон и на ветке, на которую ни один триггер не подписан: в списке он стоит
+  отказом, а внутри у него нет ни задания, ни лога — читается только длительность. Поэтому
+  список прогонов ветки смотрится тем же движением, что и пуш — `gh run list --branch <ветка>`.
+  Один такой отказ простоял в списке до мержа, и на него никто не посмотрел: выкатка после
+  мержа отказала ровно тем же.
+- **Контекст `runner` в `env` задания отбивает весь файл конвейера.** Там доступны только
+  `github`, `needs`, `strategy`, `matrix`, `vars`, `secrets` и `inputs`; `runner` появляется на
+  уровне шага, где то же значение приходит переменной окружения. Такой файл не принимается
+  вовсе: прогон кончается за ноль секунд, не начав ни одного задания. Разбор YAML этого не
+  ловит — синтаксис верный, а доступность контекстов синтаксисом не является.
+- **`online` у раннера на своей машине означает запущенный процесс, а не работающий
+  конвейер.** Две стороны сходятся отдельно: `runs-on` у заданий и метки самого раннера. Пока
+  пересечения нет, раннер стоит `online` и не берёт ничего, а задания уходят в облако — по
+  состоянию это выглядит настроенным. Владельцу называют выполненное задание с его номером, а
+  не строку состояния.
+- **Вход в реестр образов из раннера, запущенного службой, отказывает молча.** Служба идёт без
+  сеанса пользователя, а клиент реестра уходит в системный помощник хранения ключей и получает
+  отказ во взаимодействии — задание падает до сборки. Свой каталог настроек с пустым помощником
+  не спасает: клиент переписывает пустое значение обратно сам. Готовые команды — паттерн
+  `git-workflow-docker`.
 - **Новое рабочее дерево получает только то, что лежит в индексе.** `git worktree add`
   разворачивает коммит, а настройки, ключи, локальные разрешения и зависимости в коммит не
   входят: свежее дерево выглядит готовым и упирается в нехватку не сразу, а на первом гарде,