@vernikr/size-report 1.2.0 → 1.3.0

package/CHANGELOG.md

@@ -18,6 +18,62 @@
 где за основу взяты `fixtures/synthetic/config.json`, метрики — `raw`, `min`, `tok`, а
 способ минификации — `strip` или `esbuild`.
 
+## 1.3.0 — 2026-09-15
+
+Выпуск выведенных настроек: чтобы получить отчёт, проект больше не обязан себя
+описывать.
+
+- **Файла настроек может не быть.** Их выводит сам инструмент — по проекту: колонками
+  крупнейшие файлы, по одному от каждого расширения (иначе отчёт состоял бы из одних
+  крупных `.md`, и ни один `.js` не попал бы под настоящее сжатие), журналом — первый
+  знакомый (`WORKLOG.md`, `CHANGELOG.md`, …), файлом отчёта — `docs/`, если каталог есть,
+  командой починки — объявленный скрипт `sizes`, а без него путь к установленному
+  пакету внутри проекта, ссылкой на коммит — адрес `origin` (GitHub или GitLab: у
+  остальных хозяев пусто, догадка вела бы не туда), метриками — `raw`, `min`, `tok`.
+  Команда починки и ссылка берутся готовыми, а не выдуманными: её цитируют подпись
+  отчёта и отказы, и зов скрипта, которого в проекте ещё нет, ответил бы «нет такого
+  скрипта» ровно там, где человеку нужна работающая команда.
+- **Всё, что колонкой быть не может или в неё не поместилось, названо в `skip`** (сам
+  отчёт, замки зависимостей, карты, собранное): поэтому первый же `size check` полон, а не
+  красный, — «пути мимо колонок» появляются от новых правок, а не от того, что проект ещё
+  не настраивали. Колонка — это файл: список путей колонки движок читает как её
+  переименования, поэтому «папка целиком» колонкой не бывает.
+- **О выведенных настройках сказано строкой** в stderr, с готовой командой `--init` —
+  она их закрепляет, и дальше их правят как обычные настройки. Закрепляется то же,
+  чем проект работает без файла (вывод поверх умолчаний), поэтому смена умолчаний в
+  новой версии пакета не поедет по уже настроенному проекту молча. Без закрепления
+  профиль выводится на каждом запуске: числа не «поехали», но повторить прежний замер
+  можно только закрепив его.
+- **Отказ остался у названного файла:** `--config <файл>`, которого нет, — код 2 с той же
+  починкой `--init <файл>` (опечатку в пути покрывать догадкой нельзя). У умолчательного
+  имени отказа нет вовсе; коды выхода ни в одном другом случае не изменились.
+- Номер **1.3.0** — по SemVer: появилась возможность, которой не было; схема данных
+  (`schema: 1`) та же.
+
+### Что изменится в числах
+
+**У кого настройки есть — ничего.** Этот выпуск не трогает ни форму отчёта, ни счёт:
+таблица ниже та же, что у 1.2.0.
+
+**У кого настроек нет** — числа появятся там, где был отказ (код 2): их даст выведенный
+профиль. Выведенное и закреплённое (`--init`) друг от друга не отличаются: файл — это тот
+же профиль, только записанный. Повторить замер можно только по закреплённому: без файла
+профиль выводится заново каждый запуск.
+
+| Файл | raw | min со strip | min с esbuild | tok |
+|---|---|---|---|---|
+| code.js | 735 | 276 | 185 | 168 |
+| modern.js | 246 | 51 | 45 | 44 |
+| config.mjs | 172 | 45 | 40 | 40 |
+| заметки.md | 306 | 303 | 303 | 53 |
+| crlf.txt | 63 | 60 | 60 | 10 |
+| package.json | 87 | 69 | 69 | 34 |
+| style.css | 156 | 55 | 43 | 38 |
+| table.toml | 300 | 299 | 299 | 52 |
+| empty.js | 0 | 0 | 0 | 0 |
+| WORKLOG.md | 446 | 439 | 439 | 101 |
+| **ИТОГО** | **2511** | **1597** | **1483** | **540** |
+
 ## 1.2.0 — 2026-09-15
 
 Выпуск причины, а не измерения: проверка («таблица совпадает с историей?») теперь

package/README.md

@@ -10,8 +10,11 @@
 
 ## Статус
 
-**Выпуск 1.1.1 (2026-09-15).** Инструмент живёт отдельным пакетом: имя в
-реестре — `@vernikr/size-report` (выпуск переименования, числа не изменились).
+**Выпуск 1.3.0 (2026-09-15).** Инструмент живёт отдельным пакетом: имя в
+реестре — `@vernikr/size-report` (публикуется тегом из CI, без секрета). Настроек
+проект может не заводить вовсе: без файла инструмент выводит их из самого проекта и
+говорит об этом строкой, а `--init` закрепляет выведенное файлом (чем этот шаг
+отличается от прежнего — `CHANGELOG.md` 1.3.0).
 Версия — в манифесте, а у выпуска есть `CHANGELOG.md` с разделом «Что изменится
 в числах»:
 таблица чисел в нём не пересказ, а замер на фикстуре, который сверяется с живым
@@ -79,12 +82,17 @@
 дальше он не упоминается без имени проекта.
 **Пункт R-1.2 волны 1** (`REFACTOR.md`): в пакете есть линтер — правила те же, что у
 проекта-потребителя, плюс запрет склейки операторов в одну строку; всё настоящее
-дерево (37 файлов) даёт ноль замечаний, `fixtures/` не линтуются — там данные.
+дерево (102 файла) даёт ноль замечаний, `fixtures/` не линтуются — там данные.
 
 **Пункты R-1.1 и R-2.1 волн 1–2** (`REFACTOR.md`): вычислительная часть отчёта одна
 (`src/derived.js`) — страница исполняет тот же код, что считает статическую таблицу,
-и разметку для неё строит обычный исходник `src/page/app.js`, а не строка внутри
+и разметку для неё строят обычные исходники (`src/page/*.js`), а не строки внутри
 движка; артефакт и разметка страницы при этом совпали со старым выводом побайтово.
+Главы программы страницы разделены по предметам — состояние выбора, узлы, панель,
+таблица, сборка (`WORKLOG.md` §62): вклейка склеивает их подряд, поэтому собранная
+страница осталась той же побайтово, а у глав одна область видимости — это записано
+в `eslint.config.js`, потому что `import` между зовущими друг друга главами завёл
+бы кольцо связей.
 
 **Отчёт собирается и в проекте с модулями в `.js`** (`REFACTOR.md` R-4.6): гард
 стриппера понимает обе формы — скрипт и модуль, — поэтому подключение не требует
@@ -208,10 +216,10 @@
 
 | Прогон | Команда | Проверок |
 |---|---|---|
-| Быстрый — каждая правка | `pnpm test` | **57 из 135** |
-| Полный — выкладка и CI | `pnpm test:all` | **135** |
+| Быстрый — каждая правка | `pnpm test` | **65 из 167** |
+| Полный — выкладка и CI | `pnpm test:all` | **167** |
 
-Ни одна проверка не потеряна и не ослаблена: полный прогон запускает все 135 теми же
+Ни одна проверка не потеряна и не ослаблена: полный прогон запускает все 167 теми же
 файлами, а быстрый берёт их часть. Умолчание — полный: файл становится быстрым только
 явно и с причиной, поэтому новое дорогое не может тихо уехать в быстрый. Стерегут это
 объявление `test/suites.test.js` (полнота классификации и причина у каждого файла) и
@@ -238,10 +246,15 @@ fixture`) и больше не зависит ни от того, держит
 пакета `npx size-table --write`).
 
 **Проверки идут сами (шаг 6 плана, `.github/workflows/ci.yml`).** На каждый пуш и
-на каждый запрос правки один job проходит семь шагов теми же командами, что и у
-себя локально: строгий линтер, набор проверок, тот же набор в среде, где настроек
-машины нет вовсе (`GIT_CONFIG_GLOBAL=/dev/null`), работу из собранного тарболла,
-сверку с историей проекта-потребителя и воспроизводимость обоих эталонов.
+на каждый запрос правки один job `verify` зовёт **одну команду** — `pnpm run verify`;
+список шагов живёт в одном месте (`tools/gates/run.js`) и совпадает с локальным,
+поэтому проверки, которой нет в профиле, в CI быть не может (это стережёт
+`test/gates-verify.test.js`). В профиле: строгий линтер, датчики раздувания,
+набор проверок, тот же набор в среде, где настроек машины нет вовсе
+(`GIT_CONFIG_GLOBAL=/dev/null`), работу из собранного тарболла, сверку с историей
+проекта-потребителя и воспроизводимость обоих эталонов. Покрытие под c8 дороже
+(полный набор под ним) и живёт в slow-профиле — `pnpm run verify:slow`,
+`.github/workflows/verify-slow.yml` по расписанию.
 Секретов job не требует: история потребителя лежит в репозитории бандлом на той
 же ревизии, что записана в эталоне (`fixtures/live/`), а пересъём идёт во временный
 каталог и сверяется с закоммиченным — рабочее дерево остаётся чистым. Матрицы по
@@ -251,16 +264,27 @@ fixture`) и больше не зависит ни от того, держит
 прогоняет тот же полный набор, сверяет версию манифеста с тегом, проверяет работу
 из собранного пакета и отправляет его в реестр — без секрета и без кода из
 аутентификатора: публикация идёт по удостоверению GitHub Actions (trusted
-publishing), которое npm принимает вместо токена. Одна настройка делается человеком
-и один раз: на npmjs.com в настройках пакета (Trusted Publisher) нужно назвать
-владельца, репозиторий и файл `release.yml`. Черновой прогон из Actions («Run
-workflow»: по умолчанию он ничего не публикует) проходит весь список до самого пути
-публикации — гоняет полный набор, проверяет работу из тарболла и собирает пакет на
-черновой версии (`1.1.1` → `1.1.2-draft.0`, чтобы реестр не отказал в уже выпущенном
-номере), — и это же стережёт `test/release.test.js` со стороны текста. Только настроен
-ли издатель, он не проверяет: `--dry-run` не обменивается удостоверением и проходит
-вообще без учётных данных (проверено в пустом каталоге: код 0 без токена). Это делает
-первый настоящий тег.
+publishing), которое npm принимает вместо токена. Издатель заведён один раз и живёт
+на стороне npmjs.com, а не в репозитории: `npm trust github @vernikr/size-report
+--file release.yml --repo vernikr/size-report --allow-publish` (то же самое — кнопка
+Trusted Publisher в настройках пакета), права **publish** и stage publish; проверить,
+что связь есть, — `npm trust list @vernikr/size-report`. Выпуск `1.2.0` прошёл именно
+так: `v1.2.0` → 44 с, `+ @vernikr/size-report@1.2.0`, удостоверение подписано и
+записано в журнал прозрачности.
+
+Одна ловушка раннера стоила отдельной правки, и она не про этот пакет, а про
+`setup-node`: с `registry-url` действие пишет в `.npmrc` строку
+`_authToken=${NODE_AUTH_TOKEN}`, npm считает учётные данные заданными и за
+удостоверением OIDC **не идёт** — публикация падает 404 при верно заведённом
+издателе. Поэтому `registry-url` здесь не указан (реестр и так по умолчанию тот же, а
+явный адрес живёт в `publishConfig`), и это стережёт `test/release.test.js`. Черновой
+прогон из Actions («Run workflow»: по умолчанию он ничего не публикует) проходит весь
+список до самого пути публикации: гоняет полный набор, проверяет работу из тарболла и
+собирает пакет на черновой версии (`1.2.0` → `1.2.1-draft.0`, чтобы реестр не отказал
+в уже выпущенном номере). Настроен ли издатель, черновой прогон не показывает:
+`--dry-run` не обменивается удостоверением и проходит вообще без учётных данных
+(проверено в пустом каталоге: код 0 без токена) — правду об этом даёт только настоящий
+тег, и он её дал.
 
 Первым же прогоном CI окупился: шаг живого паритета упал не на расхождении чисел,
 а на самой проверке — вывод процессов собирался как строка, и многобайтовый символ,
@@ -358,8 +382,8 @@ deльт задан один раз и по артефакту: рост зел
 `src/metrics.js`), поэтому разойтись не могут. Минификатора нет (установка без необязательных
 зависимостей, платформа без него) — метрика отступает к упрощению, способ говорит
 об этом словами, а прогон отдаёт **код 4**, а не молчание: числа при этом те же, что
-у прежнего способа, — побайтово со эталоном. Черновик `--init` ведёт новые проекты
-сразу на сжатие; цена названа прямо в его подсказке. Файл, который минификатор не
+у прежнего способа, — побайтово со эталоном. Выведенный профиль ведёт новые проекты
+сразу на сжатие (и `--init` закрепляет то же самое); цена названа прямо в его подсказке. Файл, который минификатор не
 разобрал (разметка в `.js`, чужой синтаксис), — отказ кодом 2 с причиной от него
 самого и двумя готовыми выходами.
 
@@ -393,13 +417,13 @@ deльт задан один раз и по артефакту: рост зел
 живой истории (95 строк × 27 колонок, 1,23 МБ текста) тот же отчёт идёт
 **1,55 → 6,35 с** — умножается именно сбор истории, а не таблица: токенов в
 «сейчас» — **303 705**, то есть 4,05 Б на токен. Отсюда и цена набора проверок:
-**7,3–7,9 → 10,4 с** при 66 → 73 проверках (запас и новый бюджет — ниже). Черновик
-`--init` ведёт новые проекты сразу на токены.
+**7,3–7,9 → 10,4 с** при 66 → 73 проверках (запас и новый бюджет — ниже). Выведенный
+профиль ведёт новые проекты сразу на токены.
 
 **Волна 0 чистки пройдена** (`REFACTOR.md`): у отказов командной строки появились
 коды выхода и справка вместо стека, `--help` отвечает, `--page` и `--write`
 создают недостающий каталог, подсказка в отказе ведёт к работающей команде, а
-черновик `--init` больше не предлагает колонкой саму таблицу — иначе первая же
+вывод настроек больше не предлагает колонкой саму таблицу — иначе первая же
 проверка настроек его отвергала.
 
 **Появились две команды: полнота и объяснение** (шаг 5 плана). `size check`
@@ -448,10 +472,24 @@ deльт задан один раз и по артефакту: рост зел
 | `CHANGELOG.md` | История выпусков и, у каждого выпуска, раздел «Что изменится в числах»: у кого числа поедут и почему |
 | `tools/parity-freeze.js` | Снимает эталон паритета (`pnpm run parity`): замороженной копией, на ревизии проекта из манифеста — `--json`, конфиг, хеш артефакта, хеш инструмента |
 | `tools/make-fixture.js` | Собирает синтетическую фикстуру (`pnpm run fixture`): детерминированную историю с ловушками плюс эталонные числа |
+| `tools/synthetic/` | Сюжеты той сборки по предметам: `repo.js` — как говорим с git (закреплённые время, автор, настройки), `content.js` — что лежит в файлах, `history.js` — какие коммиты из этого получаются, `note.js` — записка к фикстуре со списком ловушек |
 | `tools/parity-live.js` | Сверяет движок с живым проектом на клоне: числа и артефакт (`pnpm run parity:live`) |
 | `tools/pack-check.js` | Собирает тарболл и проверяет, что из него всё работает: все исходники доехали, числа, артефакт и страница — как из репозитория (`pnpm run pack:check`) |
 | `tools/check-standards.js` | Проверяет, что оба эталона воспроизводятся: пересъём идёт в никуда и сверяется с закоммиченным (наши файлы — побайтово, бандл — по содержимому) и что бандл живой истории несёт `HEAD` (`pnpm run check:standards`) |
-| `.github/workflows/ci.yml` | CI: семь шагов на каждый пуш и запрос правки — те же команды, что локально, без секретов и матриц |
+| `.github/workflows/ci.yml` | CI: работа `verify` на каждый пуш и запрос правки зовёт `pnpm run verify` — тот же профиль, что локально; действия закреплены по SHA коммита |
+| `.github/workflows/verify-slow.yml` | Slow-профиль по расписанию: то же плюс покрытие под c8 — дорогое не в каждом прогоне |
+| `tools/gates/run.js` | Профили проверок — единственный список шагов: `fast` (каждая правка), `full` (перед отправкой и в CI), `slow` (+ покрытие); `--list` печатает команды |
+| `tools/gates/metrics.js` | Датчик раздувания: правила размера и сложности, вес проверок, пометки долга — с храповиком подавлений ESLint (`.eslint-suppressions.json`) |
+| `tools/gates/dup.js` | Датчик дублей: отпечатки клонов по содержимому (`dup-baseline.json`), взгляд против файла базы и против дерева `origin/main` |
+| `tools/gates/deps.js` | Датчик связей: циклы, сироты, направление слоёв и неразрешимые импорты (`dependency-cruiser`) |
+| `tools/gates/coverage.js` | Датчик покрытия: храповик по файлам против `coverage-baseline.json`, а не процент по репозиторию |
+| `tools/gates/gatefiles.js` | Защита гейт-файлов: правка порогов, баз и обвязки без трейлера `Gate-Change:` — красный (хук `commit-msg` и CI по диапазону) |
+| `tools/gates/common.js`, `tools/gate-probe.js` | Общее у датчиков (корень, разбор ключей, отчёты) и обвязка их проб: датчик зовётся командой, а не импортом |
+| `.githooks/commit-msg`, `.githooks/pre-commit`, `.githooks/pre-push` | Хуки: защита гейт-файлов, быстрый профиль на правку и перед отправкой; ставятся `pnpm run hooks:install` (свой менеджер хуков не заводится) |
+| `eslint.metrics.config.js`, `.eslint-suppressions.json` | Правила датчика раздувания и его база: пороги из замеров, всё, что выше, — в базе и разбирается постепенно |
+| `.jscpd.json`, `dup-baseline.json` | Настройки и база датчика дублей: отпечаток считается по содержимому клона, поэтому база переносима |
+| `.dependency-cruiser.cjs`, `.c8rc.json`, `coverage-baseline.json` | Правила графа связей, настройки снятия покрытия и его база по файлам |
+| `AGENTS.md` | Короткая инструкция агенту репозитория: что запускать, что делать при красном, что нельзя менять |
 | `.github/workflows/release.yml` | Выпуск по тегу: тот же полный набор, сверка версии манифеста с тегом и публикация в реестр по удостоверению GitHub Actions — без секрета и без кода из аутентификатора |
 | `templates/` | То, что проект берёт как есть: `size-report.config.json` (черновик настроек), `ci.yml` (описание проверки) и `README.md` (куда что кладётся и что в них менять); едут в поставке и стерегутся `pack:check` и `test/templates.test.js` |
 | `fixtures/parity/` | Эталон с `safe-resets` на коммите `bd6ef9d`: 95 строк × 27 колонок. Копия реализации, которой он снят, в дереве не лежит — её байты живут в истории и берутся оттуда по требованию (`REFACTOR.md` R-1.5) |
@@ -466,10 +504,17 @@ deльт задан один раз и по артефакту: рост зел
 | `src/table.css` | Общая часть таблицы: геометрия клеток, липкие шапка и колонка, цвет дельт — одна на артефакт и страницу |
 | `src/artifact.css` | Оформление статического артефакта сверх общей части |
 | `src/page/app.css` | Оформление страницы сверх общей части: панель с деревом файлов, состояния пустоты, узкое окно |
-| `src/page/app.js` | Программа страницы: дерево файлов, разметка, состояние галочек, память выбора и ссылка; вклеивается в собранную страницу |
+| `src/page/state.js` | Состояние страницы: данные отчёта, вид галочек, паспорт записи, память браузера и обмен ссылкой — глава программы страницы |
+| `src/page/dom.js` | Узлы страницы: мелкие помощники разметки (`appEl`, `appBox`) — одни на панель и таблицу |
+| `src/page/panel.js` | Панель выбора: галочки метрик и файлов, категории, дерево путей, легенда; перерисовку просит у главы сборки |
+| `src/page/table.js` | Таблица страницы: клетка, подпись коммита, шапка и состояния пустоты — разметка поверх общего расчёта |
+| `src/page/app.js` | Сборка и запуск страницы: таблица целиком, перерисовка по выбору читателя, первая отрисовка и смена якоря; вклеивается в собранную страницу
 | `src/page/build.js` | Сборка страницы: данные, оформление и программа в одном файле без внешних ссылок |
 | `src/git.js` | Единственная граница вызова git: закрепления настроек, блобы пачкой, история, сверка с диском |
-| `src/strip.js` | Снятие балласта: стрипперы комментариев и отступов и правила, какая форма к какому файлу, гард компиляции |
+| `src/strip.js` | Снятие балласта: какая форма к какому файлу (расширение, стратегия) и что считать точным числом — вход разбора форм |
+| `src/strip/js.js` | Снятие комментариев и отступов в JS: проход по случаям (комментарий, регексп, строка, символ) — строки и шаблоны насквозь |
+| `src/strip/forms.js` | Формы текста со своим снятием балласта: разметка, стили, строки файла и JSON |
+| `src/strip/guard.js` | Гард стриппера: снятое обязано компилироваться — скриптом в процессе или модулем в рабочем потоке |
 | `src/parse.js` | Разбор модуля: рабочий поток на прогон и отступление к `node --check`, способ разбора последнего модуля |
 | `src/parse-worker.js` | Сам разбор внутри потока: разбирает текст без исполнения, сообщает, что модулей vm в Node нет |
 | `src/metrics.js` | Реестр метрик: что измеряется, нужен ли текст и насколько честна цифра; описание метрики для читателя — в одном месте |
@@ -486,11 +531,16 @@ deльт задан один раз и по артефакту: рост зел
 | `src/data.js` | Категории файлов и контракт со страницей (`--data`) |
 | `src/render.js` | Статический артефакт: клетки, таблица, примечание (стили — в `src/css.js`) |
 | `src/config.js` | Настройки проекта-потребителя: умолчания, чтение, проверка |
+| `src/project.js` | Настройки, выведенные из самого проекта (дерево и история): колонки, журнал, исключения. Без файла настроек он и есть настройки; `--init` закрепляет его файлом |
 | `src/locales.js`, `src/refusal.js`, `src/tool.js` | Тексты отчёта; коды выхода и справка; имя и версия пакета |
-| `src/cli.js` | Режимы командной строки и разбор ключей; главный файл пакета |
+| `src/cli.js` | Вход инструмента: разбор строки, чтение проекта и доставка запроса режиму; главный файл пакета |
+| `src/args.js` | Грамматика командной строки: режимы, ключи и команды плюс проверки их сочетаний — отказ называет виновника и готовую команду |
+| `src/modes.js` | Режимы: собрать таблицу, сверить её с историей, отдать данные или страницу, полноту покрытия и диагностику |
+| `src/init.js` | Закрепление настроек файлом (`--init`): то, что проект вывел о себе сам, ложится файлом — и проходит ту же проверку, что первый запуск |
 | `test/api.test.js` | Публичный API пакета: список имён заморожен, разбиение не имеет права его менять |
 | `eslint.config.js` | Правила оформления: те же, что у проекта-потребителя, плюс запрет склейки операторов в строке (`pnpm run lint`, `pnpm run lint:strict`) |
 | `tools/harness.js` | Обвязка проверок: пути, клоны фикстуры (в том числе общий на набор и с CRLF), запуск инструмента, разбор отказов, хеши |
+| `tools/page-harness.js` | Обвязка проверок контракта и страницы: данные контракта, собранная страница, чтение её в настоящем DOM, переключатели панели — одна на четыре набора |
 | `tools/suites.js` | Разделение набора: какие файлы идут в быстрый прогон (с причиной для каждого), почему каждый дорогой — в полном |
 | `tools/run-tests.js` | Прогон набора (`pnpm test`, `pnpm test:all`, `pnpm run suites:measure`): длительность каждого файла своим замером и сверка числа проверок |
 | `tools/docs-facts.js` | Чтение фактов из документации — один слой на четыре проверки сторожа: что документ называет (пути, зовы, адреса разделов) против того, что есть в репозитории |
@@ -504,7 +554,10 @@ deльт задан один раз и по артефакту: рост зел
 | `test/cli.test.js`, `test/cli-paths.test.js` | Отказы командной строки: справка, настройки, коды выхода — и куда инструмент пишет |
 | `test/refusals.test.js` | Отказы исполняются: каждый вызван прогоном, сверены код выхода и обещанные фразы (свои клоны — для чужого хука, обрезанной истории и ветки мимо отчёта), и **совет выполняется** — команда даёт обещанный код, не падает стеком, а где объявлено «отказ ушёл», тот же зов после неё отвечает другим |
 | `test/refusals-catalog.test.js` | Сторож каталога отказов: у каждого места отказа в исходниках есть пункт, у каждого пункта — объявленный совет, а отказы, отданные другой проверке, ею в самом деле утверждаются (названные файл и строка проверяются) |
-| `test/contract.test.js` | Контракт данных и страница: числа против эталона, производные против чисел артефакта, дерево файлов против путей, память выбора и ссылка против перезахода, чужого отчёта и чужого адреса, пометки приближения против подписи метрики |
+| `test/contract-data.test.js` | Контракт данных: числа против эталона, состав полей против производных, пометки приближения против подписи метрики |
+| `test/contract-derived.test.js` | Производные против чисел артефакта: итоги строки, дельты клетки и дельта итога — на коде, который лежит в дереве |
+| `test/page-view.test.js` | Собранная страница: вклейка без копий расчёта, самодостаточность, дерево файлов, состояния пустоты, оформление и переключатели |
+| `test/page-choice.test.js` | Память выбора и обмен ссылкой: перезаход, чужой отчёт, чужая и битая запись, смена адреса на открытой странице |
 | `test/module.test.js` | Модуль в расширении `.js`: измеряется без правок настроек; гард стриппера жив (доказано мутацией) и не обвиняет невиновного |
 | `test/guard.test.js` | Разбор модуля: идёт потоком, оба пути дают один вердикт, отступление работает без файла потока, сотни разборов дешевле запуска |
 | `test/runner.test.js` | Чтение вывода процесса: куски склеиваются буферами, а не приклеиваются к строке — многобайтовый символ на границе кусков не превращается в два символа-заменителя |
@@ -513,12 +566,14 @@ deльт задан один раз и по артефакту: рост зел
 | `test/changelog.test.js` | Сторож выпуска: версия в `CHANGELOG.md` — версия манифеста, а таблица «что изменится в числах» — это замер на фикстуре, сверенный с живым прогоном |
 | `test/release.test.js` | Сторож выпуска из CI: он начинается тегом, версия берётся из манифеста, секрета и одноразового кода не требует, prerelease не уезжает в `latest`, перед публикацией идёт полный набор — и подсказка на npmjs.com называет этот же файл |
 | `test/suites.test.js` | Сторож разделения набора: полнота классификации (быстрый — явно, полный — с причиной), причина у каждого файла, что быстрый прогон остаётся частью набора |
+| `test/gates-metrics.test.js`, `test/gates-dup.test.js`, `test/gates-deps.test.js`, `test/gates-coverage.test.js`, `test/gates-files.test.js` | Пробы датчиков: искусственное нарушение → датчик красный, снятие → снова зелёный; прогон зовёт датчик командой, а не импортом, поэтому доказывает и код возврата |
+| `test/gates-verify.test.js` | Сторож единственного списка: команды профиля против рабочих процессов, хуков и `templates/ci.yml` — проверки, которой нет в профиле, в CI быть не может |
 | `test/check.test.js` | Полнота и объяснение на настоящих коммитах фикстуры: непокрытый путь, «только отчёт», «число не сдвинулось», «мимо колонок», слияние — и что починка настроек не двигает числа |
 | `test/doctor.test.js` | Диагностика на пяти состояниях проекта: без настроек (2), полное покрытие (0), неполное (1), обрезанная история (3), нет датчика (4) — и блок покрытия равен ответу `size check`, а не считается вторым разом |
 | `test/hook.test.js` | Хуки на свежем клоне: ставятся только командой, дают отдельный коммит отчёта (в том числе после слияния), повторный запуск молчит, чужая работа и индекс не тронуты, в CI и при отказе инструмента ничего не делают, снятие возвращает проект к прежнему |
 | `test/templates.test.js` | Шаблоны: черновик настроек проходит проверку инструмента и собирает настоящий отчёт; описание проверки разбирается и зовёт только существующие команды и ключи |
 | `test/minify.test.js`, `test/tokens.test.js` | Настоящее сжатие и токены: числа против упрощения, кодировка как часть числа, честность подписи, работа без необязательной зависимости (код 4) и шов `SIZE_REPORT_NO_OPTIONAL` |
-| `package.json` | Манифест пакета: имя `@vernikr/size-report`, версия `1.1.1`, список поставки — только существующее |
+| `package.json` | Манифест пакета: имя `@vernikr/size-report`, версия `1.2.0`, список поставки — только существующее |
 
 Оба каталога эталонов снимаются заново теми же инструментами: `pnpm run parity` и
 `pnpm run fixture` дают те же файлы. Побайтово сверяется наше — конфиг, эталонные
@@ -550,7 +605,7 @@ JSX и TSX          выход зависит от настройки jsx сам
 уже собранных значениях (`data`, `render`, `page`), а настройки, тексты и отказ —
 по краям, потому что их знает любой и они не знают никого. Оба отчёта считаются на
 сборке: страница получает исходники общего расчёта и своей программы вклеенными
-(`src/derived.js`, `src/page/app.js`), потому что открывается она с диска, без
+(`src/derived.js`, `src/page/*.js`), потому что открывается она с диска, без
 сервера и без сети. Остальное — по шагам 2–6 (`PLAN.md` §5).
 
 ## Как подключить к своему проекту
@@ -573,7 +628,7 @@ pnpm add -D @vernikr/size-report
 ```
 
 Пакет **опубликован в реестре**, и публично: `npm view @vernikr/size-report
-version` отвечает `1.1.1`, `npm access get status @vernikr/size-report` — `public`,
+version` отвечает `1.3.0`, `npm access get status @vernikr/size-report` — `public`,
 а анонимный запрос тарболла — код 200. `npm i -D` и `yarn add -D` принимают то же
 имя; ни ключа, ни ссылки на репозиторий не нужно.
 
@@ -581,11 +636,11 @@ version` отвечает `1.1.1`, `npm access get status @vernikr/size-report`
 реестра, но остаётся привязанной к ревизии:
 
 ```bash
-pnpm add -D github:vernikr/size-report#v1.2.0
+pnpm add -D github:vernikr/size-report#v1.3.0
 ```
 
 Без сети (или если тянуть из codeload нечем) — тарболл: `pnpm pack` в клоне
-пакета, затем `pnpm add -D ./vernikr-size-report-1.2.0.tgz`.
+пакета, затем `pnpm add -D ./vernikr-size-report-1.3.0.tgz`.
 
 **Почему тег, а не sha.** Короткий sha pnpm разрешает только через видимые рефы, а
 `git ls-remote` отдаёт одни верхушки веток: пока ревизия — верхушка, короткий sha
@@ -593,7 +648,7 @@ pnpm add -D github:vernikr/size-report#v1.2.0
 <sha> to a commit`. Это не рассуждение, а проба: короткий пин `6530237` ставился,
 пока `main` стоял на нём, и перестал — на следующем же коммите, а тот же sha
 целиком поставился. Имя ветки (`#main`) или тег принимаются оба, но ветка —
-движущаяся цель, а тег постоянен: этот выпуск стоит на теге `v1.1.1`, он же и в
+движущаяся цель, а тег постоянен: этот выпуск стоит на теге `v1.3.0`, он же и в
 примере (сорок знаков тоже годятся, но их придётся брать глазами из истории).
 
 Ревизия в примере — не украшение, а часть утверждения: она закреплена за тем, что
@@ -618,30 +673,39 @@ GIT_SSH_COMMAND=false`): установка 3,4 с, дальше `size --write`
 области владельца (`@vernikr/size-report`), а не только отправка архива; что
 затронуло переименование — `PLAN.md` §10, чем доказана выкладка — `WORKLOG.md` §53.
 
-### 2. Черновик настроек
+### 2. Настройки: их можно не заводить
 
 ```bash
-pnpm exec size --init      # создаёт size-table.config.json
+pnpm exec size --write     # таблица; настроек нет — их выведет сам инструмент
+pnpm exec size --init      # закрепить выведенное в size-table.config.json
 ```
 
-Черновик собирается по самому проекту: колонки — крупнейшие файлы по списку
-расширений исходников (список печатается тут же — «расширения в проекте»), журнал —
-по знакомым именам (`WORKLOG.md`, `CHANGELOG.md`, …), вывод — в `docs/`, если он
-есть, `fixCommand` — под ваш менеджер пакетов.
-
-> **Документации в черновике нет, и это заметно сразу.** Список расширений —
-> исходники (`.js`, `.css`, `.json`, …), а `README.md` и журнал в него не входят:
-> колонкой доки делает человек, потому что «важный документ» — не про расширение.
-> Поэтому первый же `size check` на проекте с README и журналом честно скажет, что
-> эти пути не отслеживаются и не исключены (код 1), — это и есть тот шаг, где доки
-> становятся колонками или попадают в `skip` (`§5`). Проверено покомандно на
-> живом проекте: `WORKLOG.md` §54. Он же печатает
-следующие три шага. Черновик ведёт метрику `min` на настоящее сжатие
-(`"minify": {"engine": "esbuild"}`) и сразу включает метрику `tok`
-(`"tokens": {"family": "openai", "encoding": "o200k_base"}`): и минификатор, и
-словарь едут необязательными зависимостями и ставятся обычной установкой, а без
-них инструмент работает и сам скажет об этом (код 4) — правки настроек не
-требуются.
+Начинать с настроек не нужно: без файла инструмент выводит их из проекта — колонками
+берёт крупнейшие файлы, по одному от каждого расширения (иначе отчёт состоял бы из
+одних крупных `.md`, и ни один `.js` не попал бы под настоящее сжатие), журналом —
+первый знакомый (`WORKLOG.md`, `CHANGELOG.md`, …), файлом отчёта — `docs/`, если
+каталог есть, командой починки — объявленный скрипт `sizes`, а без него — путь
+к установленному пакету (его цитируют подпись отчёта и отказы, поэтому он обязан
+работать уже сейчас), ссылкой на коммит — адрес `origin`, метриками — `raw`, `min`,
+`tok`. Метрика `min` считается настоящим сжатием (`"minify": {"engine": "esbuild"}`),
+а `tok` — словарём (`"tokens": {"family": "openai", "encoding": "o200k_base"}`): без
+этих необязательных зависимостей метрика честно отступает к другому счёту и прогон
+отдаёт код 4 — правки настроек и тут не требуются.
+
+Всё, что колонкой быть не может или в неё не поместилось (сам отчёт, замки
+зависимостей, карты, собранное), называется в `skip` — поэтому первый же `size check`
+полон, а не красен: «пути мимо колонок» появляются от новых правок, а не от того, что
+проект ещё не описан. О том, что настройки выведены, инструмент говорит строкой в
+stderr и называет команду, которая их закрепляет, — `--init`; закреплённое проходит
+ту же проверку, что любой файл настроек, и дальше его правят глазами (сам `--init`
+печатает, что закрепил, и что делать дальше — скрипты и проверку в CI). Без
+закрепления профиль выводится заново на каждом запуске: числа не «поедут», но
+повторить прежний замер — в том числе хуком и проверкой — можно только по файлу.
+
+Закрепляется **то же, чем проект работает без файла**: вывод из проекта поверх
+умолчаний. Поэтому в закреплённом файле видны и значения, которых в проекте никто не
+писал, — тогда смена умолчаний в новой версии пакета не поедет по уже настроенному
+проекту молча.
 
 > Subкоманды `size init` пока нет — CLI знает только флаги (`--init`, `--write`,
 > `--page`, `--data`, `--json`, без флага — проверка); полный список даёт `size --help`.
@@ -649,20 +713,21 @@ pnpm exec size --init      # создаёт size-table.config.json
 
 ### 3. Что правится в конфиге
 
-Черновик знает про проект только размеры файлов — какие колонки важны, знает
-человек. Чаще всего правят:
+Вывод знает про проект только то, что видно в дереве и истории, — какие колонки важны,
+знает человек. Чаще всего правят:
 
 | Ключ | Что это |
 |---|---|
-| `columns` | колонки таблицы: `{label, paths: [...]}`; пути в одной колонке складываются (например, `src` целиком), `label` — то, что увидит человек |
+| `columns` | колонки таблицы: `{label, paths: [...]}`; **колонка — это файл**: список путей — её переименования (в ревизии берётся тот путь, который в ней есть), а не несколько файлов разом; `label` — то, что увидит человек |
 | `metrics` | из чего состоит число: `raw` (размер объекта git), `min` (минифицированная форма — какая именно, решает `minify.engine`), `tok` (токены), `gzip` |
 | `tokens.family`, `tokens.encoding` | словарь для `tok`: семейство (`openai`) и кодировка (`o200k_base` или `cl100k_base`) — кодировка меняет число, поэтому она и в настройках, и в подписи метрики |
 | `minify.engine` | чем считается `min`: `strip` (комментарии и отступы, точность не обещается) или `esbuild` (настоящее сжатие; форматы без минификатора — упрощение, и это видно в подписи метрики) |
-| `output` | файл таблицы (по черновику — `docs/size-table.html`) |
+| `output` | файл таблицы (в выведенном профиле — `docs/size-table.html`, если каталог `docs/` есть, иначе в корне) |
 | `journal` | где искать разделы журнала, на которые ссылаются строки |
-| `links.commitUrl` | шаблон ссылки на коммит, например `https://github.com/org/repo/commit/{sha}` |
-| `skip` | пути, которые колонками быть не могут |
-| `fixCommand` | команда, которую цитирует подпись отчёта и подсказывает отказ; в черновике уже ваша |
+| `links.commitUrl` | шаблон ссылки на коммит, например `https://github.com/org/repo/commit/{sha}`; выводится из адреса `origin` у GitHub и GitLab (у остальных хозяев — пусто, а не догадка) |
+| `skip` | пути, которые колонкой не стали: и те, что ею быть не могут (сам отчёт, замки зависимостей), и те, что в колонки не поместились (выведенный профиль объявляет исключениями всё остальное — поэтому первый `check` полон) |
+| `fixCommand` | команда, которую цитирует подпись отчёта и подсказывает отказ; в выведенном профиле — ваш скрипт `sizes`, если он объявлен, иначе путь к установленному пакету внутри проекта (зов по имени пакета уходит в реестр — `REFACTOR.md` R-4.21) |
+| `locale`, `title`, `heading` | язык текстов отчёта и его заголовки; пустые `title`/`heading` значат «взять из локали» |
 | `minify.guard` | расширения, где результат стриппера проверяется разбором; модуль в `.js` гард понимает сам, трогать его не нужно |
 | `hooks.enabled` | выключатель хука автообновления (`false` — хук остаётся на месте, но молчит; убирается он только `size uninstall-hook`) |
 
@@ -740,9 +805,10 @@ pnpm exec size doctor     # 0 — делать нечего; иначе перв
 `.github/workflows/size-report.yml` без правок — сборка таблицы, сверка с файлом
 на диске, два снимка чисел (обычный и в среде без настроек git) и их сравнение.
 Секретов оно не требует. Для `npm`/`yarn` в самом файле сказано, какие две строки
-заменить. Рядом — `templates/size-report.config.json`, черновик настроек в дополнение
-к `pnpm exec size --init`: колонки в нём примерные (`README.md`, `package.json`),
-они есть почти в любом проекте, поэтому первый отчёт собирается сразу.
+заменить. Рядом — `templates/size-report.config.json`, образец настроек: колонки в нём
+примерные (`README.md`, `package.json`), они есть почти в любом проекте, поэтому
+первый отчёт собирается сразу. Нужен он, только если хочется начать с правленого
+файла: без файла настройки выводятся из проекта (`--init` закрепляет выведенное).
 
 Свой CI у пакета — `.github/workflows/ci.yml`: он гоняет у себя тот же список
 команд, что описан ниже, и его можно взять за образец для шага потребителя.
@@ -871,8 +937,43 @@ R-4.1): пути, таблица файлов, зовы и ключи инстр
 починки взяты из конфига) не проверяет никто: если это важно, это одна проверка
 поверх `--data` в проекте.
 
+## Гейт против раздувания
+
+**Список проверок — один, и он же в CI.** Профиль проверок задан в одном месте
+(`tools/gates/run.js`): `pnpm run verify:fast` (десятки секунд — каждая правка),
+`pnpm run verify` (полный — перед отправкой и в CI) и `pnpm run verify:slow`
+(по расписанию — то же плюс покрытие). CI зовёт эту же команду, а не свой список:
+работа `verify` (`.github/workflows/ci.yml`) на каждый пуш и запрос правки, работа
+`verify-slow` — по расписанию. Совпадение стережёт `test/gates-verify.test.js`:
+проверка, которой нет в профиле, в CI не пройдёт.
+
+**Датчики ловят раздувание, а не стиль** (стиль — у линтера): размер и сложность
+функций, размер модулей, дубли веток и функций (`sonarjs`), вес проверок (проверка
+без утверждения, утверждение без сравнения, выключенная проверка), пометки долга,
+клоны по токенам (`jscpd`), циклы и сироты связей (`dependency-cruiser`), просадка
+покрытия против своей же базы (`c8`).
+
+**Порог взят из замера, а не из головы, и он храповик.** По исходному замеру:
+сложность функции p50 1 / p90 4 / p99 11 / max 27 — порог 12 (в базе осталось 5
+функций); длина функции p50 7 / p90 27 / p99 73 / max 118 — порог 60 (9 в базе);
+модуль p90 381 строка / max 907 — порог 450 (в базе не осталось ни одного: три
+толстых файла — контракт, программа страницы и сборка фикстуры — разделены,
+`WORKLOG.md` §59–§61). Всё, что выше порога
+сегодня, лежит в базе (`.eslint-suppressions.json`) и работе не мешает; новое валит
+прогон. Дубли — 13 клонов / 84 строки (0,67 %), связи — 112 модулей / 468 связей и ни
+одной находки.
+
+**Базы обновляет человек.** `pnpm run baseline:metrics`, `baseline:dup`,
+`baseline:coverage` — и только с трейлером `Gate-Change:` в сообщении коммита: правка
+гейт-файла без него красна и локально (хук `commit-msg`), и в CI (по каждому коммиту
+диапазона). Иначе гейт ослаблялся бы тем же коммитом, который он останавливает.
+Таблица замеров, отвергнутые инструменты (knip, ast-grep, size-limit, gitleaks) и
+действия человека — в `WORKLOG.md` §58.
+
 ## Для ИИ-агента
 
+- `pnpm run verify:fast` — перед каждой правкой, `pnpm run verify` — перед отправкой;
+  что не так и что нельзя трогать при красном — `AGENTS.md`.
 - `size check --json` — готово ли всё: какая часть истории покрыта, какие пути
   мимо колонок (с коммитом-первопричиной) и какие коммиты выпали без строки.
 - `size explain <коммит> --json` — почему у конкретного коммита нет строки: причина,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@vernikr/size-report",
-  "version": "1.2.0",
+  "version": "1.3.0",
   "author": "vernikr",
   "repository": {
     "type": "git",
@@ -41,7 +41,21 @@
     "parity:live": "node tools/parity-live.js",
     "pack:check": "node tools/pack-check.js",
     "check:standards": "node tools/check-standards.js",
-    "fixture": "node tools/make-fixture.js"
+    "fixture": "node tools/make-fixture.js",
+    "verify:fast": "node tools/gates/run.js fast",
+    "verify": "node tools/gates/run.js full",
+    "verify:slow": "node tools/gates/run.js slow",
+    "metrics": "node tools/gates/metrics.js",
+    "dup": "node tools/gates/dup.js",
+    "dup:ci": "node tools/gates/dup.js --ref origin/main",
+    "dup:baseline": "node tools/gates/dup.js --update",
+    "deps": "node tools/gates/deps.js",
+    "cover": "node tools/gates/coverage.js",
+    "gate:files": "node tools/gates/gatefiles.js",
+    "baseline:metrics": "eslint --config eslint.metrics.config.js --suppressions-location .eslint-suppressions.json --prune-suppressions src bin tools test && eslint --config eslint.metrics.config.js --suppressions-location .eslint-suppressions.json --suppress-all src bin tools test",
+    "baseline:dup": "node tools/gates/dup.js --update",
+    "baseline:coverage": "node tools/gates/coverage.js --update",
+    "hooks:install": "git config core.hooksPath .githooks"
   },
   "keywords": [
     "size",
@@ -51,7 +65,12 @@
     "report"
   ],
   "devDependencies": {
+    "@vernikr/size-report": "1.2.0",
+    "c8": "10",
+    "dependency-cruiser": "17",
     "eslint": "^9.18.0",
+    "eslint-plugin-sonarjs": "4",
+    "jscpd": "5.2.0",
     "jsdom": "~26"
   },
   "optionalDependencies": {