devcontour-harness 0.1.0-alpha.5 → 0.1.0-alpha.6

package/examples/turbo-starter/changes/issued-at.patch

@@ -0,0 +1,130 @@
+diff --git a/apps/nest-backend/openapi/admin.openapi.json b/apps/nest-backend/openapi/admin.openapi.json
+index 7d98313..a11c859 100644
+--- a/apps/nest-backend/openapi/admin.openapi.json
++++ b/apps/nest-backend/openapi/admin.openapi.json
+@@ -6958,13 +6958,19 @@
+             "type": "string",
+             "format": "date-time",
+             "description": "Фиксированный срок окончания сессии, совпадающий с exp JWT. Сессия может быть отозвана раньше при выходе, смене credentials или отзыве доступа."
++          },
++          "issuedAt": {
++            "type": "string",
++            "format": "date-time",
++            "description": "Момент выдачи JWT, совпадающий с iat."
+           }
+         },
+         "required": [
+           "accessToken",
+           "tokenType",
+           "expiresIn",
+-          "sessionExpiresAt"
++          "sessionExpiresAt",
++          "issuedAt"
+         ]
+       },
+       "AdminUserDto": {
+diff --git a/apps/nest-backend/openapi/client.openapi.json b/apps/nest-backend/openapi/client.openapi.json
+index 89003d9..f2e6dee 100644
+--- a/apps/nest-backend/openapi/client.openapi.json
++++ b/apps/nest-backend/openapi/client.openapi.json
+@@ -3179,13 +3179,19 @@
+             "type": "string",
+             "format": "date-time",
+             "description": "Фиксированный срок окончания сессии, совпадающий с exp JWT. Сессия может быть отозвана раньше при выходе, смене credentials или отзыве доступа."
++          },
++          "issuedAt": {
++            "type": "string",
++            "format": "date-time",
++            "description": "Момент выдачи JWT, совпадающий с iat."
+           }
+         },
+         "required": [
+           "accessToken",
+           "tokenType",
+           "expiresIn",
+-          "sessionExpiresAt"
++          "sessionExpiresAt",
++          "issuedAt"
+         ]
+       },
+       "UpdateClientUserProfileDto": {
+diff --git a/apps/nest-backend/src/infrastructure/auth/auth.dto.ts b/apps/nest-backend/src/infrastructure/auth/auth.dto.ts
+index c69eb4c..4d1ea19 100644
+--- a/apps/nest-backend/src/infrastructure/auth/auth.dto.ts
++++ b/apps/nest-backend/src/infrastructure/auth/auth.dto.ts
+@@ -48,4 +48,11 @@ export class AccessTokenDto {
+       'Фиксированный срок окончания сессии, совпадающий с exp JWT. Сессия может быть отозвана раньше при выходе, смене credentials или отзыве доступа.',
+   })
+   sessionExpiresAt!: Date;
++
++  @ApiProperty({
++    type: String,
++    format: 'date-time',
++    description: 'Момент выдачи JWT, совпадающий с iat.',
++  })
++  issuedAt!: Date;
+ }
+diff --git a/apps/nest-backend/src/infrastructure/auth/session.service.ts b/apps/nest-backend/src/infrastructure/auth/session.service.ts
+index 32c52f1..f62e1b5 100644
+--- a/apps/nest-backend/src/infrastructure/auth/session.service.ts
++++ b/apps/nest-backend/src/infrastructure/auth/session.service.ts
+@@ -14,6 +14,7 @@ export interface IssuedAccessToken {
+   tokenType: 'Bearer';
+   expiresIn: number;
+   sessionExpiresAt: Date;
++  issuedAt: Date;
+ }
+ 
+ @Injectable()
+@@ -104,6 +105,7 @@ export class SessionService {
+       tokenType: 'Bearer',
+       expiresIn,
+       sessionExpiresAt: session.expiresAt,
++      issuedAt: new Date(issuedAt * 1000),
+     };
+   }
+ }
+diff --git a/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts b/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts
+new file mode 100644
+index 0000000..2df3a5e
+--- /dev/null
++++ b/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts
+@@ -0,0 +1,6 @@
++import type { AccessTokenDto } from '@oim/client-rest-api-sdk/data-contracts'
++
++/**
++ * Момент выдачи токена из ответа входа (ISO date-time).
++ */
++export type AccessTokenIssuedAt = AccessTokenDto['issuedAt']
+diff --git a/packages/admin-rest-api-sdk/src/generated/data-contracts.ts b/packages/admin-rest-api-sdk/src/generated/data-contracts.ts
+index 782cd48..29941ec 100644
+--- a/packages/admin-rest-api-sdk/src/generated/data-contracts.ts
++++ b/packages/admin-rest-api-sdk/src/generated/data-contracts.ts
+@@ -520,6 +520,11 @@ export interface AccessTokenDto {
+    * @format date-time
+    */
+   sessionExpiresAt: string;
++  /**
++   * Момент выдачи JWT, совпадающий с iat.
++   * @format date-time
++   */
++  issuedAt: string;
+ }
+ 
+ export interface AdminUserDto {
+diff --git a/packages/client-rest-api-sdk/src/generated/data-contracts.ts b/packages/client-rest-api-sdk/src/generated/data-contracts.ts
+index 888aba5..b2f9e59 100644
+--- a/packages/client-rest-api-sdk/src/generated/data-contracts.ts
++++ b/packages/client-rest-api-sdk/src/generated/data-contracts.ts
+@@ -258,6 +258,11 @@ export interface AccessTokenDto {
+    * @format date-time
+    */
+   sessionExpiresAt: string;
++  /**
++   * Момент выдачи JWT, совпадающий с iat.
++   * @format date-time
++   */
++  issuedAt: string;
+ }
+ 
+ export interface UpdateClientUserProfileDto {

package/examples/turbo-starter/cleanup.mjs

@@ -0,0 +1,58 @@
+#!/usr/bin/env node
+/**
+ * Довести очистку попытки в новом процессе по сохранённому состоянию harness:
+ * повторить teardown lifecycle (compose-bridge) по receipt окружений и убрать
+ * рабочие деревья попытки. Нужен, если процесс harness был прерван при
+ * активной среде или teardown не удался (receipt `cleanup-failed`).
+ *
+ *   node node_modules/devcontour-harness/examples/turbo-starter/cleanup.mjs --state <dir> --run <runId>
+ *
+ * Политика и baseDir берутся из `<state>/binding.json`, который пишет CLI.
+ * Секреты политики (`environment.secrets`) должны быть заданы в окружении так
+ * же, как при запуске. Печатает JSON { ok, data | error }; код 0 — очистка
+ * выполнена или не нужна. Только публичный API пакета, без сборщиков.
+ */
+import { readFileSync } from 'node:fs';
+import { join, resolve } from 'node:path';
+import { parseArgs } from 'node:util';
+import { Harness } from 'devcontour-harness';
+import { executionPolicySchema } from 'devcontour-harness/contracts';
+
+const { values } = parseArgs({ options: { state: { type: 'string' }, run: { type: 'string' } } });
+if (!values.state || !values.run) {
+  console.error('usage: cleanup.mjs --state <dir> --run <runId>');
+  process.exit(2);
+}
+const stateDir = resolve(values.state);
+const binding = JSON.parse(readFileSync(join(stateDir, 'binding.json'), 'utf8'));
+const h = Harness.open({
+  stateDir,
+  policy: executionPolicySchema.parse(binding.policy),
+  baseDir: binding.baseDir,
+});
+try {
+  const data = await h.cleanup(values.run);
+  const attempt = h.engine.read((v) => v.attempt(values.run));
+  console.log(
+    JSON.stringify({
+      ok: true,
+      pid: process.pid,
+      data,
+      attempt: { status: attempt?.status, error: attempt?.error },
+    }),
+  );
+} catch (error) {
+  console.log(
+    JSON.stringify({
+      ok: false,
+      pid: process.pid,
+      error: {
+        code: error?.code,
+        message: error instanceof Error ? error.message : String(error),
+      },
+    }),
+  );
+  process.exitCode = 1;
+} finally {
+  h.close();
+}

package/examples/turbo-starter/graph.json

@@ -0,0 +1,32 @@
+{
+  "apiVersion": "devcontour-harness/v1alpha1",
+  "id": "turbo-starter-issued-at",
+  "source": { "connector": "files", "ref": "graph.json", "revision": "1" },
+  "orders": [
+    {
+      "apiVersion": "devcontour-harness/v1alpha1",
+      "id": "issued-at",
+      "source": { "connector": "files", "ref": "issued-at", "revision": "1" },
+      "title": "Expose AccessTokenDto.issuedAt end to end",
+      "goal": "Add a required date-time field issuedAt (the JWT iat) to the backend AccessTokenDto and the session service, regenerate OpenAPI and both REST SDKs with `pnpm rest-api-sdk:generate`, and add a typed web consumer type AccessTokenIssuedAt = AccessTokenDto['issuedAt'] in apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts.",
+      "acceptance": [
+        "client and admin OpenAPI AccessTokenDto declare issuedAt as a required date-time string",
+        "client and admin SDK AccessTokenDto declare issuedAt: string",
+        "committed OpenAPI/SDK outputs equal the pinned generator output (sdk-generation gate)",
+        "backend and web type checks pass",
+        "the web consumer type reads AccessTokenDto['issuedAt'] from the client SDK"
+      ],
+      "role": "developer",
+      "repositoryId": "starter",
+      "writeScope": [
+        "apps/nest-backend/src/infrastructure/auth",
+        "apps/nest-backend/openapi",
+        "packages/client-rest-api-sdk/src/generated",
+        "packages/admin-rest-api-sdk/src/generated",
+        "apps/next-web-app/src/infra/client-api/types"
+      ],
+      "gates": ["backend-types", "sdk-generation", "sdk-build", "web-types", "acceptance"],
+      "context": ["controller-mode"]
+    }
+  ]
+}

package/examples/turbo-starter/harness/acceptance/db-isolation.test.mjs

@@ -0,0 +1,97 @@
+// Gate `db-isolation` (S03): две попытки в своих worktree и своих Docker-проектах.
+// Запуск через compose-bridge exec (env-файл окружения фазы даёт POSTGRES_* и HX_PROJECT):
+//   node .harness/compose-bridge.mjs exec -- node --test --test-reporter=junit \
+//     --test-reporter-destination=.artifacts/junit/db-isolation.xml .harness/acceptance/db-isolation.test.mjs
+// Барьер сценария — каталог S03_BARRIER (явные файлы-события, без случайных задержек).
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { execFileSync } from 'node:child_process';
+import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+const env = process.env;
+const project = env.HX_PROJECT;
+const task = env.HARNESS_TASK_ID ?? env.DEVCONTOUR_TASK_ID;
+const run = env.HARNESS_RUN_ID ?? env.DEVCONTOUR_RUN_ID;
+const phase = env.HARNESS_PHASE ?? env.DEVCONTOUR_PHASE;
+const barrier = env.S03_BARRIER;
+const value = `${task}:${run}:${phase}`;
+
+const docker = (...args) => execFileSync('docker', args, { encoding: 'utf8' }).trim();
+const containerOf = (name) =>
+  docker(
+    'ps',
+    '-q',
+    '--no-trunc',
+    '--filter',
+    `label=devcontour.harness.project=${name}`,
+    '--filter',
+    'label=com.docker.compose.service=postgres',
+  );
+const psql = (container, sql) =>
+  docker('exec', container, 'psql', '-U', env.POSTGRES_USER, '-d', env.POSTGRES_DB, '-tAc', sql)
+    .split('\n')
+    .filter(Boolean);
+const volumesOf = (container) =>
+  JSON.parse(docker('inspect', '--format', '{{json .Mounts}}', container))
+    .map((m) => m.Name)
+    .filter(Boolean);
+async function waitFile(path, timeoutMs) {
+  const deadline = Date.now() + timeoutMs;
+  while (!existsSync(path)) {
+    if (Date.now() > deadline) throw new Error(`барьер не наступил: ${path}`);
+    await new Promise((r) => setTimeout(r, 200));
+  }
+  return JSON.parse(readFileSync(path, 'utf8'));
+}
+
+const own = containerOf(project);
+
+test('S03 db-isolation: своя база попытки принимает и возвращает значение', () => {
+  assert.ok(project && own, 'нет контейнера postgres проекта ' + project);
+  psql(own, 'CREATE TABLE IF NOT EXISTS marks (v text PRIMARY KEY)');
+  psql(own, `INSERT INTO marks VALUES ('${value}') ON CONFLICT DO NOTHING`);
+  assert.deepEqual(psql(own, 'SELECT v FROM marks ORDER BY v'), [value]);
+});
+
+if (phase === 'candidate' && barrier) {
+  const other = task === 's03-a' ? 's03-b' : 's03-a';
+  test('S03 db-isolation: база другой попытки не видит значение этой, и наоборот', async () => {
+    mkdirSync(barrier, { recursive: true });
+    const mine = {
+      task,
+      run,
+      project,
+      container: own,
+      port: Number(env.POSTGRES_PORT),
+      volumes: volumesOf(own),
+      value,
+    };
+    writeFileSync(join(barrier, `${task}.json`), JSON.stringify(mine, null, 2));
+    const theirs = await waitFile(join(barrier, `${other}.json`), 180_000);
+    assert.notEqual(theirs.project, mine.project, 'Docker project');
+    assert.notEqual(theirs.port, mine.port, 'порт');
+    assert.notDeepEqual(theirs.volumes, mine.volumes, 'тома');
+    // Обе стороны записали значения — сверка read-back после барьера.
+    writeFileSync(join(barrier, `${task}.written`), '{}');
+    await waitFile(join(barrier, `${other}.written`), 180_000);
+    const ownRows = psql(own, 'SELECT v FROM marks ORDER BY v');
+    const theirRows = psql(theirs.container, 'SELECT v FROM marks ORDER BY v');
+    writeFileSync(
+      join(barrier, `${task}.readback.json`),
+      JSON.stringify({ own: ownRows, other: theirRows }, null, 2),
+    );
+    assert.deepEqual(ownRows, [value], 'в своей базе только своё значение');
+    assert.ok(!theirRows.includes(value), 'значение этой попытки видно в чужой базе');
+    assert.ok(theirRows.includes(theirs.value), 'в чужой базе нет её значения');
+  });
+  if (task === 's03-b')
+    test('S03 db-isolation: после teardown попытки A база B цела', async () => {
+      // Сценарий подтверждает: окружение A удалено, контрольный ресурс жив.
+      const checked = await waitFile(join(barrier, 'a-teardown.checked.json'), 600_000);
+      assert.equal(checked.ok, true, JSON.stringify(checked));
+      const rows = psql(own, 'SELECT v FROM marks ORDER BY v');
+      writeFileSync(join(barrier, 's03-b.after-a-teardown.json'), JSON.stringify(rows));
+      assert.deepEqual(rows, [value]);
+    });
+}

package/examples/turbo-starter/harness/acceptance/env-probe.test.mjs

@@ -0,0 +1,75 @@
+// Gate `env-probe` (S06): процесс проверки получает только объявленное окружение.
+// Значения canary не выводятся; в каталог окружения пишутся только имена переменных.
+// Если в дереве есть `s06/trigger-fail`, проверка намеренно падает с выводом секрета —
+// harness обязан замаскировать его в логах, evidence и итоге.
+//   node .harness/compose-bridge.mjs exec -- node --test --test-reporter=junit \
+//     --test-reporter-destination=.artifacts/junit/env-probe.xml .harness/acceptance/env-probe.test.mjs
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { existsSync, mkdirSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+const env = process.env;
+const dir = env.HARNESS_ENVIRONMENT_DIR ?? env.DEVCONTOUR_ENVIRONMENT_DIR;
+/** Ключи, которые задаёт harness для шагов и gates (HARNESS_ — псевдонимы DEVCONTOUR_). */
+const HARNESS_KEYS = [
+  'REPOSITORY_ID',
+  'RUN_ID',
+  'TASK_ID',
+  'PHASE',
+  'RESOURCES_JSON',
+  'DEPENDENCIES_JSON',
+  'COMPONENTS_JSON',
+  'ENVIRONMENT_DIR',
+  'REPORT_PATH',
+  'PROCESS_MARK',
+];
+const BASE = ['PATH', 'HOME', 'TMPDIR', 'USER', 'LOGNAME', 'CI'];
+/** Добавляют node --test и compose-bridge exec; macOS добавляет __CF_USER_TEXT_ENCODING каждому процессу. */
+const TOOLING = ['NODE_TEST_CONTEXT', 'HX_PROJECT', 'HX_ENV_DIR', '__CF_USER_TEXT_ENCODING'];
+/** Свежесть test-gate: harness отключает Turbo cache и кэш тестов Go (значения не секреты). */
+const FRESHNESS = ['TURBO_FORCE', 'GOFLAGS'];
+
+test('S06 env-probe: разрешённая переменная доступна', () => {
+  assert.match(env.S06_ALLOWED ?? '', /^canary-allowed-/);
+});
+test('S06 env-probe: неразрешённая переменная оператора отсутствует', () => {
+  assert.equal(env.S06_DISALLOWED, undefined);
+  assert.equal(env.DEVCONTOUR_OPERATOR_CANARY, undefined, 'чужая DEVCONTOUR_* переменная');
+  assert.equal(env.HARNESS_OPERATOR_CANARY, undefined, 'чужая HARNESS_* переменная');
+});
+test('S06 env-probe: секрет передан процессу по имени из политики', () => {
+  assert.match(env.HX_DB_PASSWORD ?? '', /^canary-secret-/);
+  assert.equal(env.POSTGRES_PASSWORD, env.HX_DB_PASSWORD, 'env-файл окружения');
+});
+test('S06 env-probe: окружение — только объявленное и совместимое HARNESS_/DEVCONTOUR_', () => {
+  const declared = (env.S06_DECLARED ?? '').split(',').filter(Boolean);
+  const envFile = (env.S06_ENV_FILE_KEYS ?? '').split(',').filter(Boolean);
+  const allowed = new Set([
+    ...BASE,
+    ...TOOLING,
+    ...FRESHNESS,
+    ...declared,
+    ...envFile,
+    ...HARNESS_KEYS.flatMap((k) => ['DEVCONTOUR_' + k, 'HARNESS_' + k]),
+  ]);
+  const keys = Object.keys(env).sort();
+  if (dir) {
+    mkdirSync(join(dir, 'probe'), { recursive: true });
+    writeFileSync(
+      join(dir, 'probe', `env-keys-${env.DEVCONTOUR_PHASE}.json`),
+      JSON.stringify(keys),
+    );
+  }
+  const extra = keys.filter((k) => !allowed.has(k));
+  assert.deepEqual(extra, [], 'необъявленные переменные: ' + extra.join(', '));
+  for (const k of ['RUN_ID', 'TASK_ID', 'PHASE', 'REPOSITORY_ID'])
+    assert.equal(env['HARNESS_' + k], env['DEVCONTOUR_' + k], 'псевдоним HARNESS_' + k);
+});
+if (existsSync('s06/trigger-fail'))
+  test('S06 env-probe: команда падает с выводом секрета (маскирование harness)', () => {
+    const secret = env.HX_DB_PASSWORD;
+    console.log('stdout leak attempt: ' + secret);
+    console.error('stderr leak attempt: ' + secret);
+    throw new Error('failure with secret ' + secret);
+  });

package/examples/turbo-starter/harness/acceptance/generation.test.mjs

@@ -0,0 +1,54 @@
+// Gate `sdk-generation` (S02): закоммиченные OpenAPI и SDK равны выходу закреплённого генератора
+// на закоммиченных исходниках. Генератор запускается штатной командой starter; после
+// сравнения рабочее дерево возвращается к проверяемому коммиту, чтобы gate не менял
+// отслеживаемые файлы (harness проверяет это отдельно).
+//   node --test --test-reporter=junit --test-reporter-destination=<report> .harness/acceptance/generation.test.mjs
+import { after, before, test } from 'node:test';
+import assert from 'node:assert/strict';
+import { execFileSync, spawnSync } from 'node:child_process';
+
+/** Выходы генерации, которые поручение вправе менять только через генератор. */
+export const GENERATED = [
+  'apps/nest-backend/openapi',
+  'packages/client-rest-api-sdk/src/generated',
+  'packages/admin-rest-api-sdk/src/generated',
+];
+/** Штатная команда генерации starter; версия codegen закреплена в package.json SDK (защищён). */
+const GENERATOR = ['pnpm', 'rest-api-sdk:generate'];
+
+const root = process.env.FIXTURE_ROOT ?? process.cwd();
+const git = (...args) => execFileSync('git', args, { cwd: root, encoding: 'utf8' });
+let generation;
+
+before(() => {
+  // Детерминированный вход: без .env файлов starter и без сетевого update-check Prisma.
+  generation = spawnSync(GENERATOR[0], GENERATOR.slice(1), {
+    cwd: root,
+    encoding: 'utf8',
+    env: { ...process.env, DOTENV_CONFIG_PATH: '/dev/null', CHECKPOINT_DISABLE: '1' },
+    timeout: 540_000,
+  });
+});
+
+after(() => {
+  // Вернуть дерево к проверяемому коммиту: только пути генерации.
+  git('checkout', '--', ...GENERATED);
+  git('clean', '-fdq', '--', ...GENERATED);
+});
+
+test('sdk-generation: генератор завершился успешно', () => {
+  assert.equal(
+    generation.status,
+    0,
+    `${GENERATOR.join(' ')}: exit ${generation.status}\n${(generation.stderr || generation.stdout).slice(-4000)}`,
+  );
+});
+
+for (const path of GENERATED)
+  test(`sdk-generation: ${path} совпадает с выходом генератора`, () => {
+    assert.equal(generation.status, 0, 'генерация не выполнена');
+    const diff = git('diff', '--stat', '--', path).trim();
+    const untracked = git('ls-files', '--others', '--exclude-standard', '--', path).trim();
+    assert.equal(diff, '', `устаревший или изменённый вручную выход генерации:\n${diff}`);
+    assert.equal(untracked, '', `генератор создал незакоммиченные файлы:\n${untracked}`);
+  });

package/examples/turbo-starter/harness/acceptance/issued-at.test.mjs

@@ -0,0 +1,43 @@
+// Приёмочные проверки поручения `issued-at` (S01): контракт backend → OpenAPI → SDK → потребитель.
+// Поставляются примером devcontour-harness и запускаются gate `acceptance`:
+//   node --test --test-reporter=junit --test-reporter-destination=<report> .harness/acceptance/issued-at.test.mjs
+// Только встроенные модули Node: зависимостей проекта не требуется.
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { existsSync, readFileSync } from 'node:fs';
+import { resolve } from 'node:path';
+
+const root = process.env.FIXTURE_ROOT ?? process.cwd();
+const read = (path) => readFileSync(resolve(root, path), 'utf8');
+
+/** Тело `export interface <name> { ... }` в сгенерированном файле SDK. */
+function interfaceBody(source, name) {
+  const start = source.indexOf(`export interface ${name} {`);
+  assert.ok(start >= 0, `в SDK нет interface ${name}`);
+  return source.slice(start, source.indexOf('\n}', start));
+}
+
+for (const realm of ['client', 'admin']) {
+  test(`issued-at: ${realm} OpenAPI AccessTokenDto.issuedAt — обязательный date-time`, () => {
+    const doc = JSON.parse(read(`apps/nest-backend/openapi/${realm}.openapi.json`));
+    const schema = doc.components.schemas.AccessTokenDto;
+    assert.equal(schema.properties.issuedAt?.type, 'string');
+    assert.equal(schema.properties.issuedAt?.format, 'date-time');
+    assert.ok(schema.required.includes('issuedAt'), 'issuedAt должен быть required');
+  });
+  test(`issued-at: ${realm} SDK AccessTokenDto объявляет issuedAt: string`, () => {
+    const body = interfaceBody(
+      read(`packages/${realm}-rest-api-sdk/src/generated/data-contracts.ts`),
+      'AccessTokenDto',
+    );
+    assert.match(body, /\n\s+issuedAt: string;/);
+  });
+}
+
+test('issued-at: потребитель web использует AccessTokenDto.issuedAt из SDK', () => {
+  const path = 'apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts';
+  assert.ok(existsSync(resolve(root, path)), `нет ${path}`);
+  const text = read(path);
+  assert.match(text, /from '@oim\/client-rest-api-sdk\/data-contracts'/);
+  assert.match(text, /AccessTokenDto\['issuedAt'\]/);
+});

package/examples/turbo-starter/harness/acceptance/lifecycle-probe.test.mjs

@@ -0,0 +1,47 @@
+// Gate `lifecycle-probe` (S04): отмечает момент старта gate в каталоге окружения фазы
+// и ведёт себя по файлу режима S04_GATE ({"mode":"pass"|"fail"|"block"}):
+//   pass  — успех; fail — отказ проверки; block — ждать, пока процесс harness не исчезнет
+//   (сценарий прерывает его SIGKILL при активном окружении).
+//   node --test --test-reporter=junit --test-reporter-destination=.artifacts/junit/lifecycle.xml \
+//     .harness/acceptance/lifecycle-probe.test.mjs
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { existsSync, readFileSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+const env = process.env;
+const dir = env.HARNESS_ENVIRONMENT_DIR ?? env.DEVCONTOUR_ENVIRONMENT_DIR;
+const mode =
+  env.S04_GATE && existsSync(env.S04_GATE)
+    ? JSON.parse(readFileSync(env.S04_GATE, 'utf8')).mode
+    : 'pass';
+
+test('S04 lifecycle-probe: gate стартует только в готовом окружении', async () => {
+  assert.ok(dir, 'нет каталога окружения фазы');
+  const receipt = JSON.parse(readFileSync(join(dir, 'bridge', 'receipt.json'), 'utf8'));
+  writeFileSync(
+    join(dir, 'gate-started.json'),
+    JSON.stringify({
+      at: new Date().toISOString(),
+      pid: process.pid,
+      bridge: receipt.status,
+      mode,
+    }),
+  );
+  assert.equal(receipt.status, 'ready', 'gate до ready');
+  if (mode === 'block') {
+    // Процесс harness — владелец окружения из его receipt. Его исчезновение и есть сигнал.
+    const owner = JSON.parse(readFileSync(join(dir, 'environment.json'), 'utf8')).ownerPid;
+    const alive = () => {
+      try {
+        process.kill(owner, 0);
+        return true;
+      } catch (error) {
+        return error.code === 'EPERM';
+      }
+    };
+    while (alive()) await new Promise((r) => setTimeout(r, 200));
+    assert.fail('процесс harness прерван');
+  }
+  assert.notEqual(mode, 'fail', 'проверка намеренно провалена (S04 gate failure)');
+});