ktalk-cli 3.0.2__tar.gz → 4.0.0__tar.gz

{ktalk_cli-3.0.2 → ktalk_cli-4.0.0}/.gitignore

@@ -12,7 +12,8 @@ venv/
 .pytest_cache/
 .ruff_cache/
 .mypy_cache/
-.claude/settings.local.json
+.claude/settings.local.json*
+.claude/settings.json.bak*
 .worktrees/
 
 # Снимки DevTools: содержат живые токены, куки и перс. данные (NFR-5/SEC-001)

{ktalk_cli-3.0.2 → ktalk_cli-4.0.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.5
 Name: ktalk-cli
-Version: 3.0.2
+Version: 4.0.0
 Summary: CLI for accessing Kontur Talk (KTalk) recordings, transcripts and summaries
 Project-URL: Homepage, https://github.com/mdemyanov/ktalk-cli
 Project-URL: Repository, https://github.com/mdemyanov/ktalk-cli
@@ -90,6 +90,14 @@ uv tool upgrade ktalk-cli
 
 ## Авторизация
 
+**С версии 4.0.0 конфигурация каждого значения имеет ровно один источник**
+(ADR-027): session token — только файл, записанный `ktalk token set`; адрес
+стенда — только `config.toml`, записанный `ktalk config set base-url`. Ни одна
+переменная `KTALK_*` и ни один `.env` в рабочем каталоге больше не читаются как
+источник значения — их присутствие не проходит молча: `ktalk auth-status`,
+`ktalk doctor` и тексты отказов называют обнаруженную снятую переменную по
+имени (значение не печатается никогда) и советуют её убрать.
+
 **С версии 3.0.0 CLI работает только через session token** (кука браузера) — режим
 персонального API-ключа (`KTALK_PERSONAL_API_KEY`) снят целиком (ADR-025): он
 конкурировал с сессией молча (при обеих заданных переменных побеждал ключ без
@@ -101,9 +109,11 @@ uv tool upgrade ktalk-cli
 ручного обновления токена по мере его протухания (`ktalk token set -`, см. ниже) —
 это не восстанавливается автоматически снятием ключа.
 
-Переменная `KTALK_PERSONAL_API_KEY`, если она всё ещё задана в окружении, не
-читается как credential ни на одном шаге — CLI печатает об этом одно предупреждение
-на stderr при каждом вызове и продолжает работу на сессионном токене.
+Переменные `KTALK_PERSONAL_API_KEY`, `KTALK_SESSION_TOKEN` и остальные
+`KTALK_*`, если они всё ещё заданы в окружении (частая причина — блок `env` в
+`~/.claude/settings.json`), не читаются ни на одном шаге — CLI печатает об этом
+одно предупреждение на stderr при каждом вызове и продолжает работу на файле
+токена/`config.toml`.
 
 ### Session token
 
@@ -134,14 +144,20 @@ ktalk token status    # есть ли файл, права, маска знач
 ktalk auth-status     # жива ли авторизация — реальный запрос, не имитация
 ```
 
-Путь переопределяется переменной `KTALK_TOKEN_FILE`; каталог уважает `XDG_CONFIG_HOME`.
+Путь файла — `${XDG_CONFIG_HOME:-~/.config}/ktalk-mcp/token`; переменной-
+переопределения нет (снятая `KTALK_TOKEN_FILE` не читается, ADR-027).
 
-**Порядок источников** — первый непустой выигрывает:
+**Единственный источник токена** — этот файл (ADR-027). Переменная
+`KTALK_SESSION_TOKEN` и `.env` в рабочем каталоге не читаются вовсе: заданная
+переменная больше не перекрывает файл ни молча, ни с предупреждением — она
+просто не участвует в разрешении credential, а CLI называет её в выводе
+`auth-status`/`doctor` как снятую.
 
-| # | Источник | Комментарий |
-|---|---|---|
-| 1 | `KTALK_SESSION_TOKEN` (окружение или `.env` в рабочей директории) | заданное явно сильнее лежащего на диске |
-| 2 | `~/.config/ktalk-mcp/token` | дефолтный путь для повседневной работы |
+> Ротация больше не может «застрять» на невидимой переменной: `ktalk token set -`
+> перезаписывает файл, и следующий же вызов читает новое значение. Разводка
+> источников из старых установок (переменная против файла, рунбук
+> [OPS-003](content/70-operations/OPS-003-env-var-shadows-token-file.md)) снята
+> самим устройством 4.0.0 — переменную достаточно убрать из окружения.
 
 Ни один запрос не несёт заголовок `X-Auth-Token` — единственный транспорт credential
 теперь query-параметр `sessionToken`.
@@ -165,22 +181,25 @@ ktalk auth-status     # жива ли авторизация — реальны
 > ошибку авторизации, повторите те же два шага — `ktalk token set -` перезаписывает
 > файл, права переставлять не нужно.
 
-### Переменные окружения
+### Конфигурация: адрес стенда (`config.toml`)
+
+Адрес контура задаётся один раз, машинной командой:
 
 ```bash
-export KTALK_SESSION_TOKEN="ваш_session_token"
-export KTALK_BASE_URL="https://your-domain.ktalk.ru"
+ktalk config set base-url https://your-domain.ktalk.ru
 ```
 
-Переменная не обязательна: без неё читается файл `~/.config/ktalk-mcp/token`
-(см. «Session token»).
+Команда пишет `${XDG_CONFIG_HOME:-~/.config}/ktalk-mcp/config.toml` (рядом с
+файлом токена, права `0644` — адрес не секрет) и отвергает значение без схемы
+http(s) или без хоста до записи. Проверка — `ktalk config show`: секция
+`## Толк` называет адрес, путь `config.toml` и статус файла токена.
 
-Также поддерживается файл `.env` в рабочей директории:
-
-```env
-KTALK_SESSION_TOKEN=ваш_session_token
-KTALK_BASE_URL=https://your-domain.ktalk.ru
-```
+**Переменные окружения и `.env` больше не читаются вовсе (4.0.0, ADR-027).**
+`KTALK_BASE_URL`, `KTALK_SESSION_TOKEN`, `KTALK_PERSONAL_API_KEY`,
+`KTALK_REGISTRY_DB`, `KTALK_TOKEN_FILE` и `.env` в рабочем каталоге не
+участвуют в разрешении ни одного значения. Если какая-то из них всё ещё задана,
+`ktalk auth-status` и `ktalk doctor` называют её по имени и советуют убрать —
+значение при этом не печатается никогда.
 
 ## Диагностика авторизации
 
@@ -193,10 +212,12 @@ ktalk auth-status
 Диагностика различает два случая, которые снаружи выглядят одинаково — просто ошибка, —
 но чинятся по-разному:
 
-- **401** — токен невалиден либо истёк. Обновите его: `ktalk token set -` (или
-  переменную `KTALK_SESSION_TOKEN`, если она задана).
-- **403** — токен рабочий, но у текущей сессии нет прав на эту операцию.
-  Перевыпускать токен не нужно.
+- **401** — токен невалиден либо истёк. Вердикт `alive: false`, код возврата `1`.
+  Обновите токен: `ktalk token set -` — файл перезаписывается, права переставлять
+  не нужно.
+- **403** — токен рабочий, но у текущей сессии нет прав на эту операцию. Вердикт
+  `alive: true`, код возврата `0`: нехватка прав не является отказом токена, и
+  перевыпускать его не нужно.
 
 У session token понятия scope и срока действия нет — диагностика выполняет реальный
 пробный запрос (список записей), а не имитацию без сети.
@@ -320,15 +341,15 @@ CLI работает с KTalk Web API через единственный (sessi
 
 Та же команда `ktalk` ведёт операционный реестр обработки записей на SQLite.
 Вся детерминированная механика (синхронизация списка записей, дедуп,
-экспирация, смена статусов, рендер дашборда и markdown-зеркала, разовая
+смена статусов, рендер дашборда и markdown-зеркала, разовая
 миграция) живёт в коде, а не в рассуждениях модели.
 
 **SQLite — операционный source of truth.** Markdown-файл `registry.md` —
 генерируемое read-only зеркало для git (`ktalk export`), руками не редактируется.
 
-Путь к базе: флаг `--db PATH` > переменная `KTALK_REGISTRY_DB` > дефолт
-`95_TRANSCRIPTS/.registry.db` (относительно текущего каталога). Бинарную БД
-нужно добавить в `.gitignore` (`.registry.db`, `.registry.db-wal`, `.registry.db-shm`).
+Путь к базе: флаг `--db PATH` > `registry.db_path` из `.ktalk.toml`
+проекта-хозяина > машинный дефолт централизованного хранилища (ADR-013;
+переменная `KTALK_REGISTRY_DB` снята в 4.0.0 и не читается, ADR-027).
 
 `ktalk auth-status`, `ktalk create-meeting-preview` и `ktalk create-meeting-confirm`
 реестр не открывают вовсе — им он не нужен. В частности, `auth-status` работает
@@ -337,10 +358,12 @@ CLI работает с KTalk Web API через единственный (sessi
 
 | Команда | Назначение |
 |---|---|
-| `ktalk sync [--days 7] [--json] [--dry-run]` | Загрузить записи из KTalk, upsert новых (`new`), экспирировать `new` старше N дней → `skipped`, показать дашборд. Идемпотентно. `--dry-run` — сверить id с реестром без записи, ничего не пишет. |
+| `ktalk sync [--days N] [--json] [--dry-run]` | Загрузить записи из KTalk и upsert'нуть их в реестр (новые — `new`, существующие — с обновлёнными не-статусными полями; статус ни одной записи не меняется). Без `--days` окно — от момента последней синхронизации минус 1 день запаса (первый запуск — 90 дней); `--days N` — явное переопределение нижней границы. Идемпотентно. `--dry-run` — сверить id с реестром без записи, ничего не пишет. В `--json`-ответе ключа `expired` больше нет (4.0.0): смены статуса как побочного эффекта чтения не происходит. |
 | `ktalk token set <значение\|->` | Записать session-токен в `~/.config/ktalk-mcp/token` (`0600`). `-` — прочитать из stdin: `pbpaste \| ktalk token set -`. Значение не печатается. |
 | `ktalk token status [--json]` | Есть ли файл токена, его права и маска значения. |
 | `ktalk auth-status [--json]` | Диагностика активной авторизации — жив ли токен. См. «Диагностика авторизации». |
+| `ktalk config set base-url <url>` | Записать адрес стенда в `~/.config/ktalk-mcp/config.toml` (`0644`). См. «Конфигурация: адрес стенда». |
+| `ktalk config show [--json]` | Машинная конфигурация оператора (адрес, путь `config.toml`, статус файла токена) и резолвленный `.ktalk.toml` проекта-хозяина. |
 | `ktalk dashboard [--json]` | Дашборд: новые записи, статистика по статусам. |
 | `ktalk list [--status S] [--json]` | Список записей с фильтром по статусу. |
 | `ktalk show <id> [--json]` | Детали записи: участники, статус, пути, длительность. |
@@ -368,8 +391,10 @@ uv run pytest -v
 # Линтинг
 uv run ruff check .
 
-# Локальный запуск CLI (session token — см. «Авторизация»)
-KTALK_SESSION_TOKEN=... KTALK_BASE_URL=... uv run ktalk auth-status
+# Локальный запуск CLI (токен и адрес — файлами, см. «Авторизация»)
+pbpaste | uv run ktalk token set -
+uv run ktalk config set base-url https://your-domain.ktalk.ru
+uv run ktalk auth-status
 ```
 
 ## Пакет и плагин Claude Code

{ktalk_cli-3.0.2 → ktalk_cli-4.0.0}/README.md

@@ -67,6 +67,14 @@ uv tool upgrade ktalk-cli
 
 ## Авторизация
 
+**С версии 4.0.0 конфигурация каждого значения имеет ровно один источник**
+(ADR-027): session token — только файл, записанный `ktalk token set`; адрес
+стенда — только `config.toml`, записанный `ktalk config set base-url`. Ни одна
+переменная `KTALK_*` и ни один `.env` в рабочем каталоге больше не читаются как
+источник значения — их присутствие не проходит молча: `ktalk auth-status`,
+`ktalk doctor` и тексты отказов называют обнаруженную снятую переменную по
+имени (значение не печатается никогда) и советуют её убрать.
+
 **С версии 3.0.0 CLI работает только через session token** (кука браузера) — режим
 персонального API-ключа (`KTALK_PERSONAL_API_KEY`) снят целиком (ADR-025): он
 конкурировал с сессией молча (при обеих заданных переменных побеждал ключ без
@@ -78,9 +86,11 @@ uv tool upgrade ktalk-cli
 ручного обновления токена по мере его протухания (`ktalk token set -`, см. ниже) —
 это не восстанавливается автоматически снятием ключа.
 
-Переменная `KTALK_PERSONAL_API_KEY`, если она всё ещё задана в окружении, не
-читается как credential ни на одном шаге — CLI печатает об этом одно предупреждение
-на stderr при каждом вызове и продолжает работу на сессионном токене.
+Переменные `KTALK_PERSONAL_API_KEY`, `KTALK_SESSION_TOKEN` и остальные
+`KTALK_*`, если они всё ещё заданы в окружении (частая причина — блок `env` в
+`~/.claude/settings.json`), не читаются ни на одном шаге — CLI печатает об этом
+одно предупреждение на stderr при каждом вызове и продолжает работу на файле
+токена/`config.toml`.
 
 ### Session token
 
@@ -111,14 +121,20 @@ ktalk token status    # есть ли файл, права, маска знач
 ktalk auth-status     # жива ли авторизация — реальный запрос, не имитация
 ```
 
-Путь переопределяется переменной `KTALK_TOKEN_FILE`; каталог уважает `XDG_CONFIG_HOME`.
+Путь файла — `${XDG_CONFIG_HOME:-~/.config}/ktalk-mcp/token`; переменной-
+переопределения нет (снятая `KTALK_TOKEN_FILE` не читается, ADR-027).
 
-**Порядок источников** — первый непустой выигрывает:
+**Единственный источник токена** — этот файл (ADR-027). Переменная
+`KTALK_SESSION_TOKEN` и `.env` в рабочем каталоге не читаются вовсе: заданная
+переменная больше не перекрывает файл ни молча, ни с предупреждением — она
+просто не участвует в разрешении credential, а CLI называет её в выводе
+`auth-status`/`doctor` как снятую.
 
-| # | Источник | Комментарий |
-|---|---|---|
-| 1 | `KTALK_SESSION_TOKEN` (окружение или `.env` в рабочей директории) | заданное явно сильнее лежащего на диске |
-| 2 | `~/.config/ktalk-mcp/token` | дефолтный путь для повседневной работы |
+> Ротация больше не может «застрять» на невидимой переменной: `ktalk token set -`
+> перезаписывает файл, и следующий же вызов читает новое значение. Разводка
+> источников из старых установок (переменная против файла, рунбук
+> [OPS-003](content/70-operations/OPS-003-env-var-shadows-token-file.md)) снята
+> самим устройством 4.0.0 — переменную достаточно убрать из окружения.
 
 Ни один запрос не несёт заголовок `X-Auth-Token` — единственный транспорт credential
 теперь query-параметр `sessionToken`.
@@ -142,22 +158,25 @@ ktalk auth-status     # жива ли авторизация — реальны
 > ошибку авторизации, повторите те же два шага — `ktalk token set -` перезаписывает
 > файл, права переставлять не нужно.
 
-### Переменные окружения
+### Конфигурация: адрес стенда (`config.toml`)
+
+Адрес контура задаётся один раз, машинной командой:
 
 ```bash
-export KTALK_SESSION_TOKEN="ваш_session_token"
-export KTALK_BASE_URL="https://your-domain.ktalk.ru"
+ktalk config set base-url https://your-domain.ktalk.ru
 ```
 
-Переменная не обязательна: без неё читается файл `~/.config/ktalk-mcp/token`
-(см. «Session token»).
+Команда пишет `${XDG_CONFIG_HOME:-~/.config}/ktalk-mcp/config.toml` (рядом с
+файлом токена, права `0644` — адрес не секрет) и отвергает значение без схемы
+http(s) или без хоста до записи. Проверка — `ktalk config show`: секция
+`## Толк` называет адрес, путь `config.toml` и статус файла токена.
 
-Также поддерживается файл `.env` в рабочей директории:
-
-```env
-KTALK_SESSION_TOKEN=ваш_session_token
-KTALK_BASE_URL=https://your-domain.ktalk.ru
-```
+**Переменные окружения и `.env` больше не читаются вовсе (4.0.0, ADR-027).**
+`KTALK_BASE_URL`, `KTALK_SESSION_TOKEN`, `KTALK_PERSONAL_API_KEY`,
+`KTALK_REGISTRY_DB`, `KTALK_TOKEN_FILE` и `.env` в рабочем каталоге не
+участвуют в разрешении ни одного значения. Если какая-то из них всё ещё задана,
+`ktalk auth-status` и `ktalk doctor` называют её по имени и советуют убрать —
+значение при этом не печатается никогда.
 
 ## Диагностика авторизации
 
@@ -170,10 +189,12 @@ ktalk auth-status
 Диагностика различает два случая, которые снаружи выглядят одинаково — просто ошибка, —
 но чинятся по-разному:
 
-- **401** — токен невалиден либо истёк. Обновите его: `ktalk token set -` (или
-  переменную `KTALK_SESSION_TOKEN`, если она задана).
-- **403** — токен рабочий, но у текущей сессии нет прав на эту операцию.
-  Перевыпускать токен не нужно.
+- **401** — токен невалиден либо истёк. Вердикт `alive: false`, код возврата `1`.
+  Обновите токен: `ktalk token set -` — файл перезаписывается, права переставлять
+  не нужно.
+- **403** — токен рабочий, но у текущей сессии нет прав на эту операцию. Вердикт
+  `alive: true`, код возврата `0`: нехватка прав не является отказом токена, и
+  перевыпускать его не нужно.
 
 У session token понятия scope и срока действия нет — диагностика выполняет реальный
 пробный запрос (список записей), а не имитацию без сети.
@@ -297,15 +318,15 @@ CLI работает с KTalk Web API через единственный (sessi
 
 Та же команда `ktalk` ведёт операционный реестр обработки записей на SQLite.
 Вся детерминированная механика (синхронизация списка записей, дедуп,
-экспирация, смена статусов, рендер дашборда и markdown-зеркала, разовая
+смена статусов, рендер дашборда и markdown-зеркала, разовая
 миграция) живёт в коде, а не в рассуждениях модели.
 
 **SQLite — операционный source of truth.** Markdown-файл `registry.md` —
 генерируемое read-only зеркало для git (`ktalk export`), руками не редактируется.
 
-Путь к базе: флаг `--db PATH` > переменная `KTALK_REGISTRY_DB` > дефолт
-`95_TRANSCRIPTS/.registry.db` (относительно текущего каталога). Бинарную БД
-нужно добавить в `.gitignore` (`.registry.db`, `.registry.db-wal`, `.registry.db-shm`).
+Путь к базе: флаг `--db PATH` > `registry.db_path` из `.ktalk.toml`
+проекта-хозяина > машинный дефолт централизованного хранилища (ADR-013;
+переменная `KTALK_REGISTRY_DB` снята в 4.0.0 и не читается, ADR-027).
 
 `ktalk auth-status`, `ktalk create-meeting-preview` и `ktalk create-meeting-confirm`
 реестр не открывают вовсе — им он не нужен. В частности, `auth-status` работает
@@ -314,10 +335,12 @@ CLI работает с KTalk Web API через единственный (sessi
 
 | Команда | Назначение |
 |---|---|
-| `ktalk sync [--days 7] [--json] [--dry-run]` | Загрузить записи из KTalk, upsert новых (`new`), экспирировать `new` старше N дней → `skipped`, показать дашборд. Идемпотентно. `--dry-run` — сверить id с реестром без записи, ничего не пишет. |
+| `ktalk sync [--days N] [--json] [--dry-run]` | Загрузить записи из KTalk и upsert'нуть их в реестр (новые — `new`, существующие — с обновлёнными не-статусными полями; статус ни одной записи не меняется). Без `--days` окно — от момента последней синхронизации минус 1 день запаса (первый запуск — 90 дней); `--days N` — явное переопределение нижней границы. Идемпотентно. `--dry-run` — сверить id с реестром без записи, ничего не пишет. В `--json`-ответе ключа `expired` больше нет (4.0.0): смены статуса как побочного эффекта чтения не происходит. |
 | `ktalk token set <значение\|->` | Записать session-токен в `~/.config/ktalk-mcp/token` (`0600`). `-` — прочитать из stdin: `pbpaste \| ktalk token set -`. Значение не печатается. |
 | `ktalk token status [--json]` | Есть ли файл токена, его права и маска значения. |
 | `ktalk auth-status [--json]` | Диагностика активной авторизации — жив ли токен. См. «Диагностика авторизации». |
+| `ktalk config set base-url <url>` | Записать адрес стенда в `~/.config/ktalk-mcp/config.toml` (`0644`). См. «Конфигурация: адрес стенда». |
+| `ktalk config show [--json]` | Машинная конфигурация оператора (адрес, путь `config.toml`, статус файла токена) и резолвленный `.ktalk.toml` проекта-хозяина. |
 | `ktalk dashboard [--json]` | Дашборд: новые записи, статистика по статусам. |
 | `ktalk list [--status S] [--json]` | Список записей с фильтром по статусу. |
 | `ktalk show <id> [--json]` | Детали записи: участники, статус, пути, длительность. |
@@ -345,8 +368,10 @@ uv run pytest -v
 # Линтинг
 uv run ruff check .
 
-# Локальный запуск CLI (session token — см. «Авторизация»)
-KTALK_SESSION_TOKEN=... KTALK_BASE_URL=... uv run ktalk auth-status
+# Локальный запуск CLI (токен и адрес — файлами, см. «Авторизация»)
+pbpaste | uv run ktalk token set -
+uv run ktalk config set base-url https://your-domain.ktalk.ru
+uv run ktalk auth-status
 ```
 
 ## Пакет и плагин Claude Code

{ktalk_cli-3.0.2 → ktalk_cli-4.0.0}/pyproject.toml

@@ -1,6 +1,6 @@
 [project]
 name = "ktalk-cli"
-version = "3.0.2"
+version = "4.0.0"
 description = "CLI for accessing Kontur Talk (KTalk) recordings, transcripts and summaries"
 readme = "README.md"
 license = "MIT"

ktalk_cli-4.0.0/src/ktalk_cli/CLAUDE.md

@@ -0,0 +1,39 @@
+# ktalk-cli — API Контур.Толк
+
+Справочник вынесен из корневого `CLAUDE.md`: грузится только при работе под `src/`.
+
+## Контракт API
+- OpenAPI спецификация (справочник, **есть расхождения с реальностью**): `talk.public.api-api-2.json`
+- Base URL: https://your-domain.ktalk.ru
+- **Режим авторизации один — сессионный токен** ([ADR-025](content/00-project/adr/ADR-025-single-auth-mode.md)
+  снял двухрежимность [ADR-003](content/00-project/adr/ADR-003-auth-modes.md) в 3.0.0):
+  `sessionToken=` в query при чтении, заголовок `Authorization: Session <token>` при записи
+  (`meeting_scheduling.py`). `X-Auth-Token` не шлётся ни одним запросом. `KTALK_PERSONAL_API_KEY`
+  не читается ни на одном шаге: заданная, она даёт однократное предупреждение в stderr
+  (`config.py:181-187`) и больше ничего.
+- **Порядок источников токена, он же ловушка эксплуатации** — первый непустой выигрывает:
+  `KTALK_SESSION_TOKEN` (окружение или `.env` рабочего каталога) > `~/.config/ktalk-mcp/token`
+  (`token_file.py`, DEV-018). Файл читается валидатором `Settings` **только когда переменная
+  пуста** (`config.py:111-130`) — поэтому переменная переживает `ktalk token set` и делает
+  ротацию токена невидимой: `auth-status` печатает `alive: false` на свежезаписанный рабочий
+  файл. Разведение — `env -u KTALK_SESSION_TOKEN ktalk auth-status` против обычного вызова;
+  процедура — [OPS-003](content/70-operations/OPS-003-env-var-shadows-token-file.md). Права
+  шире `0600` — файла как будто нет. Запись — `ktalk token set -`, формат проверяется до записи.
+- **Путь есть не у каждой операции** — интеграторский контур (`/api/Domain/*`, `/api/Recordings/*`,
+  `/api/ConferenceReports/*`) отдаёт 401/403 по сессии, поэтому пути живут в таблице
+  `OPERATION_PROFILES` (`endpoints.py`, реэкспорт через `auth.py`), а не хардкодом в методах.
+  Профиль `None` (`list_archive`) — отказ до сети, код возврата 1.
+- Пути под сессией: `GET /api/recordings`, `/api/recordings/{id}`, `/api/conferencesHistory/{key}`,
+  `/api/recordings/{key}/transcript`, `/api/recordings/v2/{key}/summary`,
+  `/api/recordings/{key}/summary/{type}`
+
+### Поведение API, проверенное эмпирически (спеке здесь верить нельзя)
+- `top` максимум **100**, не 1000: `400 «The field Top must be between 1 and 100»`.
+- `nextPageToken` во внутреннем контуре **не существует** — пагинация только через `skip`.
+- `startFrom`/`startTo` **игнорируются**: окно дат обеспечивает клиент (`clip_to_window`),
+  обход прекращается на первой странице за порогом. Выдача отсортирована от новых к старым.
+- `maxParticipantCount` в списке имеет максимум 10 и дефолт 6 — полный состав участников
+  берётся дообогащением по каждой записи, а не из списка.
+- Чат требует необъявленный в спеке параметр `channel` (рабочее значение `general`).
+- **401 ≠ 403**: 401 — ключ/токен невалиден, 403 — валиден, но не хватает scope. Тело 403
+  обычно пустое, диагностика строится на коде ответа и требуемом scope операции.

{ktalk_cli-3.0.2 → ktalk_cli-4.0.0}/src/ktalk_cli/auth.py

@@ -69,8 +69,14 @@ def classify_response(response: object) -> None:
     `contour_diagnostics._status_hint`."""
     status = response.status_code  # type: ignore[attr-defined]
     if status == 401:
+        from ktalk_cli.config import _with_legacy_notice
+
         raise _auth_error(
-            "Токен сессии истёк или невалиден. Обновите его: `ktalk token set -` (или переменную KTALK_SESSION_TOKEN, если она задана) — см. README.", 401
+            _with_legacy_notice(
+                "Токен сессии истёк или невалиден. Обновите его: "
+                "`ktalk token set -` (см. README)."
+            ),
+            401,
         )
     if status == 403:
         # У сессионного токена нет понятия scope, но 403 — это не 401. ADR-003
@@ -101,9 +107,15 @@ class AuthContext:
     def resolve(*, session_token: str | None) -> AuthContext:
         if session_token:
             return AuthContext(session_token)
+        # ADR-027: тот же текст отказа, что `Settings.auth_credential` (FR-E —
+        # только инструкция, переменная окружения больше не предлагается).
+        from ktalk_cli.config import _with_legacy_notice
+
         raise KTalkConfigError(
-            "Не задана KTALK_SESSION_TOKEN, и файла токена нет. Задайте "
-            "переменную или выполните `ktalk token set -` (см. README)."
+            _with_legacy_notice(
+                "Сессионный токен не задан: файла токена нет. Выполните "
+                "`ktalk token set -` (см. README)."
+            )
         )
 
 

{ktalk_cli-3.0.2 → ktalk_cli-4.0.0}/src/ktalk_cli/cli.py

@@ -10,6 +10,8 @@ from pathlib import Path
 
 from ktalk_cli.cli_contacts import cmd_search_contacts
 from ktalk_cli.cli_contacts import register_subparsers as register_contacts_subparsers
+from ktalk_cli.cli_config import cmd_config
+from ktalk_cli.cli_config import register_subparsers as register_config_subparsers
 from ktalk_cli.cli_content import (
     cmd_download_recording,
     cmd_get_participants,
@@ -45,8 +47,8 @@ from ktalk_cli.cli_token import register_subparsers as register_token_subparsers
 from ktalk_cli.cli_store import cmd_migrate_to_central_store
 from ktalk_cli.cli_store import register_subparsers as register_store_subparsers
 from ktalk_cli.cli_sync import cmd_auth_status, cmd_sync
-from ktalk_cli.config import redact_secrets, resolve_db_path, warn_if_legacy_key_present
-from ktalk_cli.host_config import HostConfig, discover_host_config
+from ktalk_cli.config import legacy_config_notice, redact_secrets, resolve_db_path
+from ktalk_cli.host_config import discover_host_config
 from ktalk_cli.registry import Registry, migrate_from_vault, render_markdown_mirror
 
 _STATUSES = ("new", "processing", "done", "skipped", "partial")
@@ -108,18 +110,20 @@ def build_parser() -> argparse.ArgumentParser:
     p_mig.add_argument("--json", action="store_true")
 
     p_sync = sub.add_parser("sync", help="Синхронизация с KTalk")
-    p_sync.add_argument("--days", type=int, default=7)
+    p_sync.add_argument(
+        "--days",
+        type=int,
+        default=None,
+        help="Явное переопределение нижней границы окна (N дней назад от сегодня); "
+        "без флага — от момента последней синхронизации (ADR-027)",
+    )
     p_sync.add_argument("--json", action="store_true")
     p_sync.add_argument("--dry-run", action="store_true", help="Сверка id без записи (FR-15)")
 
     p_auth = sub.add_parser("auth-status", help="Диагностика авторизации (FR-11)")
     p_auth.add_argument("--json", action="store_true")
 
-    p_config = sub.add_parser("config", help="Конфигурация проекта-хозяина (.ktalk.toml)")
-    config_sub = p_config.add_subparsers(dest="config_command")
-    p_config_show = config_sub.add_parser("show", help="Показать резолвленный .ktalk.toml")
-    p_config_show.add_argument("--json", action="store_true")
-
+    register_config_subparsers(sub)
     register_meeting_subparsers(sub)
     register_meeting_confirm_subparsers(sub)
     register_sanction_subparsers(sub)
@@ -272,45 +276,6 @@ def _cmd_migrate(reg: Registry, args) -> int:
     return 0
 
 
-def _host_config_to_dict(host_config: HostConfig | None) -> dict:
-    if host_config is None:
-        return {"registry": {}, "directories": {}, "routing": {}, "integrations": {}}
-    return {
-        "registry": host_config.registry,
-        "directories": host_config.directories,
-        "routing": host_config.routing,
-        "integrations": host_config.integrations,
-        # FR-48: `doctor` и `config show` называют один и тот же путь одним
-        # значением (ADR-026 spec §2) — ключ появляется только когда конфиг
-        # найден, отсутствие файла не путь, а нормальная ветка.
-        "path": str(host_config.path),
-    }
-
-
-def _cmd_config(reg: Registry | None, args) -> int:
-    if getattr(args, "config_command", None) != "show":
-        print("Неизвестная подкоманда config (доступно: show)", file=sys.stderr)
-        return 2
-    host_config = discover_host_config()
-    data = _host_config_to_dict(host_config)
-    if args.json:
-        _print_json(data)
-        return 0
-    print("# Конфигурация проекта-хозяина (.ktalk.toml)\n")
-    if host_config is None:
-        print("(конфиг не найден — машинные дефолты)")
-        return 0
-    for section_name in ("registry", "directories", "routing", "integrations"):
-        section = data[section_name]
-        print(f"## {section_name}")
-        if not section:
-            print("(не объявлено)")
-        else:
-            for key, value in section.items():
-                print(f"- {key} = {value}")
-    return 0
-
-
 _REGISTRY_FREE_COMMANDS = {
     "auth-status",
     "config",
@@ -361,7 +326,7 @@ _HANDLERS = {
     "migrate": _cmd_migrate,
     "sync": cmd_sync,
     "auth-status": cmd_auth_status,
-    "config": _cmd_config,
+    "config": cmd_config,
     "create-meeting-preview": cmd_create_meeting_preview,
     "create-meeting-confirm": cmd_create_meeting_confirm,
     "cancel-meeting-preview": cmd_cancel_meeting_preview,
@@ -386,9 +351,13 @@ _HANDLERS = {
 
 
 def main(argv: list[str] | None = None) -> int:
-    # FR-43: обнаружение снятой KTALK_PERSONAL_API_KEY не проходит молча — ровно
-    # одна строка на процесс, до диспетчеризации любой команды.
-    warn_if_legacy_key_present()
+    # FR-D (ADR-027 п.3, обобщение FR-43 с одной переменной на пять): обнаружение
+    # снятых переменных конфигурации не проходит молча — ровно одна строка на
+    # процесс, до диспетчеризации любой команды, через барьер маскирования;
+    # уведомление информационно, команду не блокирует.
+    notice = legacy_config_notice()
+    if notice is not None:
+        print(redact_secrets(notice), file=sys.stderr)
     parser = build_parser()
     args = parser.parse_args(argv)
     if getattr(args, "version", False):
@@ -431,15 +400,15 @@ def main(argv: list[str] | None = None) -> int:
             # дефолту, пока сам реестр читался из `.ktalk.toml`.
             args.db = str(db_path)
             # Code review (epic-capability-pairing, Р5): признак «путь резолвился к
-            # машинному дефолту централизованного хранилища», а не к --db/env/
+            # машинному дефолту централизованного хранилища», а не к --db/
             # конфигу хозяина — считается ДО перезаписи `args.db` выше, той же
-            # логикой приоритета, что `resolve_db_path` (ADR-013 §3), без повторного
+            # логикой приоритета, что `resolve_db_path` (ADR-013 §3 в редакции
+            # ADR-027: среднего члена KTALK_REGISTRY_DB больше нет), без повторного
             # вызова `resolve_store_root()` (не создавать хранилище стороны ради
             # одной проверки). Использует только `_cmd_export`, чтобы не положить
             # зеркало проекта-хозяина внутрь хранилища (NFR-16 AC).
             args.db_from_machine_default = not (
                 raw_cli_db
-                or os.environ.get("KTALK_REGISTRY_DB")
                 or (host_config is not None and host_config.registry.get("db_path"))
             )
             reg = Registry(db_path)