agent-quality-kit 0.2.2

package/kit/gates/gates-are-runnable/README.md

@@ -0,0 +1,23 @@
+# Объявленный гейт существует и запускается
+
+**Намерение.** Гейт, записанный в манифест, но не выполняющийся, — худший класс отказа:
+отсутствие сигнала неотличимо от успеха.
+
+**Какой отказ это поймало.** В `audit_project` пути к конфигам проверок не были в белом списке
+конвейера. Правка конфига не роняла сборку — сборки **не было вовсе**. Вместе с ней не появлялось
+и кнопки выката, то есть работа стояла молча, а тишина читалась как «всё в порядке».
+Запись в журнале: `incidents/README.md`, 2026-08-24.
+
+**Что именно проверяется.** Не результат работы гейта, а то, что его есть чем выполнить:
+программа из первого слова команды установлена, все пути-аргументы существуют, команда не пуста.
+Полный прогон чужих гейтов — не наше дело: он может быть долгим и с побочными действиями.
+
+**Чего НЕ ловит.** Гейт может запускаться и при этом ничего не проверять — «зомби» и
+«декоративный» из `kit/gates/README.md`. От этого защищают красный и зелёный образцы.
+
+**Готового аналога нет.** Проверено: запись про устройство самой оснастки — соответствие
+манифеста и файловой системы. Ни `ruff`, ни `eslint`, ни `semgrep`, ни линтеры конфигов таких
+правил не содержат: они проверяют код, а не то, исполнимо ли объявленное в вашем манифесте.
+
+**Образцы.** `red/` — манифест объявляет `bash checks/lint.sh`, файла нет.
+`green/` — тот же манифест, файл на месте.

package/kit/gates/gates-are-runnable/check.sh

@@ -0,0 +1,35 @@
+#!/usr/bin/env sh
+# Гейт, объявленный в манифесте, но не запускающийся, — худший из возможных: отсутствие
+# сигнала неотличимо от успеха. Проверяем не результат работы гейта, а то, что его вообще
+# есть чем выполнить: файл скрипта на месте, программа установлена.
+DIR="${1:-.}"
+MAN="$DIR/.aqk.yml"
+[ -f "$MAN" ] || { echo "нет .aqk.yml — проверять нечего"; exit 0; }
+
+# строки вида `  имя: "команда"` внутри блока gates:
+LINES=$(awk '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && /^[[:space:]]+[A-Za-z0-9_-]+:/{print}' "$MAN")
+[ -z "$LINES" ] && { echo "гейтов не объявлено"; exit 0; }
+
+BAD=0
+echo "$LINES" | while IFS= read -r L; do
+  NAME=$(echo "$L" | sed 's/^[[:space:]]*\([A-Za-z0-9_-]*\):.*/\1/')
+  CMD=$(echo "$L" | sed 's/^[[:space:]]*[A-Za-z0-9_-]*:[[:space:]]*//; s/^"//; s/"$//')
+  [ -z "$CMD" ] && { echo "гейт «$NAME»: команда пустая"; echo "  почини: впиши команду или убери строку — объявление без команды защиты не даёт"; exit 1; }
+
+  # Первое слово — программа, но только после присваиваний переменных: `VAR=1 bash x.sh` —
+  # обычная форма записи в оболочке, и программа здесь bash, а не «VAR=1». Пока это не
+  # различалось, проверка объявляла ненайденной программу с именем «AQK_PRINT_OK_DIRS=tool».
+  PROG=$(echo "$CMD" | awk '{ i = 1; while ($i ~ /^[A-Za-z_][A-Za-z0-9_]*=/) i++; print $i }')
+  command -v "$PROG" >/dev/null 2>&1 || {
+    echo "гейт «$NAME»: программа «$PROG» не установлена"
+    echo "  почини: поставь её или замени команду — сейчас гейт молча не выполняется"
+    exit 1
+  }
+  for A in $CMD; do
+    case "$A" in
+      [A-Za-z_]*=*) continue ;;
+      */*) [ -e "$DIR/$A" ] || { echo "гейт «$NAME»: файл «$A» не существует"; echo "  почини: путь в манифесте указывает в никуда — отсутствие сигнала читается как успех"; exit 1; } ;;
+    esac
+  done
+done || BAD=1
+exit $BAD

package/kit/gates/gates-are-runnable/gate.yml

@@ -0,0 +1,9 @@
+intent: каждый гейт, объявленный в манифесте, существует и запускается
+
+trigger:
+  has_gates: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md — «2026-08-24 правка конфига гейта не создавала конвейер вообще»

package/kit/gates/gates-are-runnable/green/.aqk.yml

@@ -0,0 +1,9 @@
+aqk: 1
+entry:
+  - AGENTS.md
+rules: rules
+gates:
+  lint: "bash checks/lint.sh"
+  # Присваивание переменной перед командой — обычная форма записи в оболочке. Программа здесь
+  # по-прежнему bash, а не «STRICT=1»: проверка обязана это различать.
+  lint-strict: "STRICT=1 bash checks/lint.sh"

package/kit/gates/gates-are-runnable/green/checks/lint.sh

@@ -0,0 +1,2 @@
+#!/usr/bin/env sh
+exit 0

package/kit/gates/gates-are-runnable/red/.aqk.yml

@@ -0,0 +1,6 @@
+aqk: 1
+entry:
+  - AGENTS.md
+rules: rules
+gates:
+  lint: "bash checks/lint.sh"

package/kit/gates/gates-run-in-ci/README.md

@@ -0,0 +1,29 @@
+# Объявленный гейт запускается конвейером
+
+**Намерение.** Проверка, которую гоняет только человек, работает ровно до первого «забыл».
+
+**Какой отказ это поймало.** В `audit_project` часть проверок жила только в конвейере, а часть
+только локально, и «прогнать всё как CI» означало десяток команд, которые надо помнить.
+Итог одного дня: четыре красных круга по 15–18 минут, три из четырёх падений ловились локально
+за секунды. Запись в журнале: `incidents/README.md`, 2026-08-25.
+
+**Что именно проверяется.** Каждая команда из блока `gates:` манифеста упомянута в конфиге
+конвейера — по пути к скрипту, если он есть, иначе по команде целиком.
+
+**Прогон разом тоже считается.** Если конвейер запускает `aqk doctor --run`, он гоняет всё,
+что объявлено в манифесте, и отдельный шаг на каждый гейт не нужен. Больше того, так лучше:
+добавление гейта в манифест само добавляет его в конвейер, и они не расходятся.
+
+**Чего НЕ ловит.** Что шаг конвейера действительно выполняется: он может стоять под условием,
+которое никогда не наступает, или быть помечен необязательным. Упоминание — необходимое условие,
+а не достаточное.
+
+**Почему условий два.** Запись включается, только если есть и гейты, и конвейер. Нет конвейера —
+сначала он: требовать «запусти гейты конвейером» там, где конвейера нет, значит показывать
+человеку работу, которую он сделать не может.
+
+**Готового аналога нет.** Проверено: `actionlint` и подобные проверяют синтаксис конфига
+конвейера, а не то, что в нём запускается всё объявленное в вашем манифесте. Такой сверки нет ни
+в одном известном инструменте — она возможна только там, где манифест существует.
+
+**Образцы.** `red/` — гейт объявлен, конвейер его не упоминает. `green/` — упоминает.

package/kit/gates/gates-run-in-ci/check.sh

@@ -0,0 +1,42 @@
+#!/usr/bin/env sh
+# Гейт, который запускает только человек, работает ровно до первого «забыл». Конвейер не
+# забывает. Проверяем: каждая команда из манифеста упомянута в конфиге конвейера.
+DIR="${1:-.}"
+MAN="$DIR/.aqk.yml"
+[ -f "$MAN" ] || { echo "нет .aqk.yml — проверять нечего"; exit 0; }
+
+CI=$(find "$DIR/.github/workflows" "$DIR/.gitlab-ci.yml" "$DIR/.circleci" "$DIR/Jenkinsfile" \
+     -type f 2>/dev/null)
+[ -z "$CI" ] && { echo "конвейера нет — эта проверка не про тебя"; exit 0; }
+
+# Конвейер может гонять гейты не поимённо, а разом: `aqk doctor --run` запускает всё
+# объявленное в манифесте. Тогда добавление гейта само добавляет его в конвейер, и требовать
+# отдельный шаг на каждый — значит требовать лишней работы и ловить несуществующий брак.
+# shellcheck disable=SC2086
+if grep -qE 'doctor[[:space:]]+--run|--run[[:space:]]+.*doctor' $CI 2>/dev/null; then
+  echo "конвейер запускает все объявленные гейты разом: doctor --run"
+  exit 0
+fi
+
+NAMES=$(awk '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && /^[[:space:]]+[A-Za-z0-9_-]+:/{print}' "$MAN")
+[ -z "$NAMES" ] && { echo "гейтов не объявлено"; exit 0; }
+
+BAD=0
+echo "$NAMES" | while IFS= read -r L; do
+  NAME=$(echo "$L" | sed 's/^[[:space:]]*\([A-Za-z0-9_-]*\):.*/\1/')
+  CMD=$(echo "$L" | sed 's/^[[:space:]]*[A-Za-z0-9_-]*:[[:space:]]*//; s/^"//; s/"$//')
+  [ -z "$CMD" ] && continue
+
+  # Ищем самую опознаваемую часть команды: путь к скрипту, иначе всю команду целиком.
+  KEY=$(echo "$CMD" | tr ' ' '\n' | grep '/' | head -1)
+  [ -z "$KEY" ] && KEY="$CMD"
+
+  # shellcheck disable=SC2086
+  if ! grep -qF "$KEY" $CI 2>/dev/null; then
+    echo "гейт «$NAME» не запускается конвейером: $CMD"
+    echo "  почини: добавь шаг с этой командой в конфиг конвейера."
+    echo "  гейт, который гоняет только человек, работает до первого «забыл»."
+    exit 1
+  fi
+done || BAD=1
+exit $BAD

package/kit/gates/gates-run-in-ci/gate.yml

@@ -0,0 +1,12 @@
+intent: каждый объявленный гейт запускается конвейером, а не только руками
+
+# Условия складываются: запись касается только тех, у кого есть и гейты, и конвейер.
+# Нет конвейера — сначала он, а не эта проверка.
+trigger:
+  has_gates: true
+  has_ci: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md — «2026-08-25 четыре красных круга конвейера за день, три ловились локально»

package/kit/gates/gates-run-in-ci/green/.aqk.yml

@@ -0,0 +1,6 @@
+aqk: 1
+entry:
+  - AGENTS.md
+rules: rules
+gates:
+  lint: "bash checks/lint.sh"

package/kit/gates/gates-run-in-ci/green/.github/workflows/ci.yml

@@ -0,0 +1,7 @@
+name: ci
+on: [push]
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    steps:
+      - run: bash checks/lint.sh

package/kit/gates/gates-run-in-ci/green/checks/lint.sh

@@ -0,0 +1,2 @@
+#!/usr/bin/env sh
+exit 0

package/kit/gates/gates-run-in-ci/red/.aqk.yml

@@ -0,0 +1,6 @@
+aqk: 1
+entry:
+  - AGENTS.md
+rules: rules
+gates:
+  lint: "bash checks/lint.sh"

package/kit/gates/gates-run-in-ci/red/.github/workflows/ci.yml

@@ -0,0 +1,7 @@
+name: ci
+on: [push]
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    steps:
+      - run: echo собрали

package/kit/gates/gates-run-in-ci/red/checks/lint.sh

@@ -0,0 +1,2 @@
+#!/usr/bin/env sh
+exit 0

package/kit/gates/lesson-has-outcome/README.md

@@ -0,0 +1,37 @@
+# У каждой шишки есть решение
+
+**Намерение.** Записанный отказ кончается решением, а не рассказом.
+
+**Какой отказ это поймало.** В журнале самого AQK лежало двадцать шишек. Отметку о том, во
+что она вылилась, носили **две**. Остальные восемнадцать читались как истории: понятно, что
+случилось, непонятно, что после этого поменялось. Из-за этого в отчётах о состоянии проекта
+полтора месяца повторялось «шишек 18, гейтов из них 2» — цифра, которая была неправдой, но выглядела
+измерением. Запись в журнале: `incidents/README.md`, 2026-09-03.
+
+**Почему машина, а не внимательность.** Отметка ставится в тот день, когда решение принято, и
+не ставится никогда, если про неё забыли. Забывают всегда: работа в этот момент уже сделана,
+и дописать строку в журнал кажется формальностью.
+
+**Три отметки, и третья — тоже решение.**
+
+| Отметка | Когда |
+|---|---|
+| ✅ **Стало гейтом** | появилась запись каталога, которая ловит этот класс |
+| 🔧 **Стало правкой оснастки** | починили сам инструмент, отдельной записи каталога не появилось |
+| 👤 **Гейтом не станет** | правило дисциплины, решение человека, разовый случай — и почему |
+
+Третья отметка обязательна именно потому, что соблазн — промолчать. Названный отказ не даёт
+вернуться к тому же спору через полгода.
+
+**Что считается шишкой.** Раздел, у которого назван **класс** отказа. Оглавления, вводные
+разделы и списки открытых работ класса не имеют и решением кончаться не обязаны.
+
+**Чего НЕ ловит.** Правдивость отметки. `✅ Стало гейтом: gates/чего-нет` пройдёт: проверка
+видит форму, а не факт. Что гейт существует и работает, показывают `gate-has-samples` и прогон.
+
+**Готового аналога нет.** Проверено: правило про устройство журнала инцидентов, а не про язык.
+Ни `ruff`, ни `eslint`, ни `semgrep`, ни `markdownlint` таких правил не содержат — они смотрят
+на разметку и код, а не на то, чем кончилась запись.
+
+**Образцы.** `red/` — шишка с классом и без отметки. `green/` — две шишки с отметками разного
+рода плюс раздел без класса, который проверку не касается.

package/kit/gates/lesson-has-outcome/check.sh

@@ -0,0 +1,50 @@
+#!/usr/bin/env sh
+# Журнал без отметки о решении — это дневник, а не журнал. Разница видна не сразу: обе формы
+# читаются одинаково, но по дневнику нельзя ответить на вопрос «что мы после этого поменяли».
+#
+# Отметка обязана быть одной из трёх, и третья — тоже решение:
+#   ✅ стало сторожем   🔧 стало правкой оснастки   👤 гейтом не станет, и вот почему
+# Отказ, названный вслух, стоит дороже молчания: он не даёт вернуться к тому же спору.
+DIR="${1:-.}"
+MAN="$DIR/.aqk.yml"
+
+# Где журнал — говорит манифест. Своего мнения у проверки быть не должно: путь у каждого свой.
+LESSONS=$(sed -n 's/^lessons:[[:space:]]*"\{0,1\}\([^"#]*\)"\{0,1\}[[:space:]]*$/\1/p' "$MAN" 2>/dev/null | head -1)
+case "$LESSONS" in
+  "" ) echo "в .aqk.yml не указано поле lessons — журнала нет"; exit 0 ;;
+  http*://* ) echo "журнал вынесен наружу ($LESSONS) — здесь не проверить"; exit 0 ;;
+esac
+[ -d "$DIR/$LESSONS" ] || { echo "каталога журнала нет: $LESSONS"; exit 0; }
+
+FILES=$(find "$DIR/$LESSONS" -type f -name '*.md' 2>/dev/null)
+[ -z "$FILES" ] && { echo "в журнале нет записей"; exit 0; }
+
+# Шишка — раздел верхнего уровня, чей заголовок начинается с даты (YYYY-MM-DD — …). Оглавления
+# и вводные разделы-контейнеры («Перенесённое из…», «Открытые работы…») дате не соответствуют
+# и решением кончаться не обязаны. Отметка ищется где угодно в разделе, не только в цитате:
+# старые записи несут её строкой ">", новые — абзацем "**Вывод.**"; оба варианта законны.
+printf '%s\n' $FILES | while read -r F; do
+  awk -v FILE="$F" '
+    /^## [0-9]{4}-[0-9]{2}-[0-9]{2}/ { flush(); title = $0; sub(/^## /, "", title); is_entry = 1; has_mark = 0; next }
+    /^## / { flush(); is_entry = 0; next }
+    (/✅/ || /🔧/ || /📜/ || /👤/) { has_mark = 1 }
+    END { flush() }
+    function flush() {
+      if (is_entry && title != "" && !has_mark)
+        print FILE ": «" title "» — нет отметки о решении"
+      title = ""
+    }
+  ' "$F"
+done > /tmp/.lesson.$$ 2>/dev/null
+
+if [ -s /tmp/.lesson.$$ ]; then
+  cat /tmp/.lesson.$$
+  echo "  почини: припиши строку-цитату сразу под заголовком —"
+  echo "    > ✅ **Стало гейтом:** <имя записи каталога>"
+  echo "    > 🔧 **Стало правкой оснастки:** <что именно изменено>"
+  echo "    > 👤 **Гейтом не станет:** <почему — правило дисциплины, решение человека, разовый случай>"
+  rm -f /tmp/.lesson.$$
+  exit 1
+fi
+rm -f /tmp/.lesson.$$
+exit 0

package/kit/gates/lesson-has-outcome/gate.yml

@@ -0,0 +1,11 @@
+intent: каждая записанная шишка кончается решением, а не рассказом
+
+# Проверять нечего там, где журнала нет: запись сама скажет об этом и промолчит.
+trigger:
+  always: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md, 2026-09-03 «журнал рассказывал, но не отчитывался» — из 20 шишек
+  отметку о решении носили две, и петля «шишка → сторож» была невидима на своём же журнале

package/kit/gates/lesson-has-outcome/green/.aqk.yml

@@ -0,0 +1,2 @@
+aqk: 1
+lessons: incidents

package/kit/gates/lesson-has-outcome/green/incidents/README.md

@@ -0,0 +1,32 @@
+# Журнал шишек
+
+## Как это читать
+
+Раздел без класса отказа — не шишка: оглавления и списки работ решением кончаться не обязаны.
+
+## 2026-01-14 — сборка молча ехала со старой схемой
+
+> ✅ **Стало гейтом:** `gates/schema-is-fresh` — расхождение схемы роняет отдельный шаг конвейера.
+
+**Проект:** пример
+**Класс:** гейт молчал
+
+**Что случилось.** Сверка свежести схемы стояла внутри необязательной обёртки и ничего не
+блокировала.
+
+**Чем это стоило.** Две недели расхождения клиента и сервера.
+
+**Вывод.** 🔧 Блокирующую проверку нельзя сцеплять с необязательной: обёртка сильнее содержимого.
+
+## 2026-01-20 — план переписали задним числом
+
+> 👤 **Гейтом не станет:** правило дисциплины, а не хук — решение владельца.
+
+**Проект:** пример
+**Класс:** правило обошли
+
+**Что случилось.** Из принятого плана вычеркнули критерий приёмки.
+
+**Чем это стоило.** Проверить, что именно приняли, стало нечем.
+
+**Вывод.** 📜 Реализованный план неизменяем.

package/kit/gates/lesson-has-outcome/red/.aqk.yml

@@ -0,0 +1,2 @@
+aqk: 1
+lessons: incidents

package/kit/gates/lesson-has-outcome/red/incidents/README.md

@@ -0,0 +1,13 @@
+# Журнал шишек
+
+## 2026-01-14 — сборка молча ехала со старой схемой
+
+**Проект:** пример
+**Класс:** гейт молчал
+
+**Что случилось.** Сверка свежести схемы стояла внутри необязательной обёртки и ничего не
+блокировала.
+
+**Чем это стоило.** Две недели расхождения клиента и сервера.
+
+**Вывод.** Надо будет что-то с этим сделать.

package/kit/gates/no-print-in-prod/README.md

@@ -0,0 +1,44 @@
+# Отладочная печать не доезжает до прод-кода
+
+**Намерение.** `print` и `console.log` не попадают в прод: они проходят мимо системы логов,
+не имеют уровня и могут вынести наружу то, чего в выводе быть не должно.
+
+**Какой отказ это поймало.** Прогон по `audit_project`: 40 находок, из них **5 настоящих** —
+отладочный хук `useScrollDebugger.ts`, уехавший во фронтенд и печатавший размеры окна в консоль
+пользователя. Остальные 35 разобраны поимённо и оказались законной печатью или шумом проверки.
+Запись в журнале: `incidents/README.md`, 2026-09-03.
+
+До этого прогона доказательства у записи не было, и она полтора месяца висела условной. Так и
+надо: каталог не выбрасывает слабое доказательство и не делает вид, что оно сильное, — он его
+помечает и ждёт факта.
+
+**Для программы командной строки печать — это интерфейс.** В `main` консольной утилиты
+`fmt.Println` или `println!` — не забытая отладка, а способ выдать результат. Такие каталоги
+проект называет сам, рядом с командой в манифесте:
+
+```yaml
+no-print-in-prod: "AQK_PRINT_OK_DIRS=cli bash .aqk/gates/no-print-in-prod/check.sh ."
+```
+
+**Не храповиком.** Сначала мы записали такие места долгом — и каждая новая строка вывода красила
+проверку, требуя переснять реестр. Долг — это то, что собираются погасить; печать из программы
+командной строки убирать никто не будет. Долг, который нельзя погасить работой, — не долг, а
+неверная мера. Храповик остаётся для настоящего долга: печати в прод-коде, которую уберут, но
+не сегодня.
+
+**Где печать законна.** Вспомогательные скрипты, оснастка агента, примеры, записные книжки,
+миграции — там печать это способ говорить с человеком, а не забытая отладка. Эти каталоги
+проверка пропускает. Различие важное: секрет в `scripts/` — такой же секрет, а печать — нет.
+
+**Готовый аналог есть и он точнее.** В Python это `ruff --select T20`, в TypeScript — правило
+`no-console` в eslint. Рецепты под эти стеки берут готовое; переносимая проверка остаётся для
+Go, Rust и всего остального, где готового под рукой нет.
+
+**Чего НЕ ловит.** Печать через обёртку — `myprint(x)`, `logger.print`, свой хелпер — проверка не
+видит: она ищет известные конструкции языка, а не «вывод в поток». Не видит и печать в строке,
+собранной по частям. Найдено на комментариях: печать внутри `//`, `#` и `/* */` отбрасывается,
+потому что комментарий не выполняется.
+
+**Образцы.** `red/` — модуль с отладочной печатью на трёх языках. `green/` — тот же модуль через
+систему логов, плюс пример в JSDoc и закомментированная строка, на которых проверка обязана
+молчать.

package/kit/gates/no-print-in-prod/check.sh

@@ -0,0 +1,36 @@
+#!/usr/bin/env sh
+# Отладочная печать переживает задачу и уезжает в прод: она не ошибка сборки и
+# не видна в ревью диффа на 400 строк. В проде это либо шум, либо утечка данных
+# мимо системы логов.
+DIR="${1:-.}"
+. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+# Красный образец — намеренно сломанный код в репозитории. Сканирующий гейт обязан его
+# пропускать, иначе будет вечно краснеть на том, что сам же и положил. Исключение снимается,
+# когда проверяют сам образец: тогда каталог red и есть цель проверки.
+
+# Где печать законна и дефектом не является: вспомогательные скрипты, оснастка, примеры,
+# записные книжки. Это НЕ общий список исключений: секрет в scripts/ — такой же секрет,
+# а печать там — обычный способ говорить с человеком.
+#
+# На настоящем проекте без этого различия 285 находок из 330 пришли из scripts/ и оснастки.
+# Гейт, который на 86% состоит из ложных сработок, выключают целиком.
+TOOLING="--exclude-dir=scripts --exclude-dir=tools --exclude-dir=bin --exclude-dir=examples --exclude-dir=notebooks --exclude-dir=docs --exclude-dir=.claude --exclude-dir=gates --exclude-dir=gates-reference"
+
+# Проект называет СВОИ каталоги, где печать — интерфейс, а не отладка: у программы командной
+# строки это её исходники целиком. Объявляется в манифесте, рядом с командой, и потому видно
+# глазами: AQK_PRINT_OK_DIRS="tool cli" bash .../check.sh .
+#
+# ЗАЧЕМ ОТДЕЛЬНО ОТ ХРАПОВИКА. Сначала такие места записали долгом — и каждая новая строка
+# вывода красила проверку, требуя переснять реестр. Но долг — это то, что собираются погасить;
+# печать из программы командной строки убирать никто не будет. Долг, который нельзя погасить
+# работой, — не долг, а неверная мера: журнал, 2026-09-03.
+for D in ${AQK_PRINT_OK_DIRS:-}; do
+  TOOLING="$TOOLING --exclude-dir=$D"
+done
+HITS=$(grep -rnE $(skip_grep "$DIR") $(include_code) $TOOLING '(^|[^A-Za-z_.])(print\(|console\.log\(|fmt\.Print|println!|print!|dbg!|System\.out\.print|Console\.Write)' "$DIR" 2>/dev/null | drop_comments | own_samples_filter "$DIR")
+if [ -n "$HITS" ]; then
+  echo "$HITS"
+  echo "  почини: замени на вызов системы логов — тогда запись попадёт в общий журнал и уровень можно приглушить."
+  exit 1
+fi
+exit 0

package/kit/gates/no-print-in-prod/gate.yml

@@ -0,0 +1,15 @@
+intent: отладочная печать не доезжает до прод-кода
+
+# Запись касается только языков, где есть эта конструкция. В проекте на Go или
+# Rust она не показывается вовсе.
+trigger:
+  langs: python, javascript, typescript
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+  python: ruff check --select T20 {dir}
+  typescript: eslint --rule '{"no-console":"error"}' {dir}
+
+proof: incidents/README.md, 2026-09-03 «печать внутри комментария считалась печатью» —
+  прогон по audit_project: 40 находок, из них 5 настоящих (отладочный хук во фронтенде,
+  печатавший размеры окна в консоль пользователя)

package/kit/gates/no-print-in-prod/green/docs.ts

@@ -0,0 +1,15 @@
+// Печать внутри комментария — не печать. Пример в документации к функции и закомментированная
+// строка отладки одинаково не выполняются: находка здесь означает, что проверка читает текст,
+// а не код. Найдено прогоном по audit_project — семь находок из JSDoc и закомментированных строк.
+
+/**
+ * Скачивает файл.
+ *
+ * @example
+ *   const result = await download(id);
+ *   console.log('Done:', result.file_url);
+ */
+export async function download(id: string): Promise<string> {
+  // console.log('отладка', id);
+  return `/files/${id}`;
+}

package/kit/gates/no-print-in-prod/green/legacy.py

@@ -0,0 +1,9 @@
+# print("это когда-то было отладкой") — строка закомментирована и не выполняется
+import logging
+
+log = logging.getLogger(__name__)
+
+
+def handle(x):
+    log.debug("got %s", x)
+    return x + 1

package/kit/gates/no-print-in-prod/green/main.go

@@ -0,0 +1,8 @@
+package main
+
+import "log/slog"
+
+func handle(x int) int {
+	slog.Debug("got", "x", x)
+	return x + 1
+}

package/kit/gates/no-print-in-prod/green/main.rs

@@ -0,0 +1,4 @@
+fn handle(x: i32) -> i32 {
+    log::debug!("got {}", x);
+    x + 1
+}

package/kit/gates/no-print-in-prod/green/service.py

@@ -0,0 +1,8 @@
+import logging
+
+log = logging.getLogger(__name__)
+
+
+def handle(x):
+    log.debug("got %s", x)
+    return x + 1

package/kit/gates/no-print-in-prod/red/main.go

@@ -0,0 +1,8 @@
+package main
+
+import "fmt"
+
+func handle(x int) int {
+	fmt.Println("got", x)
+	return x + 1
+}

package/kit/gates/no-print-in-prod/red/main.rs

@@ -0,0 +1,4 @@
+fn handle(x: i32) -> i32 {
+    println!("got {}", x);
+    x + 1
+}

package/kit/gates/no-print-in-prod/red/service.py

@@ -0,0 +1,3 @@
+def handle(x):
+    print("got", x)
+    return x + 1

package/kit/gates/secrets-not-in-code/README.md

@@ -0,0 +1,29 @@
+# Секреты не попадают в код
+
+**Намерение.** Приватный ключ, токен доступа или ключ платёжной системы не должны существовать
+в файлах репозитория — ни в коде, ни в примерах, ни в тестах.
+
+**Почему машина, а не внимательность.** Секрет попадает в историю один раз и остаётся там
+навсегда: переписать ветку можно, но копии уже у всех, кто её тянул. Поэтому проверка обязана
+стоять до коммита, а не «иногда руками».
+
+**Что именно ищется.** Приватные ключи в текстовом формате и опознаваемые по префиксу токены:
+платёжные `sk_live_`/`pk_test_`, ключи доступа облака `AKIA…`, токены репозитория `ghp_…`,
+токены мессенджера `xox…`.
+
+**Чего НЕ ловит.** Пароль в виде обычной строки — у него нет опознаваемой формы. Если продукт
+выдаёт **свои** ключи, им нужен собственный узнаваемый префикс: тогда сканер сможет их находить,
+а без префикса ключ неотличим от любой другой строки.
+
+**Готовый аналог есть и он сильнее.** `gitleaks` знает сотни форматов
+токенов и умеет читать историю, а не только рабочее дерево. Наша проверка — запасная: она без
+зависимостей и работает там, где ставить лишний бинарь не хотят.
+
+**На настоящем материале не подтверждена.** Два прогона по живым проектам — 36 664 и 414
+файлов — дали ноль находок. Это не доказательство работоспособности: либо оба проекта чисты,
+либо форма поиска слишком узка. Запись остаётся условной и записана долгом в
+`ratchets/proof-from-journal.txt`; доказательство появится, когда проверка поймает настоящий
+секрет, а не раньше.
+
+**Образцы.** `red/` — файл настроек с ключом платёжной системы. `green/` — тот же файл, значение
+берётся из окружения.

package/kit/gates/secrets-not-in-code/check.sh

@@ -0,0 +1,18 @@
+#!/usr/bin/env sh
+# Секрет, попавший в историю, из неё уже не убрать: ветку перепишут, а копии останутся у всех,
+# кто её тянул. Поэтому проверка стоит до коммита, а не «иногда руками».
+DIR="${1:-.}"
+. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+# Красный образец — намеренно сломанный код в репозитории. Сканирующий гейт обязан его
+# пропускать, иначе будет вечно краснеть на том, что сам же и положил. Исключение снимается,
+# когда проверяют сам образец: тогда каталог red и есть цель проверки.
+HITS=$(grep -rInE $(skip_grep "$DIR") -e \
+  '-----BEGIN [A-Z ]*PRIVATE KEY-----|(sk|pk)_(live|test)_[A-Za-z0-9]{16,}|AKIA[0-9A-Z]{16}|ghp_[A-Za-z0-9]{30,}|xox[baprs]-[A-Za-z0-9-]{10,}' \
+  "$DIR" 2>/dev/null | grep -v '/\.git/' | own_samples_filter "$DIR")
+if [ -n "$HITS" ]; then
+  echo "$HITS" | cut -c1-160
+  echo "  почини: убери значение из файла, положи его в переменную окружения и отзови старый ключ."
+  echo "  из истории секрет уже не вычистить — считай его скомпрометированным."
+  exit 1
+fi
+exit 0

package/kit/gates/secrets-not-in-code/gate.yml

@@ -0,0 +1,9 @@
+intent: ключи, пароли и приватные ключи не попадают в код
+
+trigger:
+  always: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: kit/docs/ai/project-baseline.md, пункт 5 — «секреты не хранятся в коде вообще: ни в истории, ни в примерах, ни в тестах»