agent-quality-kit 0.4.2 → 0.5.0

package/tool/lib/baseline.mjs

@@ -0,0 +1,87 @@
+// tool/lib/baseline.mjs — обязательный минимум проекта, проверяемый прогоном.
+//
+// ЗАЧЕМ. `kit/docs/ai/project-baseline.md` — 50 пунктов «что обязано быть, чтобы работу можно
+// было отдать агентам». До сих пор это было единственное место, где комплект просил верить на
+// слово, что человек прочитал и сверился. Ручной проход по живому проекту нашёл настоящее:
+// логирование не задано вовсе, трекера ошибок нет, задачи конвейера не запускались ни разу.
+// Дисциплина не масштабируется — то, что проверяется машиной, проверяет машина.
+//
+// ЧЕСТНАЯ ГРАНИЦА. Машина проверяет НАЛИЧИЕ, а не работоспособность: «линтер настроен» — не то
+// же, что «линтер ловит». Поэтому вывод говорит, чем именно доказан пункт, а непроверяемые
+// пункты называются числом, а не прячутся.
+//
+// НЕЙТРАЛЬНОСТЬ К СТЕКУ — условие, а не пожелание. Каждый признак — это семейство маркеров
+// разных экосистем; пункт засчитывается по любому из них. Список, знающий только про npm,
+// объявил бы половину мира несоответствующей.
+
+// Совпадение по имени файла в корне: точное имя, либо имя, начинающееся с образца (`.eslintrc*`).
+function hit(files, names) {
+  const low = files.map((f) => f.toLowerCase());
+  return names.find((n) => {
+    const k = n.toLowerCase();
+    return k.endsWith("*") ? low.some((f) => f.startsWith(k.slice(0, -1))) : low.includes(k);
+  });
+}
+
+// Пункты, которые машина может подтвердить фактом, а не мнением. Остальные сорок с лишним
+// остаются человеку — и называются вслух, чтобы «не проверено» не читалось как «в порядке».
+const ITEMS = [
+  { n: 1, key: "oneCommand", files: ["makefile", "justfile", "taskfile.yml", "taskfile.yaml", "rakefile", "docker-compose.yml", "docker-compose.yaml", "compose.yml", "compose.yaml", "package.json", "mise.toml", "pixi.toml"] },
+  { n: 2, key: "lockfile", files: ["package-lock.json", "yarn.lock", "pnpm-lock.yaml", "bun.lockb", "poetry.lock", "pipfile.lock", "uv.lock", "requirements.txt", "go.sum", "cargo.lock", "gemfile.lock", "composer.lock", "gradle.lockfile", "packages.lock.json", "pubspec.lock", "mix.lock"] },
+  { n: 3, key: "sameEnv", files: ["dockerfile", "containerfile", "docker-compose.yml", "docker-compose.yaml", "compose.yml", "compose.yaml", ".devcontainer", "devcontainer.json", "flake.nix", "shell.nix", ".tool-versions", ".nvmrc", ".python-version", ".ruby-version", ".sdkmanrc", "mise.toml", "asdf.toml"] },
+  { n: 6, key: "formatter", files: [".editorconfig", ".prettierrc*", "prettier.config*", "rustfmt.toml", ".rustfmt.toml", ".clang-format", ".scalafmt.conf", ".rubocop.yml", "biome.json", "biome.jsonc", ".dprint.json", "dprint.json"] },
+  { n: 7, key: "linter", files: [".eslintrc*", "eslint.config*", "ruff.toml", ".ruff.toml", ".flake8", ".pylintrc", ".golangci.yml", ".golangci.yaml", "clippy.toml", ".rubocop.yml", "phpstan.neon", "psalm.xml", "detekt.yml", ".swiftlint.yml", "biome.json", ".credo.exs", "checkstyle.xml"] },
+  { n: 8, key: "types", files: ["tsconfig.json", "jsconfig.json", "mypy.ini", ".mypy.ini", "pyrightconfig.json", "sorbet", "go.mod", "cargo.toml", "pom.xml", "build.gradle", "build.gradle.kts", "stack.yaml", "dune-project"] },
+  { n: 9, key: "secretScan", files: [".gitleaks.toml", "gitleaks.toml", ".secrets.baseline", ".trufflehogignore", ".talismanrc", ".gitguardian.yml", ".gitguardian.yaml"], gate: "secrets-not-in-code" },
+  { n: 10, key: "fileSize", gate: "file-size-limit" },
+  { n: 11, key: "ownInvariants", gate: "no-print-in-prod" },
+  { n: 13, key: "tests", fact: "has_tests" },
+  { n: 19, key: "pipeline", fact: "has_ci" },
+  { n: 30, key: "errorTracker", deps: ["sentry", "rollbar", "bugsnag", "honeybadger", "airbrake", "appsignal", "datadog", "newrelic", "new-relic", "elastic-apm", "opentelemetry", "glitchtip"] },
+  { n: 39, key: "machineReadable", manifestField: "entry" },
+  { n: 42, key: "rulesInRepo", manifestField: "rules" },
+];
+
+// Файлы, в которых объявляют зависимости. Один список на все экосистемы: пункт про трекер
+// ошибок нейтрален, а знать про один только npm — значит объявить половину мира несоответствующей.
+const DEP_FILES = [
+  "package.json", "requirements.txt", "pyproject.toml", "pipfile", "poetry.lock", "uv.lock",
+  "go.mod", "cargo.toml", "gemfile", "composer.json", "build.gradle", "build.gradle.kts",
+  "pom.xml", "mix.exs", "pubspec.yaml", "project.clj", "deps.edn",
+];
+
+// Чем подтверждён пункт, возвращается СТРУКТУРОЙ, а не готовой фразой: текст переводится,
+// а факт — нет. Собранная здесь строка утекла бы в английский вывод по-русски; так и вышло.
+/**
+ * Вход — только факты, никакого ввода-вывода: функция чистая и проверяется модульно.
+ *   files      — имена файлов и каталогов в корне репозитория
+ *   gateKeys   — гейты, объявленные в манифесте
+ *   facts      — то, что уже насчитал осмотр репозитория (has_ci, has_tests)
+ *   manifest   — разобранный .aqk.yml
+ *   depsText   — склеенное содержимое файлов зависимостей, в нижнем регистре
+ */
+function assessBaseline({ files = [], gateKeys = [], facts = {}, manifest = {}, depsText = "" }) {
+  return ITEMS.map((it) => {
+    if (it.gate && gateKeys.includes(it.gate)) return { n: it.n, key: it.key, ok: true, by: { kind: "gate", value: it.gate } };
+    if (it.fact) return { n: it.n, key: it.key, ok: Boolean(facts[it.fact]), by: { kind: "fact", value: it.fact } };
+    if (it.manifestField) {
+      const v = manifest?.[it.manifestField];
+      const filled = Array.isArray(v) ? v.length > 0 : Boolean(String(v || "").trim());
+      return { n: it.n, key: it.key, ok: filled, by: { kind: "manifest", value: it.manifestField } };
+    }
+    if (it.deps) {
+      const found = it.deps.find((d) => depsText.includes(d));
+      return { n: it.n, key: it.key, ok: Boolean(found), by: found ? { kind: "dep", value: found } : null };
+    }
+    const f = hit(files, it.files || []);
+    return { n: it.n, key: it.key, ok: Boolean(f), by: f ? { kind: "file", value: f } : null };
+  });
+}
+
+// Всего пунктов в методичке. Число не выводится из кода: методичка — текст, и её длину знает
+// только она сама. Сверяется проверкой, чтобы не разошлось молча.
+const BASELINE_TOTAL = 50;
+
+// Наружу — только то, что зовут. Экспорт, который никто не импортирует, читается как «это
+// часть договора» и мешает менять внутренности; `hit` остался внутри. Поймал наш же dead-code.
+export { assessBaseline, ITEMS, DEP_FILES, BASELINE_TOTAL };

package/tool/lib/core.mjs

@@ -7,7 +7,7 @@
 import { access, readdir, mkdir, copyFile, writeFile } from "node:fs/promises";
 import { constants } from "node:fs";
 import { fileURLToPath } from "node:url";
-import { dirname, join, resolve, relative } from "node:path";
+import { dirname, join, relative, resolve, sep } from "node:path";
 import { homedir } from "node:os";
 
 const HERE = dirname(fileURLToPath(import.meta.url));
@@ -71,6 +71,14 @@ const RATCHET_LIB = `${RATCHET_DIR}/_ratchet.sh`;
 // то и другое врёт о том, видел человек просьбу или нет.
 const FEEDBACK_MARK = join(homedir(), ".config", "aqk", "feedback-shown");
 
+// Путь, попадающий в ДОКУМЕНТ, всегда пишется через «/». `relative()` отдаёт разделитель
+// платформы, и на Windows склейка методичек и отчёт получались с «kit\\docs» вместо «kit/docs»:
+// артефакт, который человек читает и пересылает, оказывался разным на разных системах. Найдено
+// заданием конвейера на windows-latest — шестьдесят шесть проверок на Linux этого не видели.
+function docPath(from, to) {
+  return relative(from, to).split(sep).join("/");
+}
+
 async function copyDir(src, dst, { force }) {
   await mkdir(dst, { recursive: true });
   const entries = await readdir(src, { withFileTypes: true });
@@ -98,7 +106,7 @@ async function writeIfAbsent(path, content, { force }) {
 
 export {
   copyDir, writeIfAbsent,
-  PKG_ROOT, CWD, DOCS_SRC, RULES_SRC, TARGET_DIR,
+  PKG_ROOT, CWD, DOCS_SRC, RULES_SRC, TARGET_DIR, docPath,
   MANIFEST, GATES_SRC, PROJECT_GATES, RATCHET_DIR, RATCHET_LIB,
   SELF, REPO_URL, c, exists, die, FEEDBACK_MARK,
 };

package/tool/lib/manifest.mjs

@@ -12,11 +12,24 @@ import { L } from "../i18n/index.mjs";
 // Разбор ограниченного подмножества YAML: ключ, вложенный на один уровень ключ, список.
 // НАМЕРЕННО без библиотеки: манифест обязан быть настолько простым, чтобы его разбирал
 // кусок кода, который читается за минуту. Сложный манифест никто не заполнит.
+// Срезает комментарий по правилу YAML: решётка начинает комментарий только с начала строки
+// или после пробела. Безусловное `replace(/#.*$/)` молча обрезало команду
+// `npx jscpd --format "java,c#,php"` на «c» — гейт запускал не то, что объявлено, и об этом
+// никто не узнавал. Объявленное и исполняемое обязаны совпадать: на этом стоит весь стандарт.
+//
+// Пары кавычек не отслеживаем намеренно: в рецептах кавычки соседние, а не вложенные
+// (`"bash x.sh --format "a,b" ."`), и подсчёт пар решил бы, что «c#» стоит снаружи.
+function stripComment(raw) {
+  const i = raw.search(/(^|\s)#/);
+  if (i < 0) return raw;
+  return raw[i] === "#" ? raw.slice(0, i) : raw.slice(0, i + 1);
+}
+
 function parseManifest(text) {
   const out = {};
   let section = null;
   for (const raw of text.split("\n")) {
-    const line = raw.replace(/#.*$/, "").replace(/\s+$/, "");
+    const line = stripComment(raw).replace(/\s+$/, "");
     if (!line.trim()) continue;
     const indented = /^\s/.test(line);
     const listItem = line.trim().startsWith("- ");
@@ -55,6 +68,24 @@ function parseManifest(text) {
   return out;
 }
 
+// Поля, которые манифест знает. Список здесь, а не в схеме-файле: зависимостей у программы
+// нет, а схема на восемь ключей, которую надо валидировать библиотекой, стоит дороже, чем
+// защищает.
+//
+// ЗАЧЕМ ЭТО ВООБЩЕ. Разбор принимает любое имя поля. Опечатка `gate:` вместо `gates:` молча
+// означала «гейтов не объявлено»: вердикт выдавался неверный, а причина не называлась. Это
+// ровно тот класс, против которого построен стандарт — тишина неотличима от успеха, — только
+// внутри самой программы.
+// Список обязан совпадать с тем, что программа РЕАЛЬНО читает (`man?.<поле>` в tool/):
+// лишнее имя здесь молча узаконивает поле, которое ни на что не влияет, — та же тишина,
+// только с другой стороны. Сверено обходом: aqk, entry, rules, gates, samples, ratchets, lessons.
+const KNOWN_KEYS = ["aqk", "entry", "rules", "gates", "samples", "ratchets", "lessons"];
+
+function unknownKeys(man) {
+  if (!man || typeof man !== "object" || Array.isArray(man)) return [];
+  return Object.keys(man).filter((k) => !KNOWN_KEYS.includes(k));
+}
+
 async function readManifest() {
   const p = join(CWD, MANIFEST);
   if (!(await exists(p))) return null;
@@ -118,4 +149,4 @@ function manifestWithGate(text, slug, cmd) {
   return { text: out, why: null };
 }
 
-export { parseManifest, readManifest, assessLevel, manifestWithGate };
+export { parseManifest, readManifest, assessLevel, manifestWithGate, unknownKeys, KNOWN_KEYS };

package/tool/lib/repo.mjs

@@ -49,6 +49,11 @@ async function detectFacts(man) {
   let files = 0;
   let hasDb = false;
   let hasTests = false;
+  // Признак интерфейса: стили или однофайловые компоненты. Нужен записям про внешний вид —
+  // без него запрет литерального цвета показывался бы каждому бэкенду, библиотеке и CLI на
+  // JS, где интерфейса нет вовсе. Записи, показанной не тому, не верят, и каталог теряет
+  // доверие целиком, а не одной строкой.
+  let hasUi = false;
 
   async function walk(dir, depth) {
     if (depth > 4 || files > 4000) return;
@@ -72,6 +77,7 @@ async function detectFacts(man) {
         files++;
         if (/\.(test|spec)\.[a-z]+$/i.test(it.name) || /^test_.*\.py$/i.test(it.name) || /_test\.go$/i.test(it.name)) hasTests = true;
         if (it.name.endsWith(".sql")) hasDb = true;
+        if (/\.(css|scss|sass|less|styl|vue|svelte|astro)$/i.test(it.name)) hasUi = true;
         const dot = it.name.lastIndexOf(".");
         if (dot > 0) {
           const lang = EXT_LANG[it.name.slice(dot)];
@@ -88,6 +94,7 @@ async function detectFacts(man) {
     files,
     has_db: hasDb,
     has_tests: hasTests,
+    has_ui: hasUi,
     has_gates: Object.values(gates).some((c) => String(c || "").trim()),
     gateKeys: Object.keys(gates),
   };

package/tool/selfcheck/gates.sh

@@ -59,9 +59,16 @@ for GATE in "$CAT"/*/; do
   # Два раздела README обязательны нормой каталога. Пока их не проверяла машина, четыре записи
   # из четырнадцати жили без раздела про готовый аналог и четыре — без «чего НЕ ловит».
   # Правило нормы, за которым не следит машина, — это пожелание.
-  grep -qiE 'готовы(й аналог|й инструмент|е правил)|готового аналога' "$GATE/README.md" 2>/dev/null \
+  # Без `-i` и через `tr -d '\r'`. На Windows этот шаг отклонял ВЕСЬ каталог — 32 из 47 —
+  # то есть первый же прогон комплекта у человека на Windows выглядел как «здесь всё сломано».
+  # Две причины сняты разом, потому что порознь ни одна локально не воспроизводится: markdown
+  # приезжает туда с CRLF (`.gitattributes` держит LF только для `*.sh`), а `grep -i` с
+  # кириллицей в сборке MSYS ведёт себя не так, как GNU grep. Регистр первой буквы назван
+  # явно — это дешевле, чем полагаться на сворачивание регистра в чужой сборке grep.
+  README_TEXT="$(tr -d '\r' < "$GATE/README.md" 2>/dev/null)"
+  printf '%s\n' "$README_TEXT" | grep -qE '[Гг]отовы(й аналог|й инструмент|е правил)|[Гг]отового аналога' \
     || bad "$SLUG: в README нет раздела про готовый аналог — «не искал» и «нет» разные утверждения"
-  grep -qiE 'чего НЕ ловит' "$GATE/README.md" 2>/dev/null \
+  printf '%s\n' "$README_TEXT" | grep -qE 'чего НЕ ловит|Чего НЕ ловит|чего не ловит|Чего не ловит' \
     || bad "$SLUG: в README нет раздела «чего НЕ ловит» — граница записи обязана быть названа"
 
   case "$PROOF" in

package/tool/selfcheck/mutation.sh

@@ -0,0 +1,95 @@
+#!/usr/bin/env bash
+# tool/selfcheck/mutation.sh — доказывает, что гейт краснеет на КЛАССЕ примеров, а не на одном.
+#
+# ЗАЧЕМ. Пара образцов red/green доказывает ровно одно срабатывание. Одна проверка `.aqkignore`
+# была написана так, что не могла покраснеть, и это заметили случайно; сколько таких ещё —
+# неизвестно (PROJECT.md §9 п.4). Гейт, который не может упасть, неотличим от работающего.
+#
+# КАК. Образец меняется так, что вердикт МЕНЯТЬСЯ НЕ ОБЯЗАН: сдвиг строк, перевод строк в
+# windows-формат. Если после такой правки красный позеленел или зелёный покраснел — гейт
+# опирался не на то, что заявляет. Идея взята из мутационного тестирования правил в
+# millionco/react-doctor (packages/fuzz), приёмы — свои, зависимостей не добавлено.
+#
+# ПОЧЕМУ ИМЕННО ЭТИ ДВЕ. Обе сохраняют смысл по построению и обе бьют по настоящим болям:
+# сдвиг строк ловит проверки, привязанные к номеру строки; CRLF ловит те, что сломаются на
+# windows-чекауте, — а конвейера на Windows у нас до сих пор нет (PROJECT.md §9 п.2).
+#
+#   bash tool/selfcheck/mutation.sh
+
+set -uo pipefail
+ROOT="$(cd "$(dirname "${BASH_SOURCE[0]}")/../.." && pwd)"
+CAT="$ROOT/kit/gates"
+PASS=0; FAIL=0; SKIP=0
+
+ok()   { printf '  \033[32m✔\033[0m  %s\n' "$1"; PASS=$((PASS+1)); }
+bad()  { printf '  \033[31m✘\033[0m  %s\n' "$1"; FAIL=$((FAIL+1)); }
+skip() { printf '  \033[2m·\033[0m  %s\n' "$1"; SKIP=$((SKIP+1)); }
+
+printf '\n\033[1mtool/selfcheck/mutation.sh\033[0m\n\n'
+[ -d "$CAT" ] || { echo "  каталога гейтов нет"; exit 1; }
+
+# Сдвиг строк: три пустые строки в начало каждого файла. Номера всех строк меняются, смысл —
+# нет. Проверка, которая помнит номер, а не содержание, здесь и ломается.
+mutate_blank_lines() {
+  find "$1" -type f 2>/dev/null | while IFS= read -r F; do
+    { printf '\n\n\n'; cat "$F"; } > "$F.mut" && mv "$F.mut" "$F"
+  done
+}
+
+# Перевод строк в windows-формат. Смысл файла тот же, но у проверки, которая ищет по «конец
+# строки», перед ним оказывается \r — и она перестаёт видеть то, что видела.
+mutate_crlf() {
+  find "$1" -type f 2>/dev/null | while IFS= read -r F; do
+    sed 's/$/\r/' "$F" > "$F.mut" && mv "$F.mut" "$F"
+  done
+}
+
+for GATE in "$CAT"/*/; do
+  SLUG="$(basename "$GATE")"
+  YML="$GATE/gate.yml"
+  [ -f "$YML" ] || continue
+  [ -d "$GATE/red" ] && [ -d "$GATE/green" ] || continue
+
+  # Только переносимый рецепт. Родные инструменты требуют установленной программы, и на
+  # машине без неё «не проверено» было бы неотличимо от «проверено»: ровно та тишина, против
+  # которой всё это написано. Записи без `any` называются вслух, а не пропускаются молча.
+  RECIPE="$(sed -n 's/^[[:space:]]*any:[[:space:]]*\(.*\)$/\1/p' "$YML" | head -1)"
+  if [ -z "$RECIPE" ]; then
+    skip "$SLUG: нет переносимого рецепта — мутации проверять нечем"
+    continue
+  fi
+
+  GATE_FAILED=0
+  for MUT in blank_lines crlf; do
+    for KIND in red green; do
+      TMP="$(mktemp -d)"
+      cp -r "$GATE/$KIND" "$TMP/$KIND"
+      "mutate_$MUT" "$TMP/$KIND"
+
+      # {gate} остаётся настоящим каталогом гейта: мутируется ОБРАЗЕЦ, а не сама проверка.
+      CMD="$(echo "$RECIPE" | sed "s|{gate}|$GATE|; s|{dir}|$TMP/$KIND|")"
+      OUT="$(eval "$CMD" 2>&1)"; CODE=$?
+      rm -rf "$TMP"
+
+      if [ "$KIND" = red ] && [ "$CODE" -eq 0 ]; then
+        bad "$SLUG / $MUT: красный образец позеленел — гейт держался за то, чего не заявляет"
+        GATE_FAILED=1
+      elif [ "$KIND" = green ] && [ "$CODE" -ne 0 ]; then
+        bad "$SLUG / $MUT: зелёный образец покраснел — гейт ругается на исправный код"
+        printf '     \033[2m%s\033[0m\n' "$(printf '%s' "$OUT" | head -1 | cut -c1-100)"
+        GATE_FAILED=1
+      fi
+    done
+  done
+  [ "$GATE_FAILED" -eq 0 ] && ok "$SLUG: вердикт пережил сдвиг строк и windows-переносы"
+done
+
+printf '\n'
+if [ "$FAIL" -eq 0 ]; then
+  printf '  \033[32mвердикт устойчив: %s гейтов\033[0m' "$PASS"
+else
+  printf '  \033[31mвердикт поплыл: %s\033[0m' "$FAIL"
+fi
+[ "$SKIP" -gt 0 ] && printf '  \033[2m(без переносимого рецепта: %s)\033[0m' "$SKIP"
+printf '\n\n'
+exit "$FAIL"

package/tool/selfcheck/smoke.sh

@@ -384,18 +384,22 @@ rm -rf "$GODIR"
 
 # --- 24. просьба про звезду и обратную связь — один раз на машину -----------
 # Печатается один раз на установку (не на проект): второй init на этой же HOME её не повторяет.
+# USERPROFILE задаётся рядом с HOME: `os.homedir()` на Windows читает именно его, и без этого
+# отметка уезжала в настоящий домашний каталог раннера — к этой проверке она там уже лежала от
+# предыдущих прогонов init, и просьба не печаталась. Изоляция, которая не изолирует, хуже её
+# отсутствия: проверка краснела не на дефекте.
 # Отметка живёт вне репозитория — внутри .aqk/ она либо закоммитится в чужой проект, либо
 # потеряется при повторном init --force.
 FAKEHOME="$(mktemp -d)"
 D1="$(mktemp -d)"
-OUT1=$( cd "$D1" && HOME="$FAKEHOME" node "$CLI" init 2>&1 )
+OUT1=$( cd "$D1" && HOME="$FAKEHOME" USERPROFILE="$FAKEHOME" node "$CLI" init 2>&1 )
 if printf '%s' "$OUT1" | grep -qi 'звезд'; then
   ok "первый init на новой машине зовёт поставить звезду"
 else
   bad "первый init не упомянул звезду/обратную связь" "$OUT1"
 fi
 D2="$(mktemp -d)"
-OUT2=$( cd "$D2" && HOME="$FAKEHOME" node "$CLI" init 2>&1 )
+OUT2=$( cd "$D2" && HOME="$FAKEHOME" USERPROFILE="$FAKEHOME" node "$CLI" init 2>&1 )
 if printf '%s' "$OUT2" | grep -qi 'звезд'; then
   bad "init повторил просьбу про звезду на той же машине" "второй проект, та же HOME"
 else
@@ -428,7 +432,9 @@ rm -f /tmp/aqk-broken-doc-links.$$
 # --- 26. doctor печатает версию комплекта ------------------------------------
 # Баг-репорт без версии нечем привязать к коммиту — заметили, заполняя .github/ISSUE_TEMPLATE/,
 # где просили версию из шапки doctor, а шапка её не печатала вовсе.
-PKGVER=$(node -e "console.log(require('$ROOT/package.json').version)")
+# Путь отдаётся оболочкой, а Node на Windows не понимает «/d/a/…» из Git Bash. Читаем из
+# текущего каталога, а не подставляем абсолютный путь в код.
+PKGVER=$( cd "$ROOT" && node -p "require('./package.json').version" )
 DOCVER=$( cd "$ROOT" && node "$CLI" doctor 2>&1 | head -3)
 if printf '%s' "$DOCVER" | grep -qF "$PKGVER"; then
   ok "doctor печатает версию комплекта ($PKGVER)"
@@ -532,16 +538,25 @@ fi
 rm -rf "$SHDIR" "$CEDIR"
 
 # --- 32. вывод действительно на двух языках -----------------------------------
+# Утечку русского ищем СЛОВАМИ, а не диапазоном [а-яА-ЯёЁ]. Диапазон непереносим: в сборке grep
+# из MSYS он сравнивает байты, и «—», «·», ««»» из обычной типографики попадают в него — на
+# Windows проверка насчитывала пять «кириллических» строк в чисто английском выводе. Литеральные
+# слова совпадают одинаково везде, что тот же прогон и подтвердил.
 # Сверка ключей каталогов (units.mjs) доказывает, что строки не разошлись, но не доказывает,
 # что выбор языка вообще доехал до вывода. Это проверяется только запуском.
 EN_OUT=$(AQK_LANG=en node "$CLI" 2>&1)
 RU_OUT=$(AQK_LANG=ru node "$CLI" 2>&1)
 if printf '%s' "$EN_OUT" | grep -q "install a gate from the catalogue" &&
-   ! printf '%s' "$EN_OUT" | grep -q '[а-яА-ЯёЁ]' &&
+   ! printf '%s' "$EN_OUT" | grep -qE 'гейт|каталог|проверк|уровен|репозитор' &&
    printf '%s' "$RU_OUT" | grep -q "поставить гейт из каталога"; then
   ok "справка печатается на двух языках, в английской нет кириллицы"
 else
-  bad "выбор языка не доехал до вывода" "$(printf '%s' "$EN_OUT" | head -4)"
+  # Диагностика по каждому условию отдельно. Прежняя печатала первые строки вывода — по ним
+  # видно, что вывод английский, и совершенно не видно, какая из трёх сверок не сошлась.
+  EN_HAS=$(printf '%s' "$EN_OUT" | grep -c "install a gate from the catalogue")
+  EN_CYR=$(printf '%s' "$EN_OUT" | grep -cE 'гейт|каталог|проверк|уровен|репозитор')
+  RU_HAS=$(printf '%s' "$RU_OUT" | grep -c "поставить гейт из каталога")
+  bad "выбор языка не доехал до вывода" "англ.фраза=$EN_HAS кириллица_в_англ=$EN_CYR рус.фраза=$RU_HAS"
 fi
 
 # --- 33. ссылка на репозиторий ведёт в репозиторий -----------------------------
@@ -549,7 +564,7 @@ fi
 # «github:владелец/репозиторий»), просьба про звезду поехала на github.com/agent-quality-kit —
 # несуществующую страницу. Единственное место, где мы просим человека о чём-то, вело в никуда.
 FBDIR="$(mktemp -d)"; FBPROJ="$(mktemp -d)"
-FB_OUT=$( cd "$FBPROJ" && git init -q . && HOME="$FBDIR" node "$CLI" init 2>&1 )
+FB_OUT=$( cd "$FBPROJ" && git init -q . && HOME="$FBDIR" USERPROFILE="$FBDIR" node "$CLI" init 2>&1 )
 if printf '%s' "$FB_OUT" | grep -qE 'https://github\.com/[A-Za-z0-9_.-]+/[A-Za-z0-9_.-]+'; then
   ok "просьба про звезду ведёт на репозиторий, а не на github.com/<имя пакета>"
 else
@@ -565,13 +580,19 @@ REPDIR="$(mktemp -d)"
 (
   cd "$REPDIR" && git init -q . && mkdir -p src &&
   printf 'def f():\n    print("debug")\n' > src/a.py &&
-  node "$CLI" start >/dev/null 2>&1
+  node "$CLI" start > /tmp/aqk-start.log 2>&1
 )
 REP_OUT=$( cd "$REPDIR" && node "$CLI" report 2>&1 ); REP_CODE=$?
 if [ "$REP_CODE" -ne 0 ] && printf '%s' "$REP_OUT" | grep -q '❌ no-print-in-prod'; then
   ok "report краснеет кодом возврата и называет упавший гейт"
 else
-  bad "report не отличает красное от зелёного" "код $REP_CODE"
+  # Код возврата отчёта не говорит, ПОЧЕМУ он ноль: гейт не сработал, не установился или
+  # установился не тот. Спрашиваем сам гейт напрямую — это и есть разница между «отчёт врёт»
+  # и «проверка не ловит на этой системе».
+  G_LS=$( cd "$REPDIR" && ls gates 2>&1 | tr '\n' ' ' )
+  G_DECL=$( cd "$REPDIR" && sed -n '/^gates:/,$p' .aqk.yml 2>/dev/null | grep -cE '^[[:space:]]+[A-Za-z0-9_-]+:' )
+  G_OUT=$( cd "$REPDIR" && bash gates/no-print-in-prod/check.sh . 2>&1 | head -2 ); G_CODE=$?
+  bad "report не отличает красное от зелёного" "код отчёта $REP_CODE; гейт напрямую: код $G_CODE, вывод «$(printf '%s' "$G_OUT" | tr '\n' ' ')»; в gates/: «$G_LS»; объявлено гейтов: $G_DECL; хвост start: «$(tail -4 /tmp/aqk-start.log 2>/dev/null | tr '\n' ' ')»"
 fi
 if [ -f "$REPDIR/.aqk/report.md" ] && grep -q '^## ' "$REPDIR/.aqk/report.md"; then
   ok "report сохраняет .aqk/report.md"
@@ -696,6 +717,193 @@ else
 fi
 rm -rf "$BDIR"
 
+# --- 41. порог различает «ступень ниже» и «упал гейт» -------------------------
+# ЗАЧЕМ. При упавшем гейте печаталось «Порог AQK-1 НЕ пройден: сейчас AQK-1» — утверждение,
+# противоречащее само себе. Человек шёл чинить манифест, а падал гейт. Это две разные
+# развилки, и сообщение обязано их различать, иначе оно отправляет чинить не то.
+TDIR="$(mktemp -d)"
+( cd "$TDIR" && git init -q . && node "$CLI" init >/dev/null 2>&1 )
+printf 'gates:\n  always-fails: "false"\n' >> "$TDIR/.aqk.yml"
+OUT_GATE="$( cd "$TDIR" && node "$CLI" doctor --run --min 1 2>&1 )"; RC_GATE=$?
+# Ступень ниже порога: пустой манифест без входа и правил.
+EDIR="$(mktemp -d)"; ( cd "$EDIR" && git init -q . && printf 'aqk: 1\n' > .aqk.yml )
+OUT_LVL="$( cd "$EDIR" && node "$CLI" doctor --min 3 2>&1 )"; RC_LVL=$?
+if [ "$RC_GATE" -ne 0 ] && [ "$RC_LVL" -ne 0 ] &&
+   printf '%s' "$OUT_GATE" | grep -q 'always-fails' &&
+   ! printf '%s' "$OUT_GATE" | grep -qE '(НЕ пройден|NOT passed): (сейчас|currently) AQK-1' &&
+   printf '%s' "$OUT_LVL" | grep -qE '(НЕ пройден|NOT passed)'; then
+  ok "порог различает упавший гейт и недобранную ступень"
+else
+  bad "сообщение о пороге не различает две развилки" "гейт: $(printf '%s' "$OUT_GATE" | tail -2 | tr '\n' ' ')"
+fi
+rm -rf "$TDIR" "$EDIR"
+
+# --- 42. duplicate-code: пара упорядочена, а не как отдал обход ---------------
+# ЗАЧЕМ. Ключ пары складывался в порядке, в котором файлы отдал find, а он разный на разных
+# системах (здесь — по хешу имени, не по алфавиту и не по времени создания). Реестр, снятый
+# на одной машине, краснел в конвейере целиком: те же дубли читались как новые. Хуже: храповик
+# объявлял их исправленными и вычёркивал — реестр портился. Инвариант: пара внутри строки
+# всегда лексикографическая, тогда ключ одинаков на любой системе.
+DD="$(mktemp -d)"
+BLOCK='def f():\n    a = 1\n    b = 2\n    c = 3\n    d = 4\n    e = 5\n    g = 6\n    h = 7\n    return a\n'
+printf "$BLOCK" > "$DD/zz.py"; printf "$BLOCK" > "$DD/aa.py"
+LINE="$(bash "$ROOT/kit/gates/duplicate-code/check.sh" "$DD" 2>&1 | sed "s#$DD/##g" | grep 'одинаков' | head -1)"
+FIRST="${LINE%% и *}"; REST="${LINE#* и }"; SECOND="${REST%%:*}"
+if [ -n "$LINE" ] && [ "${FIRST%%:*}" \< "$SECOND" ]; then
+  ok "duplicate-code упорядочивает пару лексикографически"
+else
+  bad "пара идёт в порядке обхода — реестр разъедется между машинами" "$LINE"
+fi
+rm -rf "$DD"
+
+# --- 43. храповик: ключ переживает сдвиг строки в ПЕРВОМ файле пары -----------
+# ЗАЧЕМ. keys() убирал номер строки шаблоном ':<число>:', а у первого файла пары за номером
+# идёт ' и '. Номер оставался в ключе, и сдвиг кода в первом файле читался как новое
+# нарушение — ровно то, от чего храповик защищает.
+RDIR="$(mktemp -d)"
+printf '# реестр\na.tsx: и b.tsx: одинаковый кусок\n' > "$RDIR/reg.txt"
+bash "$ROOT/kit/ratchet/ratchet.sh" "$RDIR/reg.txt" \
+  printf 'a.tsx:171 и b.tsx:188: одинаковый кусок\n' >/dev/null 2>&1; RC_SHIFT=$?
+if [ "$RC_SHIFT" -eq 0 ]; then
+  ok "храповик: номер строки убран у обоих файлов пары"
+else
+  bad "сдвиг строки в первом файле пары читается как новое нарушение" "код $RC_SHIFT"
+fi
+rm -rf "$RDIR"
+
+# --- 44. манифест называет опечатку в имени поля -------------------------------
+# ЗАЧЕМ. Разбор принимает любое имя поля. `gate:` вместо `gates:` молча означало «гейтов не
+# объявлено»: вердикт выходил неверный, а причина не называлась. Человек шёл искать ошибку в
+# проекте, а она была в одной букве манифеста. Тишина неотличима от успеха — тот самый класс,
+# против которого построен стандарт, только внутри самой программы.
+MDIR="$(mktemp -d)"
+( cd "$MDIR" && git init -q . && node "$CLI" init >/dev/null 2>&1 )
+sed -i 's/^gates:/gate:/' "$MDIR/.aqk.yml"
+OUT_TYPO="$( cd "$MDIR" && node "$CLI" doctor 2>&1 )"
+OUT_OK="$( cd "$MDIR" && sed -i 's/^gate:/gates:/' .aqk.yml && node "$CLI" doctor 2>&1 )"
+if printf '%s' "$OUT_TYPO" | grep -qE '(does not know|не знает).*gate' &&
+   ! printf '%s' "$OUT_OK" | grep -qE '(does not know|не знает)'; then
+  ok "манифест называет неизвестное поле и молчит на верном"
+else
+  bad "опечатка в поле манифеста проходит молча" "$(printf '%s' "$OUT_TYPO" | grep -i 'know\|знает' | head -1)"
+fi
+rm -rf "$MDIR"
+
+# --- 45. родной рецепт не читает то, что не читают переносимые -----------------
+# ЗАЧЕМ. own_samples_filter знал про образцы гейтов и .aqkignore, но не про SKIP_NAMES:
+# их применяли только переносимые проверки при обходе, а родному инструменту список не
+# доставался вовсе. На живом проекте (Django + React, 2750 файлов кода) первой находкой
+# duplicate-code оказались методички САМОГО комплекта в .aqk/docs — родной jscpd прошёлся
+# по каталогу, который положил init. Вывод — 5597 строк. Такой гейт выключают целиком,
+# ровно как сказано в шапке _skip.sh про 94% чужих находок.
+NDIR="$(mktemp -d)"
+mkdir -p "$NDIR/.aqk/docs" "$NDIR/node_modules/pkg" "$NDIR/src"
+printf 'нарушение\n' > "$NDIR/.aqk/docs/guide.md"
+printf 'нарушение\n' > "$NDIR/node_modules/pkg/index.js"
+printf 'нарушение\n' > "$NDIR/src/mine.py"
+# «Инструмент» печатает пути и возвращает отказ — как настоящий родной линтер.
+# Пути в цветовых кодах — как их печатает jscpd: имя каталога идёт не после «/» и не с начала
+# строки, а сразу за escape-последовательностью. Фильтр по границе пути их не видел, и на живом
+# проекте вывод сократился с 5597 строк до 5505 — то есть не сократился.
+cat > "$NDIR/fake-tool.sh" <<'EOT'
+printf ' - \033[1m\033[32m.aqk/docs/guide.md:markdown\033[39m\033[22m [8:1 - 20:5]\n'
+printf ' - \033[1m\033[32mnode_modules/pkg/index.js:javascript\033[39m\033[22m [1:1 - 9:2]\n'
+printf ' - \033[1m\033[32msrc/mine.py:python\033[39m\033[22m [1:1 - 9:2]\n'
+exit 1
+EOT
+OUT_N="$(cd "$NDIR" && sh "$ROOT/kit/gates/_native.sh" . sh ./fake-tool.sh 2>&1)"
+if printf '%s' "$OUT_N" | grep -q 'src/mine.py' &&
+   ! printf '%s' "$OUT_N" | grep -q '\.aqk/docs' &&
+   ! printf '%s' "$OUT_N" | grep -q 'node_modules'; then
+  ok "родной рецепт молчит про .aqk и node_modules, но видит свой код"
+else
+  bad "родной инструмент выдаёт то, что переносимые не читают" "$(printf '%s' "$OUT_N" | tr '\n' ' ')"
+fi
+rm -rf "$NDIR"
+
+# --- 46. commit-explains-itself и синтетический merge-коммит -------------------
+# ЗАЧЕМ. При разборе предложения изменений GitHub выкладывает не коммит автора, а синтетический
+# merge-коммит с сообщением «Merge <sha> into <sha>». Гейт читал именно его, не находил разделов
+# отчёта и краснел — на КАЖДОМ предложении изменений в КАЖДОМ проекте, куда его поставили.
+# Поймано настоящим прогоном конвейера на этой же ветке, а не рассуждением.
+CDIR="$(mktemp -d)"
+(
+  cd "$CDIR" && git init -q . && git config user.email a@b.c && git config user.name a
+  printf 'один\n' > f.txt && git add -A
+  git commit -q -m "feat: первый" -m "Сделано: завёл файл" -m "Не уверен: ни в чём"
+  git checkout -q -b feature
+  printf 'два\n' >> f.txt && git add -A
+  git commit -q -m "feat: второй" -m "Сделано: дописал строку" -m "Не уверен: ни в чём"
+  git checkout -q master 2>/dev/null || git checkout -q main
+  # Ровно та форма сообщения, которую делает GitHub для ветки предложения изменений.
+  git merge -q --no-ff feature -m "Merge $(git rev-parse --short feature) into $(git rev-parse --short HEAD)"
+) >/dev/null 2>&1
+OUT_M="$(bash "$ROOT/kit/gates/commit-explains-itself/check.sh" "$CDIR" 2>&1)"; RC_M=$?
+# Вторая форма — та, что делает кнопка Merge на сайте. Слова другие, случай тот же: сообщение
+# сочинил не автор. Шаблон «Merge … into …» её не ловил, и main покраснел бы после первого же
+# вливания через кнопку.
+CDIR2="$(mktemp -d)"
+(
+  cd "$CDIR2" && git init -q . && git config user.email a@b.c && git config user.name a
+  printf 'один\n' > f.txt && git add -A
+  git commit -q -m "feat: первый" -m "Сделано: завёл файл" -m "Не уверен: ни в чём"
+  git checkout -q -b feature
+  printf 'два\n' >> f.txt && git add -A
+  git commit -q -m "feat: второй" -m "Сделано: дописал строку" -m "Не уверен: ни в чём"
+  git checkout -q master 2>/dev/null || git checkout -q main
+  git merge -q --no-ff feature -m "Merge pull request #15 from owner/feature"
+) >/dev/null 2>&1
+bash "$ROOT/kit/gates/commit-explains-itself/check.sh" "$CDIR2" >/dev/null 2>&1; RC_PR=$?
+rm -rf "$CDIR2"
+if [ "$RC_M" -eq 0 ] && [ "$RC_PR" -eq 0 ]; then
+  ok "commit-explains-itself смотрит на коммит автора, а не на merge-коммит конвейера"
+else
+  bad "гейт краснеет на слитом предложении изменений" "checkout-форма: $RC_M, кнопка Merge: $RC_PR"
+fi
+rm -rf "$CDIR"
+
+# --- 47. doctor --baseline ставит галочки прогоном, а не по памяти -------------
+# ЗАЧЕМ. Методичка про обязательный минимум — 50 пунктов — была единственным местом, где
+# комплект просил верить на слово, что человек её прочитал и сверился. Ручной проход по живому
+# проекту нашёл настоящее (логирование не задано, задачи конвейера не запускались ни разу),
+# но дисциплина не масштабируется. Проверяем главное: значок ставит признак, а не автор.
+BDIR2="$(mktemp -d)"
+( cd "$BDIR2" && git init -q . && node "$CLI" init >/dev/null 2>&1 )
+OUT_EMPTY="$( cd "$BDIR2" && node "$CLI" doctor --baseline 2>&1 )"
+# Кладём общепринятые признаки трёх РАЗНЫХ экосистем: нейтральность к стеку — условие, а не
+# пожелание. Проверка, знающая только про npm, объявила бы половину мира несоответствующей.
+printf 'x\n' > "$BDIR2/Cargo.lock"; printf 'x\n' > "$BDIR2/ruff.toml"; printf 'x\n' > "$BDIR2/Dockerfile"
+OUT_FULL="$( cd "$BDIR2" && node "$CLI" doctor --baseline 2>&1 )"
+BEFORE=$(printf '%s' "$OUT_EMPTY" | grep -c '✔' || true)
+AFTER=$(printf '%s' "$OUT_FULL" | grep -c '✔' || true)
+if printf '%s' "$OUT_FULL" | grep -qE 'cargo.lock' &&
+   printf '%s' "$OUT_FULL" | grep -qE 'ruff.toml' &&
+   printf '%s' "$OUT_FULL" | grep -qE 'dockerfile' &&
+   [ "$AFTER" -gt "$BEFORE" ]; then
+  ok "doctor --baseline засчитывает признаки разных экосистем и называет, чем подтверждено"
+else
+  bad "baseline не видит признаков или не называет доказательство" "было ✔ $BEFORE, стало $AFTER"
+fi
+rm -rf "$BDIR2"
+
+# --- 48. start не бросает установку из-за одной записи ------------------------
+# ЗАЧЕМ. Записи вроде dead-code нужен настоящий инструмент; переносимого рецепта у неё нет.
+# На машине без него установка ПАДАЛА целиком: человек получал три сторожа вместо двенадцати и
+# ни слова про остальные девять. Найдено прогоном на Windows, где нет ни ruff, ни vulture.
+# Воспроизводим без Windows: урезаем PATH до одного node — инструментов не видно так же.
+NRDIR="$(mktemp -d)"; NRBIN="$(mktemp -d)"
+ln -sf "$(command -v node)" "$NRBIN/node"
+( cd "$NRDIR" && git init -q . && mkdir -p src && printf 'def f():\n    print("debug")\n' > src/a.py )
+NR_OUT=$( cd "$NRDIR" && PATH="$NRBIN" node "$CLI" start 2>&1 ); NR_CODE=$?
+NR_GATES=$( ls "$NRDIR/gates" 2>/dev/null | grep -cv '^_' )
+if [ "$NR_CODE" -eq 0 ] && [ "$NR_GATES" -ge 5 ] &&
+   [ -f "$NRDIR/gates/no-print-in-prod/check.sh" ]; then
+  ok "start пропускает запись без пригодного инструмента и ставит остальные ($NR_GATES)"
+else
+  bad "start бросил установку из-за одной записи" "код $NR_CODE, поставлено $NR_GATES, хвост: $(printf '%s' "$NR_OUT" | tail -2 | tr '\n' ' ')"
+fi
+rm -rf "$NRDIR" "$NRBIN"
+
 # --- итог -------------------------------------------------------------------
 printf '\n'
 if [ "$FAIL" -eq 0 ]; then