spectrum-cli 5.1.0 → 6.0.0

package/CHANGELOG.md

@@ -9,6 +9,21 @@ This is the changelog of the `spectrum-cli` npm package. Its version comes from
 `package.json`; the release commands use Git tags and `CHANGELOG.md` in the
 **target project** and do not update that project's `package.json`.
 
+## 🚀 [6.0.0] - 2026-10-29
+
+### Breaking change
+
+- У `spectrum chart start` короткий флаг `-n` теперь означает `--no-verify` и отключает preflight. Для запуска без ожидания публикации чарта используйте `--no-wait`.
+
+### Added
+
+- Во всех 21 командах с действием доступен `-n, --no-verify`: команда пропускает preflight и проверку обновлений CLI, сохраняя чтение необходимых входных данных и обработку ошибок операций. Поддерживается сочетание `-ns`; `--dry` и `--no-verify` несовместимы.
+
+### Changed
+
+- README содержит полный список команд, аргументов и опций; справка вложенных команд использует общий формат и показывает актуальные флаги.
+- Добавлены проверки разбора флагов у всех команд, соответствия README регистрации команд и выполнения release/hotfix без preflight на временных Git origins, а также обхода preflight автоматизации.
+
 ## 🚀 [5.1.0]
 
 ### Changed

package/README.md

@@ -18,7 +18,8 @@ spectrum --help
 в npm Registry. Если доступна новая версия, показывает текущую и новую версии и
 команду `spectrum upgrade`. Она запускает `npm install -g spectrum-cli`.
 Проверка ограничена 200 мс; недоступность Registry не влияет на выполнение
-команды и не выводит ошибку.
+команды и не выводит ошибку. С `--dry` или `--no-verify` проверка обновлений
+не выполняется.
 
 ### 🔧 Из исходников
 
@@ -42,6 +43,9 @@ spectrum --help
 # Показать текущую версию CLI
 spectrum -v  # или spectrum --version
 
+# Обновить установленный CLI
+spectrum upgrade
+
 # 🚀 Управление релизами
 spectrum release start [--stable]    # Схлопнуть fragments и атомарно отправить release commit в dev и main/master
 spectrum release deploy              # Создать стабильный тег release/X.Y.Z из заголовка CHANGELOG
@@ -54,7 +58,7 @@ spectrum hotfix close                # После stable pipeline: main/master
 
 # 📈 Теги chart
 spectrum chart start         # Создать тег по CHANGELOG.md чарта и дождаться публикации в Helm-registry
-spectrum chart start -n      # Не ждать публикации после отправки тега
+spectrum chart start --no-wait # Не ждать публикации после отправки тега
 spectrum chart start --force # Разрешить версию не выше последнего remote-тега, если ее еще нет в registry и Git
 spectrum chart deploy  # Обновить helmrelease.yaml до последнего chart-тега и запушить
 spectrum chart deploy --instances sd,cbch  # Обновить только выбранные инстансы instances/<name>
@@ -67,12 +71,42 @@ spectrum changelog write               # Выравнять заголовки C
 
 # 🔑 GitLab токены
 spectrum token rotate  # Пролить SC_BOT_PAT в CI variables
+
+# CI: Next.js, SBOM и security
+spectrum nextjs licenses
+spectrum sbom catalog resolve
+spectrum sbom catalog populate
+spectrum security scan
+spectrum security track
+spectrum security reconcile
+spectrum security repair
 ```
 
-Все команды с действием показывают, какая предпроверка успешно пройдена;
+По умолчанию команды с действием показывают, какая предпроверка успешно пройдена;
 при ошибке выводят её имя и причину. Независимые предпроверки продолжают
 выполняться после ошибки; зависимые проверки без нужных данных помечаются как
 невыполненные. Шаги команды запускаются, только если все проверки прошли.
+
+`-n, --no-verify` доступен во всех 21 командах с действием: пропускает
+preflight и проверку обновлений CLI, затем запускает действия команды.
+Чтение необходимых входных данных (версии, fragments, пути, конфигурация,
+токены) остаётся частью подготовки к действию. Ошибки чтения и самих операций
+по-прежнему останавливают выполнение. Флаг не отменяет выбор типа fragment,
+запрос токенов, подтверждение публикации chart или ожидание registry.
+Для отключения ожидания у `chart start` отдельно укажите `--no-wait`.
+Прежний короткий флаг `chart start -n` теперь означает `--no-verify`.
+Release/hotfix используют локальные теги и сохранённые refs `origin/*`
+для определения базовой версии, без preflight fetch и сверки с сервером.
+
+```bash
+spectrum release start -n
+spectrum chart start --no-verify --no-wait
+spectrum security repair -ns
+```
+
+`--dry` и `--no-verify` несовместимы: CLI завершится с ошибкой до действий.
+Без `--no-verify` сохраняются обычные предпроверки.
+
 `-s, --silence` скрывает сообщения об успешно пройденных предпроверках.
 Ошибки проверок и итоговое сообщение команды остаются видны; флаг можно
 совмещать с `-d, --dry`.
@@ -88,8 +122,10 @@ GitLab; `token rotate -d` запрашивает токены и проверя
 | --- | --- | --- |
 | `-d` | `--dry` | Все команды с действием: только предпроверки |
 | `-s` | `--silence` | Все команды с действием: скрыть успешные предпроверки |
-| `-f` | `--force` | `chart start`: разрешить версию не больше последнего тега на `origin`; проверки Git-тега и Helm-registry обязательны |
-| `-n` | `--no-wait` | `chart start`: не ждать появления версии в Helm-registry после push; по умолчанию команда ждёт |
+| `-f` | `--force` | `chart start`: разрешить версию не больше последнего тега на `origin`; остальные preflight сохраняются, если не задан `--no-verify` |
+| `-n` | `--no-verify` | Все команды с действием: пропустить preflight и сразу выполнить действия |
+| — | `--no-wait` | `chart start`: не ждать появления версии в Helm-registry после push; по умолчанию команда ждёт |
+| — | `--stable` | `release start`: переход с 0.x на 1.0.0 |
 | `-i <names>` | `--instances <names>` | `chart deploy`: выбрать инстансы через запятую |
 | `-h` | `--help` | Справка CLI и команд |
 | `-v` | `--version` | Версия CLI |
@@ -100,6 +136,9 @@ GitLab; `token rotate -d` запрашивает токены и проверя
 # Справка по релизам
 spectrum release --help
 
+# Справка по хотфиксам
+spectrum hotfix --help
+
 # Справка по changelog
 spectrum changelog --help
 
@@ -108,6 +147,11 @@ spectrum chart --help
 
 # Справка по токенам
 spectrum token --help
+
+# Справка по CI-командам
+spectrum nextjs --help
+spectrum sbom catalog --help
+spectrum security --help
 ```
 
 ## ✨ Особенности
@@ -141,6 +185,10 @@ spectrum-cli/
 │   ├── hotfix/          # Проверки и этапы hotfix
 │   ├── token/           # Конфиг, GitLab API и ротация
 │   ├── integrations/    # Общие функции внешних сервисов
+│   ├── automation/      # Общие операции ввода-вывода для CI
+│   ├── nextjs/          # LICENSE standalone-пакетов
+│   ├── sbom/            # Поиск и публикация OCI-каталогов
+│   └── security/        # Аудит, задачи и исправления
 ├── __tests__/           # Модульные и интеграционные тесты
 ├── package.json
 ├── install.sh
@@ -153,26 +201,45 @@ spectrum-cli/
 
 ### Команды
 
-| Команда                     | Описание                            |
-| --------------------------- | ----------------------------------- |
-| `spectrum release start`    | Схлопнуть и опубликовать fragments  |
-| `spectrum release deploy`   | Создать стабильный тег release/X.Y.Z       |
-| `spectrum release close`    | Закрыть релиз                       |
-| `spectrum changelog append` | Создать changelog fragment          |
-| `spectrum changelog check`  | Проверить changelog и fragments     |
-| `spectrum chart start`      | Создать и запушить chart тег        |
-| `spectrum chart deploy`     | Обновить chart версию в helmrelease |
-| `spectrum chart verify`     | Проверить ingress paths chart       |
-| `spectrum token rotate`     | Пролить SC_BOT_PAT в CI             |
+Ниже перечислены все команды с действием из `spectrum --help` и справки
+вложенных групп. Каждая поддерживает `-n, --no-verify`, `-d, --dry` и
+`-s, --silence`.
+
+| Команда | Аргументы и дополнительные опции | Назначение |
+| --- | --- | --- |
+| `spectrum upgrade` | — | Обновить CLI через npm |
+| `spectrum release start` | `--stable` | Собрать fragments и отправить release commit в dev и main/master |
+| `spectrum release deploy` | — | Создать и отправить стабильный тег `release/X.Y.Z` |
+| `spectrum release close` | — | Свести main/master в dev |
+| `spectrum hotfix start` | — | Подготовить hotfix CHANGELOG локально |
+| `spectrum hotfix deploy` | — | Отправить тег `hotfix/X.Y.Z` после merge в production |
+| `spectrum hotfix close` | — | Свести production в dev после stable pipeline |
+| `spectrum changelog append` | `<message>` | Создать changelog fragment |
+| `spectrum changelog check` | — | Проверить CHANGELOG.md и fragments |
+| `spectrum changelog write` | — | Нормализовать заголовки и отформатировать CHANGELOG.md |
+| `spectrum chart start` | `-f, --force`, `--no-wait` | Создать и отправить chart-тег, дождаться registry |
+| `spectrum chart deploy` | `-i, --instances <names>` | Обновить helmrelease и опубликовать изменения |
+| `spectrum chart verify` | `<source_path>` | Сравнить ingress paths с маршрутами Next.js |
+| `spectrum token rotate` | — | Пролить `SC_BOT_PAT` в CI variables |
+| `spectrum nextjs licenses` | — | Сохранить LICENSE compiled-пакетов в standalone |
+| `spectrum sbom catalog resolve` | — | Найти OCI-каталоги зависимостей образа |
+| `spectrum sbom catalog populate` | — | Построить и опубликовать OCI-каталоги |
+| `spectrum security scan` | — | Проверить npm-зависимости и runtime |
+| `spectrum security track` | — | Найти или создать задачи YouTrack |
+| `spectrum security reconcile` | — | Запустить tracker и получить номера задач |
+| `spectrum security repair` | — | Исправить зависимости, проверить и создать MR |
 
 ### 🛡️ Preflight-проверки по командам
 
+Этот список описывает запуск без `--no-verify`.
+
 - `spectrum release start`: чистая и актуальная dev-ветка, `dev` содержит `origin/main` или `origin/master`, стабильный тег, достижимый из production-ветки, согласованная опубликованная история `CHANGELOG.md` и не более одного открытого релиза. При первом запуске нужны валидные fragments и свободная версия; повторный дополняет открытый раздел без повышения версии. `package.json` не читается.
 - `spectrum release deploy`: чистая и актуальная main/master, стабильная версия `X.Y.Z` из верхнего заголовка `CHANGELOG.md`, отсутствие этой версии среди локальных и remote-тегов всех трёх форм. Команда не создает RC-теги.
 - `spectrum release close`: чистая и актуальная main/master, версия из верхнего заголовка `CHANGELOG.md` и remote stable-тег поддерживаемой формы, указывающий на текущий commit.
 - `spectrum changelog append <message>`: `git-repo`, `changelog-exists`, валидные ID задачи, git identity и тип fragment. Команда не изменяет общий `CHANGELOG.md`.
-- `spectrum changelog check`: `git-repo`, `changelog-exists`, `changelog-prettier-check`, наличие и формат всех changelog fragments.
-- `spectrum chart start`: `git-repo`, `clean-working-tree`, `on-main-branch`, `single-chart` (ровно один `charts/<chart-name>/Chart.yaml`), валидный верхний SemVer-заголовок в `charts/<chart-name>/CHANGELOG.md`, отсутствие тега `chart-<name>-<version>` локально и на `origin`, отсутствие этой версии чарта в Helm-registry. Для запроса registry нужен `SC_DEVELOPER_PAT` (PAT со scope `api` и доступом к проекту; роль Owner не требуется); ошибка доступа блокирует команду. Право отправки chart-тега определяется отдельно правилами protected tags. `-f, --force` обходит только проверку повышения версии относительно последнего remote-тега. После push команда по умолчанию ждёт версию в registry; `-n, --no-wait` отключает ожидание.
+- `spectrum changelog check`: `git-repo`, `changelog-exists`, `changelog-prettier-check`, наличие и формат всех changelog fragments. С `--no-verify` команда завершается без проверок.
+- `spectrum changelog write`: `git-repo`, `changelog-exists`, доступность Prettier.
+- `spectrum chart start`: `git-repo`, `clean-working-tree`, `on-main-branch`, `single-chart` (ровно один `charts/<chart-name>/Chart.yaml`), валидный верхний SemVer-заголовок в `charts/<chart-name>/CHANGELOG.md`, отсутствие тега `chart-<name>-<version>` локально и на `origin`, отсутствие этой версии чарта в Helm-registry. Для запроса registry нужен `SC_DEVELOPER_PAT` (PAT со scope `api` и доступом к проекту; роль Owner не требуется); ошибка доступа блокирует команду. Право отправки chart-тега определяется отдельно правилами protected tags. `-f, --force` обходит только проверку повышения версии относительно последнего remote-тега. После push команда по умолчанию ждёт версию в registry; `--no-wait` отключает ожидание.
 
 Для обратной совместимости chart-команды принимают `SC_OWNER_PAT`, если
 `SC_DEVELOPER_PAT` не задана или пуста. `SC_OWNER_PAT` deprecated: поддержка
@@ -180,8 +247,8 @@ spectrum-cli/
 выводит предупреждение с просьбой перейти на `SC_DEVELOPER_PAT`. Если заданы обе
 переменные, используется `SC_DEVELOPER_PAT` без предупреждения.
 
-- `spectrum chart deploy`: `git-repo`, `clean-working-tree`, `on-main-branch` (текущая ветка `main`), `remote-origin` (настроен `origin`), `remote-reachable` (доступен `origin`), `single-chart`, `helmrelease-files` (найдены `helmrelease.yaml`).
-- `spectrum chart verify <source_path>`: `git-repo`, `single-values-yaml` (ровно один `charts/**/values.yaml`), `values-ingress-sections` (есть `ingress.paths.api/pages/assets`), `source-path-directory`, `next-project`, `build-command-support`.
+- `spectrum chart deploy`: `git-repo`, `clean-working-tree`, `on-main-branch` (текущая ветка `main/master`), `branch-up-to-date`, `remote-origin` (настроен `origin`), `remote-reachable` (доступен `origin`), `single-chart`, `helmrelease-files` (найдены `helmrelease.yaml`).
+- `spectrum chart verify <source_path>`: `git-repo`, `branch-up-to-date`, `single-values-yaml` (ровно один `charts/**/values.yaml`), `values-ingress-sections` (есть `ingress.paths.api/pages/assets`), `source-path-directory`, `next-project`, `build-command-support`.
 - `spectrum token rotate`: `load-config` (есть валидный `~/.config/spectrum-cli/config.yaml`), `ask-tokens` (owner PAT и `SC_BOT_PAT` только в памяти), `check-access` (все группы и проекты доступны owner PAT).
 
 ## 🔄 Workflow релиза
@@ -323,7 +390,7 @@ CI-часть реализует подключенный release component, а
 3. Читает версию из верхнего заголовка `charts/<chart-name>/CHANGELOG.md` и проверяет SemVer
 4. Собирает тег `chart-<name>-<version>`
 5. Проверяет, что такого тега еще нет локально и на `origin`, а версия отсутствует в Helm-registry
-6. Создает тег и пушит его в `origin`, затем ждёт появления версии в registry; `-n, --no-wait` отключает ожидание
+6. Создает тег и пушит его в `origin`, затем ждёт появления версии в registry; `--no-wait` отключает ожидание
 
 ### `spectrum chart deploy`
 
@@ -581,16 +648,17 @@ registry push: эти права проверяются соответствую
 [YouTrack My User Profile](https://www.jetbrains.com/help/youtrack/devportal/resource-api-users-me.html),
 [YouTrack project fields](https://www.jetbrains.com/help/youtrack/devportal/resource-api-admin-projects-projectID-customFields.html).
 
-### Dry и silence для команд автоматизации
+### No-verify, dry и silence для команд автоматизации
 
 Все семь команд `nextjs licenses`, `sbom catalog resolve/populate` и
-`security scan/track/reconcile/repair` поддерживают `-d, --dry` и
-`-s, --silence`, включая сочетание `-ds`.
+`security scan/track/reconcile/repair` поддерживают `-n, --no-verify`, `-d, --dry` и
+`-s, --silence`, включая сочетания `-ns` и `-ds`.
 
 ```sh
 spectrum nextjs licenses --dry
 spectrum sbom catalog populate --dry --silence
 spectrum security repair -ds
+spectrum security repair --no-verify --silence
 ```
 
 `--dry` выполняет предпроверки настроек, файлов, инструментов и доступов,
@@ -607,3 +675,10 @@ Git/проектов; SBOM preflight может загрузить закреп
 Ошибки, предупреждения, результаты команды и итог dry остаются видимыми.
 Это тот же смысл флага, что у release/hotfix команд. Без dry выполняются
 обычные действия и сохраняются прежние коды завершения 0/1/2.
+
+`--no-verify` пропускает предварительные проверки доступов GitLab/YouTrack,
+registry и соответствия tracker ref. Команда сразу переходит к своим действиям:
+аудиту, копированию LICENSE, работе с каталогами, задачами или исправлениям.
+Загрузка входных отчётов, аутентификация для операций, проверка целостности
+артефактов и проверочные команды после исправления остаются частью действия.
+Пропущенные preflight не получают статус «проверено» в отчёте.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "spectrum-cli",
-  "version": "5.1.0",
+  "version": "6.0.0",
   "description": "🚀 Modern CLI for development workflow automation - release management, versioning, and changelog generation",
   "main": "index.js",
   "bin": {

package/src/changelog/commands.js

@@ -9,7 +9,7 @@ function changelogAppend(message) {
         checks: [
             { name: 'git-repo', run: requireGitRepo },
             { name: 'changelog-exists', run: () => requireFileExists(CHANGELOG_FILE) },
-            { name: 'prepare-fragment', dependsOn: ['git-repo', 'changelog-exists'], run: () => prepareChangelogEntry(message) }
+            { name: 'prepare-fragment', prepare: true, dependsOn: ['git-repo', 'changelog-exists'], run: () => prepareChangelogEntry(message) }
         ],
         steps: [
             { name: 'write-fragment', run: appendPreparedChangelogEntry }

package/src/changelog/open-release.js

@@ -41,6 +41,14 @@ function requireReleaseState(context) {
     }
 }
 
+function readLocalReleaseState(context) {
+    const local = splitOpenRelease(fs.readFileSync(CHANGELOG_FILE, 'utf8'), context.stableVersion);
+    return { ok: true, data: {
+        openReleaseVersion: local.open?.version || null,
+        releaseChangelogState: { local, production: { ...local, open: null, entries: [] } }
+    } };
+}
+
 function requireReleaseFragments(context) {
     try {
         // Empty is valid only for an already prepared release, including retry after a failed push.
@@ -77,4 +85,4 @@ function appendOpenRelease(context) {
     }
 }
 
-module.exports = { resolveReleaseState, requireReleaseState, requireReleaseFragments, appendOpenRelease };
+module.exports = { resolveReleaseState, readLocalReleaseState, requireReleaseState, requireReleaseFragments, appendOpenRelease };

package/src/chart/deploy.js

@@ -30,10 +30,10 @@ function chartDeploy(options = {}) {
             { name: 'branch-up-to-date', run: requireCurrentBranchUpToDateWithRemote },
             { name: 'remote-origin', run: requireRemoteOrigin },
             { name: 'remote-reachable', run: requireRemoteReachable },
-            { name: 'single-chart', run: requireSingleChart },
-            { name: 'helmrelease-files', run: requireHelmReleaseFiles },
+            { name: 'single-chart', prepare: true, run: requireSingleChart },
+            { name: 'helmrelease-files', prepare: true, run: requireHelmReleaseFiles },
             {
-                name: 'filter-instances',
+                name: 'filter-instances', prepare: true,
                 run: (ctx) => {
                     const requested = parseInstancesOption(instancesOption);
                     if (requested.length === 0) {

package/src/chart/start.js

@@ -15,9 +15,9 @@ function chartStart(options = {}) {
             { name: 'clean-working-tree', run: requireCleanWorkingTree },
             { name: 'on-main-branch', run: requireOnMainBranch },
             { name: 'branch-up-to-date', run: requireCurrentBranchUpToDateWithRemote },
-            { name: 'single-chart', run: requireSingleChart },
+            { name: 'single-chart', prepare: true, run: requireSingleChart },
             {
-                name: 'chart-changelog-version',
+                name: 'chart-changelog-version', prepare: true,
                 requires: ['chartFilePath'],
                 run: (ctx) => requireChartChangelogVersion(path.dirname(ctx.chartFilePath))
             },

package/src/chart/verify.js

@@ -3,7 +3,7 @@ const path = require('path');
 const { execSync } = require('child_process');
 const { logSuccess, logError, colors } = require('../common/utils');
 const { runCommand } = require('../cli/command-executor');
-const { requireGitRepo, requireCurrentBranchUpToDateWithRemote, requireSingleValuesYaml, requireIngressPathSections, requireSourcePathDirectory, requireNextProject, requireBuildCommandSupport } = require('../preflight');
+const { requireGitRepo, requireCurrentBranchUpToDateWithRemote, requireSingleValuesYaml, readIngressPathSections, requireIngressPathSections, requireSourcePathDirectory, readSourceProject, requireNextProject, requireBuildCommandSupport } = require('../preflight');
 const { normalizeList, normalizeToBeList, collectRoutesFromFilesystem, collectRoutesFromBuildArtifacts } = require('./routes');
 const FIXED_ASSET_PATHS = [
     '/_next/image$',
@@ -96,10 +96,10 @@ function chartVerify(sourcePath) {
         checks: [
             { name: 'git-repo', run: requireGitRepo },
             { name: 'branch-up-to-date', run: requireCurrentBranchUpToDateWithRemote },
-            { name: 'single-values-yaml', run: requireSingleValuesYaml },
-            { name: 'values-ingress-sections', requires: ['valuesYamlPath'], run: (ctx) => requireIngressPathSections(ctx.valuesYamlPath) },
-            { name: 'source-path-directory', run: () => requireSourcePathDirectory(sourcePath) },
-            { name: 'next-project', requires: ['sourcePath'], run: (ctx) => requireNextProject(ctx.sourcePath) },
+            { name: 'single-values-yaml', prepare: true, run: requireSingleValuesYaml },
+            { name: 'values-ingress-sections', prepare: (ctx) => readIngressPathSections(ctx.valuesYamlPath), requires: ['valuesYamlPath'], run: (ctx) => requireIngressPathSections(ctx.valuesYamlPath) },
+            { name: 'source-path-directory', prepare: true, run: () => requireSourcePathDirectory(sourcePath) },
+            { name: 'next-project', prepare: (ctx) => readSourceProject(ctx.sourcePath), requires: ['sourcePath'], run: (ctx) => requireNextProject(ctx.sourcePath) },
             { name: 'build-command-support', requires: ['sourcePath'], run: (ctx) => requireBuildCommandSupport(ctx.sourcePath) }
         ],
         steps: [

package/src/cli/command-executor.js

@@ -59,7 +59,14 @@ function describePreflight(checkName, context) {
 }
 
 function withCommandOptions(options, action) {
-    return commandContext.run({ dry: Boolean(options?.dry), silence: Boolean(options?.silence) }, action);
+    if (options?.dry && options?.verify === false) {
+        throw new Error('--dry и --no-verify нельзя использовать вместе.');
+    }
+    return commandContext.run({
+        dry: Boolean(options?.dry),
+        silence: Boolean(options?.silence),
+        verify: options?.verify !== false
+    }, action);
 }
 
 function withDryRun(dry, action) {
@@ -70,18 +77,22 @@ function isDryRun() {
     return Boolean(commandContext.getStore()?.dry);
 }
 
+function isVerificationSkipped() {
+    return commandContext.getStore()?.verify === false;
+}
+
 function reportDryRun(_name) {
     logSuccess('✅', 'Все предпроверки пройдены, проблем нет. Действия не выполнялись.');
 }
 
 function reportPreflight(_commandName, checkName, description = PREFLIGHT_DESCRIPTIONS[checkName] || checkName) {
-    if (!commandContext.getStore()?.silence) {
+    if (!isVerificationSkipped() && !commandContext.getStore()?.silence) {
         logSuccess('🔎', 'Проверено (%s): %s.', checkName, description);
     }
 }
 
 function reportNoPreflights(_name) {
-    logSuccess('🔎', 'Предпроверок нет.');
+    if (!isVerificationSkipped()) logSuccess('🔎', 'Предпроверок нет.');
 }
 
 function normalizeCheckResult(result, fallbackReason) {
@@ -120,6 +131,24 @@ async function runCommand(spec) {
     let failedPreflights = 0;
     const results = new Map();
     for (const check of checks) {
+        // Some checks also read inputs needed by the action. In no-verify mode
+        // only their explicit preparation runs, without policy checks or reports.
+        if (isVerificationSkipped()) {
+            if (!check.prepare) continue;
+            const prepare = check.prepare === true ? check.run : check.prepare;
+            let result;
+            try {
+                result = normalizeCheckResult(await prepare(context), 'Не удалось получить данные команды.');
+            } catch (error) {
+                result = { ok: false, reason: error?.message || String(error) };
+            }
+            if (!result.ok) {
+                logError('❌', 'Не удалось подготовить команду (%s): %s', check.name, result.reason);
+                return false;
+            }
+            if (result.data) Object.assign(context, result.data);
+            continue;
+        }
         const checkName = check.name || 'unknown-check';
         const failedDependencies = (check.dependsOn || []).filter((dependency) => results.get(dependency) !== true);
         const missingInputs = (check.requires || []).filter((key) => context[key] === undefined || context[key] === null);
@@ -178,4 +207,4 @@ async function runCommand(spec) {
     return true;
 }
 
-module.exports = { runCommand, withCommandOptions, withDryRun, isDryRun, reportDryRun, reportPreflight, reportNoPreflights };
+module.exports = { runCommand, withCommandOptions, withDryRun, isDryRun, isVerificationSkipped, reportDryRun, reportPreflight, reportNoPreflights };

package/src/cli/commands.js

@@ -20,6 +20,7 @@ program
 program
   .command("upgrade")
   .description("Обновить Spectrum CLI через npm install -g spectrum-cli")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(upgrade, command));
@@ -33,6 +34,7 @@ nextjsCmd
   .command("licenses")
   .description("Сохранить LICENSE встроенных пакетов в standalone")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(nextjs.licenses, command));
@@ -50,6 +52,7 @@ catalogCmd
   .command("resolve")
   .description("Найти проверенные OCI-каталоги для образа приложения")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(sbom.resolve, command));
@@ -58,6 +61,7 @@ catalogCmd
   .command("populate")
   .description("Построить и опубликовать каталог из официальных исходников")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(sbom.populate, command));
@@ -71,6 +75,7 @@ securityCmd
   .command("scan")
   .description("Проверить production npm-зависимости и runtime-образ")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(security.scan, command));
@@ -79,6 +84,7 @@ securityCmd
   .command("track")
   .description("Создать или найти YouTrack-задачи в центральном pipeline")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(security.track, command));
@@ -87,6 +93,7 @@ securityCmd
   .command("reconcile")
   .description("Дождаться центрального tracker и получить номера задач")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(security.reconcile, command));
@@ -95,6 +102,7 @@ securityCmd
   .command("repair")
   .description("Исправить, проверить и создать отдельный MR на проектную задачу")
   .allowExcessArguments(false)
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAutomationAction(security.repair, command));
@@ -108,6 +116,7 @@ releaseCmd
   .command("start")
   .description("Схлопнуть fragments и атомарно отправить release commit в dev и main/master")
   .option("--stable", "Явно перейти с 0.x на первый стабильный релиз 1.0.0")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(release.releaseStart, command));
@@ -115,6 +124,7 @@ releaseCmd
 releaseCmd
   .command("close")
   .description("Свести стабильный релиз из main/master в dev")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(release.releaseClose, command));
@@ -122,6 +132,7 @@ releaseCmd
 releaseCmd
   .command("deploy")
   .description("Создать и отправить только стабильный тег release/X.Y.Z")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(git.gitCreateTagAndPush, command));
@@ -130,16 +141,19 @@ const hotfixCmd = program.command("hotfix").description("Изолированн
 
 hotfixCmd.command("start")
   .description("Подготовить 🩹 CHANGELOG на hotfix/* или main/master, без commit, push и merge")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(hotfix.hotfixStart, command));
 hotfixCmd.command("deploy")
   .description("После merge хотфикса отправить stable-тег с main/master")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(hotfix.hotfixDeploy, command));
 hotfixCmd.command("close")
   .description("После stable pipeline свести production в dev")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(hotfix.hotfixClose, command));
@@ -152,6 +166,7 @@ const changelogCmd = program
 changelogCmd
   .command("append <message>")
   .description("Создать changelog fragment с номером задачи из ветки")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((message, command) => runAction(() => changelog.changelogAppend(message), command));
@@ -159,6 +174,7 @@ changelogCmd
 changelogCmd
   .command("check")
   .description("Проверить CHANGELOG.md и changelog fragments")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(changelog.changelogCheck, command));
@@ -166,6 +182,7 @@ changelogCmd
 changelogCmd
   .command("write")
   .description("Привести заголовки CHANGELOG.md к формату релиза и запустить Prettier")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(changelog.changelogWrite, command));
@@ -180,7 +197,8 @@ chartCmd
   .description("Создать и отправить chart-тег по верхней версии CHANGELOG.md чарта")
   .allowExcessArguments(false)
   .option("-f, --force", "Разрешить версию не больше последней версии тега на origin")
-  .option("-n, --no-wait", "Не ждать публикации версии чарта в Helm-registry")
+  .option("--no-wait", "Не ждать публикации версии чарта в Helm-registry")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(chart.chartStart, command));
@@ -188,6 +206,7 @@ chartCmd
 chartCmd
   .command("verify <source_path>")
   .description("Проверить пути ingress chart относительно исходников Next.js")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((sourcePath, command) => runAction(() => chart.chartVerify(sourcePath), command));
@@ -196,6 +215,7 @@ chartCmd
   .command("deploy")
   .description("Задеплоить последнюю версию chart в файлы helmrelease")
   .option("-i, --instances <names>", "Список инстансов через запятую (по умолчанию все)")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(chart.chartDeploy, command));
@@ -207,6 +227,7 @@ const tokenCmd = program
 tokenCmd
   .command("rotate")
   .description("Пролить SC_BOT_PAT в CI variables через owner PAT")
+  .option("-n, --no-verify", "Выполнить команду без предпроверок")
   .option("-d, --dry", "Запустить только предпроверки")
   .option("-s, --silence", "Скрыть сообщения об успешно пройденных предпроверках")
   .action((command) => runAction(token.tokenRotate, command));

package/src/cli/help.js

@@ -23,7 +23,9 @@ program.configureHelp({
     if (commands.length > 0) {
       output += "Команды:\n";
       commands.forEach((cmd) => {
-        const nameAndArgs = cmd.name() + cmd.usage().replace(/^[^\s]+\s*/, " ");
+        const nameAndArgs = helper.subcommandTerm
+          ? helper.subcommandTerm(cmd)
+          : cmd.name() + cmd.usage().replace(/^[^\s]+\s*/, " ");
         const aliases = cmd.aliases();
         const description = cmd.description();
 
@@ -50,6 +52,7 @@ program.configureHelp({
     return output;
   },
 });
+for (const command of program.commands || []) configureHelp(command);
 }
 
 module.exports = { configureHelp };

package/src/cli/run-action.js

@@ -7,7 +7,7 @@ function commandOptions(command) {
 
 async function runAction(action, command) {
   const options = commandOptions(command);
-  if (!options.dry) {
+  if (!options.dry && options.verify !== false) {
     try {
       await checkForUpdates();
     } catch {

package/src/git/index.js

@@ -86,7 +86,7 @@ function gitCreateTagAndPush() {
             { name: 'clean-working-tree', run: requireCleanWorkingTree },
             { name: 'on-main-branch', run: requireOnMainBranch },
             { name: 'branch-up-to-date', run: requireCurrentBranchUpToDateWithRemote },
-            { name: 'changelog-release-version', run: requireChangelogReleaseVersion },
+            { name: 'changelog-release-version', prepare: true, run: requireChangelogReleaseVersion },
             {
                 name: 'tag-missing',
                 requires: ['version'],

package/src/hotfix/checks.js

@@ -1,15 +1,19 @@
 const fs = require('fs');
 const path = require('path');
 const preflight = require('../preflight');
-const { logError } = require('../common/utils');
-const { reportPreflight } = require('../cli/command-executor');
+const { logError, getMainBranch, getDevelopBranch } = require('../common/utils');
+const { reportPreflight, isVerificationSkipped } = require('../cli/command-executor');
 const { upVersion, compareVersions } = require('../common/version');
 const { STABLE_TAG_PATTERNS, parseStableTag, stableTagNames } = require('../release/stable-tags');
 const { git, exists, ancestor, readAt } = require('./git');
 function preflightReport(commandName) {
     let failures = 0;
     return {
-        check(name, action, description, unavailableReason) {
+        check(name, action, description, unavailableReason, prepare = false) {
+            if (isVerificationSkipped()) {
+                // Reading/assembling action inputs is still required.
+                return { ok: true, value: prepare ? action() : undefined };
+            }
             if (unavailableReason) {
                 logError('❌', 'Предпроверка не выполнена (%s): %s', name, unavailableReason);
                 failures += 1;
@@ -30,6 +34,20 @@ function preflightReport(commandName) {
 }
 
 function context(mode, checks) {
+    if (isVerificationSkipped()) {
+        const mainBranch = getMainBranch();
+        const head = git('rev-parse', 'HEAD').trim();
+        if (mode !== 'start') {
+            const version = preflight.getChangelogReleaseVersion();
+            if (!version) throw new Error('Не удалось прочитать версию из CHANGELOG.md.');
+            return { repositoryRootOk: true, mainBranch, head, stable: version, target: version };
+        }
+        const result = preflight.readLocalStableVersion();
+        if (!result.ok) throw new Error(result.reason);
+        const stable = result.data.stableVersion;
+        return { repositoryRootOk: true, mainBranch, head, stable,
+            productionText: fs.readFileSync('CHANGELOG.md', 'utf8'), target: upVersion(stable, 'patch') };
+    }
     const root = checks.check('repository-root', () => {
         const root = git('rev-parse', '--show-toplevel').trim();
         if (path.relative(fs.realpathSync(root), fs.realpathSync(process.cwd())) !== '') {
@@ -122,6 +140,11 @@ function assertOriginUnchanged(ctx) {
     }
 }
 
+function integrationContext() {
+    const dev = getDevelopBranch();
+    return { dev, devRef: `refs/remotes/origin/${dev}` };
+}
+
 function currentFragments() {
     if (!preflight.findChangelogFragmentFiles().length) return [];
     const result = preflight.requireChangelogFragments();
@@ -141,4 +164,4 @@ function run(action) {
     }
 }
 
-module.exports = { preflightReport, context, assertTagAvailable, assertOriginUnchanged, currentFragments, run };
+module.exports = { preflightReport, context, integrationContext, assertTagAvailable, assertOriginUnchanged, currentFragments, run };

package/src/hotfix/close.js

@@ -1,8 +1,8 @@
 const { logSuccess } = require('../common/utils');
-const { isDryRun, reportDryRun } = require('../cli/command-executor');
+const { isDryRun, isVerificationSkipped, reportDryRun } = require('../cli/command-executor');
 const { parseChangelog } = require('../changelog/hotfix');
 const { git, exists, ancestor } = require('./git');
-const { preflightReport, context, assertOriginUnchanged, run } = require('./checks');
+const { preflightReport, context, integrationContext, assertOriginUnchanged, run } = require('./checks');
 function hotfixClose() {
     return run(() => {
         const checks = preflightReport('hotfix close');
@@ -15,7 +15,7 @@ function hotfixClose() {
             }
         }, `опубликованный тег ${tag} указывает на текущий commit`,
         ctx.stable && ctx.productionText && ctx.remoteTags && ctx.head ? null : 'не определены stable-тег или production commit');
-        const integration = checks.check('integration-history', () => {
+        const integration = isVerificationSkipped() ? { value: integrationContext() } : checks.check('integration-history', () => {
             const dev = ['develop', 'dev'].find((name) => exists(`refs/remotes/origin/${name}`));
             if (!dev) throw new Error('Не найдена integration-ветка origin/dev или origin/develop.');
             const devRef = `refs/remotes/origin/${dev}`;

package/src/hotfix/start.js

@@ -21,13 +21,13 @@ function hotfixStart() {
             ctx.target ? null : 'не определена целевая версия хотфикса');
         const fragmentsResult = checks.check('changelog-fragments', currentFragments,
             (value) => `проверены ${value.length} patch fragments`,
-            ctx.repositoryRootOk ? null : 'не пройдена проверка корня репозитория');
+            ctx.repositoryRootOk ? null : 'не пройдена проверка корня репозитория', true);
         let original;
         const changelog = checks.check('changelog-state', () => {
             original = fs.readFileSync(CHANGELOG_FILE, 'utf8');
             return prepareChangelog({ text: original, ...ctx, fragments: fragmentsResult.value });
         }, `CHANGELOG.md допускает подготовку хотфикса ${ctx.target}`,
-        ctx.target && fragmentsResult.ok ? null : 'не определена версия хотфикса или не проверены fragments');
+        ctx.target && fragmentsResult.ok ? null : 'не определена версия хотфикса или не проверены fragments', true);
         checks.check('origin-unchanged', () => assertOriginUnchanged(ctx),
             'production-ветка на origin не изменилась во время проверки',
             ctx.mainBranch && ctx.mainSha ? null : 'не проверена история production');

package/src/preflight/helmrelease.js

@@ -167,7 +167,7 @@ function extractYamlList(content, sectionName) {
     return values;
 }
 
-function requireIngressPathSections(valuesYamlPath) {
+function readIngressPathSections(valuesYamlPath) {
     if (!valuesYamlPath || !fs.existsSync(valuesYamlPath)) {
         return fail(`Обязательный файл "${valuesYamlPath}" не существует.`);
     }
@@ -183,6 +183,14 @@ function requireIngressPathSections(valuesYamlPath) {
     const pages = extractYamlList(content, 'pages');
     const assets = extractYamlList(content, 'assets');
 
+    return ok({ valuesIngressPaths: { api, pages, assets } });
+}
+
+function requireIngressPathSections(valuesYamlPath) {
+    const result = readIngressPathSections(valuesYamlPath);
+    if (!result.ok) return result;
+    const { api, pages, assets } = result.data.valuesIngressPaths;
+
     if (api.length === 0) {
         return fail(`Отсутствует или пуст ingress.paths.api в "${valuesYamlPath}".`);
     }
@@ -193,9 +201,7 @@ function requireIngressPathSections(valuesYamlPath) {
         return fail(`Отсутствует или пуст ingress.paths.assets в "${valuesYamlPath}".`);
     }
 
-    return ok({
-        valuesIngressPaths: { api, pages, assets }
-    });
+    return result;
 }
 
-module.exports = { findValuesYamlFiles, findHelmReleaseFiles, requireHelmReleaseFiles, requireSingleValuesYaml, extractYamlList, requireIngressPathSections };
+module.exports = { findValuesYamlFiles, findHelmReleaseFiles, requireHelmReleaseFiles, requireSingleValuesYaml, extractYamlList, readIngressPathSections, requireIngressPathSections };

package/src/preflight/source.js

@@ -28,6 +28,17 @@ function hasNextConfig(sourcePath) {
     return files.some((fileName) => fs.existsSync(path.join(sourcePath, fileName)));
 }
 
+function readSourceProject(sourcePath) {
+    return ok({
+        sourcePackageJsonPath: path.join(sourcePath, 'package.json'),
+        sourcePackageManager: fs.existsSync(path.join(sourcePath, 'yarn.lock'))
+            ? 'yarn'
+            : fs.existsSync(path.join(sourcePath, 'bun.lockb')) ? 'bun' : 'npm',
+        sourceHasLockfile: ['package-lock.json', 'yarn.lock', 'bun.lockb']
+            .some((file) => fs.existsSync(path.join(sourcePath, file)))
+    });
+}
+
 function requireNextProject(sourcePath) {
     if (!sourcePath) {
         return fail('Требуется путь к исходникам.');
@@ -53,19 +64,7 @@ function requireNextProject(sourcePath) {
         return fail(`"${sourcePath}" не похож на проект Next.js.`);
     }
 
-    return ok({
-        sourcePackageJsonPath: pkgPath,
-        sourcePackageManager: fs.existsSync(path.join(sourcePath, 'yarn.lock'))
-            ? 'yarn'
-            : fs.existsSync(path.join(sourcePath, 'bun.lockb'))
-                ? 'bun'
-                : 'npm',
-        sourceHasLockfile: Boolean(
-            fs.existsSync(path.join(sourcePath, 'package-lock.json')) ||
-            fs.existsSync(path.join(sourcePath, 'yarn.lock')) ||
-            fs.existsSync(path.join(sourcePath, 'bun.lockb'))
-        )
-    });
+    return readSourceProject(sourcePath);
 }
 
 function requireBuildCommandSupport(sourcePath) {
@@ -92,4 +91,4 @@ function requireBuildCommandSupport(sourcePath) {
     return ok({ sourceBuildScript: pkg.scripts.build });
 }
 
-module.exports = { requireSourcePathDirectory, requireNextProject, requireBuildCommandSupport };
+module.exports = { requireSourcePathDirectory, readSourceProject, requireNextProject, requireBuildCommandSupport };

package/src/preflight/tags.js

@@ -65,6 +65,14 @@ function requireLatestStableVersion() {
     return ok({ stableVersion });
 }
 
+// Read the cached baseline for execution without fetching or verifying origin.
+function readLocalStableVersion() {
+    const names = execSilent(`git tag --merged origin/${getMainBranch()} --list "release/*" "hotfix/*" "v*"`);
+    const versions = String(names || '').split('\n').map((tag) => parseStableTag(tag.trim())?.version)
+        .filter(Boolean).sort(compareStableVersions);
+    return versions.length ? ok({ stableVersion: versions.at(-1) }) : fail('Не удалось прочитать локальную stable-версию.');
+}
+
 function requireStableTagAtHead(version) {
     if (!STABLE_SEMVER_PATTERN.test(String(version || ''))) return fail('Требуется stable-версия X.Y.Z.');
     const head = execSilent('git rev-parse HEAD');
@@ -136,4 +144,4 @@ function requireReleaseVersionAvailable(version) {
     return ok();
 }
 
-module.exports = { requireNoPendingRelease, requireLatestStableVersion, requireStableTagAtHead, requireYouTrackTask, requireTagMissing, requireReleaseVersionAvailable };
+module.exports = { requireNoPendingRelease, requireLatestStableVersion, readLocalStableVersion, requireStableTagAtHead, requireYouTrackTask, requireTagMissing, requireReleaseVersionAvailable };

package/src/release/start.js

@@ -1,6 +1,8 @@
 const { changelogBuildRelease, changelogRemoveFragments } = require('../changelog');
-const { requireReleaseState, requireReleaseFragments, appendOpenRelease } = require('../changelog/open-release');
-const { runCommand } = require('../cli/command-executor');
+const { requireReleaseState, readLocalReleaseState, requireReleaseFragments, appendOpenRelease } = require('../changelog/open-release');
+const { runCommand, isVerificationSkipped } = require('../cli/command-executor');
+const { getMainBranch, getDevelopBranch } = require('../common/utils');
+const { readLocalStableVersion } = require('../preflight/tags');
 const { requireGitRepo, requireCleanWorkingTree, requireCurrentBranchUpToDateWithRemote, requireMainAndDevBranches, requireOnDevBranch, requireDevContainsRemoteMain, requireReleaseVersionAvailable, requireLatestStableVersion, requireFileExists, requireChangelogFormatted } = require('../preflight');
 const { CHANGELOG_FILE } = require('../changelog/config');
 const { detectBumpType, resolveReleaseVersion } = require('./version');
@@ -12,16 +14,17 @@ function releaseStart(options = {}) {
             { name: 'git-repo', run: requireGitRepo },
             { name: 'clean-working-tree', run: requireCleanWorkingTree },
             { name: 'branch-up-to-date', run: requireCurrentBranchUpToDateWithRemote },
-            { name: 'main-and-dev-branches', run: requireMainAndDevBranches },
+            { name: 'main-and-dev-branches', run: requireMainAndDevBranches,
+                prepare: () => ({ ok: true, data: { mainBranch: getMainBranch(), devBranch: getDevelopBranch() } }) },
             { name: 'on-dev-branch', run: requireOnDevBranch },
             { name: 'dev-contains-main', run: requireDevContainsRemoteMain },
-            { name: 'stable-version', run: requireLatestStableVersion },
+            { name: 'stable-version', prepare: readLocalStableVersion, run: requireLatestStableVersion },
             { name: 'changelog-exists', run: () => requireFileExists(CHANGELOG_FILE) },
-            { name: 'release-state', requires: ['mainBranch', 'stableVersion'], run: requireReleaseState },
+            { name: 'release-state', prepare: readLocalReleaseState, requires: ['mainBranch', 'stableVersion'], run: requireReleaseState },
             { name: 'changelog-prettier-check', run: requireChangelogFormatted },
-            { name: 'changelog-fragments', run: requireReleaseFragments },
+            { name: 'changelog-fragments', prepare: true, run: requireReleaseFragments },
             {
-                name: 'detect-bump-type',
+                name: 'detect-bump-type', prepare: true,
                 requires: ['changelogFragments', 'stableVersion'],
                 run: (ctx) => {
                     if (options.stable && (!ctx.stableVersion.startsWith('0.') ||
@@ -35,8 +38,10 @@ function releaseStart(options = {}) {
                         return { ok: false, reason: 'Не удалось вычислить release-версию от последнего стабильного тега.' };
                     }
 
-                    const versionCheck = requireReleaseVersionAvailable(resolved.newVersion);
-                    if (!versionCheck.ok) return versionCheck;
+                    if (!isVerificationSkipped()) {
+                        const versionCheck = requireReleaseVersionAvailable(resolved.newVersion);
+                        if (!versionCheck.ok) return versionCheck;
+                    }
                     return { ok: true, data: resolved };
                 }
             }

package/src/sbom/populate.js

@@ -1,6 +1,6 @@
 // Central catalogue writer. Protected pipeline/resource_group remain in CI.
 const io = require("../automation");
-const { isDryRun } = require("../cli/command-executor");
+const { isDryRun, isVerificationSkipped } = require("../cli/command-executor");
 const { required, checkRegistryAccess } = require("../preflight/automation");
 const {
   fs,
@@ -489,7 +489,7 @@ class Publisher {
     let code = 2;
     try {
       const requested = versions(this.env.NEXT_CATALOG_VERSIONS || "[]");
-      ensure(
+      if (!isVerificationSkipped()) ensure(
         this.env.CI_COMMIT_BRANCH === "main" &&
           this.env.CI_COMMIT_REF_PROTECTED === "true",
         "Updater requires protected main",
@@ -526,7 +526,7 @@ class Publisher {
           ],
           { input: this.env.NEXUS_PASSWORD },
         );
-        report.preflight = await (
+        if (!isVerificationSkipped()) report.preflight = await (
           this.deps.checkRegistryAccess || checkRegistryAccess
         )(this.repository, {
           probe: () => this.descriptor(this.tagFor(requested[0])),

package/src/security/repair.js

@@ -18,7 +18,7 @@ const {
   checkGitlabAccess,
   checkExecutables,
 } = require("../preflight/automation");
-const { isDryRun, reportPreflight } = require("../cli/command-executor");
+const { isDryRun, isVerificationSkipped, reportPreflight } = require("../cli/command-executor");
 const escape = (text) => text.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
 const pkgName = /^(?:@[a-z0-9._-]+\/)?[a-z0-9._-]+(?![\s\S])/;
 const tuple = (value) => value.split(".").map(Number);
@@ -506,7 +506,7 @@ class Repairer extends Scanner {
         "Incomplete scan/tracking; automatic repair is blocked",
       );
       const api = this.deps.api || glab(this.env);
-      report.preflight = {
+      if (!isVerificationSkipped()) report.preflight = {
         ...report.preflight,
         gitlab_repair: await (this.deps.checkGitlabAccess || checkGitlabAccess)(
           this.env,

package/src/security/tracking.js

@@ -12,7 +12,7 @@ const { encoded } = require("../sbom/schema");
 const { glab, projectPath, pages, API } = require("./runtime");
 const { HIGH } = require("./findings");
 const { Tracker } = require("./tracker");
-const { isDryRun, reportPreflight } = require("../cli/command-executor");
+const { isDryRun, isVerificationSkipped, reportPreflight } = require("../cli/command-executor");
 const {
   required,
   httpsEndpoint,
@@ -25,7 +25,7 @@ async function track({
   deps = {},
   dry = isDryRun(),
 } = {}) {
-  ensure(
+  if (!isVerificationSkipped()) ensure(
     env.NIGHTLY_EXPECTED_COMPONENT_SHA &&
       env.NIGHTLY_EXPECTED_COMPONENT_SHA === env.CI_COMMIT_SHA,
     "Tracker must run the same commit as the included component",
@@ -38,7 +38,7 @@ async function track({
   ]);
   httpsEndpoint(env.YOUTRACK_URL, "YOUTRACK_URL");
   const api = deps.api || glab(env);
-  await (deps.checkGitlabAccess || checkGitlabAccess)(
+  if (!isVerificationSkipped()) await (deps.checkGitlabAccess || checkGitlabAccess)(
     env,
     [env.NIGHTLY_CONSUMER_PROJECT],
     { api },
@@ -46,8 +46,6 @@ async function track({
   const consumer = projectPath(env.NIGHTLY_CONSUMER_PROJECT),
     jobId = env.NIGHTLY_CONSUMER_SCAN_JOB;
   ensure(/^\d+(?![\s\S])/.test(jobId || ""), "Invalid consumer job ID");
-  const job = await api.get(consumer + "/jobs/" + jobId),
-    pipeline = await api.get(consumer + "/pipelines/" + job.pipeline.id);
   const report = json(
       await api.get(
         consumer +
@@ -58,32 +56,36 @@ async function track({
       ),
     ),
     cfg = report.config;
-  ensure(
+  if (!isVerificationSkipped()) ensure(
     report.schemaVersion === 1 &&
       String(cfg.project_id) === env.NIGHTLY_CONSUMER_PROJECT,
     "Consumer report identity mismatch",
   );
-  ensure(
-    pipeline.source === "schedule" &&
-      pipeline.ref === cfg.branch &&
-      pipeline.sha === cfg.sha &&
-      String(pipeline.id) === String(cfg.pipeline_id),
-    "Tracking is restricted to matching scheduled branch pipelines",
-  );
-  const branch = await api.get(
-    consumer + "/repository/branches/" + encoded(cfg.branch),
-  );
-  ensure(
-    branch.protected,
-    "Nightly automation requires a protected production branch",
-  );
+  if (!isVerificationSkipped()) {
+    const job = await api.get(consumer + "/jobs/" + jobId);
+    const pipeline = await api.get(consumer + "/pipelines/" + job.pipeline.id);
+    ensure(
+      pipeline.source === "schedule" &&
+        pipeline.ref === cfg.branch &&
+        pipeline.sha === cfg.sha &&
+        String(pipeline.id) === String(cfg.pipeline_id),
+      "Tracking is restricted to matching scheduled branch pipelines",
+    );
+    const branch = await api.get(
+      consumer + "/repository/branches/" + encoded(cfg.branch),
+    );
+    ensure(
+      branch.protected,
+      "Nightly automation requires a protected production branch",
+    );
+  }
   const base = httpsEndpoint(env.YOUTRACK_URL, "YOUTRACK_URL");
   const youtrack = new API(base + "/api", {
     Authorization: "Bearer " + env.YOUTRACK_PRIVATE_TOKEN,
   });
   const tracker = deps.tracker || new Tracker(youtrack, base, env);
   try {
-    report.preflight = {
+    if (!isVerificationSkipped()) report.preflight = {
       youtrack: await (deps.checkYouTrackAccess || checkYouTrackAccess)(
         env,
         cfg,
@@ -137,7 +139,7 @@ async function reconcile({
       "CI_PROJECT_ID",
     ]);
     const api = deps.api || glab(env);
-    report.preflight = {
+    if (!isVerificationSkipped()) report.preflight = {
       gitlab: await (deps.checkGitlabAccess || checkGitlabAccess)(
         env,
         [env.NIGHTLY_TRACKER_PROJECT],
@@ -164,13 +166,15 @@ async function reconcile({
       );
       ref = names.at(-1);
     }
-    const commit = await api.get(
-      target + "/repository/commits/" + encoded(ref),
-    );
-    ensure(
-      commit.id === sha,
-      "Tracker reference does not match the included component",
-    );
+    if (!isVerificationSkipped()) {
+      const commit = await api.get(
+        target + "/repository/commits/" + encoded(ref),
+      );
+      ensure(
+        commit.id === sha,
+        "Tracker reference does not match the included component",
+      );
+    }
     reportPreflight(
       "security reconcile",
       "tracker-reference",

package/src/token/rotate.js

@@ -144,8 +144,8 @@ function tokenRotate() {
     return runCommand({
         name: 'token rotate',
         checks: [
-            { name: 'load-config', run: loadOrCreateConfig },
-            { name: 'ask-tokens', requires: ['tokenTtlMonths', 'bot'], run: askTokens },
+            { name: 'load-config', prepare: true, run: loadOrCreateConfig },
+            { name: 'ask-tokens', prepare: true, requires: ['tokenTtlMonths', 'bot'], run: askTokens },
             { name: 'check-access', requires: ['targets', 'origin', 'ownerToken'], run: checkTargetsAccess }
         ],
         steps: [