agent-quality-kit 0.4.2 → 0.6.0

package/kit/gates/ci-actually-fails/check.sh

@@ -0,0 +1,93 @@
+#!/usr/bin/env sh
+# Конвейер, который гасит провал проверки: шаг выполнен, круг зелёный, проверка не сработала.
+#
+# ЗАЧЕМ ОТДЕЛЬНО ОТ «гейт запускается конвейером». Та проверка отвечает на вопрос «упомянут ли»,
+# и на этом останавливается. Мы нашли дыру в собственной оснастке: конфиг с `run: pytest || true`
+# проходил её зелёным — команда упомянута, а провалиться не может никогда. «Упомянут» и
+# «работает» — разные утверждения, и весь этот стандарт стоит на том, чтобы их не путать.
+DIR="${1:-.}"
+
+CI=$(find "$DIR/.github/workflows" "$DIR/.gitlab-ci.yml" "$DIR/.circleci" "$DIR/Jenkinsfile" \
+     -type f 2>/dev/null)
+[ -z "$CI" ] && { echo "конвейера нет — эта проверка не про тебя"; exit 0; }
+
+# Что считается ПРОВЕРКОЙ. Список намеренно закрытый: маскировка бывает законной — необязательная
+# выгрузка отчёта, публикация артефакта, уведомление. Красить всякий `continue-on-error` значит
+# получить гейт, который выключат первым. Красим только гашение того, что выносит вердикт.
+RUNNERS='aqk|doctor --run|pytest|tox|nox|unittest|jest|vitest|mocha|jasmine|karma|playwright|cypress|eslint|tsc|ruff|flake8|pylint|mypy|pyright|bandit|semgrep|gitleaks|trivy|rubocop|golangci-lint|golint|govet|go vet|go test|staticcheck|shellcheck|hadolint|actionlint|codespell|reviewdog|cargo test|cargo clippy|mvn|gradle|phpstan|psalm|npm test|npm run (test|lint|check|typecheck)|yarn (test|lint)|pnpm (test|lint)|make (test|lint|check)'
+
+# Закрытый список не поспевает: замер по чужим репозиториям нашёл шаг «Run reviewdog
+# (github-pr-check)» под `continue-on-error: true`, и ни одно имя из списка в нём не звучало.
+# Поэтому вторая примета — СЛОВО в имени шага или в команде. Целым словом: «checkout» не
+# «check», иначе первый же `actions/checkout` красил бы каждый конвейер на свете.
+WORDS='([Ll]int|[Tt]est|[Cc]heck|[Vv]erify|[Aa]udit|[Ss]can|[Tt]ypecheck|[Cc]overage)([^A-Za-z]|$)'
+
+# Проверка из манифеста — тоже проверка, как бы она ни называлась в этом проекте.
+MAN="$DIR/.aqk.yml"
+if [ -f "$MAN" ]; then
+  KEYS=$(tr -d '\r' < "$MAN" | awk '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && /^[[:space:]]+[A-Za-z0-9_-]+:/{
+      sub(/^[[:space:]]*[A-Za-z0-9_-]*:[[:space:]]*/,""); gsub(/^"|"$/,"");
+      n=split($0,w," "); for(i=1;i<=n;i++) if (index(w[i],"/")) { print w[i]; break }
+    }')
+fi
+
+BAD=""
+for F in $CI; do
+  # Разбор ПО ШАГАМ, а не по строкам. Построчно проверка врала в обе стороны: законный
+  # `continue-on-error` на шаге выгрузки отчёта красил соседний шаг с тестами, а слово «test»
+  # внутри перечисления типов коммита («feat|fix|test|chore») делало проверкой строку, которая
+  # ничего не проверяет. Замер по чужим конвейерам дал 4 ложных из 10 — переписано на блоки.
+  #
+  # Шаг начинается элементом списка («- ») или ключом верхнего уровня: так устроен и github,
+  # и gitlab, где `allow_failure` живёт на уровне задачи.
+  RES=$(tr -d '\r' < "$F" | awk -v runners="$RUNNERS" -v words="$WORDS" -v keys="$KEYS" -v file="$F" '
+    function isComment(l) { return l ~ /^[[:space:]]*#/ }
+    function looksLikeCheck(l,   j, nk) {
+      if (isComment(l)) return 0
+      # `uses:` — чужое действие. Его провал бывает законно необязательным: выгрузка отчёта,
+      # комментарий в пул-реквест, уведомление. Вердикт выносит то, что ЗАПУСКАЮТ.
+      if (l ~ /^[[:space:]]*(-[[:space:]]+)?uses[[:space:]]*:/) return 0
+      if (l ~ runners) return 1
+      # Проверка, объявленная в манифесте ЭТОГО проекта, — тоже проверка, как бы она ни
+      # называлась. Это самая точная примета из трёх: не догадка по имени, а список, который
+      # проект написал сам.
+      nk = split(keys, K, "\n")
+      for (j = 1; j <= nk; j++) if (K[j] != "" && index(l, K[j])) return 1
+      # Слово-примета — ТОЛЬКО в имени шага. В теле команды оно ловит своё же упоминание:
+      # «grep -oE (feat|fix|test|chore)» — это разбор заголовка коммита, а не проверка.
+      if (l ~ /^[[:space:]]*(-[[:space:]]+)?name[[:space:]]*:/ && l ~ words) return 1
+      return 0
+    }
+    function isMask(l) {
+      return !isComment(l) && l ~ /^[[:space:]]*(continue-on-error|allow_failure|ignore_failure)[[:space:]]*:[[:space:]]*(true|yes)/
+    }
+    function isBoundary(l) { return l ~ /^[[:space:]]*-[[:space:]]/ || l ~ /^[A-Za-z_.-]+[[:space:]]*:/ }
+    function flush(   ) {
+      if (blockStart && blockCheck && blockMask)
+        printf "%s:%d: проверка не может провалиться — шаг под %s\n", file, blockCheckLine, blockMaskText
+      blockStart = 0; blockCheck = 0; blockMask = 0
+    }
+    {
+      # Гашение прямо в команде красится только для ЗАКРЫТОГО списка запускалок: «|| true» на
+      # вспомогательной команде внутри скрипта (`docker network create … || true`) — это
+      # идемпотентность, а не выключенная проверка.
+      if (!isComment($0) && $0 ~ runners && $0 ~ /\|\|[[:space:]]*(true|:|exit[[:space:]]+0)/) {
+        line = $0; sub(/^[[:space:]]+/, "", line)
+        printf "%s:%d: провал погашен прямо в команде: %s\n", file, NR, substr(line, 1, 90)
+      }
+      if (isBoundary($0)) flush()
+      if (!blockStart) blockStart = NR
+      if (!blockCheck && looksLikeCheck($0)) { blockCheck = 1; blockCheckLine = NR }
+      if (isMask($0)) { blockMask = 1; blockMaskText = $0; sub(/^[[:space:]]+/, "", blockMaskText) }
+    }
+    END { flush() }' 2>/dev/null)
+  [ -z "$RES" ] || BAD="$BAD$RES
+"
+done
+
+LEFT="$(printf '%s' "$BAD" | grep -v '^$')"
+[ -z "$LEFT" ] && exit 0
+printf '%s\n' "$LEFT"
+echo "  почини: убери «|| true» и «continue-on-error» с шага, который выносит вердикт."
+echo "  шаг, который не может провалиться, — это не проверка, а строка в логе."
+exit 1

package/kit/gates/ci-actually-fails/gate.yml

@@ -0,0 +1,14 @@
+intent: шаг конвейера, выносящий вердикт, может провалиться — а не только выполниться
+intent_en: a pipeline step that renders a verdict can actually fail, not merely run
+
+# Только там, где конвейер есть. Проверять его отсутствие — дело другой записи.
+trigger:
+  has_ci: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md, 2026-09-06 «упомянут и работает — разные утверждения» — дыра
+  найдена в собственной оснастке (`gates-run-in-ci` пропускал `pytest || true` зелёным),
+  замер по пятнадцати чужим репозиториям подтвердил класс: у `reviewdog` два шага
+  собственных линтеров идут под `continue-on-error: true`

package/kit/gates/ci-actually-fails/green/.github/workflows/ci.yml

@@ -0,0 +1,14 @@
+name: ci
+on: [push]
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    steps:
+      - run: npm ci
+      - name: тесты
+        run: pytest
+      - name: типы
+        run: tsc --noEmit
+      - name: выгрузить отчёт
+        run: bash scripts/upload-report.sh
+        continue-on-error: true

package/kit/gates/ci-actually-fails/red/.github/workflows/ci.yml

@@ -0,0 +1,12 @@
+name: ci
+on: [push]
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    steps:
+      - run: npm ci
+      - name: тесты
+        run: pytest || true
+      - name: типы
+        run: tsc --noEmit
+        continue-on-error: true

package/kit/gates/color-from-token/README.md

@@ -0,0 +1,52 @@
+# Цвет приходит из токена темы, а не литералом в компоненте
+
+**Намерение.** Литеральный цвет тема не перекрашивает. В проекте с несколькими темами экран,
+свёрстанный литералами, в тёмной теме остаётся светлым пятном — и видит это не автор, а
+пользователь, который тему переключил. Дефект тихий по построению: в теме автора всё правильно.
+
+**Какой отказ это поймало.** Живой проект на React с двенадцатью темами. Запрет на сырой цвет
+там оказался проверкой №8 из семнадцати в собственной оснастке — и завели его не из вкуса, а
+после экранов, не переживших переключение темы. Запись в журнале: `incidents/README.md`,
+2026-09-06, там же измерено соотношение, ради которого запись переносили в каталог: из тридцати
+с лишним запретов интерфейса машина ловила одиннадцать, остальные держались на глазах человека.
+
+**Файл-источник значений называет проект.** Где-то литерал обязан быть — иначе токену неоткуда
+взяться. По умолчанию проверка пропускает файлы, чьё имя содержит `tokens`, `theme`, `palette`,
+`colors`, `variables`, `design-system`. Своё имя проект называет сам, рядом с командой в
+манифесте — тем же приёмом, что каталоги с законной печатью в `no-print-in-prod`:
+
+```yaml
+color-from-token: "AQK_COLOR_SOURCE='tokens|brand' bash .aqk/gates/color-from-token/check.sh ."
+```
+
+**Готовый аналог есть, но он покрывает меньше, и поэтому его здесь нет.** У `stylelint` есть
+правило `color-no-hex`, и для файлов стилей оно точнее нашего поиска. Но оно видит только стили,
+а литерал в компоненте — `style={{ background: "#2563EB" }}`, `className="bg-[#2563EB]"` —
+остаётся вне его. Родной рецепт покрывал бы половину предмета, и запись означала бы разное в
+зависимости от того, что стоит в системе. Урок этого же дня: родной и переносимый рецепты одной
+записи обязаны мерить одно и то же. Поэтому рецепт один, переносимый; кому нужна точность по
+стилям — ставит `stylelint` отдельно, это не отменяет запись.
+
+**Замер на живом проекте.** React, двенадцать тем, 2750 файлов кода. Первый прогон дал 20
+находок, и **все 20 были чужими** — литералы в отдельных html-документах внутри `.claude/`:
+отчёты и справочники оснастки агента. Отдельный html-документ темы не имеет и иметь не может,
+литерал там законен; `.html` убран из списка расширений — не на вкус, а по этому замеру.
+Второй прогон: одна находка во фронтенде — палитра диаграммы загрузки, где цвета треков вписаны
+литералами Tailwind-500 и потому не меняются вместе с темой. Ложных срабатываний: **одно**, и
+оно тоже исправлено — цвет, упомянутый внутри многострочного комментария, читался как находка.
+
+**Чего НЕ ловит.**
+
+- Цвет, собранный по частям: `"#" + hex`, `rgb(37, 99, 235)`, `hsl(...)`, именованные `red` и
+  `white`. Проверка ищет литерал в форме `#rgb`, `#rrggbb`, `#rrggbbaa`, а не «цвет вообще».
+- Селектор по идентификатору, записанный шестнадцатеричными буквами (`#abcdef { … }`), и якорь
+  в ссылке той же формы читаются как цвет. Это цена простоты; лечится именем в allowlist.
+- Литерал в разметке и в документации: расширений `.md` и `.html` в списке нет намеренно.
+  В разметке цвет упоминают, а не применяют; отдельный html-документ не имеет темы, и литерал
+  в нём законен — как печать в скрипте для `no-print-in-prod`.
+- Цвет, вычисленный в рантайме: `lighten(base, 0.2)`, значение из ответа сервера, инлайн-стиль,
+  собранный из переменной. Проверка читает исходник, а не то, что окажется в браузере.
+
+**Образцы.** `red/` — три стека, где цвет вписан литералом: React со `style`, обычный CSS,
+однофайловый компонент Vue. `green/` — то же самое через токены, плюс `tokens.css`, где литерал
+законен, и заметка в разметке, на которой проверка обязана молчать.

package/kit/gates/color-from-token/check.sh

@@ -0,0 +1,69 @@
+#!/usr/bin/env sh
+# Цвет приходит из токена темы, а не из литерала в компоненте.
+#
+# ЗАЧЕМ. Литеральный цвет тема не перекрашивает. Проект с несколькими темами получает экран,
+# который в тёмной теме остаётся светлым пятном, — и это видно не автору, а пользователю,
+# который переключил тему. Дефект тихий: в теме автора всё выглядит правильно.
+DIR="${1:-.}"
+. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+
+# Расширения, где живёт ТЕМИЗИРУЕМЫЙ интерфейс. Своё, а не общий CODE_EXT: там нет ни css, ни
+# vue — они не код в смысле «отладочная печать», но именно в них живёт цвет.
+#
+# `.html` в списке НЕТ, и это измерено, а не выбрано на вкус. Первый прогон по живому проекту
+# (React, 12 тем) дал 20 находок, и ВСЕ 20 — в отдельных html-документах внутри `.claude/`:
+# отчёты и справочники оснастки агента. Во фронтенде — ноль. Отдельный html-документ не имеет
+# темы и не может её иметь: литерал там законен, как печать в скрипте. Гейт, на 100%
+# состоящий из чужих находок, выключают в первый день — см. шапку `_skip.sh`.
+COLOR_EXT="css scss sass less styl ts tsx js jsx mjs cjs vue svelte astro"
+
+# Файлы-ИСТОЧНИКИ значений: там литерал законен, иначе токену неоткуда взяться. Имя источника
+# проект называет сам — как и каталоги с законной печатью в no-print-in-prod. По умолчанию
+# общепринятые имена; свои задаются переменной, рядом с командой в манифесте.
+SOURCE_RE="${AQK_COLOR_SOURCE:-tokens|theme|themes|palette|colors|colours|variables|design-system}"
+
+EXT_RE="$(printf '%s' "$COLOR_EXT" | tr ' ' '|')"
+
+# shellcheck disable=SC2086
+HITS=$(find "$DIR" $(skip_find "$DIR") -type f -print 2>/dev/null \
+  | grep -E "\.($EXT_RE)$" \
+  | grep -viE "(^|/)[^/]*($SOURCE_RE)[^/]*\.($EXT_RE)$" \
+  | while IFS= read -r F; do is_generated "$F" || printf '%s\n' "$F"; done \
+  | LC_ALL=C sort \
+  | xargs -r awk '
+      # Блочные комментарии вырезаются ПО СОСТОЯНИЮ, а не построчно. Однострочный фильтр
+      # смотрит только на начало строки, и цвет, упомянутый в середине многострочного
+      # пояснения, читался как находка: на живом проекте так и вышло — единственное
+      # ложное срабатывание пришло из строки внутри /* … */. Тот же класс, что запись
+      # журнала «печать внутри комментария считалась печатью».
+      FNR == 1 { inblock = 0 }
+      {
+        line = $0
+        if (inblock) {
+          i = index(line, "*/")
+          if (i == 0) next
+          line = substr(line, i + 2); inblock = 0
+        }
+        # Вырезаем закрытые /* … */ внутри строки, затем открытый хвост.
+        while ((s = index(line, "/*")) > 0) {
+          rest = substr(line, s + 2)
+          e = index(rest, "*/")
+          if (e == 0) { line = substr(line, 1, s - 1); inblock = 1; break }
+          line = substr(line, 1, s - 1) substr(rest, e + 2)
+        }
+        if (line ~ /#[0-9a-fA-F]{8}([^0-9a-fA-F]|$)|#[0-9a-fA-F]{6}([^0-9a-fA-F]|$)|#[0-9a-fA-F]{3}([^0-9a-fA-F]|$)/)
+          print FILENAME ":" FNR ":" $0
+      }
+    ' 2>/dev/null \
+  | drop_comments \
+  | own_samples_filter "$DIR")
+
+if [ -n "$HITS" ]; then
+  printf '%s\n' "$HITS" | head -20
+  N=$(printf '%s\n' "$HITS" | grep -c .); [ "$N" -gt 20 ] && echo "  … и ещё $((N - 20))"
+  echo "  почини: замени литерал на токен темы — var(--color-…), theme('colors.…'), \$color-…"
+  echo "  литеральный цвет тема не перекрашивает: в другой теме экран останется чужим пятном."
+  echo "  файл-источник значений называется сам: AQK_COLOR_SOURCE='tokens|brand' перед командой."
+  exit 1
+fi
+exit 0

package/kit/gates/color-from-token/gate.yml

@@ -0,0 +1,15 @@
+intent: цвет приходит из токена темы, а не литералом в компоненте
+intent_en: colour comes from a theme token, not a literal in the component
+
+# Не по языку, а по наличию интерфейса. Триггер `langs: javascript, typescript` показывал бы
+# запись каждому бэкенду, библиотеке и утилите командной строки на JS — а их большинство, и
+# интерфейса там нет. Записи, показанной не тому, не верят, и это стоит доверия всему каталогу.
+trigger:
+  has_ui: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md, 2026-09-06 «из тридцати с лишним запретов интерфейса гейт ловил
+  одиннадцать» — прогон по audit_project (Django + React, 12 тем): проверка №8 в собственной
+  оснастке проекта родилась после экранов, остававшихся светлыми в тёмной теме

package/kit/gates/color-from-token/green/Button.tsx

@@ -0,0 +1,4 @@
+export function Button({ children }: { children: React.ReactNode }) {
+  // Цвет приходит из темы: перекрашивается вместе с ней.
+  return <button className="bg-[var(--color-accent)] text-[var(--color-on-accent)]">{children}</button>;
+}

package/kit/gates/color-from-token/green/Panel.vue

@@ -0,0 +1,4 @@
+<template><div class="panel">панель</div></template>
+<style scoped>
+.panel { background: var(--surface-base); box-shadow: 0 1px 2px var(--shadow-sm); }
+</style>

package/kit/gates/color-from-token/green/card.css

@@ -0,0 +1,5 @@
+.card {
+  background: var(--surface-elevated);
+  border: 1px solid var(--border-hairline);
+  color: var(--text-primary);
+}

package/kit/gates/color-from-token/green/notes.md

@@ -0,0 +1,2 @@
+Заметка рядом с кодом: цвет `#2563EB` упоминается в тексте, а не применяется.
+Разметка в список расширений не входит — проверка сюда не смотрит.

package/kit/gates/color-from-token/green/tokens.css

@@ -0,0 +1,7 @@
+/* Файл-ИСТОЧНИК значений: здесь литерал законен, иначе токену неоткуда взяться.
+   Имя распознаётся по умолчанию; своё задаётся переменной AQK_COLOR_SOURCE. */
+:root {
+  --color-accent: #2563EB;
+  --surface-base: #0B0B0B;
+  --text-primary: #F4F1EA;
+}

package/kit/gates/color-from-token/red/Button.tsx

@@ -0,0 +1,4 @@
+export function Button({ children }: { children: React.ReactNode }) {
+  // Литерал: в тёмной теме кнопка останется светлой.
+  return <button style={{ background: "#2563EB", color: "#fff" }}>{children}</button>;
+}

package/kit/gates/color-from-token/red/Panel.vue

@@ -0,0 +1,4 @@
+<template><div class="panel">панель</div></template>
+<style scoped>
+.panel { background: #1a1a1a; box-shadow: 0 1px 2px #00000022; }
+</style>

package/kit/gates/color-from-token/red/card.css

@@ -0,0 +1,5 @@
+.card {
+  background: #F4F1EA;
+  border: 1px solid #ddd;
+  color: #0B0B0B;
+}

package/kit/gates/commit-explains-itself/check.sh

@@ -26,7 +26,30 @@ else
     exit 0
   fi
 
-  MSG=$(cd "$DIR" && git log -1 --format=%B 2>/dev/null)
+  # Сообщение слияния сочиняет не автор, а инструмент. GitHub делает это дважды и по-разному:
+  # при разборе предложения изменений выкладывает синтетический коммит «Merge <sha> into <sha>»,
+  # а кнопка Merge на сайте пишет «Merge pull request #N from …». Первую форму гейт научился
+  # различать вчера по словам — и на второй покраснел бы снова.
+  #
+  # Поэтому смотрим не на слова, а на форму: у слияния два родителя. Если при этом в сообщении
+  # нет разделов отчёта — его писал инструмент, и спрашивать надо второго родителя, последний
+  # коммит автора. Слияние, которое автор описал сам, проходит по HEAD и ничего не теряет.
+  REF=HEAD
+  PARENTS=$(cd "$DIR" && git rev-list --parents -n 1 HEAD 2>/dev/null | wc -w)
+  HEADMSG=$(cd "$DIR" && git log -1 --format=%B 2>/dev/null)
+  if [ "${PARENTS:-0}" -ge 3 ] &&
+     ! printf '%s\n' "$HEADMSG" | grep -q "^Сделано:" &&
+     ! printf '%s\n' "$HEADMSG" | grep -q "^Не уверен:"; then
+    if (cd "$DIR" && git rev-parse -q --verify HEAD^2 >/dev/null 2>&1); then
+      REF=HEAD^2
+    else
+      echo "слияние без отчёта, второго родителя не видно — проверка пропущена"
+      echo "  дай конвейеру два коммита истории: actions/checkout@v4 с fetch-depth: 2"
+      exit 0
+    fi
+  fi
+
+  MSG=$(cd "$DIR" && git log -1 --format=%B "$REF" 2>/dev/null)
 
   # Коммит, который трогает только журнал, отчёта в теле не требует: сама запись и есть отчёт,
   # причём подробнее — и её сторожит `lesson-has-outcome`. Иначе гейт воюет с командой `note`,
@@ -38,7 +61,7 @@ else
   [ -z "$LESSONS" ] && LESSONS="incidents"
   case "$LESSONS" in http*) LESSONS="" ;; esac   # journal по адресу, а не путём — не применимо
   if [ -n "$LESSONS" ]; then
-    FILES=$(cd "$DIR" && git show --pretty=format: --name-only HEAD 2>/dev/null | grep -v '^$')
+    FILES=$(cd "$DIR" && git show --pretty=format: --name-only "$REF" 2>/dev/null | grep -v '^$')
     if [ -n "$FILES" ]; then
       OUTSIDE=$(printf '%s\n' "$FILES" | grep -v "^$LESSONS/" | grep -v "^$LESSONS\$")
       if [ -z "$OUTSIDE" ]; then

package/kit/gates/duplicate-code/check.sh

@@ -19,7 +19,8 @@ find "$DIR" $(skip_find "$DIR") $TESTS -type f \
      ! -name 'test_*' ! -name '*_test.*' ! -name '*.test.*' ! -name '*.spec.*' \
      -print 2>/dev/null | only_code | own_samples_filter "$DIR" \
   | while IFS= read -r F; do is_generated "$F" || printf '%s\n' "$F"; done \
-  | xargs -r awk -v WIN="$WIN" '
+  | LC_ALL=C sort \
+  | xargs -r env LC_ALL=C awk -v WIN="$WIN" '
       FNR == 1 { n = 0; delete buf }
       {
         line = $0
@@ -37,11 +38,19 @@ find "$DIR" $(skip_find "$DIR") $TESTS -type f \
         }
       }
     ' 2>/dev/null | sort -u \
-  | awk -F' и |: ' '
+  | LC_ALL=C awk -F' и |: ' '
       # Один повторённый кусок даёт столько сообщений, на сколько окон он делится: восемь
       # строк — восемь почти одинаковых строк отчёта. Схлопываем в одну на пару файлов.
-      { split($1, a, ":"); split($2, b, ":"); pair = a[1] " и " b[1]
-        if (!(pair in seen)) { seen[pair] = $1 " и " $2 }
+      #
+      # Пара упорядочивается лексикографически, а НЕ в порядке обхода. Порядок, в котором
+      # find отдаёт файлы, свой на каждой системе (здесь — по хешу имени), и реестр, снятый
+      # на одной машине, краснел в конвейере целиком: те же дубли читались как новые, а
+      # храповик объявлял их исправленными и вычёркивал. Одной сортировки списка файлов мало:
+      # когда кусок лежит в трёх файлах, «первым» становится тот, кого раньше отдал обход.
+      { split($1, a, ":"); split($2, b, ":")
+        if (a[1] <= b[1]) { pair = a[1] " и " b[1]; loc = $1 " и " $2 }
+        else              { pair = b[1] " и " a[1]; loc = $2 " и " $1 }
+        if (!(pair in seen)) { seen[pair] = loc }
         cnt[pair]++ }
       END { for (p in seen) print seen[p] ": одинаковый кусок" (cnt[p] > 1 ? " (окон: " cnt[p] ")" : "") }
     ' | sort > /tmp/.dup.$$

package/kit/gates/duplicate-code/gate.yml

@@ -7,7 +7,16 @@ trigger:
 recipes:
   any: bash {gate}/check.sh {dir}
   # jscpd умеет и Python, и TypeScript одним прогоном и считает похожесть, а не совпадение.
-  javascript: npx --yes jscpd@5 --min-lines 8 --threshold 1 {dir}
-  typescript: npx --yes jscpd@5 --min-lines 8 --threshold 1 {dir}
+  #
+  # --format обязателен: без него jscpd считает клонами разметку, JSON и текст. Замер на живом
+  # проекте (Django + React, 2750 файлов кода): 1846 клонов, из них 435 — markdown, json и
+  # text, то есть 23.6% находок не про код вовсе. Переносимая проверка смотрит только в
+  # расширения кода (CODE_EXT в _skip.sh), и родная обязана мерить то же самое: иначе один
+  # гейт означает разное на разных машинах.
+  #
+  # «c#» в списке нет намеренно: разбор манифеста режет строку по «#», и рецепт обрывался бы
+  # на «c». Обёртку _native.sh не пишем — её добавляет сама программа при установке гейта.
+  javascript: npx --yes jscpd@5 --min-lines 8 --threshold 1 --format "javascript,jsx,typescript,tsx,vue,python,go,ruby,java,php,rust,kotlin,swift,scala" {dir}
+  typescript: npx --yes jscpd@5 --min-lines 8 --threshold 1 --format "javascript,jsx,typescript,tsx,vue,python,go,ruby,java,php,rust,kotlin,swift,scala" {dir}
 
 proof: incidents/README.md — «2026-08-25 разбор 1069 коммитов»: число моделей захардкожено в четырёх местах четырьмя разными значениями

package/kit/gates/gate-has-samples/check.sh

@@ -15,9 +15,15 @@
 DIR="${1:-.}"
 MAN="$DIR/.aqk.yml"
 [ -f "$MAN" ] || { echo "нет .aqk.yml — проверять нечего"; exit 0; }
+# Перевод строк из windows-чекаута снимается ДО разбора. Жадный захват в sed («[^"#]*») и
+# якорь конца строки («s/"$//») проглатывают \r: путь получался с кавычкой на хвосте, а
+# красный образец переставал краснеть. Найдено мутационной проверкой
+# (tool/selfcheck/mutation.sh), а не на Windows-машине — её у нас до сих пор нет.
+MANTEXT="$(tr -d '\r' < "$MAN")"
 
-SAMPLES=$(sed -n 's/^samples:[[:space:]]*"\{0,1\}\([^"#]*\)"\{0,1\}[[:space:]]*$/\1/p' "$MAN" | head -1)
-KEYS=$(awk '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && /^[[:space:]]+[A-Za-z0-9_-]+:/{sub(/:.*/,"");gsub(/[[:space:]]/,"");print}' "$MAN")
+
+SAMPLES=$(printf '%s\n' "$MANTEXT" | sed -n 's/^samples:[[:space:]]*"\{0,1\}\([^"#]*\)"\{0,1\}[[:space:]]*$/\1/p' | head -1)
+KEYS=$(printf '%s\n' "$MANTEXT" | awk '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && /^[[:space:]]+[A-Za-z0-9_-]+:/{sub(/:.*/,"");gsub(/[[:space:]]/,"");print}')
 
 [ -z "$KEYS" ] && { echo "гейтов не объявлено — проверять нечего"; exit 0; }
 
@@ -32,7 +38,7 @@ fi
 BAD=0
 for K in $KEYS; do
   # Команда записи целиком — по ней видно, сканер это или собственный прогон проекта.
-  CMD=$(awk -v k="$K" '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && $0 ~ "^[[:space:]]+" k ":" {sub(/^[[:space:]]*[A-Za-z0-9_-]+:[[:space:]]*/,"");gsub(/^"|"$/,"");print;exit}' "$MAN")
+  CMD=$(printf '%s\n' "$MANTEXT" | awk -v k="$K" '/^gates:/{g=1;next} /^[A-Za-z]/{g=0} g && $0 ~ "^[[:space:]]+" k ":" {sub(/^[[:space:]]*[A-Za-z0-9_-]+:[[:space:]]*/,"");gsub(/^"|"$/,"");print;exit}')
   case "$CMD" in
     *"$SAMPLES/"*) ;;                 # сканер из каталога — образцы обязательны
     *) continue ;;                    # свой прогон — арбитр внутри него

package/kit/gates/gate-not-weakened/README.md

@@ -0,0 +1,54 @@
+# Подавление проверки — точечное и с причиной
+
+**Намерение.** Когда проверка краснеет, у пишущего два выхода: починить код или заглушить
+проверку. Второй дешевле и с виду неотличим от первого — конвейер зелёный, диф маленький.
+
+Для агента это выход по умолчанию: задача сформулирована как «сделай, чтобы прошло», и
+`@ts-ignore` решает её буквально. Дефект при этом остаётся, а сигнал о нём исчезает навсегда —
+это тот же класс, что молчащий гейт, только оплаченный одной строкой.
+
+**Какой отказ это поймало.** Замер по пятнадцати чужим репозиториям (20 774 файла): 22 находки,
+19 настоящих. Среди них — `// @ts-nocheck` первой строкой боевой страницы в `kodus-ai`
+(проверка типов выключена для целого файла), `# noqa E501` без двоеточия в `pr-agent`
+(flake8 такую форму читает как безадресный `# noqa`: погашено не одно правило, а все),
+`/** @ts-ignore */` и `.strict().argv // eslint-disable-line` без имени правила в `repolinter`.
+Запись в журнале: `incidents/README.md`, 2026-09-06.
+
+**Что именно проверяется.** Красным делается только **безадресное** подавление:
+
+| Красное | Зелёное |
+|---|---|
+| `# noqa` | `# noqa: F401  — причина` |
+| `# type: ignore` | `# type: ignore[no-any-return]` |
+| `# flake8: noqa`, `# ruff: noqa`, `# mypy: ignore-errors`, `# pylint: disable=all` | точечная форма с кодом |
+| `/* eslint-disable */`, `// eslint-disable-next-line` без правила | `// eslint-disable-next-line no-console -- причина` |
+| `// @ts-ignore`, `// @ts-nocheck` | `// @ts-expect-error -- причина` |
+| `#[allow(warnings)]`, `@SuppressWarnings("all")`, `//nolint`, `rubocop:disable all`, `shellcheck disable` без `=SC…` | те же с именем правила |
+| `--no-verify` в скрипте или конфиге конвейера | обычный коммит |
+
+`@ts-ignore` красный всегда — единственное исключение из правила «безадресное». У него есть
+строго лучший брат: `@ts-expect-error` краснеет сам, как только становится не нужен, то есть
+не переживает починку кода. `@ts-ignore` переживает и молчит дальше.
+
+**Готовый аналог.** Есть, и под каждый язык свой:
+[`eslint-plugin-eslint-comments`](https://github.com/mysticatea/eslint-plugin-eslint-comments)
+с правилом `require-description` — для JavaScript и TypeScript;
+[`flake8-noqa`](https://github.com/plinss/flake8-noqa) — для Python, он же ловит сломанную форму
+`# noqa E501`. Если проект на одном языке — ставь их, они точнее: разбирают код, а не текст.
+Эта запись нужна там, где языков несколько или где ставить нечего: она переносима, ничего не
+требует установить и покрывает то, чего нет ни у одного из двоих — `@ts-ignore` как класс,
+`--no-verify` в конвейере, `@SuppressWarnings("all")`.
+
+**Чего НЕ ловит.**
+
+- **Подавление внутри строкового литерала считается настоящим.** Фикстуры инструментов, которые
+  сами обрабатывают подавления, дают ложные срабатывания: 3 из 22 на замере — тесты
+  `react-doctor` и `ratchets`. Отличить строку от комментария надёжно можно только разбором
+  языка, а его у переносимой проверки нет. Такие места — в `.aqkignore` или под храповик.
+- **Точечное подавление без причины проходит.** `# noqa: E501` принимается, даже если рядом нет
+  ни слова о том, зачем. Требовать объяснение от каждой строки значит получить гейт, который
+  выключат целиком; за объяснением — к `require-description` из `eslint-plugin-eslint-comments`.
+- **Не видит настройку в конфиге.** Правило, выключенное в `.eslintrc` или `pyproject.toml`, —
+  такое же ослабление, но это уже не подавление в коде, а решение проекта, записанное явно.
+- **Не знает, было ли подавление оправдано.** Проверка отвечает на вопрос «названо ли, что
+  именно погашено», а не «стоило ли гасить».

package/kit/gates/gate-not-weakened/check.sh

@@ -0,0 +1,72 @@
+#!/usr/bin/env sh
+# Подавление проверки без адреса: «выключено всё» вместо «выключено вот это».
+#
+# ЗАЧЕМ ИМЕННО ЭТО. Когда проверка краснеет, у пишущего два выхода: починить код или заглушить
+# проверку. Второй дешевле и с виду неотличим от первого — конвейер зелёный, диф маленький.
+# Для агента это выход по умолчанию: ему поставлена задача «сделай, чтобы прошло».
+#
+# ГРАНИЦА НАМЕРЕННО УЗКАЯ. Красным делается не всякое подавление, а безадресное: `# noqa` без
+# кода, `eslint-disable` без имени правила, `@SuppressWarnings("all")`. Точечное подавление с
+# названным правилом — законный инструмент, и требовать объяснения от каждого значит получить
+# гейт, который выключат. Одно исключение — `@ts-ignore`: у него есть строго лучший брат
+# `@ts-expect-error`, который сам краснеет, когда становится не нужен.
+DIR="${1:-.}"
+. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+
+OUT=""
+add() { [ -z "$1" ] || OUT="$OUT$1
+"; }
+
+# --- безадресные подавления в коде -------------------------------------------
+# `# noqa` без двоеточия с кодом; `type: ignore` без [кода]; файловые выключатели целиком.
+add "$(grep -rnE '(^|[^A-Za-z0-9_])#[[:space:]]*(noqa|type:[[:space:]]*ignore)([[:space:]]*$|[[:space:]]+[^:[])' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+add "$(grep -rnE '#[[:space:]]*(flake8:[[:space:]]*noqa[[:space:]]*$|ruff:[[:space:]]*noqa[[:space:]]*$|mypy:[[:space:]]*ignore-errors|pylint:[[:space:]]*(skip-file|disable=all))' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# eslint-disable без имени правила: голая директива гасит ВСЁ в файле или на строке.
+#
+# ВЕДУЩИЙ КОММЕНТАРИЙ ОБЯЗАТЕЛЕН — «(//|/\*|\*)[^\"']*». Замер по пятнадцати чужим
+# репозиториям показал целый класс ложных: строка ПРО подавление внутри кавычек
+# («title: 'No @ts-ignore'», текст правила в наборе тестов) читалась как подавление.
+# Директива живёт в комментарии; упоминание в строковом литерале — не она.
+add "$(grep -rnE '(//|/\*|\*)[^\"'"'"']*eslint-disable(-next-line|-line)?[[:space:]]*(\*/|$|--)' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# @ts-ignore и @ts-nocheck. Первый гасит ошибку молча и остаётся, когда ошибки уже нет;
+# @ts-expect-error на его месте краснеет, как только становится лишним.
+add "$(grep -rnE '(//|/\*|\*)[^\"'"'"']*@ts-(ignore|nocheck)' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# Остальные экосистемы — только безадресная форма.
+add "$(grep -rnE '#!?\[allow\((warnings|unused)\)\]|@SuppressWarnings\((\{[^}]*)?"all"|//[[:space:]]*nolint[[:space:]]*($|//)|rubocop:disable[[:space:]]+all|shellcheck[[:space:]]+disable[[:space:]]*($|[^=])' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# --- обход самого конвейера ---------------------------------------------------
+# `--no-verify` пропускает хуки коммита. В committed-скрипте или конфиге конвейера это не
+# настройка, а выключенная защита: смотрим шире кода — в оболочечные скрипты и конфиги.
+# `-e`, а НЕ `--`. Двойное тире завершает разбор опций, и все флаги `--include` после него
+# grep считает именами файлов: проверка читала весь репозиторий вместо оболочечных скриптов и
+# конфигов. Нашлось замером — в выдаче оказались CHANGELOG чужих проектов.
+add "$(grep -rnE -e '--no-verify' $(skip_grep) \
+  --include=*.sh --include=*.yml --include=*.yaml --include=*.json --include=*.toml \
+  --include=*.mk --include=Makefile "$DIR" 2>/dev/null)"
+
+# Собственное определение записи — не подавление, а перечень того, что ищется. Без этого
+# проверка находит сама себя в любом проекте, куда её поставили: `check.sh` содержит все
+# образцы разом. Тот же класс, что образцы red/green, только файл другой.
+SELFDIR="$(basename "$(dirname "$0")")"
+LEFT="$(printf '%s' "$OUT" | grep -v '^$' | own_samples_filter "$DIR" \
+  | grep -vE "(^|/)$SELFDIR/(check\.sh|README\.md)")"
+# Сгенерированные файлы правят не руками: подавление в них поставил инструмент.
+LEFT="$(printf '%s\n' "$LEFT" | while IFS= read -r L; do
+  F="${L%%:*}"
+  [ -n "$F" ] || continue
+  is_generated "$F" || printf '%s\n' "$L"
+done | grep -v '^$')"
+
+[ -z "$LEFT" ] && exit 0
+printf '%s\n' "$LEFT"
+echo "  почини: назови, ЧТО подавляешь и зачем — «# noqa: E501», «eslint-disable-next-line no-console -- причина»,"
+echo "  «@ts-expect-error» вместо «@ts-ignore». Безадресное подавление гасит и то, что сломается завтра."
+exit 1

package/kit/gates/gate-not-weakened/gate.yml

@@ -0,0 +1,15 @@
+intent: проверка выключается точечно и с причиной, а не целиком
+intent_en: a check is suppressed narrowly and with a reason, never wholesale
+
+# Применимо везде, где есть код: подавление проверки — приём, а не язык. Список маркеров
+# покрывает python, typescript, javascript, go, rust, java, ruby и оболочку сразу.
+trigger:
+  always: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md, 2026-09-06 «замер по пятнадцати чужим репозиториям» — 22 находки
+  на 20 774 файлах, из них 19 настоящих: `@ts-nocheck` на боевой странице в kodus-ai,
+  сломанный `# noqa E501` без двоеточия в pr-agent (flake8 читает его как безадресный),
+  `/** @ts-ignore */` и `eslint-disable-line` без имени правила в repolinter