@vernikr/size-report 1.1.1 → 1.3.0

package/README.md

@@ -10,8 +10,11 @@
 
 ## Статус
 
-**Выпуск 1.1.1 (2026-09-15).** Инструмент живёт отдельным пакетом: имя в
-реестре — `@vernikr/size-report` (выпуск переименования, числа не изменились).
+**Выпуск 1.3.0 (2026-09-15).** Инструмент живёт отдельным пакетом: имя в
+реестре — `@vernikr/size-report` (публикуется тегом из CI, без секрета). Настроек
+проект может не заводить вовсе: без файла инструмент выводит их из самого проекта и
+говорит об этом строкой, а `--init` закрепляет выведенное файлом (чем этот шаг
+отличается от прежнего — `CHANGELOG.md` 1.3.0).
 Версия — в манифесте, а у выпуска есть `CHANGELOG.md` с разделом «Что изменится
 в числах»:
 таблица чисел в нём не пересказ, а замер на фикстуре, который сверяется с живым
@@ -79,12 +82,17 @@
 дальше он не упоминается без имени проекта.
 **Пункт R-1.2 волны 1** (`REFACTOR.md`): в пакете есть линтер — правила те же, что у
 проекта-потребителя, плюс запрет склейки операторов в одну строку; всё настоящее
-дерево (37 файлов) даёт ноль замечаний, `fixtures/` не линтуются — там данные.
+дерево (102 файла) даёт ноль замечаний, `fixtures/` не линтуются — там данные.
 
 **Пункты R-1.1 и R-2.1 волн 1–2** (`REFACTOR.md`): вычислительная часть отчёта одна
 (`src/derived.js`) — страница исполняет тот же код, что считает статическую таблицу,
-и разметку для неё строит обычный исходник `src/page/app.js`, а не строка внутри
+и разметку для неё строят обычные исходники (`src/page/*.js`), а не строки внутри
 движка; артефакт и разметка страницы при этом совпали со старым выводом побайтово.
+Главы программы страницы разделены по предметам — состояние выбора, узлы, панель,
+таблица, сборка (`WORKLOG.md` §62): вклейка склеивает их подряд, поэтому собранная
+страница осталась той же побайтово, а у глав одна область видимости — это записано
+в `eslint.config.js`, потому что `import` между зовущими друг друга главами завёл
+бы кольцо связей.
 
 **Отчёт собирается и в проекте с модулями в `.js`** (`REFACTOR.md` R-4.6): гард
 стриппера понимает обе формы — скрипт и модуль, — поэтому подключение не требует
@@ -100,7 +108,7 @@
 есть в дереве, таблица файлов сходится с ним в обе стороны),
 `test/docs-commands.test.js` (команды и ключи есть в справке, причины отказа
 совпадают с реестром движка, ссылки на разделы ведут в существующие),
-`test/docs-numbers.test.js` (числа проверок и целей — факт) и
+`test/docs-numbers.test.js` (числа проверок — факт) и
 `test/docs-pin.test.js` (пример установки ведёт на ревизию, чья справка знает
 названные команды), а с выпуском добавился пятый — `test/changelog.test.js`
 (версия выпуска — версия манифеста, а таблица «что изменится в числах» — не
@@ -176,8 +184,7 @@
 86 мс на каждую клетку, плюс разбор опирается на экспериментальный API (без него
 гард отступает к прежнему `node --check` — медленнее, но не мягче).
 Прогон подешевел втрое: `pnpm test` 15,7 → **5,6 с** (тогда в наборе было 39
-проверок), `pnpm run parity:live` 23,8 → **8,3 с**. Бюджет времени переснят с
-запасом на следующую проверку, а не под сегодняшнее число: набор стоит
+проверок), `pnpm run parity:live` 23,8 → **8,3 с**. Набор стоит
 **23,4–29,9 с** при 124 проверках — в зависимости от загрузки машины: окна с
 загрузкой 18–70 несравнимы (в спокойном — 23,4–24,2 с, в занятых — 26,6–29,9 с;
 в среде без настроек git — 27,4 с, с `CI=1` — 29,9 с), и это свойство окна, а не
@@ -193,41 +200,38 @@
 прибавило** — 23,2 с и до него, и после: обе новые проверки измерены отдельным
 прогоном, а не выведены из разброса. Из общего времени **+8,5 с** — десять проверок хука
 (`test/hook.test.js`: сам он идёт 17,9–18,5 с и становится самым долгим файлом
-набора, а та же ревизия без него — 15,8–16,6 с при 107 проверках). Цель не
-двигалась, и это решение, а не пропуск: цель тогда была одна — полный набор
-**≤ 28 с** (запас 2,3 с) — измеренное в неё укладывается, а поднимают цель по делу и с измерением,
-а не под занятую машину: интеграционные
+набора, а та же ревизия без него — 15,8–16,6 с при 107 проверках). Интеграционные
 прогоны (клон, коммиты, слияние, отказы) дешевле не сделать, не ослабив проверку.
-`pnpm run parity:live` **≤ 15 с** (9,3 с в обеих средах). Замеры, машина и разброс —
+`pnpm run parity:live` — 9,3 с в обеих средах. Замеры, машина и разброс —
 `REFACTOR.md` §5.
 
-**Прогонов два, и у каждого своя цель** (`REFACTOR.md` R-5.5). Цена проверки в этом
-наборе — не объём файла, а сколько раз файл запускает инструмент и git: запуск — это
-процесс Node, а клон фикстуры и сборка артефакта — сотни миллисекунд. Поэтому
-быстрый прогон собирает то, что доказывает по прочитанному (исходники, дерево,
-справка, эталонные числа на общей фикстуре), а полный добавляет то, что гоняет
-инструмент по многу раз на своих клонах, коммитит и ставит хуки; причина для каждого
-дорогого файла названа построчно в `tools/suites.js`, там же снимок стоимостей
-(перемерить — `pnpm run suites:measure`).
-
-| Прогон | Команда | Проверок | Цель |
-|---|---|---|---|
-| Быстрый — каждая правка | `pnpm test` | **57 из 131** | **≤ 10 с** |
-| Полный — выкладка и CI | `pnpm test:all` | **131** | **≤ 32 с** |
-
-Ни одна проверка не потеряна и не ослаблена: полный прогон запускает все 132 теми же
+**Прогонов два, и выбор между ними — по цене файла, а не по алфавиту**
+(`REFACTOR.md` R-5.5). Цена проверки в этом наборе — не объём файла, а сколько раз
+файл запускает инструмент и git: запуск — это процесс Node, а клон фикстуры и сборка
+артефакта — сотни миллисекунд. Поэтому быстрый прогон собирает то, что доказывает по
+прочитанному (исходники, дерево, справка, эталонные числа на общей фикстуре), а
+полный добавляет то, что гоняет инструмент по многу раз на своих клонах, коммитит и
+ставит хуки; причина для каждого дорогого файла названа построчно в
+`tools/suites.js`.
+
+| Прогон | Команда | Проверок |
+|---|---|---|
+| Быстрый — каждая правка | `pnpm test` | **65 из 167** |
+| Полный — выкладка и CI | `pnpm test:all` | **167** |
+
+Ни одна проверка не потеряна и не ослаблена: полный прогон запускает все 167 теми же
 файлами, а быстрый берёт их часть. Умолчание — полный: файл становится быстрым только
 явно и с причиной, поэтому новое дорогое не может тихо уехать в быстрый. Стерегут это
-двое, и по-разному: `test/suites.test.js` — объявление (полнота классификации,
-причины, потолок стоимости быстрого файла), а сам прогон (`tools/run-tests.js`) —
-замер: он печатает стоимость каждого файла своим запуском, складывает числа проверок
-и валится, если вышел за цель вдвое. Снимок стоимости проверяется только замером,
-и это его законное место: подделанная стоимость у быстрого файла объявление проходит,
-а прогон её ловит. Цель при этом не порог: занятое окно растягивает прогон, и
-прогон, не уложившийся в цель, говорит это словами («ЦЕЛЬ НЕ ДОСТИГНУТА»), а не
-показывает зелёную галку при 29 с. CI зовёт полный прогон дважды — обычной средой и
-без настроек машины. Числа и цели в этой таблице сверяются сторожем документации
-(`test/docs-numbers.test.js`), а не живут второй копией без присмотра.
+объявление `test/suites.test.js` (полнота классификации и причина у каждого файла) и
+сторож документации `test/docs-numbers.test.js` (числа в таблице выше).
+
+**Целей по времени у прогонов нет, и это решение, а не пропуск.** Секунды зависят от
+окна — машина бывает под очень разной нагрузкой, — поэтому ни набор, ни CI за время
+не валятся, и документ секунд не обещает: `pnpm run suites:measure` печатает
+длительность каждого файла отдельным прогоном (и сам прогон печатает её рядом с
+галочкой), но это измерение, а не порог. Разделение держится признаком файла — чем он
+занят, а не сколько идёт. CI зовёт полный прогон дважды: обычной средой и без настроек
+машины (`GIT_CONFIG_GLOBAL=/dev/null`).
 
 **Обещанное пакетом сведено к факту.** Список поставки называл четыре пути,
 которых в репозитории нет (`dist/`, `templates/`, `CHANGELOG.md`, `LICENSE`):
@@ -242,14 +246,45 @@ fixture`) и больше не зависит ни от того, держит
 пакета `npx size-table --write`).
 
 **Проверки идут сами (шаг 6 плана, `.github/workflows/ci.yml`).** На каждый пуш и
-на каждый запрос правки один job проходит семь шагов теми же командами, что и у
-себя локально: строгий линтер, набор проверок, тот же набор в среде, где настроек
-машины нет вовсе (`GIT_CONFIG_GLOBAL=/dev/null`), работу из собранного тарболла,
-сверку с историей проекта-потребителя и воспроизводимость обоих эталонов.
+на каждый запрос правки один job `verify` зовёт **одну команду** — `pnpm run verify`;
+список шагов живёт в одном месте (`tools/gates/run.js`) и совпадает с локальным,
+поэтому проверки, которой нет в профиле, в CI быть не может (это стережёт
+`test/gates-verify.test.js`). В профиле: строгий линтер, датчики раздувания,
+набор проверок, тот же набор в среде, где настроек машины нет вовсе
+(`GIT_CONFIG_GLOBAL=/dev/null`), работу из собранного тарболла, сверку с историей
+проекта-потребителя и воспроизводимость обоих эталонов. Покрытие под c8 дороже
+(полный набор под ним) и живёт в slow-профиле — `pnpm run verify:slow`,
+`.github/workflows/verify-slow.yml` по расписанию.
 Секретов job не требует: история потребителя лежит в репозитории бандлом на той
 же ревизии, что записана в эталоне (`fixtures/live/`), а пересъём идёт во временный
 каталог и сверяется с закоммиченным — рабочее дерево остаётся чистым. Матрицы по
-версиям Node и публикаций нет намеренно: этот проход про контроль.
+версиям Node нет намеренно: этот проход про контроль.
+
+**Выпуск — это тег (`.github/workflows/release.yml`).** `git push origin v1.2.3`
+прогоняет тот же полный набор, сверяет версию манифеста с тегом, проверяет работу
+из собранного пакета и отправляет его в реестр — без секрета и без кода из
+аутентификатора: публикация идёт по удостоверению GitHub Actions (trusted
+publishing), которое npm принимает вместо токена. Издатель заведён один раз и живёт
+на стороне npmjs.com, а не в репозитории: `npm trust github @vernikr/size-report
+--file release.yml --repo vernikr/size-report --allow-publish` (то же самое — кнопка
+Trusted Publisher в настройках пакета), права **publish** и stage publish; проверить,
+что связь есть, — `npm trust list @vernikr/size-report`. Выпуск `1.2.0` прошёл именно
+так: `v1.2.0` → 44 с, `+ @vernikr/size-report@1.2.0`, удостоверение подписано и
+записано в журнал прозрачности.
+
+Одна ловушка раннера стоила отдельной правки, и она не про этот пакет, а про
+`setup-node`: с `registry-url` действие пишет в `.npmrc` строку
+`_authToken=${NODE_AUTH_TOKEN}`, npm считает учётные данные заданными и за
+удостоверением OIDC **не идёт** — публикация падает 404 при верно заведённом
+издателе. Поэтому `registry-url` здесь не указан (реестр и так по умолчанию тот же, а
+явный адрес живёт в `publishConfig`), и это стережёт `test/release.test.js`. Черновой
+прогон из Actions («Run workflow»: по умолчанию он ничего не публикует) проходит весь
+список до самого пути публикации: гоняет полный набор, проверяет работу из тарболла и
+собирает пакет на черновой версии (`1.2.0` → `1.2.1-draft.0`, чтобы реестр не отказал
+в уже выпущенном номере). Настроен ли издатель, черновой прогон не показывает:
+`--dry-run` не обменивается удостоверением и проходит вообще без учётных данных
+(проверено в пустом каталоге: код 0 без токена) — правду об этом даёт только настоящий
+тег, и он её дал.
 
 Первым же прогоном CI окупился: шаг живого паритета упал не на расхождении чисел,
 а на самой проверке — вывод процессов собирался как строка, и многобайтовый символ,
@@ -347,8 +382,8 @@ deльт задан один раз и по артефакту: рост зел
 `src/metrics.js`), поэтому разойтись не могут. Минификатора нет (установка без необязательных
 зависимостей, платформа без него) — метрика отступает к упрощению, способ говорит
 об этом словами, а прогон отдаёт **код 4**, а не молчание: числа при этом те же, что
-у прежнего способа, — побайтово со эталоном. Черновик `--init` ведёт новые проекты
-сразу на сжатие; цена названа прямо в его подсказке. Файл, который минификатор не
+у прежнего способа, — побайтово со эталоном. Выведенный профиль ведёт новые проекты
+сразу на сжатие (и `--init` закрепляет то же самое); цена названа прямо в его подсказке. Файл, который минификатор не
 разобрал (разметка в `.js`, чужой синтаксис), — отказ кодом 2 с причиной от него
 самого и двумя готовыми выходами.
 
@@ -382,13 +417,13 @@ deльт задан один раз и по артефакту: рост зел
 живой истории (95 строк × 27 колонок, 1,23 МБ текста) тот же отчёт идёт
 **1,55 → 6,35 с** — умножается именно сбор истории, а не таблица: токенов в
 «сейчас» — **303 705**, то есть 4,05 Б на токен. Отсюда и цена набора проверок:
-**7,3–7,9 → 10,4 с** при 66 → 73 проверках (запас и новый бюджет — ниже). Черновик
-`--init` ведёт новые проекты сразу на токены.
+**7,3–7,9 → 10,4 с** при 66 → 73 проверках (запас и новый бюджет — ниже). Выведенный
+профиль ведёт новые проекты сразу на токены.
 
 **Волна 0 чистки пройдена** (`REFACTOR.md`): у отказов командной строки появились
 коды выхода и справка вместо стека, `--help` отвечает, `--page` и `--write`
 создают недостающий каталог, подсказка в отказе ведёт к работающей команде, а
-черновик `--init` больше не предлагает колонкой саму таблицу — иначе первая же
+вывод настроек больше не предлагает колонкой саму таблицу — иначе первая же
 проверка настроек его отвергала.
 
 **Появились две команды: полнота и объяснение** (шаг 5 плана). `size check`
@@ -437,10 +472,25 @@ deльт задан один раз и по артефакту: рост зел
 | `CHANGELOG.md` | История выпусков и, у каждого выпуска, раздел «Что изменится в числах»: у кого числа поедут и почему |
 | `tools/parity-freeze.js` | Снимает эталон паритета (`pnpm run parity`): замороженной копией, на ревизии проекта из манифеста — `--json`, конфиг, хеш артефакта, хеш инструмента |
 | `tools/make-fixture.js` | Собирает синтетическую фикстуру (`pnpm run fixture`): детерминированную историю с ловушками плюс эталонные числа |
+| `tools/synthetic/` | Сюжеты той сборки по предметам: `repo.js` — как говорим с git (закреплённые время, автор, настройки), `content.js` — что лежит в файлах, `history.js` — какие коммиты из этого получаются, `note.js` — записка к фикстуре со списком ловушек |
 | `tools/parity-live.js` | Сверяет движок с живым проектом на клоне: числа и артефакт (`pnpm run parity:live`) |
 | `tools/pack-check.js` | Собирает тарболл и проверяет, что из него всё работает: все исходники доехали, числа, артефакт и страница — как из репозитория (`pnpm run pack:check`) |
 | `tools/check-standards.js` | Проверяет, что оба эталона воспроизводятся: пересъём идёт в никуда и сверяется с закоммиченным (наши файлы — побайтово, бандл — по содержимому) и что бандл живой истории несёт `HEAD` (`pnpm run check:standards`) |
-| `.github/workflows/ci.yml` | CI: семь шагов на каждый пуш и запрос правки — те же команды, что локально, без секретов и матриц |
+| `.github/workflows/ci.yml` | CI: работа `verify` на каждый пуш и запрос правки зовёт `pnpm run verify` — тот же профиль, что локально; действия закреплены по SHA коммита |
+| `.github/workflows/verify-slow.yml` | Slow-профиль по расписанию: то же плюс покрытие под c8 — дорогое не в каждом прогоне |
+| `tools/gates/run.js` | Профили проверок — единственный список шагов: `fast` (каждая правка), `full` (перед отправкой и в CI), `slow` (+ покрытие); `--list` печатает команды |
+| `tools/gates/metrics.js` | Датчик раздувания: правила размера и сложности, вес проверок, пометки долга — с храповиком подавлений ESLint (`.eslint-suppressions.json`) |
+| `tools/gates/dup.js` | Датчик дублей: отпечатки клонов по содержимому (`dup-baseline.json`), взгляд против файла базы и против дерева `origin/main` |
+| `tools/gates/deps.js` | Датчик связей: циклы, сироты, направление слоёв и неразрешимые импорты (`dependency-cruiser`) |
+| `tools/gates/coverage.js` | Датчик покрытия: храповик по файлам против `coverage-baseline.json`, а не процент по репозиторию |
+| `tools/gates/gatefiles.js` | Защита гейт-файлов: правка порогов, баз и обвязки без трейлера `Gate-Change:` — красный (хук `commit-msg` и CI по диапазону) |
+| `tools/gates/common.js`, `tools/gate-probe.js` | Общее у датчиков (корень, разбор ключей, отчёты) и обвязка их проб: датчик зовётся командой, а не импортом |
+| `.githooks/commit-msg`, `.githooks/pre-commit`, `.githooks/pre-push` | Хуки: защита гейт-файлов, быстрый профиль на правку и перед отправкой; ставятся `pnpm run hooks:install` (свой менеджер хуков не заводится) |
+| `eslint.metrics.config.js`, `.eslint-suppressions.json` | Правила датчика раздувания и его база: пороги из замеров, всё, что выше, — в базе и разбирается постепенно |
+| `.jscpd.json`, `dup-baseline.json` | Настройки и база датчика дублей: отпечаток считается по содержимому клона, поэтому база переносима |
+| `.dependency-cruiser.cjs`, `.c8rc.json`, `coverage-baseline.json` | Правила графа связей, настройки снятия покрытия и его база по файлам |
+| `AGENTS.md` | Короткая инструкция агенту репозитория: что запускать, что делать при красном, что нельзя менять |
+| `.github/workflows/release.yml` | Выпуск по тегу: тот же полный набор, сверка версии манифеста с тегом и публикация в реестр по удостоверению GitHub Actions — без секрета и без кода из аутентификатора |
 | `templates/` | То, что проект берёт как есть: `size-report.config.json` (черновик настроек), `ci.yml` (описание проверки) и `README.md` (куда что кладётся и что в них менять); едут в поставке и стерегутся `pack:check` и `test/templates.test.js` |
 | `fixtures/parity/` | Эталон с `safe-resets` на коммите `bd6ef9d`: 95 строк × 27 колонок. Копия реализации, которой он снят, в дереве не лежит — её байты живут в истории и берутся оттуда по требованию (`REFACTOR.md` R-1.5) |
 | `fixtures/synthetic/` | Бандл фикстуры на 16 коммитов, её конфиг, эталонные числа и хеш артефакта |
@@ -454,10 +504,17 @@ deльт задан один раз и по артефакту: рост зел
 | `src/table.css` | Общая часть таблицы: геометрия клеток, липкие шапка и колонка, цвет дельт — одна на артефакт и страницу |
 | `src/artifact.css` | Оформление статического артефакта сверх общей части |
 | `src/page/app.css` | Оформление страницы сверх общей части: панель с деревом файлов, состояния пустоты, узкое окно |
-| `src/page/app.js` | Программа страницы: дерево файлов, разметка, состояние галочек, память выбора и ссылка; вклеивается в собранную страницу |
+| `src/page/state.js` | Состояние страницы: данные отчёта, вид галочек, паспорт записи, память браузера и обмен ссылкой — глава программы страницы |
+| `src/page/dom.js` | Узлы страницы: мелкие помощники разметки (`appEl`, `appBox`) — одни на панель и таблицу |
+| `src/page/panel.js` | Панель выбора: галочки метрик и файлов, категории, дерево путей, легенда; перерисовку просит у главы сборки |
+| `src/page/table.js` | Таблица страницы: клетка, подпись коммита, шапка и состояния пустоты — разметка поверх общего расчёта |
+| `src/page/app.js` | Сборка и запуск страницы: таблица целиком, перерисовка по выбору читателя, первая отрисовка и смена якоря; вклеивается в собранную страницу
 | `src/page/build.js` | Сборка страницы: данные, оформление и программа в одном файле без внешних ссылок |
 | `src/git.js` | Единственная граница вызова git: закрепления настроек, блобы пачкой, история, сверка с диском |
-| `src/strip.js` | Снятие балласта: стрипперы комментариев и отступов и правила, какая форма к какому файлу, гард компиляции |
+| `src/strip.js` | Снятие балласта: какая форма к какому файлу (расширение, стратегия) и что считать точным числом — вход разбора форм |
+| `src/strip/js.js` | Снятие комментариев и отступов в JS: проход по случаям (комментарий, регексп, строка, символ) — строки и шаблоны насквозь |
+| `src/strip/forms.js` | Формы текста со своим снятием балласта: разметка, стили, строки файла и JSON |
+| `src/strip/guard.js` | Гард стриппера: снятое обязано компилироваться — скриптом в процессе или модулем в рабочем потоке |
 | `src/parse.js` | Разбор модуля: рабочий поток на прогон и отступление к `node --check`, способ разбора последнего модуля |
 | `src/parse-worker.js` | Сам разбор внутри потока: разбирает текст без исполнения, сообщает, что модулей vm в Node нет |
 | `src/metrics.js` | Реестр метрик: что измеряется, нужен ли текст и насколько честна цифра; описание метрики для читателя — в одном месте |
@@ -474,14 +531,20 @@ deльт задан один раз и по артефакту: рост зел
 | `src/data.js` | Категории файлов и контракт со страницей (`--data`) |
 | `src/render.js` | Статический артефакт: клетки, таблица, примечание (стили — в `src/css.js`) |
 | `src/config.js` | Настройки проекта-потребителя: умолчания, чтение, проверка |
+| `src/project.js` | Настройки, выведенные из самого проекта (дерево и история): колонки, журнал, исключения. Без файла настроек он и есть настройки; `--init` закрепляет его файлом |
 | `src/locales.js`, `src/refusal.js`, `src/tool.js` | Тексты отчёта; коды выхода и справка; имя и версия пакета |
-| `src/cli.js` | Режимы командной строки и разбор ключей; главный файл пакета |
+| `src/cli.js` | Вход инструмента: разбор строки, чтение проекта и доставка запроса режиму; главный файл пакета |
+| `src/args.js` | Грамматика командной строки: режимы, ключи и команды плюс проверки их сочетаний — отказ называет виновника и готовую команду |
+| `src/modes.js` | Режимы: собрать таблицу, сверить её с историей, отдать данные или страницу, полноту покрытия и диагностику |
+| `src/init.js` | Закрепление настроек файлом (`--init`): то, что проект вывел о себе сам, ложится файлом — и проходит ту же проверку, что первый запуск |
 | `test/api.test.js` | Публичный API пакета: список имён заморожен, разбиение не имеет права его менять |
 | `eslint.config.js` | Правила оформления: те же, что у проекта-потребителя, плюс запрет склейки операторов в строке (`pnpm run lint`, `pnpm run lint:strict`) |
 | `tools/harness.js` | Обвязка проверок: пути, клоны фикстуры (в том числе общий на набор и с CRLF), запуск инструмента, разбор отказов, хеши |
-| `tools/suites.js` | Разделение набора: какие файлы идут в быстрый прогон (с причиной и снимком стоимости), почему каждый дорогой — в полном, и цели обоих прогонов |
-| `tools/run-tests.js` | Прогон набора (`pnpm test`, `pnpm test:all`, `pnpm run suites:measure`): стоимость каждого файла своим замером, сверка числа проверок, граница бюджета |
+| `tools/page-harness.js` | Обвязка проверок контракта и страницы: данные контракта, собранная страница, чтение её в настоящем DOM, переключатели панели — одна на четыре набора |
+| `tools/suites.js` | Разделение набора: какие файлы идут в быстрый прогон (с причиной для каждого), почему каждый дорогой — в полном |
+| `tools/run-tests.js` | Прогон набора (`pnpm test`, `pnpm test:all`, `pnpm run suites:measure`): длительность каждого файла своим замером и сверка числа проверок |
 | `tools/docs-facts.js` | Чтение фактов из документации — один слой на четыре проверки сторожа: что документ называет (пути, зовы, адреса разделов) против того, что есть в репозитории |
+| `tools/yaml.js` | Разбор подмножества YAML — один разборщик на два сторожа описаний (`templates/ci.yml` и `.github/workflows/release.yml`): вне подмножества — ошибка, а не молча пропущенная строка, включая двоеточие с пробелом в незакавыченном значении (именно оно делало описание выпуска неразбираемым, пока проверка искала подстроки) |
 | `tools/refusals.js` | Каталог отказов: по строке на каждый — причина, код выхода, обязательные фразы вывода, **что отказ советует** (`advice`: `run` — команда, `template` — форма с подстановкой, `manual` — действие человека с причиной, `coveredBy` — отдан другой проверке), а для непроверяемого — почему; карты мест отказа (`SITES`, `PRINTED`) держат числа, чтобы новый отказ не появился молча, а маркеры совета — чтобы не появился молча новый совет |
 | `test/parity.test.js` | Паритет движка с эталоном: числа, артефакт, локаль |
 | `test/frozen.test.js` | Замороженная копия: та ли это ревизия, с которой снят эталон, и воспроизводит ли она его |
@@ -491,20 +554,26 @@ deльт задан один раз и по артефакту: рост зел
 | `test/cli.test.js`, `test/cli-paths.test.js` | Отказы командной строки: справка, настройки, коды выхода — и куда инструмент пишет |
 | `test/refusals.test.js` | Отказы исполняются: каждый вызван прогоном, сверены код выхода и обещанные фразы (свои клоны — для чужого хука, обрезанной истории и ветки мимо отчёта), и **совет выполняется** — команда даёт обещанный код, не падает стеком, а где объявлено «отказ ушёл», тот же зов после неё отвечает другим |
 | `test/refusals-catalog.test.js` | Сторож каталога отказов: у каждого места отказа в исходниках есть пункт, у каждого пункта — объявленный совет, а отказы, отданные другой проверке, ею в самом деле утверждаются (названные файл и строка проверяются) |
-| `test/contract.test.js` | Контракт данных и страница: числа против эталона, производные против чисел артефакта, дерево файлов против путей, память выбора и ссылка против перезахода, чужого отчёта и чужого адреса, пометки приближения против подписи метрики |
+| `test/contract-data.test.js` | Контракт данных: числа против эталона, состав полей против производных, пометки приближения против подписи метрики |
+| `test/contract-derived.test.js` | Производные против чисел артефакта: итоги строки, дельты клетки и дельта итога — на коде, который лежит в дереве |
+| `test/page-view.test.js` | Собранная страница: вклейка без копий расчёта, самодостаточность, дерево файлов, состояния пустоты, оформление и переключатели |
+| `test/page-choice.test.js` | Память выбора и обмен ссылкой: перезаход, чужой отчёт, чужая и битая запись, смена адреса на открытой странице |
 | `test/module.test.js` | Модуль в расширении `.js`: измеряется без правок настроек; гард стриппера жив (доказано мутацией) и не обвиняет невиновного |
 | `test/guard.test.js` | Разбор модуля: идёт потоком, оба пути дают один вердикт, отступление работает без файла потока, сотни разборов дешевле запуска |
 | `test/runner.test.js` | Чтение вывода процесса: куски склеиваются буферами, а не приклеиваются к строке — многобайтовый символ на границе кусков не превращается в два символа-заменителя |
 | `test/git-pins.test.js` | Сторож границы git: прямых вызовов git без общего списка закреплений нет, и незакреплённое чтение показывается свидетелем (путь кавычками) |
-| `test/docs-paths.test.js`, `test/docs-commands.test.js`, `test/docs-numbers.test.js`, `test/docs-pin.test.js` | Сторож документации, по файлу на обещание: пути и таблица файлов; зовы, причины отказа и адреса разделов; числа проверок и цели по времени; пин в примере установки |
+| `test/docs-paths.test.js`, `test/docs-commands.test.js`, `test/docs-numbers.test.js`, `test/docs-pin.test.js` | Сторож документации, по файлу на обещание: пути и таблица файлов; зовы, причины отказа и адреса разделов; числа проверок; пин в примере установки |
 | `test/changelog.test.js` | Сторож выпуска: версия в `CHANGELOG.md` — версия манифеста, а таблица «что изменится в числах» — это замер на фикстуре, сверенный с живым прогоном |
-| `test/suites.test.js` | Сторож разделения набора: полнота классификации (быстрый — явно, полный — с причиной), потолок стоимости быстрого файла, что быстрый прогон остаётся частью набора |
+| `test/release.test.js` | Сторож выпуска из CI: он начинается тегом, версия берётся из манифеста, секрета и одноразового кода не требует, prerelease не уезжает в `latest`, перед публикацией идёт полный набор — и подсказка на npmjs.com называет этот же файл |
+| `test/suites.test.js` | Сторож разделения набора: полнота классификации (быстрый — явно, полный — с причиной), причина у каждого файла, что быстрый прогон остаётся частью набора |
+| `test/gates-metrics.test.js`, `test/gates-dup.test.js`, `test/gates-deps.test.js`, `test/gates-coverage.test.js`, `test/gates-files.test.js` | Пробы датчиков: искусственное нарушение → датчик красный, снятие → снова зелёный; прогон зовёт датчик командой, а не импортом, поэтому доказывает и код возврата |
+| `test/gates-verify.test.js` | Сторож единственного списка: команды профиля против рабочих процессов, хуков и `templates/ci.yml` — проверки, которой нет в профиле, в CI быть не может |
 | `test/check.test.js` | Полнота и объяснение на настоящих коммитах фикстуры: непокрытый путь, «только отчёт», «число не сдвинулось», «мимо колонок», слияние — и что починка настроек не двигает числа |
 | `test/doctor.test.js` | Диагностика на пяти состояниях проекта: без настроек (2), полное покрытие (0), неполное (1), обрезанная история (3), нет датчика (4) — и блок покрытия равен ответу `size check`, а не считается вторым разом |
 | `test/hook.test.js` | Хуки на свежем клоне: ставятся только командой, дают отдельный коммит отчёта (в том числе после слияния), повторный запуск молчит, чужая работа и индекс не тронуты, в CI и при отказе инструмента ничего не делают, снятие возвращает проект к прежнему |
 | `test/templates.test.js` | Шаблоны: черновик настроек проходит проверку инструмента и собирает настоящий отчёт; описание проверки разбирается и зовёт только существующие команды и ключи |
 | `test/minify.test.js`, `test/tokens.test.js` | Настоящее сжатие и токены: числа против упрощения, кодировка как часть числа, честность подписи, работа без необязательной зависимости (код 4) и шов `SIZE_REPORT_NO_OPTIONAL` |
-| `package.json` | Манифест пакета: имя `@vernikr/size-report`, версия `1.1.1`, список поставки — только существующее |
+| `package.json` | Манифест пакета: имя `@vernikr/size-report`, версия `1.2.0`, список поставки — только существующее |
 
 Оба каталога эталонов снимаются заново теми же инструментами: `pnpm run parity` и
 `pnpm run fixture` дают те же файлы. Побайтово сверяется наше — конфиг, эталонные
@@ -536,7 +605,7 @@ JSX и TSX          выход зависит от настройки jsx сам
 уже собранных значениях (`data`, `render`, `page`), а настройки, тексты и отказ —
 по краям, потому что их знает любой и они не знают никого. Оба отчёта считаются на
 сборке: страница получает исходники общего расчёта и своей программы вклеенными
-(`src/derived.js`, `src/page/app.js`), потому что открывается она с диска, без
+(`src/derived.js`, `src/page/*.js`), потому что открывается она с диска, без
 сервера и без сети. Остальное — по шагам 2–6 (`PLAN.md` §5).
 
 ## Как подключить к своему проекту
@@ -555,16 +624,23 @@ JSX и TSX          выход зависит от настройки jsx сам
 ### 1. Установка
 
 ```bash
-pnpm add -D github:vernikr/size-report#v1.1.1
+pnpm add -D @vernikr/size-report
 ```
 
-`npm i -D` и `yarn add -D` принимают ту же ссылку. **В npm пакет не опубликован**,
-поэтому `pnpm add -D @vernikr/size-report` не сработает. Репозиторий публичный, и
-учётных данных установка не требует: `github:` pnpm разрешает в архив
-`codeload.github.com` и тянет его по HTTPS.
+Пакет **опубликован в реестре**, и публично: `npm view @vernikr/size-report
+version` отвечает `1.3.0`, `npm access get status @vernikr/size-report` — `public`,
+а анонимный запрос тарболла — код 200. `npm i -D` и `yarn add -D` принимают то же
+имя; ни ключа, ни ссылки на репозиторий не нужно.
+
+Тот же выпуск можно взять ссылкой на репозиторий — так установка не зависит от
+реестра, но остаётся привязанной к ревизии:
+
+```bash
+pnpm add -D github:vernikr/size-report#v1.3.0
+```
 
 Без сети (или если тянуть из codeload нечем) — тарболл: `pnpm pack` в клоне
-пакета, затем `pnpm add -D ./vernikr-size-report-1.1.1.tgz`.
+пакета, затем `pnpm add -D ./vernikr-size-report-1.3.0.tgz`.
 
 **Почему тег, а не sha.** Короткий sha pnpm разрешает только через видимые рефы, а
 `git ls-remote` отдаёт одни верхушки веток: пока ревизия — верхушка, короткий sha
@@ -572,7 +648,7 @@ pnpm add -D github:vernikr/size-report#v1.1.1
 <sha> to a commit`. Это не рассуждение, а проба: короткий пин `6530237` ставился,
 пока `main` стоял на нём, и перестал — на следующем же коммите, а тот же sha
 целиком поставился. Имя ветки (`#main`) или тег принимаются оба, но ветка —
-движущаяся цель, а тег постоянен: этот выпуск стоит на теге `v1.1.1`, он же и в
+движущаяся цель, а тег постоянен: этот выпуск стоит на теге `v1.3.0`, он же и в
 примере (сорок знаков тоже годятся, но их придётся брать глазами из истории).
 
 Ревизия в примере — не украшение, а часть утверждения: она закреплена за тем, что
@@ -591,27 +667,45 @@ pnpm add -D github:vernikr/size-report#v1.1.1
 GIT_SSH_COMMAND=false`): установка 3,4 с, дальше `size --write` и `size` работают
 (`WORKLOG.md` §44). Прежнее требование было ценой приватности: локально — ключ, а
 в CI — read-only deploy key перед `pnpm install` (то самое первое подключение,
-`WORKLOG.md` §18); шаг с ключом из шаблона ушёл вместе с приватностью. Что
-остаётся на потом — публикация в npm (`PLAN.md` §8.4), и там есть цена: имя
-`size-report` в npm занято чужим пакетом (2017 год, три версии), поэтому
-публикация — это имя в области владельца (`@vernikr/size-report`), а не выкладка
-под прежним именем; что затронуло переименование — `PLAN.md` §10.
+`WORKLOG.md` §18); шаг с ключом из шаблона ушёл вместе с приватностью. Публикация
+в npm сделана 2026-09-15, и у неё была цена: имя `size-report` в реестре занято чужим
+пакетом (2017 год, три версии), поэтому выкладка — это ещё и смена имени на имя в
+области владельца (`@vernikr/size-report`), а не только отправка архива; что
+затронуло переименование — `PLAN.md` §10, чем доказана выкладка — `WORKLOG.md` §53.
 
-### 2. Черновик настроек
+### 2. Настройки: их можно не заводить
 
 ```bash
-pnpm exec size --init      # создаёт size-table.config.json
+pnpm exec size --write     # таблица; настроек нет — их выведет сам инструмент
+pnpm exec size --init      # закрепить выведенное в size-table.config.json
 ```
 
-Черновик собирается по самому проекту: колонки — крупнейшие файлы каждого
-расширения, журнал — по знакомым именам (`WORKLOG.md`, `CHANGELOG.md`, …), вывод —
-в `docs/`, если он есть, `fixCommand` — под ваш менеджер пакетов. Он же печатает
-следующие три шага. Черновик ведёт метрику `min` на настоящее сжатие
-(`"minify": {"engine": "esbuild"}`) и сразу включает метрику `tok`
-(`"tokens": {"family": "openai", "encoding": "o200k_base"}`): и минификатор, и
-словарь едут необязательными зависимостями и ставятся обычной установкой, а без
-них инструмент работает и сам скажет об этом (код 4) — правки настроек не
-требуются.
+Начинать с настроек не нужно: без файла инструмент выводит их из проекта — колонками
+берёт крупнейшие файлы, по одному от каждого расширения (иначе отчёт состоял бы из
+одних крупных `.md`, и ни один `.js` не попал бы под настоящее сжатие), журналом —
+первый знакомый (`WORKLOG.md`, `CHANGELOG.md`, …), файлом отчёта — `docs/`, если
+каталог есть, командой починки — объявленный скрипт `sizes`, а без него — путь
+к установленному пакету (его цитируют подпись отчёта и отказы, поэтому он обязан
+работать уже сейчас), ссылкой на коммит — адрес `origin`, метриками — `raw`, `min`,
+`tok`. Метрика `min` считается настоящим сжатием (`"minify": {"engine": "esbuild"}`),
+а `tok` — словарём (`"tokens": {"family": "openai", "encoding": "o200k_base"}`): без
+этих необязательных зависимостей метрика честно отступает к другому счёту и прогон
+отдаёт код 4 — правки настроек и тут не требуются.
+
+Всё, что колонкой быть не может или в неё не поместилось (сам отчёт, замки
+зависимостей, карты, собранное), называется в `skip` — поэтому первый же `size check`
+полон, а не красен: «пути мимо колонок» появляются от новых правок, а не от того, что
+проект ещё не описан. О том, что настройки выведены, инструмент говорит строкой в
+stderr и называет команду, которая их закрепляет, — `--init`; закреплённое проходит
+ту же проверку, что любой файл настроек, и дальше его правят глазами (сам `--init`
+печатает, что закрепил, и что делать дальше — скрипты и проверку в CI). Без
+закрепления профиль выводится заново на каждом запуске: числа не «поедут», но
+повторить прежний замер — в том числе хуком и проверкой — можно только по файлу.
+
+Закрепляется **то же, чем проект работает без файла**: вывод из проекта поверх
+умолчаний. Поэтому в закреплённом файле видны и значения, которых в проекте никто не
+писал, — тогда смена умолчаний в новой версии пакета не поедет по уже настроенному
+проекту молча.
 
 > Subкоманды `size init` пока нет — CLI знает только флаги (`--init`, `--write`,
 > `--page`, `--data`, `--json`, без флага — проверка); полный список даёт `size --help`.
@@ -619,20 +713,21 @@ pnpm exec size --init      # создаёт size-table.config.json
 
 ### 3. Что правится в конфиге
 
-Черновик знает про проект только размеры файлов — какие колонки важны, знает
-человек. Чаще всего правят:
+Вывод знает про проект только то, что видно в дереве и истории, — какие колонки важны,
+знает человек. Чаще всего правят:
 
 | Ключ | Что это |
 |---|---|
-| `columns` | колонки таблицы: `{label, paths: [...]}`; пути в одной колонке складываются (например, `src` целиком), `label` — то, что увидит человек |
+| `columns` | колонки таблицы: `{label, paths: [...]}`; **колонка — это файл**: список путей — её переименования (в ревизии берётся тот путь, который в ней есть), а не несколько файлов разом; `label` — то, что увидит человек |
 | `metrics` | из чего состоит число: `raw` (размер объекта git), `min` (минифицированная форма — какая именно, решает `minify.engine`), `tok` (токены), `gzip` |
 | `tokens.family`, `tokens.encoding` | словарь для `tok`: семейство (`openai`) и кодировка (`o200k_base` или `cl100k_base`) — кодировка меняет число, поэтому она и в настройках, и в подписи метрики |
 | `minify.engine` | чем считается `min`: `strip` (комментарии и отступы, точность не обещается) или `esbuild` (настоящее сжатие; форматы без минификатора — упрощение, и это видно в подписи метрики) |
-| `output` | файл таблицы (по черновику — `docs/size-table.html`) |
+| `output` | файл таблицы (в выведенном профиле — `docs/size-table.html`, если каталог `docs/` есть, иначе в корне) |
 | `journal` | где искать разделы журнала, на которые ссылаются строки |
-| `links.commitUrl` | шаблон ссылки на коммит, например `https://github.com/org/repo/commit/{sha}` |
-| `skip` | пути, которые колонками быть не могут |
-| `fixCommand` | команда, которую цитирует подпись отчёта и подсказывает отказ; в черновике уже ваша |
+| `links.commitUrl` | шаблон ссылки на коммит, например `https://github.com/org/repo/commit/{sha}`; выводится из адреса `origin` у GitHub и GitLab (у остальных хозяев — пусто, а не догадка) |
+| `skip` | пути, которые колонкой не стали: и те, что ею быть не могут (сам отчёт, замки зависимостей), и те, что в колонки не поместились (выведенный профиль объявляет исключениями всё остальное — поэтому первый `check` полон) |
+| `fixCommand` | команда, которую цитирует подпись отчёта и подсказывает отказ; в выведенном профиле — ваш скрипт `sizes`, если он объявлен, иначе путь к установленному пакету внутри проекта (зов по имени пакета уходит в реестр — `REFACTOR.md` R-4.21) |
+| `locale`, `title`, `heading` | язык текстов отчёта и его заголовки; пустые `title`/`heading` значат «взять из локали» |
 | `minify.guard` | расширения, где результат стриппера проверяется разбором; модуль в `.js` гард понимает сам, трогать его не нужно |
 | `hooks.enabled` | выключатель хука автообновления (`false` — хук остаётся на месте, но молчит; убирается он только `size uninstall-hook`) |
 
@@ -710,9 +805,10 @@ pnpm exec size doctor     # 0 — делать нечего; иначе перв
 `.github/workflows/size-report.yml` без правок — сборка таблицы, сверка с файлом
 на диске, два снимка чисел (обычный и в среде без настроек git) и их сравнение.
 Секретов оно не требует. Для `npm`/`yarn` в самом файле сказано, какие две строки
-заменить. Рядом — `templates/size-report.config.json`, черновик настроек в дополнение
-к `pnpm exec size --init`: колонки в нём примерные (`README.md`, `package.json`),
-они есть почти в любом проекте, поэтому первый отчёт собирается сразу.
+заменить. Рядом — `templates/size-report.config.json`, образец настроек: колонки в нём
+примерные (`README.md`, `package.json`), они есть почти в любом проекте, поэтому
+первый отчёт собирается сразу. Нужен он, только если хочется начать с правленого
+файла: без файла настройки выводятся из проекта (`--init` закрепляет выведенное).
 
 Свой CI у пакета — `.github/workflows/ci.yml`: он гоняет у себя тот же список
 команд, что описан ниже, и его можно взять за образец для шага потребителя.
@@ -723,7 +819,7 @@ pnpm exec size doctor     # 0 — делать нечего; иначе перв
 | 1 | таблица разошлась с историей (или правка на диске не закоммичена); у `size check` — путь истории не отслеживается и не исключён | `pnpm run sizes` и закоммитить таблицу; для `check` — дописать путь колонкой или в `skip` |
 | 2 | что-то в вызове или в проекте — **командная строка** (незнакомый ключ, ключ без значения, повтор ключа, два режима сразу, лишнее слово, команда и режим, неизвестная команда, несовместимый ключ, нет ответа в JSON, два ответа сразу, нет коммита); **настройки и проект** (нет файла настроек, настройки не разобраны, настройки неверны, нет git, не git-репозиторий, конфиг уже есть); **история** (нет такого коммита, коммит назван неточно, коммит вне истории); **хук** (чужой хук, чужой core.hooksPath, нечем звать инструмент); **измерение** (файл не JavaScript, минификатор не разобрал) | текст отказа называет причину и готовую команду — и она выполнима: это сторожит `test/refusals.test.js` |
 | 3 | неполная история (clone с `--depth`) | полный клон: `git fetch --unshallow` |
-| 4 | нет датчика | `minify.engine: "esbuild"`, а минификатора нет: числа получены упрощением. Отчёт собран, причина и починка — в тексте |
+| 4 | нет датчика | `minify.engine: "esbuild"`, а минификатора нет: числа получены упрощением. Отчёт собран, причина и починка — в тексте; если при этом таблица расходится с историей, код остаётся **1** (нарушение старше приближения), а заметка о другом счёте печатается рядом |
 | 5 | внутренняя ошибка | это дефект инструмента: текст нужен нам, см. «Ловушки» ниже |
 
 ### 6. Отчёт обновляется сам после коммита (по желанию)
@@ -768,7 +864,17 @@ pnpm exec size uninstall-hook   # снять и вернуть проект к
   при упрощении — `minify.guard`. Стеком такой случай не выглядит ни там, ни там;
 - **Минификатора нет** (установка без необязательных зависимостей, платформа без
   `esbuild`) — метрика честно отступает к упрощению: числа те же, что у `strip`,
-  способ говорит об этом словами, а прогон отдаёт **код 4** с готовой починкой.
+  способ говорит об этом словами, а **сборка** (`--write`) отдаёт **код 4** с
+  готовой починкой. У **проверки** в этом случае ответ из двух частей, и он назван
+  здесь потому, что именно её советует CI: если отчёт на диске собран с настоящим
+  минификатором, а прогон идёт без него, точность изменилась — значит числа в
+  таблице больше не совпадают с историей, и проверка скажет про расхождение
+  (**код 1**), показав разошедшуюся строку подписи, **и тут же назовёт другой счёт**
+  заметкой с готовой починкой. Вердикт при этом остаётся за расхождением: код 4
+  утверждал бы, что разница объясняется датчиком, а это никто не проверял —
+  расхождение может быть и правкой мимо отчёта (тот же порядок, что у `size check` и
+  у `doctor`: нарушение старше приближения). Починка в обоих случаях — `pnpm run
+  sizes`; на этом окружении она вернёт **код 4**.
   Проверить это без переустановки можно окружением `SIZE_REPORT_NO_OPTIONAL=1` —
   тем же приёмом это делает `test/minify.test.js`;
 - **Разбор модуля — рабочий поток, поднятый один раз на прогон** (`REFACTOR.md`
@@ -831,8 +937,43 @@ R-4.1): пути, таблица файлов, зовы и ключи инстр
 починки взяты из конфига) не проверяет никто: если это важно, это одна проверка
 поверх `--data` в проекте.
 
+## Гейт против раздувания
+
+**Список проверок — один, и он же в CI.** Профиль проверок задан в одном месте
+(`tools/gates/run.js`): `pnpm run verify:fast` (десятки секунд — каждая правка),
+`pnpm run verify` (полный — перед отправкой и в CI) и `pnpm run verify:slow`
+(по расписанию — то же плюс покрытие). CI зовёт эту же команду, а не свой список:
+работа `verify` (`.github/workflows/ci.yml`) на каждый пуш и запрос правки, работа
+`verify-slow` — по расписанию. Совпадение стережёт `test/gates-verify.test.js`:
+проверка, которой нет в профиле, в CI не пройдёт.
+
+**Датчики ловят раздувание, а не стиль** (стиль — у линтера): размер и сложность
+функций, размер модулей, дубли веток и функций (`sonarjs`), вес проверок (проверка
+без утверждения, утверждение без сравнения, выключенная проверка), пометки долга,
+клоны по токенам (`jscpd`), циклы и сироты связей (`dependency-cruiser`), просадка
+покрытия против своей же базы (`c8`).
+
+**Порог взят из замера, а не из головы, и он храповик.** По исходному замеру:
+сложность функции p50 1 / p90 4 / p99 11 / max 27 — порог 12 (в базе осталось 5
+функций); длина функции p50 7 / p90 27 / p99 73 / max 118 — порог 60 (9 в базе);
+модуль p90 381 строка / max 907 — порог 450 (в базе не осталось ни одного: три
+толстых файла — контракт, программа страницы и сборка фикстуры — разделены,
+`WORKLOG.md` §59–§61). Всё, что выше порога
+сегодня, лежит в базе (`.eslint-suppressions.json`) и работе не мешает; новое валит
+прогон. Дубли — 13 клонов / 84 строки (0,67 %), связи — 112 модулей / 468 связей и ни
+одной находки.
+
+**Базы обновляет человек.** `pnpm run baseline:metrics`, `baseline:dup`,
+`baseline:coverage` — и только с трейлером `Gate-Change:` в сообщении коммита: правка
+гейт-файла без него красна и локально (хук `commit-msg`), и в CI (по каждому коммиту
+диапазона). Иначе гейт ослаблялся бы тем же коммитом, который он останавливает.
+Таблица замеров, отвергнутые инструменты (knip, ast-grep, size-limit, gitleaks) и
+действия человека — в `WORKLOG.md` §58.
+
 ## Для ИИ-агента
 
+- `pnpm run verify:fast` — перед каждой правкой, `pnpm run verify` — перед отправкой;
+  что не так и что нельзя трогать при красном — `AGENTS.md`.
 - `size check --json` — готово ли всё: какая часть истории покрыта, какие пути
   мимо колонок (с коммитом-первопричиной) и какие коммиты выпали без строки.
 - `size explain <коммит> --json` — почему у конкретного коммита нет строки: причина,
@@ -876,7 +1017,7 @@ pnpm test                      # быстрый прогон (каждая пр
                                # контракт данных и страница, сторож документации и выпуска
 pnpm test:all                  # полный прогон (выкладка и CI): то же плюс интеграционные —
                                # сборка на дисках, сверка с деревом, хуки, метрики
-pnpm run suites:measure        # перемерить стоимости файлов набора
+pnpm run suites:measure        # замерить длительность каждого файла набора
 pnpm run parity:live           # паритет с живым проектом на клоне, две среды
 node bin/size.js --data        # контракт данных: страница и агент
 node bin/size.js --page        # минимальная страница отчёта