agent-quality-kit 0.5.0 → 0.7.0

package/kit/gates/commit-explains-itself/check.sh

@@ -4,11 +4,15 @@
 # оставляет след для человека, читающего историю позже.
 DIR="${1:-.}"
 
-# Образцы (gates.sh) читают тело коммита из файла — реальный git log там взять неоткуда, а
+# Образцы (gates.sh) читают тело коммита из `.aqk-commit-msg` — реальный git log там взять неоткуда, а
 # вложенный .git внутри каталога комплекта сам по себе создал бы embedded-репозиторий.
-# В настоящем проекте COMMIT_MSG не бывает — читается последний реальный коммит.
-if [ -f "$DIR/COMMIT_MSG" ]; then
-  MSG=$(cat "$DIR/COMMIT_MSG")
+# В настоящем проекте такого файла не бывает — читается последний реальный коммит.
+# Имя с точкой намеренно: `COMMIT_MSG` в корне проекта — вещь возможная (так зовут заготовку
+# сообщения многие обёртки над git), и такой файл молча подменял бы собой настоящий коммит.
+# Тот же дефект нашло ревью у `personal-config-not-shared` 2026-09-07; здесь он был с самого
+# начала и не всплывал.
+if [ -f "$DIR/.aqk-commit-msg" ]; then
+  MSG=$(cat "$DIR/.aqk-commit-msg")
 else
   if ! (cd "$DIR" 2>/dev/null && git rev-parse --git-dir >/dev/null 2>&1); then
     echo "не git-репозиторий — проверять нечего"

package/kit/gates/complexity-limit/README.md

@@ -33,5 +33,10 @@
 считает только глубину. Не различает функции внутри файла: меряется худшее место файла, а не
 каждая функция отдельно. Готовые правила умеют и то, и другое.
 
+**Тесты не проверяются.** Глубокая вложенность в тесте — это обход таблицы ожиданий, а не
+сложная логика. Замер по `fastapi` дал 303 находки, из которых **101 в `tests/`**; после
+исключения тестов осталось 10. Гейт, который краснеет в основном на тестах, выключают целиком —
+тот же довод и по той же причине, что в `duplicate-code`.
+
 **Образцы.** `red/` — восемь уровней вложенности. `green/` — тот же смысл, разбитый на две
 функции с ранним выходом.

package/kit/gates/complexity-limit/check.sh

@@ -6,11 +6,30 @@
 # ЗАЧЕМ ВООБЩЕ. 29 ветвлений в одной функции — это код, который никто не держит в голове
 # целиком: ни человек, ни агент. Агент в таком месте начинает переписывать вместо правки.
 DIR="${1:-.}"
-. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+# Существование файла проверяется ДО `.`, а не запасной веткой после. Прежняя строка
+# `. файл 2>/dev/null || запасной_вариант` выглядела страховкой и ею не была: под `sh` (dash)
+# неудачный `.` завершает скрипт немедленно, и ветка после `||` не выполняется никогда; под
+# `bash`, которым гейты и запускаются из манифеста, она выполняется, но подставляет только
+# ПЕРЕМЕННУЮ — функции обхода остаются неопределёнными, конвейер печатает пустоту, и проверка
+# выходит с НУЛЁМ. Замерено 2026-09-08 на файле с настоящим нарушением: гейт сказал «чисто».
+SKIP_LIB="$(dirname "$0")/../_skip.sh"
+if [ ! -f "$SKIP_LIB" ]; then
+  echo "рядом с проверкой нет _skip.sh — обход не собран, проверка не состоялась"
+  echo "  почини: скопируй гейт вместе с файлом kit/gates/_skip.sh, он общий на весь каталог"
+  exit 2
+fi
+. "$SKIP_LIB"
 MAX="${AQK_MAX_DEPTH:-5}"
 
+# Тесты исключены намеренно — тем же списком, что и в duplicate-code. Глубокая вложенность в
+# тесте это обход таблицы ожиданий, а не сложная логика: замер по fastapi дал 303 находки, из
+# которых 101 в tests/. Гейт, который краснеет в основном на тестах, выключают целиком.
+TESTS="-name test -prune -o -name tests -prune -o -name spec -prune -o -name __tests__ -prune -o"
+
 # shellcheck disable=SC2046
-find "$DIR" $(skip_find "$DIR") -type f -print 2>/dev/null | only_code | own_samples_filter "$DIR" \
+find "$DIR" $(skip_find "$DIR") $TESTS -type f \
+     ! -name 'test_*' ! -name '*_test.*' ! -name '*.test.*' ! -name '*.spec.*' \
+     -print 2>/dev/null | only_code | own_samples_filter "$DIR" \
   | while IFS= read -r F; do is_generated "$F" || printf '%s\n' "$F"; done \
   | xargs -r awk -v MAX="$MAX" '
         # Один обход на все файлы: процесс на каждый файл дал 19 секунд на 4000 файлов.

package/kit/gates/complexity-limit/green/test_fixtures.py

@@ -0,0 +1,14 @@
+# Тест с глубокой вложенностью — не сложная логика, а разбор дерева ожиданий. Найдено замером
+# по fastapi: 101 находка из 303 пришлась на tests/, и все они — таблицы ожидаемых ответов,
+# которые никто не станет «упрощать». Гейт, который краснеет в основном на тестах, выключат.
+def test_openapi_schema(client):
+    response = client.get("/openapi.json")
+    assert response.status_code == 200
+    schema = response.json()
+    for path, methods in schema["paths"].items():
+        for method, spec in methods.items():
+            for code, resp in spec["responses"].items():
+                if "content" in resp:
+                    for media, body in resp["content"].items():
+                        if "schema" in body:
+                            assert body["schema"] is not None

package/kit/gates/deps-are-pinned/README.md

@@ -26,4 +26,17 @@
 **Готового аналога нет** — ни в линтерах, ни в пакетных менеджерах: они
 умеют создать файл версий, но не умеют требовать, чтобы он существовал и лежал в репозитории.
 
-**Образцы.** `red/` — объявление зависимостей без закрепления. `green/` — с ним.
+**Закрепляют не только poetry и uv.** Для `pyproject.toml` файлом закрепления считается и
+`requirements.txt` — но только если он сам проходит проверку, то есть все версии в нём стоят
+через `==`. Иначе «есть requirements.txt» стало бы способом обойти гейт пустым файлом.
+Найдено замером по `httpx`: там инструменты закреплены до патча прямо в `requirements.txt`,
+а гейт требовал ещё и `poetry.lock`, которого в этом укладе не бывает вовсе.
+
+**Не различает библиотеку и приложение.** Библиотека намеренно оставляет
+границы своих зависимостей широкими — закрепив их у себя, она ломает сборку всем, кто её
+ставит. Гейт смотрит только на то, закреплено ли окружение самого проекта, и правильно молчит,
+когда библиотека закрепила инструменты и не закрепила зависимости.
+
+**Образцы.** `red/` — объявление зависимостей без закрепления, плюс `pyproject.toml` рядом с
+незакреплённым `requirements.txt`. `green/` — с закреплением, включая уклад «pyproject плюс
+requirements.txt с точными версиями».

package/kit/gates/deps-are-pinned/check.sh

@@ -30,7 +30,12 @@ need() {
 }
 
 need package.json  package-lock.json yarn.lock pnpm-lock.yaml npm-shrinkwrap.json
-need pyproject.toml poetry.lock uv.lock pdm.lock
+# requirements.txt считается закреплением для pyproject.toml наравне с файлами блокировки:
+# закрепляют не только poetry и uv. Замер по httpx: инструменты там закреплены до патча
+# прямо в requirements.txt, а гейт требовал ещё и poetry.lock, которого в этом укладе не
+# бывает вовсе. Файл засчитывается только если он сам проходит проверку ниже — иначе
+# «есть requirements.txt» стало бы способом обойти гейт пустым файлом.
+need pyproject.toml poetry.lock uv.lock pdm.lock requirements.txt
 need go.mod        go.sum
 need Cargo.toml    Cargo.lock
 need Gemfile       Gemfile.lock

package/kit/gates/deps-are-pinned/green/pyproject-with-requirements/pyproject.toml

@@ -0,0 +1,12 @@
+# Питоновская библиотека, которая закрепляет версии не файлом блокировки, а точными версиями
+# в requirements.txt. Так делает httpx и весь класс проектов, живущих без poetry и uv:
+# инструменты закреплены до патча, а границы зависимостей самой библиотеки оставлены широкими
+# намеренно — библиотека, закрепившая их у себя, ломает сборку всем, кто её ставит.
+[project]
+name = "sample-lib"
+version = "1.0.0"
+dependencies = ["httpx"]
+
+[build-system]
+requires = ["setuptools"]
+build-backend = "setuptools.build_meta"

package/kit/gates/deps-are-pinned/green/pyproject-with-requirements/requirements.txt

@@ -0,0 +1,3 @@
+-e .
+pytest==8.4.1
+ruff==0.16.6

package/kit/gates/deps-are-pinned/red/pyproject-loose/pyproject.toml

@@ -0,0 +1,12 @@
+# Питоновская библиотека, которая закрепляет версии не файлом блокировки, а точными версиями
+# в requirements.txt. Так делает httpx и весь класс проектов, живущих без poetry и uv:
+# инструменты закреплены до патча, а границы зависимостей самой библиотеки оставлены широкими
+# намеренно — библиотека, закрепившая их у себя, ломает сборку всем, кто её ставит.
+[project]
+name = "sample-lib"
+version = "1.0.0"
+dependencies = ["httpx"]
+
+[build-system]
+requires = ["setuptools"]
+build-backend = "setuptools.build_meta"

package/kit/gates/deps-are-pinned/red/pyproject-loose/requirements.txt

@@ -0,0 +1,3 @@
+-e .
+pytest>=8
+ruff

package/kit/gates/duplicate-code/README.md

@@ -12,13 +12,22 @@
 **Почему агенты плодят дубли особенно охотно.** Скопировать из соседнего файла дешевле, чем
 найти общее место и вынести туда: копия точно работает, вынесение может что-то сломать.
 
-**Готовый аналог есть.** `jscpd` умеет и Python, и TypeScript одним прогоном и считает
-**похожесть**, а не только точное совпадение. Рецепты под фронтовые стеки берут его.
+**Готовый аналог есть, и под каждый стек свой.** `jscpd` для фронта — считает **похожесть**, а не
+только точное совпадение. `pylint --enable=R0801` для Python — сравнивает разобранный код, и
+переименованная переменная его не обманет. Рецепт под Python появился только 2026-09-07: до
+ревизии каталога его не было вовсе, и питоновский проект получал нашу побайтовую самоделку,
+хотя родной инструмент стоял у него уже установленным.
 
 **Переносимая проверка грубее.** Она ищет одинаковые восемь строк подряд после снятия отступов —
 совпадение байт в байт. Копия с переименованной переменной её не насторожит. Это запасной
 вариант, а не замена.
 
+**Одинаковые импорты — не дубль.** Окно, в котором нет ни одной строки кроме ввоза (`import`,
+`use`, `require`, путь в кавычках внутри `import (…)` в Go) и одиноких скобок, находкой не
+считается. Найдено замером по `cobra`: гейт краснел на `doc/man_docs.go` и `doc/md_docs.go`,
+где совпадали восемь строк подряд из списка импортов и ни одной строки логики. В Go, Java и Rust
+ввоз стоит по одной строке на строку, и в соседних файлах одного пакета он совпадает всегда.
+
 **Тесты не проверяются.** Повтор в тестах часто осознанный: читаемость важнее сухости, и три
 похожих теста лучше одного хитрого. Случай «три однотипных — свести в один с набором входов»
 решается по правилам тестирования и глазами. На живом проекте **все двадцать находок были в

package/kit/gates/duplicate-code/check.sh

@@ -5,7 +5,19 @@
 # ЗАЧЕМ. Дубль опаснее длины: правку вносят в одну копию из четырёх, три остаются со старым
 # поведением, и расхождение всплывает через недели в другом месте.
 DIR="${1:-.}"
-. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+# Существование файла проверяется ДО `.`, а не запасной веткой после. Прежняя строка
+# `. файл 2>/dev/null || запасной_вариант` выглядела страховкой и ею не была: под `sh` (dash)
+# неудачный `.` завершает скрипт немедленно, и ветка после `||` не выполняется никогда; под
+# `bash`, которым гейты и запускаются из манифеста, она выполняется, но подставляет только
+# ПЕРЕМЕННУЮ — функции обхода остаются неопределёнными, конвейер печатает пустоту, и проверка
+# выходит с НУЛЁМ. Замерено 2026-09-08 на файле с настоящим нарушением: гейт сказал «чисто».
+SKIP_LIB="$(dirname "$0")/../_skip.sh"
+if [ ! -f "$SKIP_LIB" ]; then
+  echo "рядом с проверкой нет _skip.sh — обход не собран, проверка не состоялась"
+  echo "  почини: скопируй гейт вместе с файлом kit/gates/_skip.sh, он общий на весь каталог"
+  exit 2
+fi
+. "$SKIP_LIB"
 WIN="${AQK_DUP_LINES:-8}"
 
 # Тесты исключены намеренно. Повтор в тестах часто осознанный: читаемость там важнее сухости,
@@ -21,15 +33,30 @@ find "$DIR" $(skip_find "$DIR") $TESTS -type f \
   | while IFS= read -r F; do is_generated "$F" || printf '%s\n' "$F"; done \
   | LC_ALL=C sort \
   | xargs -r env LC_ALL=C awk -v WIN="$WIN" '
-      FNR == 1 { n = 0; delete buf }
+      # Строка-объявление ввоза: `import`, `from … import`, `use …;`, путь в кавычках внутри
+      # блока `import (…)` в Go, `require(…)`, а также одинокие скобки и точки с запятой.
+      # ЗАЧЕМ. Восемь одинаковых строк ввоза подряд — форма языка, а не размноженный код: в Go,
+      # Java и Rust список ввоза стоит по одной строке и в соседних файлах одного пакета
+      # совпадает целиком. Замер по cobra: обе находки в doc/ были ровно этим — ни одной
+      # строки логики. Окно, где нет ни одной строки кроме ввоза, дублем не считается.
+      function isimport(s) {
+        return s ~ /^(import|from|use|export|require|package|#include|using)([[:space:](]|$)/ ||
+               s ~ /^[A-Za-z_][A-Za-z0-9_]*[[:space:]]+"[^"]*"$/ ||
+               s ~ /^[_.]?[[:space:]]*"[^"]*"[,;]?$/ ||
+               s ~ /^(const|let|var)[[:space:]].*require\(/ ||
+               s ~ /^[(){}\[\];,]+$/
+      }
+      FNR == 1 { n = 0; delete buf; delete imp }
       {
         line = $0
         gsub(/^[[:space:]]+|[[:space:]]+$/, "", line)
         if (line == "" || line ~ /^([#]|\/\/)/) next     # пустые и комментарии не считаем
         buf[++n] = line
+        imp[n] = isimport(line)
         if (n >= WIN) {
-          key = ""
-          for (i = n - WIN + 1; i <= n; i++) key = key buf[i] "\x1e"
+          key = ""; code = 0
+          for (i = n - WIN + 1; i <= n; i++) { key = key buf[i] "\x1e"; if (!imp[i]) code = 1 }
+          if (!code) next                               # окно целиком из ввоза — не дубль
           if (key in seen && seen[key] != FILENAME ":" (FNR - WIN + 1)) {
             print seen[key] " и " FILENAME ":" (FNR - WIN + 1) ": одинаковые " WIN " строк"
           } else if (!(key in seen)) {

package/kit/gates/duplicate-code/gate.yml

@@ -16,7 +16,15 @@ recipes:
   #
   # «c#» в списке нет намеренно: разбор манифеста режет строку по «#», и рецепт обрывался бы
   # на «c». Обёртку _native.sh не пишем — её добавляет сама программа при установке гейта.
+  #
+  # Рецепт стоял только под javascript и typescript, хотя список --format покрывает и Python,
+  # и Go. Питоновский проект получал переносимую самоделку вместо готового инструмента —
+  # найдено ревизией каталога 2026-09-07, замером по пяти стекам.
   javascript: npx --yes jscpd@5 --min-lines 8 --threshold 1 --format "javascript,jsx,typescript,tsx,vue,python,go,ruby,java,php,rust,kotlin,swift,scala" {dir}
   typescript: npx --yes jscpd@5 --min-lines 8 --threshold 1 --format "javascript,jsx,typescript,tsx,vue,python,go,ruby,java,php,rust,kotlin,swift,scala" {dir}
+  # Родной инструмент стека, а не jscpd: питоновскому проекту незачем ставить Node ради одной
+  # проверки. R0801 сравнивает не байты, а разобранный код — переименованная переменная его
+  # не обманет, в отличие от переносимого рецепта.
+  python: pylint --disable=all --enable=R0801 --min-similarity-lines=8 {dir}
 
 proof: incidents/README.md — «2026-08-25 разбор 1069 коммитов»: число моделей захардкожено в четырёх местах четырьмя разными значениями

package/kit/gates/duplicate-code/green/imports_a.go

@@ -0,0 +1,20 @@
+// Одинаковый блок импортов в двух файлах одного пакета — не дубль кода, а форма языка.
+// Найдено замером по cobra: гейт краснел на doc/man_docs.go и doc/md_docs.go, где совпадали
+// восемь строк подряд из списка импортов, и ни одной строки логики.
+package doc
+
+import (
+	"bytes"
+	"fmt"
+	"io"
+	"os"
+	"path/filepath"
+	"sort"
+	"strconv"
+	"strings"
+)
+
+func RenderMan(w io.Writer, name string) error {
+	_, err := fmt.Fprintf(w, "man page for %s", name)
+	return err
+}

package/kit/gates/duplicate-code/green/imports_b.go

@@ -0,0 +1,19 @@
+package doc
+
+import (
+	"bytes"
+	"fmt"
+	"io"
+	"os"
+	"path/filepath"
+	"sort"
+	"strconv"
+	"strings"
+)
+
+func RenderMarkdown(w io.Writer, name string) error {
+	var buf bytes.Buffer
+	buf.WriteString(strings.ToUpper(name))
+	_, err := w.Write(buf.Bytes())
+	return err
+}

package/kit/gates/entry-links-exist/README.md

@@ -15,6 +15,11 @@
 выбираются **по языку проекта**, а эти инструменты к языку не привязаны. Если такой инструмент у
 вас стоит — он лучше нашего.
 
+**Адрес страницы сайта не считается битой ссылкой.** Путь, кончающийся косой чертой —
+`[руководство](tutorial/#install)`, — это адрес на опубликованном сайте, а не файл в
+репозитории. Так ссылаются mkdocs, docusaurus и jekyll. Найдено замером по `fastapi`: гейт
+объявлял битой рабочую ссылку из их README.
+
 **Чего НЕ ловит.** Только файлы `*.md` в самом каталоге, без обхода вложенных: намерение записи —
 точка входа, а не вся документация. Не проверяет внешние адреса (сеть) и якоря внутри файла.
 

package/kit/gates/entry-links-exist/check.sh

@@ -14,6 +14,12 @@ for MD in "$DIR"/*.md; do
     case "$T" in *http://*|*https://*|\#*|mailto:*) continue ;; esac
     T=${T%%#*}
     [ -z "$T" ] && continue
+    # Путь, кончающийся косой чертой, — адрес страницы опубликованного сайта, а не файл на
+    # диске. Так ссылаются mkdocs, docusaurus и jekyll: `[руководство](tutorial/#install)`
+    # работает у читателя и не существует в репозитории. Найдено замером по fastapi — гейт
+    # объявлял битой рабочую ссылку из их README. Проверять такие адреса умеют lychee и
+    # markdown-link-check: они ходят в сеть, а мы смотрим только на диск.
+    case "$T" in */) continue ;; esac
     if [ ! -e "$DIR/$T" ]; then
       echo "$MD: ссылка в никуда — $T"
       echo "  почини: создай файл или убери ссылку. Документ, обещающий несуществующее, хуже отсутствующего."

package/kit/gates/entry-links-exist/green/AGENTS.md

@@ -3,3 +3,6 @@
 Стандарты: [общие правила](rules/general.md).
 Внешняя ссылка: [semver](https://semver.org).
 Автоссылка в скобках, как в CHANGELOG.md gin: [#1](<(https://example.com/pull/1)>).
+Ссылка на страницу сайта документации: [руководство](tutorial/#install) — путь опубликованного
+сайта, а не файл на диске. Найдено замером по fastapi: `[installation guide](tutorial/#install-fastapi)`
+в README читалась как битая, хотя на сайте работает. Так ссылаются mkdocs, docusaurus и jekyll.

package/kit/gates/file-size-limit/README.md

@@ -16,7 +16,14 @@
 **Чего НЕ ловит.** Длину функции и вложенность: файл на 200 строк с одной функцией в 180 строк
 проверку пройдёт. Это отдельная мера — цикломатическая сложность.
 
-**Готового аналога нет.** Проверено: среди 964 правил `ruff` предела на
-размер файла нет ни одного. Это тот случай, когда свой гейт законен.
+**Готового аналога нет — для Python.** Проверено дважды, второй раз 2026-09-07 по каталогу
+правил `ruff`: предела на размер файла там нет ни одного (`pylint C0302 too-many-lines` в `ruff`
+не перенесён). В eslint правило `max-lines` есть, но рецепта под него здесь нет намеренно: оно
+знает один предел на все файлы, а запись держит два — 500 строк прод-коду и 800 тесту. Рецепт,
+который меряет не то же самое, что переносимая проверка, делает запись означающей разное на
+разных машинах; правило каталога это запрещает (см. `color-from-token`).
+
+**Замер.** Пять чужих репозиториев (`httpx`, `fastapi`, `zod`, `cobra`, `ripgrep`) — 86 находок,
+ложных **ноль**: мера прямая, файл либо длиннее предела, либо нет.
 
 **Образцы.** `red/` — прод-файл на 600 строк. `green/` — тот же код, разделённый надвое.

package/kit/gates/file-size-limit/check.sh

@@ -5,7 +5,19 @@
 # не по замыслу: каждую новую фичу дописывают в тот же файл, потому что агенту так ближе по
 # контексту. Числа спорные — важно, что предел существует и его считает машина.
 DIR="${1:-.}"
-. "$(dirname "$0")/../_skip.sh" 2>/dev/null || SKIP_NAMES=".git .aqk node_modules .venv"
+# Существование файла проверяется ДО `.`, а не запасной веткой после. Прежняя строка
+# `. файл 2>/dev/null || запасной_вариант` выглядела страховкой и ею не была: под `sh` (dash)
+# неудачный `.` завершает скрипт немедленно, и ветка после `||` не выполняется никогда; под
+# `bash`, которым гейты и запускаются из манифеста, она выполняется, но подставляет только
+# ПЕРЕМЕННУЮ — функции обхода остаются неопределёнными, конвейер печатает пустоту, и проверка
+# выходит с НУЛЁМ. Замерено 2026-09-08 на файле с настоящим нарушением: гейт сказал «чисто».
+SKIP_LIB="$(dirname "$0")/../_skip.sh"
+if [ ! -f "$SKIP_LIB" ]; then
+  echo "рядом с проверкой нет _skip.sh — обход не собран, проверка не состоялась"
+  echo "  почини: скопируй гейт вместе с файлом kit/gates/_skip.sh, он общий на весь каталог"
+  exit 2
+fi
+. "$SKIP_LIB"
 
 # Один обход и один wc на все файлы разом: на проекте в 36 тысяч файлов цикл с wc на каждый
 # не укладывался в две минуты.

package/kit/gates/gate-not-weakened/README.md

@@ -0,0 +1,54 @@
+# Подавление проверки — точечное и с причиной
+
+**Намерение.** Когда проверка краснеет, у пишущего два выхода: починить код или заглушить
+проверку. Второй дешевле и с виду неотличим от первого — конвейер зелёный, диф маленький.
+
+Для агента это выход по умолчанию: задача сформулирована как «сделай, чтобы прошло», и
+`@ts-ignore` решает её буквально. Дефект при этом остаётся, а сигнал о нём исчезает навсегда —
+это тот же класс, что молчащий гейт, только оплаченный одной строкой.
+
+**Какой отказ это поймало.** Замер по пятнадцати чужим репозиториям (20 774 файла): 22 находки,
+19 настоящих. Среди них — `// @ts-nocheck` первой строкой боевой страницы в `kodus-ai`
+(проверка типов выключена для целого файла), `# noqa E501` без двоеточия в `pr-agent`
+(flake8 такую форму читает как безадресный `# noqa`: погашено не одно правило, а все),
+`/** @ts-ignore */` и `.strict().argv // eslint-disable-line` без имени правила в `repolinter`.
+Запись в журнале: `incidents/README.md`, 2026-09-06.
+
+**Что именно проверяется.** Красным делается только **безадресное** подавление:
+
+| Красное | Зелёное |
+|---|---|
+| `# noqa` | `# noqa: F401  — причина` |
+| `# type: ignore` | `# type: ignore[no-any-return]` |
+| `# flake8: noqa`, `# ruff: noqa`, `# mypy: ignore-errors`, `# pylint: disable=all` | точечная форма с кодом |
+| `/* eslint-disable */`, `// eslint-disable-next-line` без правила | `// eslint-disable-next-line no-console -- причина` |
+| `// @ts-ignore`, `// @ts-nocheck` | `// @ts-expect-error -- причина` |
+| `#[allow(warnings)]`, `@SuppressWarnings("all")`, `//nolint`, `rubocop:disable all`, `shellcheck disable` без `=SC…` | те же с именем правила |
+| `--no-verify` в скрипте или конфиге конвейера | обычный коммит |
+
+`@ts-ignore` красный всегда — единственное исключение из правила «безадресное». У него есть
+строго лучший брат: `@ts-expect-error` краснеет сам, как только становится не нужен, то есть
+не переживает починку кода. `@ts-ignore` переживает и молчит дальше.
+
+**Готовый аналог.** Есть, и под каждый язык свой:
+[`eslint-plugin-eslint-comments`](https://github.com/mysticatea/eslint-plugin-eslint-comments)
+с правилом `require-description` — для JavaScript и TypeScript;
+[`flake8-noqa`](https://github.com/plinss/flake8-noqa) — для Python, он же ловит сломанную форму
+`# noqa E501`. Если проект на одном языке — ставь их, они точнее: разбирают код, а не текст.
+Эта запись нужна там, где языков несколько или где ставить нечего: она переносима, ничего не
+требует установить и покрывает то, чего нет ни у одного из двоих — `@ts-ignore` как класс,
+`--no-verify` в конвейере, `@SuppressWarnings("all")`.
+
+**Чего НЕ ловит.**
+
+- **Подавление внутри строкового литерала считается настоящим.** Фикстуры инструментов, которые
+  сами обрабатывают подавления, дают ложные срабатывания: 3 из 22 на замере — тесты
+  `react-doctor` и `ratchets`. Отличить строку от комментария надёжно можно только разбором
+  языка, а его у переносимой проверки нет. Такие места — в `.aqkignore` или под храповик.
+- **Точечное подавление без причины проходит.** `# noqa: E501` принимается, даже если рядом нет
+  ни слова о том, зачем. Требовать объяснение от каждой строки значит получить гейт, который
+  выключат целиком; за объяснением — к `require-description` из `eslint-plugin-eslint-comments`.
+- **Не видит настройку в конфиге.** Правило, выключенное в `.eslintrc` или `pyproject.toml`, —
+  такое же ослабление, но это уже не подавление в коде, а решение проекта, записанное явно.
+- **Не знает, было ли подавление оправдано.** Проверка отвечает на вопрос «названо ли, что
+  именно погашено», а не «стоило ли гасить».

package/kit/gates/gate-not-weakened/check.sh

@@ -0,0 +1,84 @@
+#!/usr/bin/env sh
+# Подавление проверки без адреса: «выключено всё» вместо «выключено вот это».
+#
+# ЗАЧЕМ ИМЕННО ЭТО. Когда проверка краснеет, у пишущего два выхода: починить код или заглушить
+# проверку. Второй дешевле и с виду неотличим от первого — конвейер зелёный, диф маленький.
+# Для агента это выход по умолчанию: ему поставлена задача «сделай, чтобы прошло».
+#
+# ГРАНИЦА НАМЕРЕННО УЗКАЯ. Красным делается не всякое подавление, а безадресное: `# noqa` без
+# кода, `eslint-disable` без имени правила, `@SuppressWarnings("all")`. Точечное подавление с
+# названным правилом — законный инструмент, и требовать объяснения от каждого значит получить
+# гейт, который выключат. Одно исключение — `@ts-ignore`: у него есть строго лучший брат
+# `@ts-expect-error`, который сам краснеет, когда становится не нужен.
+DIR="${1:-.}"
+# Существование файла проверяется ДО `.`, а не запасной веткой после. Прежняя строка
+# `. файл 2>/dev/null || запасной_вариант` выглядела страховкой и ею не была: под `sh` (dash)
+# неудачный `.` завершает скрипт немедленно, и ветка после `||` не выполняется никогда; под
+# `bash`, которым гейты и запускаются из манифеста, она выполняется, но подставляет только
+# ПЕРЕМЕННУЮ — функции обхода остаются неопределёнными, конвейер печатает пустоту, и проверка
+# выходит с НУЛЁМ. Замерено 2026-09-08 на файле с настоящим нарушением: гейт сказал «чисто».
+SKIP_LIB="$(dirname "$0")/../_skip.sh"
+if [ ! -f "$SKIP_LIB" ]; then
+  echo "рядом с проверкой нет _skip.sh — обход не собран, проверка не состоялась"
+  echo "  почини: скопируй гейт вместе с файлом kit/gates/_skip.sh, он общий на весь каталог"
+  exit 2
+fi
+. "$SKIP_LIB"
+
+OUT=""
+add() { [ -z "$1" ] || OUT="$OUT$1
+"; }
+
+# --- безадресные подавления в коде -------------------------------------------
+# `# noqa` без двоеточия с кодом; `type: ignore` без [кода]; файловые выключатели целиком.
+add "$(grep -rnE '(^|[^A-Za-z0-9_])#[[:space:]]*(noqa|type:[[:space:]]*ignore)([[:space:]]*$|[[:space:]]+[^:[])' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+add "$(grep -rnE '#[[:space:]]*(flake8:[[:space:]]*noqa[[:space:]]*$|ruff:[[:space:]]*noqa[[:space:]]*$|mypy:[[:space:]]*ignore-errors|pylint:[[:space:]]*(skip-file|disable=all))' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# eslint-disable без имени правила: голая директива гасит ВСЁ в файле или на строке.
+#
+# ВЕДУЩИЙ КОММЕНТАРИЙ ОБЯЗАТЕЛЕН — «(//|/\*|\*)[^\"']*». Замер по пятнадцати чужим
+# репозиториям показал целый класс ложных: строка ПРО подавление внутри кавычек
+# («title: 'No @ts-ignore'», текст правила в наборе тестов) читалась как подавление.
+# Директива живёт в комментарии; упоминание в строковом литерале — не она.
+add "$(grep -rnE '(//|/\*|\*)[^\"'"'"']*eslint-disable(-next-line|-line)?[[:space:]]*(\*/|$|--)' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# @ts-ignore и @ts-nocheck. Первый гасит ошибку молча и остаётся, когда ошибки уже нет;
+# @ts-expect-error на его месте краснеет, как только становится лишним.
+add "$(grep -rnE '(//|/\*|\*)[^\"'"'"']*@ts-(ignore|nocheck)' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# Остальные экосистемы — только безадресная форма.
+add "$(grep -rnE '#!?\[allow\((warnings|unused)\)\]|@SuppressWarnings\((\{[^}]*)?"all"|//[[:space:]]*nolint[[:space:]]*($|//)|rubocop:disable[[:space:]]+all|shellcheck[[:space:]]+disable[[:space:]]*($|[^=])' \
+  $(skip_grep) $(include_code) "$DIR" 2>/dev/null)"
+
+# --- обход самого конвейера ---------------------------------------------------
+# `--no-verify` пропускает хуки коммита. В committed-скрипте или конфиге конвейера это не
+# настройка, а выключенная защита: смотрим шире кода — в оболочечные скрипты и конфиги.
+# `-e`, а НЕ `--`. Двойное тире завершает разбор опций, и все флаги `--include` после него
+# grep считает именами файлов: проверка читала весь репозиторий вместо оболочечных скриптов и
+# конфигов. Нашлось замером — в выдаче оказались CHANGELOG чужих проектов.
+add "$(grep -rnE -e '--no-verify' $(skip_grep) \
+  --include=*.sh --include=*.yml --include=*.yaml --include=*.json --include=*.toml \
+  --include=*.mk --include=Makefile "$DIR" 2>/dev/null)"
+
+# Собственное определение записи — не подавление, а перечень того, что ищется. Без этого
+# проверка находит сама себя в любом проекте, куда её поставили: `check.sh` содержит все
+# образцы разом. Тот же класс, что образцы red/green, только файл другой.
+SELFDIR="$(basename "$(dirname "$0")")"
+LEFT="$(printf '%s' "$OUT" | grep -v '^$' | own_samples_filter "$DIR" \
+  | grep -vE "(^|/)$SELFDIR/(check\.sh|README\.md)")"
+# Сгенерированные файлы правят не руками: подавление в них поставил инструмент.
+LEFT="$(printf '%s\n' "$LEFT" | while IFS= read -r L; do
+  F="${L%%:*}"
+  [ -n "$F" ] || continue
+  is_generated "$F" || printf '%s\n' "$L"
+done | grep -v '^$')"
+
+[ -z "$LEFT" ] && exit 0
+printf '%s\n' "$LEFT"
+echo "  почини: назови, ЧТО подавляешь и зачем — «# noqa: E501», «eslint-disable-next-line no-console -- причина»,"
+echo "  «@ts-expect-error» вместо «@ts-ignore». Безадресное подавление гасит и то, что сломается завтра."
+exit 1

package/kit/gates/gate-not-weakened/gate.yml

@@ -0,0 +1,15 @@
+intent: проверка выключается точечно и с причиной, а не целиком
+intent_en: a check is suppressed narrowly and with a reason, never wholesale
+
+# Применимо везде, где есть код: подавление проверки — приём, а не язык. Список маркеров
+# покрывает python, typescript, javascript, go, rust, java, ruby и оболочку сразу.
+trigger:
+  always: true
+
+recipes:
+  any: bash {gate}/check.sh {dir}
+
+proof: incidents/README.md, 2026-09-06 «замер по пятнадцати чужим репозиториям» — 22 находки
+  на 20 774 файлах, из них 19 настоящих: `@ts-nocheck` на боевой странице в kodus-ai,
+  сломанный `# noqa E501` без двоеточия в pr-agent (flake8 читает его как безадресный),
+  `/** @ts-ignore */` и `eslint-disable-line` без имени правила в repolinter

package/kit/gates/gate-not-weakened/green/checkout.ts

@@ -0,0 +1,8 @@
+// @ts-expect-error -- у gateway нет типов; строка покраснеет сама, когда они появятся
+import { pay } from "./gateway";
+
+export async function checkout(cart: unknown) {
+  // eslint-disable-next-line no-console -- это программа командной строки, вывод и есть интерфейс
+  console.log(cart);
+  return pay(cart as never);
+}

package/kit/gates/gate-not-weakened/green/payments.py

@@ -0,0 +1,6 @@
+import json  # noqa: F401  — реэкспорт для обратной совместимости, убрать в 2.0
+from decimal import Decimal
+
+
+def total(order):  # type: ignore[no-any-return]  — форма заказа приходит из внешнего API
+    return sum(Decimal(i["price"]) for i in order["items"])

package/kit/gates/gate-not-weakened/green/release.sh

@@ -0,0 +1,2 @@
+#!/usr/bin/env sh
+git commit -m "release"

package/kit/gates/gate-not-weakened/red/checkout.ts

@@ -0,0 +1,9 @@
+/* eslint-disable */
+// @ts-ignore
+import { pay } from "./gateway";
+
+export async function checkout(cart: unknown) {
+  // eslint-disable-next-line
+  console.log(cart);
+  return pay(cart as never);
+}

package/kit/gates/gate-not-weakened/red/payments.py

@@ -0,0 +1,6 @@
+import json  # noqa
+from decimal import Decimal
+
+
+def total(order):  # type: ignore
+    return sum(Decimal(i["price"]) for i in order["items"])

package/kit/gates/gate-not-weakened/red/release.sh

@@ -0,0 +1,2 @@
+#!/usr/bin/env sh
+git commit -m "release" --no-verify