agent-quality-kit 0.4.2 → 0.6.0

package/tool/selfcheck/smoke.sh

@@ -384,18 +384,22 @@ rm -rf "$GODIR"
 
 # --- 24. просьба про звезду и обратную связь — один раз на машину -----------
 # Печатается один раз на установку (не на проект): второй init на этой же HOME её не повторяет.
+# USERPROFILE задаётся рядом с HOME: `os.homedir()` на Windows читает именно его, и без этого
+# отметка уезжала в настоящий домашний каталог раннера — к этой проверке она там уже лежала от
+# предыдущих прогонов init, и просьба не печаталась. Изоляция, которая не изолирует, хуже её
+# отсутствия: проверка краснела не на дефекте.
 # Отметка живёт вне репозитория — внутри .aqk/ она либо закоммитится в чужой проект, либо
 # потеряется при повторном init --force.
 FAKEHOME="$(mktemp -d)"
 D1="$(mktemp -d)"
-OUT1=$( cd "$D1" && HOME="$FAKEHOME" node "$CLI" init 2>&1 )
+OUT1=$( cd "$D1" && HOME="$FAKEHOME" USERPROFILE="$FAKEHOME" node "$CLI" init 2>&1 )
 if printf '%s' "$OUT1" | grep -qi 'звезд'; then
   ok "первый init на новой машине зовёт поставить звезду"
 else
   bad "первый init не упомянул звезду/обратную связь" "$OUT1"
 fi
 D2="$(mktemp -d)"
-OUT2=$( cd "$D2" && HOME="$FAKEHOME" node "$CLI" init 2>&1 )
+OUT2=$( cd "$D2" && HOME="$FAKEHOME" USERPROFILE="$FAKEHOME" node "$CLI" init 2>&1 )
 if printf '%s' "$OUT2" | grep -qi 'звезд'; then
   bad "init повторил просьбу про звезду на той же машине" "второй проект, та же HOME"
 else
@@ -428,7 +432,9 @@ rm -f /tmp/aqk-broken-doc-links.$$
 # --- 26. doctor печатает версию комплекта ------------------------------------
 # Баг-репорт без версии нечем привязать к коммиту — заметили, заполняя .github/ISSUE_TEMPLATE/,
 # где просили версию из шапки doctor, а шапка её не печатала вовсе.
-PKGVER=$(node -e "console.log(require('$ROOT/package.json').version)")
+# Путь отдаётся оболочкой, а Node на Windows не понимает «/d/a/…» из Git Bash. Читаем из
+# текущего каталога, а не подставляем абсолютный путь в код.
+PKGVER=$( cd "$ROOT" && node -p "require('./package.json').version" )
 DOCVER=$( cd "$ROOT" && node "$CLI" doctor 2>&1 | head -3)
 if printf '%s' "$DOCVER" | grep -qF "$PKGVER"; then
   ok "doctor печатает версию комплекта ($PKGVER)"
@@ -532,16 +538,25 @@ fi
 rm -rf "$SHDIR" "$CEDIR"
 
 # --- 32. вывод действительно на двух языках -----------------------------------
+# Утечку русского ищем СЛОВАМИ, а не диапазоном [а-яА-ЯёЁ]. Диапазон непереносим: в сборке grep
+# из MSYS он сравнивает байты, и «—», «·», ««»» из обычной типографики попадают в него — на
+# Windows проверка насчитывала пять «кириллических» строк в чисто английском выводе. Литеральные
+# слова совпадают одинаково везде, что тот же прогон и подтвердил.
 # Сверка ключей каталогов (units.mjs) доказывает, что строки не разошлись, но не доказывает,
 # что выбор языка вообще доехал до вывода. Это проверяется только запуском.
 EN_OUT=$(AQK_LANG=en node "$CLI" 2>&1)
 RU_OUT=$(AQK_LANG=ru node "$CLI" 2>&1)
 if printf '%s' "$EN_OUT" | grep -q "install a gate from the catalogue" &&
-   ! printf '%s' "$EN_OUT" | grep -q '[а-яА-ЯёЁ]' &&
+   ! printf '%s' "$EN_OUT" | grep -qE 'гейт|каталог|проверк|уровен|репозитор' &&
    printf '%s' "$RU_OUT" | grep -q "поставить гейт из каталога"; then
   ok "справка печатается на двух языках, в английской нет кириллицы"
 else
-  bad "выбор языка не доехал до вывода" "$(printf '%s' "$EN_OUT" | head -4)"
+  # Диагностика по каждому условию отдельно. Прежняя печатала первые строки вывода — по ним
+  # видно, что вывод английский, и совершенно не видно, какая из трёх сверок не сошлась.
+  EN_HAS=$(printf '%s' "$EN_OUT" | grep -c "install a gate from the catalogue")
+  EN_CYR=$(printf '%s' "$EN_OUT" | grep -cE 'гейт|каталог|проверк|уровен|репозитор')
+  RU_HAS=$(printf '%s' "$RU_OUT" | grep -c "поставить гейт из каталога")
+  bad "выбор языка не доехал до вывода" "англ.фраза=$EN_HAS кириллица_в_англ=$EN_CYR рус.фраза=$RU_HAS"
 fi
 
 # --- 33. ссылка на репозиторий ведёт в репозиторий -----------------------------
@@ -549,7 +564,7 @@ fi
 # «github:владелец/репозиторий»), просьба про звезду поехала на github.com/agent-quality-kit —
 # несуществующую страницу. Единственное место, где мы просим человека о чём-то, вело в никуда.
 FBDIR="$(mktemp -d)"; FBPROJ="$(mktemp -d)"
-FB_OUT=$( cd "$FBPROJ" && git init -q . && HOME="$FBDIR" node "$CLI" init 2>&1 )
+FB_OUT=$( cd "$FBPROJ" && git init -q . && HOME="$FBDIR" USERPROFILE="$FBDIR" node "$CLI" init 2>&1 )
 if printf '%s' "$FB_OUT" | grep -qE 'https://github\.com/[A-Za-z0-9_.-]+/[A-Za-z0-9_.-]+'; then
   ok "просьба про звезду ведёт на репозиторий, а не на github.com/<имя пакета>"
 else
@@ -565,13 +580,19 @@ REPDIR="$(mktemp -d)"
 (
   cd "$REPDIR" && git init -q . && mkdir -p src &&
   printf 'def f():\n    print("debug")\n' > src/a.py &&
-  node "$CLI" start >/dev/null 2>&1
+  node "$CLI" start > /tmp/aqk-start.log 2>&1
 )
 REP_OUT=$( cd "$REPDIR" && node "$CLI" report 2>&1 ); REP_CODE=$?
 if [ "$REP_CODE" -ne 0 ] && printf '%s' "$REP_OUT" | grep -q '❌ no-print-in-prod'; then
   ok "report краснеет кодом возврата и называет упавший гейт"
 else
-  bad "report не отличает красное от зелёного" "код $REP_CODE"
+  # Код возврата отчёта не говорит, ПОЧЕМУ он ноль: гейт не сработал, не установился или
+  # установился не тот. Спрашиваем сам гейт напрямую — это и есть разница между «отчёт врёт»
+  # и «проверка не ловит на этой системе».
+  G_LS=$( cd "$REPDIR" && ls gates 2>&1 | tr '\n' ' ' )
+  G_DECL=$( cd "$REPDIR" && sed -n '/^gates:/,$p' .aqk.yml 2>/dev/null | grep -cE '^[[:space:]]+[A-Za-z0-9_-]+:' )
+  G_OUT=$( cd "$REPDIR" && bash gates/no-print-in-prod/check.sh . 2>&1 | head -2 ); G_CODE=$?
+  bad "report не отличает красное от зелёного" "код отчёта $REP_CODE; гейт напрямую: код $G_CODE, вывод «$(printf '%s' "$G_OUT" | tr '\n' ' ')»; в gates/: «$G_LS»; объявлено гейтов: $G_DECL; хвост start: «$(tail -4 /tmp/aqk-start.log 2>/dev/null | tr '\n' ' ')»"
 fi
 if [ -f "$REPDIR/.aqk/report.md" ] && grep -q '^## ' "$REPDIR/.aqk/report.md"; then
   ok "report сохраняет .aqk/report.md"
@@ -696,6 +717,246 @@ else
 fi
 rm -rf "$BDIR"
 
+# --- 41. порог различает «ступень ниже» и «упал гейт» -------------------------
+# ЗАЧЕМ. При упавшем гейте печаталось «Порог AQK-1 НЕ пройден: сейчас AQK-1» — утверждение,
+# противоречащее само себе. Человек шёл чинить манифест, а падал гейт. Это две разные
+# развилки, и сообщение обязано их различать, иначе оно отправляет чинить не то.
+TDIR="$(mktemp -d)"
+( cd "$TDIR" && git init -q . && node "$CLI" init >/dev/null 2>&1 )
+printf 'gates:\n  always-fails: "false"\n' >> "$TDIR/.aqk.yml"
+OUT_GATE="$( cd "$TDIR" && node "$CLI" doctor --run --min 1 2>&1 )"; RC_GATE=$?
+# Ступень ниже порога: пустой манифест без входа и правил.
+EDIR="$(mktemp -d)"; ( cd "$EDIR" && git init -q . && printf 'aqk: 1\n' > .aqk.yml )
+OUT_LVL="$( cd "$EDIR" && node "$CLI" doctor --min 3 2>&1 )"; RC_LVL=$?
+if [ "$RC_GATE" -ne 0 ] && [ "$RC_LVL" -ne 0 ] &&
+   printf '%s' "$OUT_GATE" | grep -q 'always-fails' &&
+   ! printf '%s' "$OUT_GATE" | grep -qE '(НЕ пройден|NOT passed): (сейчас|currently) AQK-1' &&
+   printf '%s' "$OUT_LVL" | grep -qE '(НЕ пройден|NOT passed)'; then
+  ok "порог различает упавший гейт и недобранную ступень"
+else
+  bad "сообщение о пороге не различает две развилки" "гейт: $(printf '%s' "$OUT_GATE" | tail -2 | tr '\n' ' ')"
+fi
+rm -rf "$TDIR" "$EDIR"
+
+# --- 42. duplicate-code: пара упорядочена, а не как отдал обход ---------------
+# ЗАЧЕМ. Ключ пары складывался в порядке, в котором файлы отдал find, а он разный на разных
+# системах (здесь — по хешу имени, не по алфавиту и не по времени создания). Реестр, снятый
+# на одной машине, краснел в конвейере целиком: те же дубли читались как новые. Хуже: храповик
+# объявлял их исправленными и вычёркивал — реестр портился. Инвариант: пара внутри строки
+# всегда лексикографическая, тогда ключ одинаков на любой системе.
+DD="$(mktemp -d)"
+BLOCK='def f():\n    a = 1\n    b = 2\n    c = 3\n    d = 4\n    e = 5\n    g = 6\n    h = 7\n    return a\n'
+printf "$BLOCK" > "$DD/zz.py"; printf "$BLOCK" > "$DD/aa.py"
+LINE="$(bash "$ROOT/kit/gates/duplicate-code/check.sh" "$DD" 2>&1 | sed "s#$DD/##g" | grep 'одинаков' | head -1)"
+FIRST="${LINE%% и *}"; REST="${LINE#* и }"; SECOND="${REST%%:*}"
+if [ -n "$LINE" ] && [ "${FIRST%%:*}" \< "$SECOND" ]; then
+  ok "duplicate-code упорядочивает пару лексикографически"
+else
+  bad "пара идёт в порядке обхода — реестр разъедется между машинами" "$LINE"
+fi
+rm -rf "$DD"
+
+# --- 43. храповик: ключ переживает сдвиг строки в ПЕРВОМ файле пары -----------
+# ЗАЧЕМ. keys() убирал номер строки шаблоном ':<число>:', а у первого файла пары за номером
+# идёт ' и '. Номер оставался в ключе, и сдвиг кода в первом файле читался как новое
+# нарушение — ровно то, от чего храповик защищает.
+RDIR="$(mktemp -d)"
+printf '# реестр\na.tsx: и b.tsx: одинаковый кусок\n' > "$RDIR/reg.txt"
+bash "$ROOT/kit/ratchet/ratchet.sh" "$RDIR/reg.txt" \
+  printf 'a.tsx:171 и b.tsx:188: одинаковый кусок\n' >/dev/null 2>&1; RC_SHIFT=$?
+if [ "$RC_SHIFT" -eq 0 ]; then
+  ok "храповик: номер строки убран у обоих файлов пары"
+else
+  bad "сдвиг строки в первом файле пары читается как новое нарушение" "код $RC_SHIFT"
+fi
+rm -rf "$RDIR"
+
+# --- 44. манифест называет опечатку в имени поля -------------------------------
+# ЗАЧЕМ. Разбор принимает любое имя поля. `gate:` вместо `gates:` молча означало «гейтов не
+# объявлено»: вердикт выходил неверный, а причина не называлась. Человек шёл искать ошибку в
+# проекте, а она была в одной букве манифеста. Тишина неотличима от успеха — тот самый класс,
+# против которого построен стандарт, только внутри самой программы.
+MDIR="$(mktemp -d)"
+( cd "$MDIR" && git init -q . && node "$CLI" init >/dev/null 2>&1 )
+sed -i 's/^gates:/gate:/' "$MDIR/.aqk.yml"
+OUT_TYPO="$( cd "$MDIR" && node "$CLI" doctor 2>&1 )"
+OUT_OK="$( cd "$MDIR" && sed -i 's/^gate:/gates:/' .aqk.yml && node "$CLI" doctor 2>&1 )"
+if printf '%s' "$OUT_TYPO" | grep -qE '(does not know|не знает).*gate' &&
+   ! printf '%s' "$OUT_OK" | grep -qE '(does not know|не знает)'; then
+  ok "манифест называет неизвестное поле и молчит на верном"
+else
+  bad "опечатка в поле манифеста проходит молча" "$(printf '%s' "$OUT_TYPO" | grep -i 'know\|знает' | head -1)"
+fi
+rm -rf "$MDIR"
+
+# --- 45. родной рецепт не читает то, что не читают переносимые -----------------
+# ЗАЧЕМ. own_samples_filter знал про образцы гейтов и .aqkignore, но не про SKIP_NAMES:
+# их применяли только переносимые проверки при обходе, а родному инструменту список не
+# доставался вовсе. На живом проекте (Django + React, 2750 файлов кода) первой находкой
+# duplicate-code оказались методички САМОГО комплекта в .aqk/docs — родной jscpd прошёлся
+# по каталогу, который положил init. Вывод — 5597 строк. Такой гейт выключают целиком,
+# ровно как сказано в шапке _skip.sh про 94% чужих находок.
+NDIR="$(mktemp -d)"
+mkdir -p "$NDIR/.aqk/docs" "$NDIR/node_modules/pkg" "$NDIR/src"
+printf 'нарушение\n' > "$NDIR/.aqk/docs/guide.md"
+printf 'нарушение\n' > "$NDIR/node_modules/pkg/index.js"
+printf 'нарушение\n' > "$NDIR/src/mine.py"
+# «Инструмент» печатает пути и возвращает отказ — как настоящий родной линтер.
+# Пути в цветовых кодах — как их печатает jscpd: имя каталога идёт не после «/» и не с начала
+# строки, а сразу за escape-последовательностью. Фильтр по границе пути их не видел, и на живом
+# проекте вывод сократился с 5597 строк до 5505 — то есть не сократился.
+cat > "$NDIR/fake-tool.sh" <<'EOT'
+printf ' - \033[1m\033[32m.aqk/docs/guide.md:markdown\033[39m\033[22m [8:1 - 20:5]\n'
+printf ' - \033[1m\033[32mnode_modules/pkg/index.js:javascript\033[39m\033[22m [1:1 - 9:2]\n'
+printf ' - \033[1m\033[32msrc/mine.py:python\033[39m\033[22m [1:1 - 9:2]\n'
+exit 1
+EOT
+OUT_N="$(cd "$NDIR" && sh "$ROOT/kit/gates/_native.sh" . sh ./fake-tool.sh 2>&1)"
+if printf '%s' "$OUT_N" | grep -q 'src/mine.py' &&
+   ! printf '%s' "$OUT_N" | grep -q '\.aqk/docs' &&
+   ! printf '%s' "$OUT_N" | grep -q 'node_modules'; then
+  ok "родной рецепт молчит про .aqk и node_modules, но видит свой код"
+else
+  bad "родной инструмент выдаёт то, что переносимые не читают" "$(printf '%s' "$OUT_N" | tr '\n' ' ')"
+fi
+rm -rf "$NDIR"
+
+# --- 46. commit-explains-itself и синтетический merge-коммит -------------------
+# ЗАЧЕМ. При разборе предложения изменений GitHub выкладывает не коммит автора, а синтетический
+# merge-коммит с сообщением «Merge <sha> into <sha>». Гейт читал именно его, не находил разделов
+# отчёта и краснел — на КАЖДОМ предложении изменений в КАЖДОМ проекте, куда его поставили.
+# Поймано настоящим прогоном конвейера на этой же ветке, а не рассуждением.
+CDIR="$(mktemp -d)"
+(
+  cd "$CDIR" && git init -q . && git config user.email a@b.c && git config user.name a
+  printf 'один\n' > f.txt && git add -A
+  git commit -q -m "feat: первый" -m "Сделано: завёл файл" -m "Не уверен: ни в чём"
+  git checkout -q -b feature
+  printf 'два\n' >> f.txt && git add -A
+  git commit -q -m "feat: второй" -m "Сделано: дописал строку" -m "Не уверен: ни в чём"
+  git checkout -q master 2>/dev/null || git checkout -q main
+  # Ровно та форма сообщения, которую делает GitHub для ветки предложения изменений.
+  git merge -q --no-ff feature -m "Merge $(git rev-parse --short feature) into $(git rev-parse --short HEAD)"
+) >/dev/null 2>&1
+OUT_M="$(bash "$ROOT/kit/gates/commit-explains-itself/check.sh" "$CDIR" 2>&1)"; RC_M=$?
+# Вторая форма — та, что делает кнопка Merge на сайте. Слова другие, случай тот же: сообщение
+# сочинил не автор. Шаблон «Merge … into …» её не ловил, и main покраснел бы после первого же
+# вливания через кнопку.
+CDIR2="$(mktemp -d)"
+(
+  cd "$CDIR2" && git init -q . && git config user.email a@b.c && git config user.name a
+  printf 'один\n' > f.txt && git add -A
+  git commit -q -m "feat: первый" -m "Сделано: завёл файл" -m "Не уверен: ни в чём"
+  git checkout -q -b feature
+  printf 'два\n' >> f.txt && git add -A
+  git commit -q -m "feat: второй" -m "Сделано: дописал строку" -m "Не уверен: ни в чём"
+  git checkout -q master 2>/dev/null || git checkout -q main
+  git merge -q --no-ff feature -m "Merge pull request #15 from owner/feature"
+) >/dev/null 2>&1
+bash "$ROOT/kit/gates/commit-explains-itself/check.sh" "$CDIR2" >/dev/null 2>&1; RC_PR=$?
+rm -rf "$CDIR2"
+if [ "$RC_M" -eq 0 ] && [ "$RC_PR" -eq 0 ]; then
+  ok "commit-explains-itself смотрит на коммит автора, а не на merge-коммит конвейера"
+else
+  bad "гейт краснеет на слитом предложении изменений" "checkout-форма: $RC_M, кнопка Merge: $RC_PR"
+fi
+rm -rf "$CDIR"
+
+# --- 47. doctor --baseline ставит галочки прогоном, а не по памяти -------------
+# ЗАЧЕМ. Методичка про обязательный минимум — 50 пунктов — была единственным местом, где
+# комплект просил верить на слово, что человек её прочитал и сверился. Ручной проход по живому
+# проекту нашёл настоящее (логирование не задано, задачи конвейера не запускались ни разу),
+# но дисциплина не масштабируется. Проверяем главное: значок ставит признак, а не автор.
+BDIR2="$(mktemp -d)"
+( cd "$BDIR2" && git init -q . && node "$CLI" init >/dev/null 2>&1 )
+OUT_EMPTY="$( cd "$BDIR2" && node "$CLI" doctor --baseline 2>&1 )"
+# Кладём общепринятые признаки трёх РАЗНЫХ экосистем: нейтральность к стеку — условие, а не
+# пожелание. Проверка, знающая только про npm, объявила бы половину мира несоответствующей.
+printf 'x\n' > "$BDIR2/Cargo.lock"; printf 'x\n' > "$BDIR2/ruff.toml"; printf 'x\n' > "$BDIR2/Dockerfile"
+OUT_FULL="$( cd "$BDIR2" && node "$CLI" doctor --baseline 2>&1 )"
+BEFORE=$(printf '%s' "$OUT_EMPTY" | grep -c '✔' || true)
+AFTER=$(printf '%s' "$OUT_FULL" | grep -c '✔' || true)
+if printf '%s' "$OUT_FULL" | grep -qE 'cargo.lock' &&
+   printf '%s' "$OUT_FULL" | grep -qE 'ruff.toml' &&
+   printf '%s' "$OUT_FULL" | grep -qE 'dockerfile' &&
+   [ "$AFTER" -gt "$BEFORE" ]; then
+  ok "doctor --baseline засчитывает признаки разных экосистем и называет, чем подтверждено"
+else
+  bad "baseline не видит признаков или не называет доказательство" "было ✔ $BEFORE, стало $AFTER"
+fi
+rm -rf "$BDIR2"
+
+# --- 48. start не бросает установку из-за одной записи ------------------------
+# ЗАЧЕМ. Записи вроде dead-code нужен настоящий инструмент; переносимого рецепта у неё нет.
+# На машине без него установка ПАДАЛА целиком: человек получал три сторожа вместо двенадцати и
+# ни слова про остальные девять. Найдено прогоном на Windows, где нет ни ruff, ни vulture.
+# Воспроизводим без Windows: урезаем PATH до одного node — инструментов не видно так же.
+NRDIR="$(mktemp -d)"; NRBIN="$(mktemp -d)"
+ln -sf "$(command -v node)" "$NRBIN/node"
+( cd "$NRDIR" && git init -q . && mkdir -p src && printf 'def f():\n    print("debug")\n' > src/a.py )
+NR_OUT=$( cd "$NRDIR" && PATH="$NRBIN" node "$CLI" start 2>&1 ); NR_CODE=$?
+NR_GATES=$( ls "$NRDIR/gates" 2>/dev/null | grep -cv '^_' )
+if [ "$NR_CODE" -eq 0 ] && [ "$NR_GATES" -ge 5 ] &&
+   [ -f "$NRDIR/gates/no-print-in-prod/check.sh" ]; then
+  ok "start пропускает запись без пригодного инструмента и ставит остальные ($NR_GATES)"
+else
+  bad "start бросил установку из-за одной записи" "код $NR_CODE, поставлено $NR_GATES, хвост: $(printf '%s' "$NR_OUT" | tail -2 | tr '\n' ' ')"
+fi
+rm -rf "$NRDIR" "$NRBIN"
+
+# --- 49. выведенную запись не ставят, а называют преемника --------------------
+# ЗАЧЕМ. Зрелость записи считается по доказательству, и объявить её нельзя — кроме одного
+# состояния: `deprecated`. Оно объявляется, и весь его смысл в отказе: запись, которую всё ещё
+# можно поставить одной командой, не выведена, а просто помечена. Проверяем сам отказ и то, что
+# папка гейта в проекте НЕ появилась: половина установки хуже, чем её отсутствие.
+#
+# Каталог мутируем в КОПИИ пакета, а не в этом репозитории: проверка, которая правит собственные
+# исходники, однажды упадёт посередине и оставит дерево грязным.
+DEPKG="$(mktemp -d)"; DEPRJ="$(mktemp -d)"
+cp -r "$ROOT/tool" "$ROOT/kit" "$ROOT/package.json" "$DEPKG/" 2>/dev/null
+printf 'lifecycle: deprecated\nsuperseded_by: no-print-in-prod\n' >> "$DEPKG/kit/gates/todo-without-task/gate.yml"
+( cd "$DEPRJ" && git init -q . && printf 'x = 1\n' > a.py && node "$DEPKG/tool/program.mjs" init >/dev/null 2>&1 )
+DE_OUT=$( cd "$DEPRJ" && node "$DEPKG/tool/program.mjs" add todo-without-task 2>&1 ); DE_CODE=$?
+if [ "$DE_CODE" -ne 0 ] &&
+   printf '%s' "$DE_OUT" | grep -q 'no-print-in-prod' &&
+   [ ! -d "$DEPRJ/gates/todo-without-task" ]; then
+  ok "add отказывает в выведенной записи и называет ту, что её заменяет"
+else
+  bad "выведенная запись установилась или преемник не назван" "код $DE_CODE, папка: $([ -d "$DEPRJ/gates/todo-without-task" ] && echo есть || echo нет)"
+fi
+rm -rf "$DEPKG" "$DEPRJ"
+
+# --- 50. --since показывает только то, что внёс диф ---------------------------
+# ЗАЧЕМ. Первый прогон в живом проекте показывает долг за все годы. Стену красного не разбирают
+# — проверку выключают целиком. Проверяем три исхода разом: старый долг молчит, новый краснеет,
+# а гейт, который печатает вердикт без путей, НЕ становится зелёным от того, что его нечем сузить.
+SCDIR="$(mktemp -d)"
+(
+  cd "$SCDIR" && git init -q . && git config user.email t@t && git config user.name t
+  mkdir -p src && printf 'def old():\n    print("старый долг")\n' > src/old.py
+  node "$CLI" init >/dev/null 2>&1
+  node "$CLI" add no-print-in-prod >/dev/null 2>&1
+  git add -A && git commit -qm "база" >/dev/null 2>&1
+  printf 'def fresh():\n    print("новый долг")\n' > src/fresh.py
+)
+SC_WIDE=$( cd "$SCDIR" && node "$CLI" doctor --run 2>&1 )
+SC_NARROW=$( cd "$SCDIR" && node "$CLI" doctor --run --since HEAD 2>&1 )
+if printf '%s' "$SC_WIDE"   | grep -q 'old.py' &&
+   printf '%s' "$SC_NARROW" | grep -q 'fresh.py' &&
+   ! printf '%s' "$SC_NARROW" | grep -q 'old.py'; then
+  ok "--since прячет старый долг и показывает внесённый дифом"
+else
+  bad "--since сузил не то" "широкий: $(printf '%s' "$SC_WIDE" | grep -c 'py:'), узкий: $(printf '%s' "$SC_NARROW" | grep -c 'py:')"
+fi
+# Несуществующая ссылка обязана быть отказом, а не тихим «сравнили с ничем».
+SC_BAD=$( cd "$SCDIR" && node "$CLI" doctor --run --since net-takoy-vetki 2>&1 ); SC_BADCODE=$?
+if [ "$SC_BADCODE" -ne 0 ] && printf '%s' "$SC_BAD" | grep -qi 'net-takoy-vetki'; then
+  ok "--since с несуществующей ссылкой — отказ, а не тихое сравнение с ничем"
+else
+  bad "--since проглотил неверную ссылку" "код $SC_BADCODE"
+fi
+rm -rf "$SCDIR"
+
 # --- итог -------------------------------------------------------------------
 printf '\n'
 if [ "$FAIL" -eq 0 ]; then

package/tool/selfcheck/syntax.sh

@@ -15,8 +15,16 @@ BAD=0
 for F in $(git ls-files 'tool/*.mjs' 'tool/**/*.mjs' 2>/dev/null); do
   node --check "$F" || BAD=1
 done
+# Разбираем тем интерпретатором, который объявлен в шебанге, а не всегда bash. `bash -n`
+# принимает bash-измы («<<<», массивы, «local») в файле, который объявлен как `sh`, — и
+# переносимость ломается молча, на чужой машине с dash. Так и вышло: четыре гейта, объявленные
+# `#!/usr/bin/env sh`, получили «<<<» и прошли проверку синтаксиса зелёными.
 for F in $(git ls-files '*.sh' 2>/dev/null); do
-  bash -n "$F" || BAD=1
+  case "$(head -1 "$F")" in
+    *bash*) SH=bash ;;
+    *) SH=sh ;;
+  esac
+  "$SH" -n "$F" || BAD=1
 done
 
 [ "$BAD" -eq 0 ] || echo "  почини: файл не разбирается — до него не доедет ни одна другая проверка."

package/tool/selfcheck/units.mjs

@@ -11,8 +11,10 @@
 
 import test from "node:test";
 import assert from "node:assert/strict";
-import { parseManifest, manifestWithGate } from "../lib/manifest.mjs";
+import { parseManifest, manifestWithGate, unknownKeys, entryLifecycle } from "../lib/manifest.mjs";
 import { triggerVerdict, recipeFor, stems, overlap, EXT_LANG, whichSync } from "../lib/repo.mjs";
+import { scopeOutput } from "../lib/scope.mjs";
+import { assessBaseline, ITEMS, BASELINE_TOTAL } from "../lib/baseline.mjs";
 import { CATALOGS, pickLang, L } from "../i18n/index.mjs";
 import { badgeMarkdown, BADGE_RE, placesToCheck } from "../commands/badge.mjs";
 import { dirname } from "node:path";
@@ -199,3 +201,160 @@ test("значок ищется в точке входа и в README, без п
   assert.equal(places.filter((p) => p === "README.md").length, 1);
   assert.ok(placesToCheck({}).includes("README.md"), "без entry README всё равно проверяется");
 });
+
+// ЗАЧЕМ. Опечатка в имени поля молча означала «поля нет»: `gate:` вместо `gates:` давало
+// вердикт «гейтов не объявлено», а не «в манифесте опечатка». Тишина неотличима от успеха —
+// тот самый дефект, ради которого весь стандарт существует, только внутри нас самих.
+test("опечатка в поле манифеста называется, а не молчит", () => {
+  assert.deepEqual(unknownKeys(parseManifest("aqk: 1\ngate:\n  smoke: \"bash x.sh\"\n")), ["gate"]);
+  assert.deepEqual(unknownKeys(parseManifest("aqk: 1\nrules: kit/rules\nlessons: incidents\n")), []);
+  // Пустой и отсутствующий манифест — не повод ругаться на поля.
+  assert.deepEqual(unknownKeys(null), []);
+  assert.deepEqual(unknownKeys({}), []);
+});
+
+// ЗАЧЕМ. Разбор резал строку по «#» безусловно, в том числе внутри кавычек. Команда с решёткой
+// — `--format "...,c#,..."`, `grep '#!'`, любой цвет `#fff` — молча обрезалась, и гейт запускал
+// НЕ ТУ команду, которая объявлена. Объявленное и исполняемое разошлись бы беззвучно: ровно
+// тот класс, ради которого стандарт существует. Найдено при правке рецепта duplicate-code.
+test("решётка внутри кавычек не считается комментарием", () => {
+  const m = parseManifest('gates:\n  dup: "npx jscpd --format \"java,c#,php\" ."\n');
+  assert.equal(m.gates.dup, 'npx jscpd --format "java,c#,php" .');
+  // Настоящий комментарий после команды по-прежнему срезается.
+  const c = parseManifest('gates:\n  x: "bash a.sh"  # пояснение\n');
+  assert.equal(c.gates.x, "bash a.sh");
+  // И комментарий на отдельной строке.
+  assert.deepEqual(Object.keys(parseManifest("# только комментарий\naqk: 1\n")), ["aqk"]);
+});
+
+// ЗАЧЕМ. Пункты baseline проверяются НАЛИЧИЕМ признака, и признак обязан быть семейством, а не
+// одним именем: список, знающий только про npm, объявил бы половину мира несоответствующей.
+// Проверяем именно нейтральность — что пункт засчитывается по маркеру любой экосистемы.
+test("baseline: признак засчитывается по любой экосистеме", () => {
+  const by = (files) => Object.fromEntries(assessBaseline({ files }).map((r) => [r.key, r]));
+  for (const lock of ["package-lock.json", "poetry.lock", "go.sum", "Cargo.lock", "Gemfile.lock", "composer.lock", "mix.lock"]) {
+    assert.equal(by([lock]).lockfile.ok, true, lock);
+    assert.deepEqual(by([lock]).lockfile.by, { kind: "file", value: lock.toLowerCase() });
+  }
+  for (const lint of [".eslintrc.json", "ruff.toml", ".golangci.yml", "clippy.toml", ".rubocop.yml", "phpstan.neon", ".swiftlint.yml"]) {
+    assert.equal(by([lint]).linter.ok, true, lint);
+  }
+  // Пустой репозиторий: ни одного признака, и ни одной ложной галочки.
+  assert.equal(assessBaseline({}).every((r) => r.ok === false), true);
+});
+
+test("baseline: гейт, факт и поле манифеста засчитываются наравне с файлом", () => {
+  const one = (arg) => Object.fromEntries(assessBaseline(arg).map((r) => [r.key, r]));
+  assert.equal(one({ gateKeys: ["secrets-not-in-code"] }).secretScan.ok, true);
+  assert.equal(one({ facts: { has_ci: true } }).pipeline.ok, true);
+  assert.equal(one({ manifest: { entry: ["AGENTS.md"] } }).machineReadable.ok, true);
+  assert.equal(one({ manifest: { entry: [] } }).machineReadable.ok, false);
+  assert.equal(one({ depsText: '"@sentry/node": "^7"' }).errorTracker.ok, true);
+  assert.equal(one({ depsText: "sentry-sdk==2.0" }).errorTracker.ok, true);
+});
+
+// Число пунктов в методичке — не выдумка кода: если методичка вырастет, а число останется,
+// отчёт начнёт врать о том, сколько осталось человеку.
+test("baseline: заявленное число пунктов совпадает с методичкой", async () => {
+  const { readFile } = await import("node:fs/promises");
+  const { fileURLToPath } = await import("node:url");
+  const doc = await readFile(fileURLToPath(new URL("../../kit/docs/ai/project-baseline.md", import.meta.url)), "utf8");
+  const nums = [...doc.matchAll(/^(\d+)\. \*\*/gm)].map((m) => Number(m[1]));
+  assert.equal(Math.max(...nums), BASELINE_TOTAL);
+  assert.equal(ITEMS.every((i) => i.n <= BASELINE_TOTAL), true);
+});
+
+// ЗАЧЕМ. Запись про внешний вид, показанная бэкенду или утилите командной строки, — это совет
+// не по адресу; таким записям перестают верить, и вместе с ними всему каталогу. Признак
+// интерфейса отличает проект со стилями от проекта на тех же языках без них.
+test("триггер по интерфейсу отделяет фронтенд от бэкенда на том же языке", () => {
+  const rec = { trigger: { has_ui: true } };
+  const base = { langs: new Set(["typescript"]), files: 100, gateKeys: [] };
+  assert.equal(triggerVerdict(rec, { ...base, has_ui: true }).applies, true);
+  assert.equal(triggerVerdict(rec, { ...base, has_ui: false }).applies, false);
+  // Причина сокрытия называется, а не молчит: иначе «не показано» неотличимо от «нечего показать».
+  assert.equal(typeof triggerVerdict(rec, { ...base, has_ui: false }).why, "string");
+});
+
+// --- зрелость записи ---------------------------------------------------------
+// ЗАЧЕМ. У всех трёх соседей поле зрелости есть, и у всех троих его ЗАПОЛНЯЕТ АВТОР: `lifecycle`
+// у зондов Scorecard, `future`/`obsolete` у критериев значка OpenSSF. Поле, которое объявляет
+// автор, означает доверие к автору, а не факт, — ровно то, против чего построен весь стандарт.
+// Поэтому зрелость здесь ВЫЧИСЛЯЕТСЯ из доказательства, а объявить её нельзя.
+test("зрелость записи считается по доказательству, а не по объявлению", () => {
+  const proven = entryLifecycle({ proof: "incidents/README.md, 2026-08-27 «печать в проде»" });
+  assert.equal(proven.state, "stable");
+  assert.equal(proven.problem, null);
+
+  const claimed = entryLifecycle({ proof: "это общепринятая хорошая практика" });
+  assert.equal(claimed.state, "experimental");
+  assert.equal(claimed.problem, null);
+  // Причина обязательна: «запись условная» без объяснения неотличимо от придирки.
+  assert.equal(typeof claimed.why, "string");
+});
+
+test("объявить себя зрелым нельзя — это самооценка", () => {
+  for (const claim of ["stable", "experimental"]) {
+    const r = entryLifecycle({ lifecycle: claim, proof: "incidents/README.md, 2026-01-01" });
+    assert.notEqual(r.problem, null);
+    // Вердикт всё равно считается сам: объявление не влияет ни на что, кроме отказа.
+    assert.equal(r.state, "stable");
+  }
+  assert.notEqual(entryLifecycle({ lifecycle: "beta", proof: "incidents/x" }).problem, null);
+});
+
+// Единственное состояние, которое ОБЪЯВЛЯЕТСЯ: из фактов записи «её больше не ставят» не
+// выводится никак. Цена объявления — обязательная замена: запись, выведенная в никуда,
+// оставляет человека без ответа на вопрос «а что теперь».
+test("выведенная запись обязана назвать замену", () => {
+  const noReplacement = entryLifecycle({ lifecycle: "deprecated", proof: "incidents/x" });
+  assert.equal(noReplacement.state, "deprecated");
+  assert.notEqual(noReplacement.problem, null);
+
+  const ok = entryLifecycle({ lifecycle: "deprecated", superseded_by: "no-print-in-prod", proof: "incidents/x" });
+  assert.equal(ok.state, "deprecated");
+  assert.equal(ok.supersededBy, "no-print-in-prod");
+  assert.equal(ok.problem, null);
+});
+
+
+// --- сужение вывода до дифа --------------------------------------------------
+// ЗАЧЕМ. Первый прогон на живом проекте даёт тысячи находок из кода, который писали годами.
+// Человек видит стену красного и выключает инструмент целиком — это причина номер один, по
+// которой такие проверки снимают. Три независимых проекта из нашего разбора умеют показывать
+// только внесённое дифом (reviewdog, ratchets `--since`, четыре режима шума у react-doctor).
+test("сужение по дифу: находка вне диапазона отбрасывается, внутри — остаётся", () => {
+  const files = new Set(["src/new.py"]);
+  const r = scopeOutput(["src/new.py:3: печать", "src/old.py:9: печать"], files);
+  assert.deepEqual(r.kept, ["src/new.py:3: печать"]);
+  assert.equal(r.findings, 1);
+});
+
+test("сужение по дифу: «./путь» и «путь» — один и тот же файл", () => {
+  const r = scopeOutput(["./src/new.py:3: печать", "src\\new.py:4: печать"], new Set(["src/new.py"]));
+  assert.equal(r.findings, 2);
+});
+
+// Тот же урок, что стоил починки в _native.sh: родные инструменты печатают путь ВНУТРИ
+// escape-последовательности, и сравнение по границе пути его не видит. Тогда «вывод
+// сократился с 5597 до 5505 строк» выглядело как работающая правка.
+test("сужение по дифу: цвет снимается до сравнения путей", () => {
+  const esc = String.fromCharCode(27);
+  const line = esc + "[32m" + "src/new.py" + esc + "[0m" + ":3: печать";
+  assert.equal(scopeOutput([line], new Set(["src/new.py"])).findings, 1);
+});
+
+test("сужение по дифу: строка без пути остаётся, но находкой не считается", () => {
+  const r = scopeOutput(["Итого: 4 нарушения", "src/old.py:1: печать"], new Set(["src/new.py"]));
+  assert.equal(r.findings, 0);
+  assert.equal(r.kept.includes("Итого: 4 нарушения"), true);
+});
+
+// САМОЕ ВАЖНОЕ ЗДЕСЬ. Гейт, который печатает вердикт без путей (проверка коммита, проверка
+// конфига конвейера), сузить дифом нельзя. Молча признать его успешным — это ровно та тишина,
+// против которой построен весь стандарт, только теперь внутри нашего же флага.
+test("сужение по дифу: гейт без путей в выводе не сужается и остаётся красным", () => {
+  const r = scopeOutput(["коммит не несёт раздела «Сделано:»"], new Set(["src/new.py"]));
+  assert.equal(r.scopable, false);
+  assert.equal(scopeOutput(["src/old.py:1: печать"], new Set(["src/new.py"])).scopable, true);
+});