devcontour-harness 0.1.0-alpha.5 → 0.1.0-alpha.7

package/examples/toolchains/turbo/repo/_gitignore

@@ -0,0 +1,4 @@
+node_modules/
+.reports/
+.turbo/
+.venv/

package/examples/toolchains/turbo/repo/package.json

@@ -0,0 +1,13 @@
+{
+  "name": "fx-label-turbo",
+  "version": "1.0.0",
+  "private": true,
+  "packageManager": "pnpm@10.12.3",
+  "scripts": {
+    "check": "turbo run check",
+    "test": "turbo run test --force"
+  },
+  "devDependencies": {
+    "turbo": "2.11.10"
+  }
+}

package/examples/toolchains/turbo/repo/packages/checker/check.mjs

@@ -0,0 +1,5 @@
+#!/usr/bin/env node
+// Локальный бинарник workspace: синтаксическая проверка перечисленных файлов.
+import { execFileSync } from 'node:child_process';
+for (const file of process.argv.slice(2)) execFileSync(process.execPath, ['--check', file]);
+console.log('fx-check: ok ' + process.argv.slice(2).join(' '));

package/examples/toolchains/turbo/repo/packages/checker/package.json

@@ -0,0 +1,9 @@
+{
+  "name": "@fx/checker",
+  "version": "1.0.0",
+  "private": true,
+  "type": "module",
+  "bin": {
+    "fx-check": "./check.mjs"
+  }
+}

package/examples/toolchains/turbo/repo/packages/label/package.json

@@ -0,0 +1,14 @@
+{
+  "name": "@fx/label",
+  "version": "1.0.0",
+  "private": true,
+  "type": "module",
+  "scripts": {
+    "check": "fx-check src/label.js test/label.test.js",
+    "test": "mkdir -p .reports && node --test --test-reporter=spec --test-reporter-destination=stdout --test-reporter=junit --test-reporter-destination=.reports/junit.xml test/*.test.js"
+  },
+  "devDependencies": {
+    "@fx/checker": "workspace:*",
+    "picocolors": "1.1.1"
+  }
+}

package/examples/toolchains/turbo/repo/packages/label/src/label.js

@@ -0,0 +1,4 @@
+// Метка позиции заказа.
+export function label(n) {
+  return `item-${n}`;
+}

package/examples/toolchains/turbo/repo/packages/label/test/label.test.js

@@ -0,0 +1,13 @@
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { label } from '../src/label.js';
+
+test('label pads one digit to three', () => {
+  assert.equal(label(7), 'item-007');
+});
+test('label pads two digits to three', () => {
+  assert.equal(label(42), 'item-042');
+});
+test('label keeps long numbers', () => {
+  assert.equal(label(1234), 'item-1234');
+});

package/examples/toolchains/turbo/repo/pnpm-lock.yaml

@@ -0,0 +1,94 @@
+lockfileVersion: '9.0'
+
+settings:
+  autoInstallPeers: true
+  excludeLinksFromLockfile: false
+
+importers:
+
+  .:
+    devDependencies:
+      turbo:
+        specifier: 2.11.10
+        version: 2.11.10
+
+  packages/checker: {}
+
+  packages/label:
+    devDependencies:
+      '@fx/checker':
+        specifier: workspace:*
+        version: link:../checker
+      picocolors:
+        specifier: 1.1.1
+        version: 1.1.1
+
+packages:
+
+  '@turbo/darwin-64@2.11.10':
+    resolution: {integrity: sha512-By4idRap5+nLnMuRzLB4qkOPRlvNdyY1ne4VJYDyUoUB11H94k7uif9mbe3JT8JSNXs1D68uMcBj6hJ/jMQRvA==}
+    cpu: [x64]
+    os: [darwin]
+
+  '@turbo/darwin-arm64@2.11.10':
+    resolution: {integrity: sha512-pyEYlVcuexOPa92p0Wlwl9YT1Is5D60lxN3ItWm3g30YLvFaUq86TF4BBWg5ZAc0uMTnrOzCvuCsOBTdzUWnRQ==}
+    cpu: [arm64]
+    os: [darwin]
+
+  '@turbo/linux-64@2.11.10':
+    resolution: {integrity: sha512-1tYeR/IDZ5HEdsb0jNq2L2xam5nMQ+g80tlV2BZmv4OFw+pMcUM0mMmUcfc5wXPPNHVNPuDMjh9Y8G8HgXPLZA==}
+    cpu: [x64]
+    os: [android, linux]
+
+  '@turbo/linux-arm64@2.11.10':
+    resolution: {integrity: sha512-HuekQxvVGhUd46g1Im/DKdOtglHr4/gguZAvzEpPUgtxNkztSa8lWhQEGQ+EmPQ0n7w19qjThFU+OfEEd0uvlw==}
+    cpu: [arm64]
+    os: [android, linux]
+
+  '@turbo/windows-64@2.11.10':
+    resolution: {integrity: sha512-UJOP3BkbreY3/JlMgJR6ZiimxYIBn+c+B4tnBIxD0E9c3Estmk+XoVNVBNBottZLNRXe3/ScgOU4+/k8tIWysg==}
+    cpu: [x64]
+    os: [win32]
+
+  '@turbo/windows-arm64@2.11.10':
+    resolution: {integrity: sha512-xOkEjF3ws/b/YNlc+bvJHMYBn+vL+QbEISZFVi0qS+ImmhA1X3/gmNmBrjjIG3dg6aeN+n6gQitzSkXQ286qJQ==}
+    cpu: [arm64]
+    os: [win32]
+
+  picocolors@1.1.1:
+    resolution: {integrity: sha512-xceH2snhtb5M9liqDsmEw56le376mTZkEX/jEb/RxNFyegNul7eNslCXP9FDj/Lcu0X8KEyMceP2ntpaHrDEVA==}
+
+  turbo@2.11.10:
+    resolution: {integrity: sha512-3GJYwig8ygEI89oaOZdduJX8/aw6O9eRPYHoIt6T3FZl9hkKjiyIspufJoVgqXihPoJu8M5CSV0DlZvzfohBCw==}
+    hasBin: true
+
+snapshots:
+
+  '@turbo/darwin-64@2.11.10':
+    optional: true
+
+  '@turbo/darwin-arm64@2.11.10':
+    optional: true
+
+  '@turbo/linux-64@2.11.10':
+    optional: true
+
+  '@turbo/linux-arm64@2.11.10':
+    optional: true
+
+  '@turbo/windows-64@2.11.10':
+    optional: true
+
+  '@turbo/windows-arm64@2.11.10':
+    optional: true
+
+  picocolors@1.1.1: {}
+
+  turbo@2.11.10:
+    optionalDependencies:
+      '@turbo/darwin-64': 2.11.10
+      '@turbo/darwin-arm64': 2.11.10
+      '@turbo/linux-64': 2.11.10
+      '@turbo/linux-arm64': 2.11.10
+      '@turbo/windows-64': 2.11.10
+      '@turbo/windows-arm64': 2.11.10

package/examples/toolchains/turbo/repo/pnpm-workspace.yaml

@@ -0,0 +1,2 @@
+packages:
+  - 'packages/*'

package/examples/toolchains/turbo/repo/turbo.json

@@ -0,0 +1,7 @@
+{
+  "$schema": "https://turborepo.com/schema.json",
+  "tasks": {
+    "check": { "inputs": ["src/**", "test/**", "package.json"] },
+    "test": { "dependsOn": ["check"], "outputs": [".reports/**"] }
+  }
+}

package/examples/toolchains/turbo/task.json

@@ -0,0 +1,25 @@
+{
+  "title": "Pad item labels to three digits",
+  "goal": "Change label(n) in packages/label/src/label.js so the number is zero-padded to three digits (item-007), keeping longer numbers unchanged.",
+  "acceptance": [
+    "label(7) is item-007 and label(42) is item-042",
+    "label(1234) is item-1234",
+    "All gates pass with fresh JUnit reports"
+  ],
+  "writeScope": ["packages/label/src"],
+  "gates": ["check", "unit-tests"],
+  "requirements": [
+    {
+      "id": "REQ-LABEL-PAD",
+      "gate": "unit-tests",
+      "testId": "test.label pads one digit to three",
+      "scenario": "test.label pads one digit to three runs and passes on the accepted SHA"
+    },
+    {
+      "id": "REQ-LABEL-LONG",
+      "gate": "unit-tests",
+      "testId": "test.label keeps long numbers",
+      "scenario": "test.label keeps long numbers runs and passes on the accepted SHA"
+    }
+  ]
+}

package/examples/turbo-starter/README.md

@@ -0,0 +1,16 @@
+# Turbo Starter (pnpm + Turborepo, Docker lifecycle)
+
+Рецепт для копии [oim-dev/turbo-starter](https://github.com/oim-dev/turbo-starter)
+на commit `78f1e76b80f76ae9d4289e0b0994df8a6f2b89cc`. Изменение контракта backend
+`AccessTokenDto.issuedAt` проходит путь до OpenAPI, затем до обоих SDK и до потребителя
+frontend. Работу проверяют настоящие команды starter и JUnit-проверки примера.
+
+- `policy.json` и `graph.json`: основной сценарий (gates `backend-types`,
+  `sdk-generation`, `sdk-build`, `web-types`, `acceptance`).
+- `policy.lifecycle.json`: lifecycle `compose-bridge` (PostgreSQL на попытку и фазу).
+- `harness/`: копируется в `.harness/` проекта. Внутри мост, compose-стек приёмки,
+  шаблоны env и проверки `node --test`.
+- `changes/`: подготовленные изменения для fixture writer, верное и несовместимое.
+
+Подробности описаны в [docs/turbo-starter.md](../../docs/turbo-starter.md): как повторить,
+схема генерации, мост, порядок принятия, controller mode и ограничения upstream.

package/examples/turbo-starter/changes/issued-at-consumer-only.patch

@@ -0,0 +1,12 @@
+diff --git a/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts b/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts
+new file mode 100644
+index 0000000..2df3a5e
+--- /dev/null
++++ b/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts
+@@ -0,0 +1,6 @@
++import type { AccessTokenDto } from '@oim/client-rest-api-sdk/data-contracts'
++
++/**
++ * Момент выдачи токена из ответа входа (ISO date-time).
++ */
++export type AccessTokenIssuedAt = AccessTokenDto['issuedAt']

package/examples/turbo-starter/changes/issued-at.patch

@@ -0,0 +1,130 @@
+diff --git a/apps/nest-backend/openapi/admin.openapi.json b/apps/nest-backend/openapi/admin.openapi.json
+index 7d98313..a11c859 100644
+--- a/apps/nest-backend/openapi/admin.openapi.json
++++ b/apps/nest-backend/openapi/admin.openapi.json
+@@ -6958,13 +6958,19 @@
+             "type": "string",
+             "format": "date-time",
+             "description": "Фиксированный срок окончания сессии, совпадающий с exp JWT. Сессия может быть отозвана раньше при выходе, смене credentials или отзыве доступа."
++          },
++          "issuedAt": {
++            "type": "string",
++            "format": "date-time",
++            "description": "Момент выдачи JWT, совпадающий с iat."
+           }
+         },
+         "required": [
+           "accessToken",
+           "tokenType",
+           "expiresIn",
+-          "sessionExpiresAt"
++          "sessionExpiresAt",
++          "issuedAt"
+         ]
+       },
+       "AdminUserDto": {
+diff --git a/apps/nest-backend/openapi/client.openapi.json b/apps/nest-backend/openapi/client.openapi.json
+index 89003d9..f2e6dee 100644
+--- a/apps/nest-backend/openapi/client.openapi.json
++++ b/apps/nest-backend/openapi/client.openapi.json
+@@ -3179,13 +3179,19 @@
+             "type": "string",
+             "format": "date-time",
+             "description": "Фиксированный срок окончания сессии, совпадающий с exp JWT. Сессия может быть отозвана раньше при выходе, смене credentials или отзыве доступа."
++          },
++          "issuedAt": {
++            "type": "string",
++            "format": "date-time",
++            "description": "Момент выдачи JWT, совпадающий с iat."
+           }
+         },
+         "required": [
+           "accessToken",
+           "tokenType",
+           "expiresIn",
+-          "sessionExpiresAt"
++          "sessionExpiresAt",
++          "issuedAt"
+         ]
+       },
+       "UpdateClientUserProfileDto": {
+diff --git a/apps/nest-backend/src/infrastructure/auth/auth.dto.ts b/apps/nest-backend/src/infrastructure/auth/auth.dto.ts
+index c69eb4c..4d1ea19 100644
+--- a/apps/nest-backend/src/infrastructure/auth/auth.dto.ts
++++ b/apps/nest-backend/src/infrastructure/auth/auth.dto.ts
+@@ -48,4 +48,11 @@ export class AccessTokenDto {
+       'Фиксированный срок окончания сессии, совпадающий с exp JWT. Сессия может быть отозвана раньше при выходе, смене credentials или отзыве доступа.',
+   })
+   sessionExpiresAt!: Date;
++
++  @ApiProperty({
++    type: String,
++    format: 'date-time',
++    description: 'Момент выдачи JWT, совпадающий с iat.',
++  })
++  issuedAt!: Date;
+ }
+diff --git a/apps/nest-backend/src/infrastructure/auth/session.service.ts b/apps/nest-backend/src/infrastructure/auth/session.service.ts
+index 32c52f1..f62e1b5 100644
+--- a/apps/nest-backend/src/infrastructure/auth/session.service.ts
++++ b/apps/nest-backend/src/infrastructure/auth/session.service.ts
+@@ -14,6 +14,7 @@ export interface IssuedAccessToken {
+   tokenType: 'Bearer';
+   expiresIn: number;
+   sessionExpiresAt: Date;
++  issuedAt: Date;
+ }
+ 
+ @Injectable()
+@@ -104,6 +105,7 @@ export class SessionService {
+       tokenType: 'Bearer',
+       expiresIn,
+       sessionExpiresAt: session.expiresAt,
++      issuedAt: new Date(issuedAt * 1000),
+     };
+   }
+ }
+diff --git a/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts b/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts
+new file mode 100644
+index 0000000..2df3a5e
+--- /dev/null
++++ b/apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts
+@@ -0,0 +1,6 @@
++import type { AccessTokenDto } from '@oim/client-rest-api-sdk/data-contracts'
++
++/**
++ * Момент выдачи токена из ответа входа (ISO date-time).
++ */
++export type AccessTokenIssuedAt = AccessTokenDto['issuedAt']
+diff --git a/packages/admin-rest-api-sdk/src/generated/data-contracts.ts b/packages/admin-rest-api-sdk/src/generated/data-contracts.ts
+index 782cd48..29941ec 100644
+--- a/packages/admin-rest-api-sdk/src/generated/data-contracts.ts
++++ b/packages/admin-rest-api-sdk/src/generated/data-contracts.ts
+@@ -520,6 +520,11 @@ export interface AccessTokenDto {
+    * @format date-time
+    */
+   sessionExpiresAt: string;
++  /**
++   * Момент выдачи JWT, совпадающий с iat.
++   * @format date-time
++   */
++  issuedAt: string;
+ }
+ 
+ export interface AdminUserDto {
+diff --git a/packages/client-rest-api-sdk/src/generated/data-contracts.ts b/packages/client-rest-api-sdk/src/generated/data-contracts.ts
+index 888aba5..b2f9e59 100644
+--- a/packages/client-rest-api-sdk/src/generated/data-contracts.ts
++++ b/packages/client-rest-api-sdk/src/generated/data-contracts.ts
+@@ -258,6 +258,11 @@ export interface AccessTokenDto {
+    * @format date-time
+    */
+   sessionExpiresAt: string;
++  /**
++   * Момент выдачи JWT, совпадающий с iat.
++   * @format date-time
++   */
++  issuedAt: string;
+ }
+ 
+ export interface UpdateClientUserProfileDto {

package/examples/turbo-starter/cleanup.mjs

@@ -0,0 +1,58 @@
+#!/usr/bin/env node
+/**
+ * Довести очистку попытки в новом процессе по сохранённому состоянию harness:
+ * повторить teardown lifecycle (compose-bridge) по receipt окружений и убрать
+ * рабочие деревья попытки. Нужен, если процесс harness был прерван при
+ * активной среде или teardown не удался (receipt `cleanup-failed`).
+ *
+ *   node node_modules/devcontour-harness/examples/turbo-starter/cleanup.mjs --state <dir> --run <runId>
+ *
+ * Политика и baseDir берутся из `<state>/binding.json`, который пишет CLI.
+ * Секреты политики (`environment.secrets`) должны быть заданы в окружении так
+ * же, как при запуске. Печатает JSON { ok, data | error }; код 0 — очистка
+ * выполнена или не нужна. Только публичный API пакета, без сборщиков.
+ */
+import { readFileSync } from 'node:fs';
+import { join, resolve } from 'node:path';
+import { parseArgs } from 'node:util';
+import { Harness } from 'devcontour-harness';
+import { executionPolicySchema } from 'devcontour-harness/contracts';
+
+const { values } = parseArgs({ options: { state: { type: 'string' }, run: { type: 'string' } } });
+if (!values.state || !values.run) {
+  console.error('usage: cleanup.mjs --state <dir> --run <runId>');
+  process.exit(2);
+}
+const stateDir = resolve(values.state);
+const binding = JSON.parse(readFileSync(join(stateDir, 'binding.json'), 'utf8'));
+const h = Harness.open({
+  stateDir,
+  policy: executionPolicySchema.parse(binding.policy),
+  baseDir: binding.baseDir,
+});
+try {
+  const data = await h.cleanup(values.run);
+  const attempt = h.engine.read((v) => v.attempt(values.run));
+  console.log(
+    JSON.stringify({
+      ok: true,
+      pid: process.pid,
+      data,
+      attempt: { status: attempt?.status, error: attempt?.error },
+    }),
+  );
+} catch (error) {
+  console.log(
+    JSON.stringify({
+      ok: false,
+      pid: process.pid,
+      error: {
+        code: error?.code,
+        message: error instanceof Error ? error.message : String(error),
+      },
+    }),
+  );
+  process.exitCode = 1;
+} finally {
+  h.close();
+}

package/examples/turbo-starter/graph.json

@@ -0,0 +1,32 @@
+{
+  "apiVersion": "devcontour-harness/v1alpha1",
+  "id": "turbo-starter-issued-at",
+  "source": { "connector": "files", "ref": "graph.json", "revision": "1" },
+  "orders": [
+    {
+      "apiVersion": "devcontour-harness/v1alpha1",
+      "id": "issued-at",
+      "source": { "connector": "files", "ref": "issued-at", "revision": "1" },
+      "title": "Expose AccessTokenDto.issuedAt end to end",
+      "goal": "Add a required date-time field issuedAt (the JWT iat) to the backend AccessTokenDto and the session service, regenerate OpenAPI and both REST SDKs with `pnpm rest-api-sdk:generate`, and add a typed web consumer type AccessTokenIssuedAt = AccessTokenDto['issuedAt'] in apps/next-web-app/src/infra/client-api/types/access-token-issued-at.type.ts.",
+      "acceptance": [
+        "client and admin OpenAPI AccessTokenDto declare issuedAt as a required date-time string",
+        "client and admin SDK AccessTokenDto declare issuedAt: string",
+        "committed OpenAPI/SDK outputs equal the pinned generator output (sdk-generation gate)",
+        "backend and web type checks pass",
+        "the web consumer type reads AccessTokenDto['issuedAt'] from the client SDK"
+      ],
+      "role": "developer",
+      "repositoryId": "starter",
+      "writeScope": [
+        "apps/nest-backend/src/infrastructure/auth",
+        "apps/nest-backend/openapi",
+        "packages/client-rest-api-sdk/src/generated",
+        "packages/admin-rest-api-sdk/src/generated",
+        "apps/next-web-app/src/infra/client-api/types"
+      ],
+      "gates": ["backend-types", "sdk-generation", "sdk-build", "web-types", "acceptance"],
+      "context": ["controller-mode"]
+    }
+  ]
+}

package/examples/turbo-starter/harness/acceptance/db-isolation.test.mjs

@@ -0,0 +1,97 @@
+// Gate `db-isolation` (S03): две попытки в своих worktree и своих Docker-проектах.
+// Запуск через compose-bridge exec (env-файл окружения фазы даёт POSTGRES_* и HX_PROJECT):
+//   node .harness/compose-bridge.mjs exec -- node --test --test-reporter=junit \
+//     --test-reporter-destination=.artifacts/junit/db-isolation.xml .harness/acceptance/db-isolation.test.mjs
+// Барьер сценария — каталог S03_BARRIER (явные файлы-события, без случайных задержек).
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { execFileSync } from 'node:child_process';
+import { existsSync, mkdirSync, readFileSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+const env = process.env;
+const project = env.HX_PROJECT;
+const task = env.HARNESS_TASK_ID ?? env.DEVCONTOUR_TASK_ID;
+const run = env.HARNESS_RUN_ID ?? env.DEVCONTOUR_RUN_ID;
+const phase = env.HARNESS_PHASE ?? env.DEVCONTOUR_PHASE;
+const barrier = env.S03_BARRIER;
+const value = `${task}:${run}:${phase}`;
+
+const docker = (...args) => execFileSync('docker', args, { encoding: 'utf8' }).trim();
+const containerOf = (name) =>
+  docker(
+    'ps',
+    '-q',
+    '--no-trunc',
+    '--filter',
+    `label=devcontour.harness.project=${name}`,
+    '--filter',
+    'label=com.docker.compose.service=postgres',
+  );
+const psql = (container, sql) =>
+  docker('exec', container, 'psql', '-U', env.POSTGRES_USER, '-d', env.POSTGRES_DB, '-tAc', sql)
+    .split('\n')
+    .filter(Boolean);
+const volumesOf = (container) =>
+  JSON.parse(docker('inspect', '--format', '{{json .Mounts}}', container))
+    .map((m) => m.Name)
+    .filter(Boolean);
+async function waitFile(path, timeoutMs) {
+  const deadline = Date.now() + timeoutMs;
+  while (!existsSync(path)) {
+    if (Date.now() > deadline) throw new Error(`барьер не наступил: ${path}`);
+    await new Promise((r) => setTimeout(r, 200));
+  }
+  return JSON.parse(readFileSync(path, 'utf8'));
+}
+
+const own = containerOf(project);
+
+test('S03 db-isolation: своя база попытки принимает и возвращает значение', () => {
+  assert.ok(project && own, 'нет контейнера postgres проекта ' + project);
+  psql(own, 'CREATE TABLE IF NOT EXISTS marks (v text PRIMARY KEY)');
+  psql(own, `INSERT INTO marks VALUES ('${value}') ON CONFLICT DO NOTHING`);
+  assert.deepEqual(psql(own, 'SELECT v FROM marks ORDER BY v'), [value]);
+});
+
+if (phase === 'candidate' && barrier) {
+  const other = task === 's03-a' ? 's03-b' : 's03-a';
+  test('S03 db-isolation: база другой попытки не видит значение этой, и наоборот', async () => {
+    mkdirSync(barrier, { recursive: true });
+    const mine = {
+      task,
+      run,
+      project,
+      container: own,
+      port: Number(env.POSTGRES_PORT),
+      volumes: volumesOf(own),
+      value,
+    };
+    writeFileSync(join(barrier, `${task}.json`), JSON.stringify(mine, null, 2));
+    const theirs = await waitFile(join(barrier, `${other}.json`), 180_000);
+    assert.notEqual(theirs.project, mine.project, 'Docker project');
+    assert.notEqual(theirs.port, mine.port, 'порт');
+    assert.notDeepEqual(theirs.volumes, mine.volumes, 'тома');
+    // Обе стороны записали значения — сверка read-back после барьера.
+    writeFileSync(join(barrier, `${task}.written`), '{}');
+    await waitFile(join(barrier, `${other}.written`), 180_000);
+    const ownRows = psql(own, 'SELECT v FROM marks ORDER BY v');
+    const theirRows = psql(theirs.container, 'SELECT v FROM marks ORDER BY v');
+    writeFileSync(
+      join(barrier, `${task}.readback.json`),
+      JSON.stringify({ own: ownRows, other: theirRows }, null, 2),
+    );
+    assert.deepEqual(ownRows, [value], 'в своей базе только своё значение');
+    assert.ok(!theirRows.includes(value), 'значение этой попытки видно в чужой базе');
+    assert.ok(theirRows.includes(theirs.value), 'в чужой базе нет её значения');
+  });
+  if (task === 's03-b')
+    test('S03 db-isolation: после teardown попытки A база B цела', async () => {
+      // Сценарий подтверждает: окружение A удалено, контрольный ресурс жив.
+      const checked = await waitFile(join(barrier, 'a-teardown.checked.json'), 600_000);
+      assert.equal(checked.ok, true, JSON.stringify(checked));
+      const rows = psql(own, 'SELECT v FROM marks ORDER BY v');
+      writeFileSync(join(barrier, 's03-b.after-a-teardown.json'), JSON.stringify(rows));
+      assert.deepEqual(rows, [value]);
+    });
+}

package/examples/turbo-starter/harness/acceptance/env-probe.test.mjs

@@ -0,0 +1,75 @@
+// Gate `env-probe` (S06): процесс проверки получает только объявленное окружение.
+// Значения canary не выводятся; в каталог окружения пишутся только имена переменных.
+// Если в дереве есть `s06/trigger-fail`, проверка намеренно падает с выводом секрета —
+// harness обязан замаскировать его в логах, evidence и итоге.
+//   node .harness/compose-bridge.mjs exec -- node --test --test-reporter=junit \
+//     --test-reporter-destination=.artifacts/junit/env-probe.xml .harness/acceptance/env-probe.test.mjs
+import { test } from 'node:test';
+import assert from 'node:assert/strict';
+import { existsSync, mkdirSync, writeFileSync } from 'node:fs';
+import { join } from 'node:path';
+
+const env = process.env;
+const dir = env.HARNESS_ENVIRONMENT_DIR ?? env.DEVCONTOUR_ENVIRONMENT_DIR;
+/** Ключи, которые задаёт harness для шагов и gates (HARNESS_ — псевдонимы DEVCONTOUR_). */
+const HARNESS_KEYS = [
+  'REPOSITORY_ID',
+  'RUN_ID',
+  'TASK_ID',
+  'PHASE',
+  'RESOURCES_JSON',
+  'DEPENDENCIES_JSON',
+  'COMPONENTS_JSON',
+  'ENVIRONMENT_DIR',
+  'REPORT_PATH',
+  'PROCESS_MARK',
+];
+const BASE = ['PATH', 'HOME', 'TMPDIR', 'USER', 'LOGNAME', 'CI'];
+/** Добавляют node --test и compose-bridge exec; macOS добавляет __CF_USER_TEXT_ENCODING каждому процессу. */
+const TOOLING = ['NODE_TEST_CONTEXT', 'HX_PROJECT', 'HX_ENV_DIR', '__CF_USER_TEXT_ENCODING'];
+/** Свежесть test-gate: harness отключает Turbo cache и кэш тестов Go (значения не секреты). */
+const FRESHNESS = ['TURBO_FORCE', 'GOFLAGS'];
+
+test('S06 env-probe: разрешённая переменная доступна', () => {
+  assert.match(env.S06_ALLOWED ?? '', /^canary-allowed-/);
+});
+test('S06 env-probe: неразрешённая переменная оператора отсутствует', () => {
+  assert.equal(env.S06_DISALLOWED, undefined);
+  assert.equal(env.DEVCONTOUR_OPERATOR_CANARY, undefined, 'чужая DEVCONTOUR_* переменная');
+  assert.equal(env.HARNESS_OPERATOR_CANARY, undefined, 'чужая HARNESS_* переменная');
+});
+test('S06 env-probe: секрет передан процессу по имени из политики', () => {
+  assert.match(env.HX_DB_PASSWORD ?? '', /^canary-secret-/);
+  assert.equal(env.POSTGRES_PASSWORD, env.HX_DB_PASSWORD, 'env-файл окружения');
+});
+test('S06 env-probe: окружение — только объявленное и совместимое HARNESS_/DEVCONTOUR_', () => {
+  const declared = (env.S06_DECLARED ?? '').split(',').filter(Boolean);
+  const envFile = (env.S06_ENV_FILE_KEYS ?? '').split(',').filter(Boolean);
+  const allowed = new Set([
+    ...BASE,
+    ...TOOLING,
+    ...FRESHNESS,
+    ...declared,
+    ...envFile,
+    ...HARNESS_KEYS.flatMap((k) => ['DEVCONTOUR_' + k, 'HARNESS_' + k]),
+  ]);
+  const keys = Object.keys(env).sort();
+  if (dir) {
+    mkdirSync(join(dir, 'probe'), { recursive: true });
+    writeFileSync(
+      join(dir, 'probe', `env-keys-${env.DEVCONTOUR_PHASE}.json`),
+      JSON.stringify(keys),
+    );
+  }
+  const extra = keys.filter((k) => !allowed.has(k));
+  assert.deepEqual(extra, [], 'необъявленные переменные: ' + extra.join(', '));
+  for (const k of ['RUN_ID', 'TASK_ID', 'PHASE', 'REPOSITORY_ID'])
+    assert.equal(env['HARNESS_' + k], env['DEVCONTOUR_' + k], 'псевдоним HARNESS_' + k);
+});
+if (existsSync('s06/trigger-fail'))
+  test('S06 env-probe: команда падает с выводом секрета (маскирование harness)', () => {
+    const secret = env.HX_DB_PASSWORD;
+    console.log('stdout leak attempt: ' + secret);
+    console.error('stderr leak attempt: ' + secret);
+    throw new Error('failure with secret ' + secret);
+  });