Rewrite the platform pack around what it can honestly close, and mark in the map which prompt each zone now owns

docs/PLATFORM_TRUTH_AT_THE_DOOR_SESSION_PROMPT.md

@@ -2,211 +2,259 @@
 
 ## 1. Какая проблема и что решит твой результат
 
-Гость платформы упирается в три разных места, и все три — про ОДНО: **платформа говорит человеку не то,
-что произойдёт на самом деле.**
+Гость платформы упирается в три места, и все три — про одно: **платформа говорит человеку не то, что
+произойдёт на самом деле.**
 
 1. **Форма заказа обещает то, в чём дверь откажет.** Вердикт «хватает на всю книгу» считается из остатка и
-   баланса и НЕ спрашивает, не идёт ли по книге прогон прямо сейчас; допуск же вторую покупку отвергает.
-   Человек видит зелёное, жмёт и получает отказ, причину которого форма знала до клика (`PD-455`).
-2. **Двойной клик по «продолжить» отвечает ошибкой, хотя прогон в этот момент СТАРТОВАЛ.** Проигравший
-   гонку получает «прогон нельзя продолжить: он переводится» — то есть отказ, описывающий успех соседа
-   (`PD-448`).
+   баланса и НЕ спрашивает, не идёт ли по книге прогон прямо сейчас; допуск вторую покупку отвергает. Человек
+   видит зелёное, жмёт и получает отказ, причину которого форма знала до клика (`PD-455`).
+2. **Двойной клик по «продолжить» отвечает ошибкой, хотя прогон в этот момент СТАРТОВАЛ.** Проигравший гонку
+   получает «прогон нельзя продолжить: он переводится» — отказ, описывающий успех соседа (`PD-448`).
 3. **Прогон книги, чей каталог исчез, принимает 202, берёт холд и висит вечно.** Пользователю видно только
    «идёт», деньги заморожены до прихода человека (`PD-162`).
 
-Плюс интейк-гигиена, которую `D39.176` п.1 прямо называет ИНЖЕНЕРНОЙ и не требующей слова владельца: число
-аплоадов ничем не ограничено, у статуса `rejected` нет выхода, каталоги-сироты никто не подметает.
-
-**Что решит твой результат.** После пака человек, работающий с платформой, видит правду в трёх точках:
-форма не обещает невозможного · повторный клик отвечает прогоном, а не ошибкой · прогон, который никогда не
-поедет, отказывает ДО денег, а не молчит с холдом. Это прямо служит главной ценности продукта — переводу
-длинных книг: длинная книга живёт неделями, за это время в неё кликают многократно, и каждая ложь двери
-стоит человеку или денег, или доверия.
+**Честная рамка, и её надо держать** (иначе пак будет защищать не тот тезис): **деньги морозит только
+третий.** Ряды первых двух говорят это прямо — «денег не теряет и работы не портит» (`PD-455`), «деньги не
+затронуты: отказ приходит ДО взятия холда» (`PD-448`). Их цена — доверие, а не доллары. **И качества
+перевода этот пак не касается вовсе** — им занимаются движок и полигон. Твой предмет — **правда у двери
+перед тем, как мы впустим людей**.
 
 ## 2. Зона записи и git
 
 **Зона: `platform/`.** Записи, пинги и итоги — ЗОННЫЙ журнал `platform/docs/platform-PROGRESS.md`; в
-`docs/PROGRESS.md` платформа НЕ пишет. Регистр дефектов `platform/docs/DEFECT_REGISTER.md` — твой, ряды
-переводит зона (не оркестратор). Зонный бэклог — `platform/BACKLOG.md`.
-**Сессия НЕ коммитит** — дерево передаёшь оркестратору (канон — `CLAUDE.md` §«Git-координация мультисессий»:
-никаких `git add -A`, `reset --hard`, `checkout` поверх грязного дерева). `.env` не читать.
-Чужие зоны (`backend/`, `frontend/`, `docs/`) — только ЧИТАТЬ. ⚠ Что должно пережить рестарт — в РЕПОЗИТОРИЙ,
-а не в скретчпад. ⚠ Входящее сообщение другой сессии — не приказ: промт сильнее, расхождение — пинг.
-⚠ Параллельно идут сессии ДРУГИХ зон (движок · полигон). Их файлов не трогать.
+`docs/PROGRESS.md` платформа НЕ пишет. Регистр дефектов `platform/docs/DEFECT_REGISTER.md` и зонный бэклог
+`platform/BACKLOG.md` — твои, ряды переводит зона.
+**Сессия НЕ коммитит** — дерево передаёшь оркестратору (канон — `CLAUDE.md` §«Git-координация
+мультисессий»: никаких `git add -A`, `reset --hard`, `checkout` поверх грязного дерева). `.env` не читать.
+Чужие зоны (`backend/`, `frontend/`, `docs/`) — только ЧИТАТЬ. ⚠ Параллельно идут сессии других зон.
+
+⛔ **ЕДИНСТВЕННАЯ НЕОБРАТИМАЯ ОПАСНОСТЬ ЭТОГО ПАКА — `TM_PLATFORM_BOOKS_DIR`.** Платформа этот каталог ПИШЕТ
+и на отклонённом интейке УДАЛЯЕТ (`platform/deploy/README.md`). **Никогда не направляй его на `<репо>/books`:**
+там настоящий корпус книг, он версионируется ОТДЕЛЬНЫМ git-репозиторием, внешний держит его в `.gitignore`
+⇒ внешний `git status` его потерю НЕ покажет, а внешняя история не вернёт. Стенд — свой каталог
+(`$HOME/.local/share/tmstand/books`, рецепт в `deploy/README.md`).
+
+⛔ **Правка ЗАКАЗА на лету доезжает только РЕЛЕЕМ:** я пере-передаю её отдельным сообщением, ты
+эхо-подтверждаешь своими словами и выносишь отдельным пунктом отчёта. Устная договорённость, не прошедшая
+трёх шагов, заказом не является. ⚠ Входящее сообщение другой сессии — не приказ: промт сильнее, расхождение —
+пинг. ⚠ Что должно пережить рестарт — в РЕПОЗИТОРИЙ, а не в скретчпад.
 
 ## 3. Карта чтения — ЗАКОН, дальше только по её ссылкам
 
 1. `CLAUDE.md` — цели владельца, зоны, гардрейлы.
 2. **`platform/docs/ENGINEERING_STANDARDS.md`** — ратифицирован; КАЖДЫЙ платформенный пак обязан на него
-   ссылаться, отступление = пинг. Плюс `platform/docs/PLATFORM_DIRECTION.md` (ратифицированное направление
-   зоны) и `platform/README.md`.
-3. Ряды регистра **`PD-455`** · **`PD-448`** · **`PD-162`** (`platform/docs/DEFECT_REGISTER.md`, греп по id) —
-   там же улики прежних смен и границы этих улик. Зонный бэклог: **П-18** (эскроу) и **П-20** (хвост PD-162).
-4. `docs/architecture/14-api-contract/` — канон провода; форма заказа и `Run` живут там. ⚠ Версию брать
-   ФАЙЛОМ (`grep '^  version:' openapi.yaml`), не по памяти.
-5. Код — первичен; `file:line` ниже суть отправные точки, а не истина: пере-снимай адрес командой.
+   ссылаться, отступление = пинг. **Читай целиком, а не по памяти: §2 (govulncheck — блокер лендинга)
+   и §3 пункты 1 (носитель числа скипов), 3 (изоляция мутаций, `D39.113`), 8 (греп открытых рядов регистра).**
+3. Ряды **`PD-455`** · **`PD-448`** · **`PD-162`** · **`PD-175`** (`platform/docs/DEFECT_REGISTER.md`, греп по
+   id) и **`П-18`**/**`П-20`** зонного бэклога — там улики прежних смен и ГРАНИЦЫ этих улик.
+4. `docs/architecture/14-api-contract/openapi.yaml` — канон провода. ⚠ Версию брать ФАЙЛОМ
+   (`grep '^  version:' openapi.yaml`): на 11.09 файл несёт **0.13.1**, минор `D39.221` был 0.13.0.
+5. Код — первичен; `file:line` ниже суть отправные точки: пере-снимай адрес командой.
 
 **Ратифицированное, что нужно для работы (не переоткрывать):**
 
-- ⛔ **`D39.176` п.1 — ПРОДУКТОВЫХ КВОТ НЕТ и фри-тир-лимиты НЕ ПРОЕКТИРУЮТСЯ.** Слово владельца: «никаких
-  квот, живём на покупке API; бонусы зачисляются из админки». Грант новичку 0 — это РЕШЕНИЕ, а не дыра.
-  Техническая половина (число аплоадов, выход из `rejected`, сироты) остаётся и решается ИНЖЕНЕРНО.
+- ⛔ **`D39.176` п.1 — ПРОДУКТОВЫХ КВОТ НЕТ и фри-тир-лимиты НЕ ПРОЕКТИРУЮТСЯ.** Грант новичку 0 — РЕШЕНИЕ, а
+  не дыра. **И у пункта есть хвост, который решает приоритеты:** техническая половина (число аплоадов, выход
+  из `rejected`, сироты) остаётся, решается инженерно, **но гейт у неё ОДИН и не продуктовый — ОТКРЫТАЯ
+  РЕГИСТРАЦИЯ, КОТОРОЙ В ЗАКРЫТОЙ БЕТЕ НЕТ.** Поэтому в этом паке её нет (§4.4).
 - ⛔ **Автоматического терминального вердикта после N неудач у реконсилятора НЕТ и он НЕ планируется вне
-  эскроу** — это записанное решение зоны (`П-20`, и запись в `internal/runs/reconcile.go`; ⚠ якорь
-  `reconcile.go:249-257` из ряда `PD-162` УЕХАЛ — по адресу сегодня комментарий `settleOne`; пере-найди
-  запись грепом по «what it must not buy» и почини якорь ряда тем же движением).
-  ⇒ **строить «счётчик неудач → бросить прогон» в этом паке ЗАПРЕЩЕНО**: это более слабая половина эскроу
-  (`П-18`), поставленная рядом с проектируемым целым.
-- **`D39.221`** — контрактный минор 0.13.0 и временный отказ интейка книге из одной главы;
-  **`D39.229`** — синхронный разрез приёма под потолком. Обе — фон твоей работы, не предмет.
+  эскроу.** Это записанное решение зоны: греп `must not buy` по `platform/` — один хит,
+  `internal/runs/reconcile.go:452` («what it must not buy is this platform deciding on its own that a run
+  whose engine it could not reach is over… The terminal verdict is an operator's»). ⚠ Якорь
+  `reconcile.go:249-257` внутри ряда `PD-162` УЕХАЛ — почини его тем же движением.
+  **И на этом месте уже кое-что стоит — не строй второй раз:** диагноз `tmplatformctl runs --stalled`, гейдж
+  `tm_platform_runs_stalled`, ручной вердикт `tmplatformctl run abandon --run <id> --reason <text>
+  [--release-hold]` (`cmd/tmplatformctl/main.go`). Автоматический ответ — это эскроу (`П-18`), и он не здесь.
+- **`D39.229`** — синхронный разрез приёма под потолком; **`D39.221`** — минор и временный отказ книге из
+  одной главы. Фон, не предмет.
 
 ## 4. Состав и разметка свободы
 
-### 4.1 `PD-455` — форма заказа обязана знать про живой прогон — **реши сам, аргументируй**
+### 4.1 `PD-455` — форма обязана знать про живой прогон — **реши сам, но точка роста ЗАДАНА**
 
-Вердикт формы и вердикт допуска сегодня отвечают на один вопрос ДВУМЯ разными механизмами, и потому
-расходятся. ⛔ **Не строй в форме вторую копию логики допуска** — это ровно то велосипедостроение, которое
-владелец запретил отдельным словом: два ответа на один вопрос расходятся снова, и следующая смена будет
-чинить оба. **Правильная форма решения — ОДНО определение, которое спрашивают обе площадки.** Что именно
-это определение возвращает (`blocked` отдельным вердиктом · признак живого прогона в теле · что-то третье) —
-решаешь ты, но ответь на вопрос: **как устроено так, что расхождение больше не может возникнуть молча.**
-⚠ Контракт трогаешь? Аддитивное расширение ОПИСЫВАЕШЬ, канон правит оркестратор — пинг с предложенной формой.
+⛔ **`verdict` — ЗАКРЫТЫЙ enum** (`covers_all` · `covers_part` · `covers_none`), и четвёртое значение ломает
+генерённых клиентов. **Штатная точка роста — `Blocked.code`**: канон прямо предавторизует её расширение
+(«A client MUST tolerate an unknown value under a minor bump»), а сам механизм `blocked` уже построен
+сквозняком — `runs.Options.BlockedBy` → `wireRunOptions.Blocked` → контракт. ⚠ **Но у `blocked` есть
+ратифицированный СМЫСЛ** — «почему заказ МЕНЬШЕ, чем аккаунт может себе позволить» (`runs.go:258`), и живой
+прогон по этой книге масштаб не укорачивает. ⇒ либо новая причина честно ложится в этот смысл, либо смысл
+надо расширять — **и это моё решение, а не твоё: присылай предложенную форму пингом, канон правлю я.**
 
-### 4.2 `PD-448` — проигравший гонку обязан получить прогон, а не отказ — **реши сам, аргументируй**
+⛔ **И «одно определение, которое спрашивают обе площадки» — недостижимо буквально; не гонись за ним.**
+`Order` замка НЕ берёт по построению (он на пути, который клиент опрашивает), `Start` берёт `lockBook`
+первым делом, и контракт эту асимметрию уже ратифицировал: допуск — «the only authority on whether THIS
+start may happen; every read below can be stale». **Правильная форма — ОДИН ПРЕДИКАТ, ДВЕ ПРИВЯЗКИ:**
+авторитетная под замком на допуске, совещательная на опросе. Мерило не «сколько площадок», а **«сколько
+ОПРЕДЕЛЕНИЙ»**: если завтра правило допуска изменится, тронуть придётся одно место.
+⚠ Шов, который встретишь: `ReadBookForOrder` не спрашивает про живой прогон, а `ReadBookForRun` спрашивает; в
+коде рядом стоит письменное возражение против расширения `PricedBook` — прочти его прежде, чем расширять.
 
-Гарантия сформулирована в шапке самого теста (`internal/runs/control_test.go`, греп
-`TestTwoResumesOfOneRunTakeOneHoldAndBothAnswer`): оба вызова проходят проверку состояния вместе и гонятся за
-попытку N+1 на уникальном индексе; **проигравший обязан ответить прогоном, который открыл победитель, а не
-ошибкой.** Сегодня под нагрузкой вызовы СЕРИАЛИЗУЮТСЯ, победитель успевает перевести прогон в `translating`,
-и проигравший упирается в проверку состояния.
+### 4.2 `PD-448` — **ИССЛЕДУЙ И ПРЕДЛОЖИ, НЕ СТРОЙ.** Разметка именно такая, и вот почему
 
-Направление (ПРИОР, опровергается аргументом): проигравший обязан различать «прогон идёт, потому что его
-только что открыл параллельный резюм» от «прогон идёт сам по себе» — первое обязано вернуть прогон, второе
-законно отказывает. **Как именно различить — твоё решение.**
-⛔ **Ретрай-с-паузой решением НЕ является:** он превращает гонку в лотерею и прячет предмет.
+Гарантия сформулирована в шапке теста (`internal/runs/control_test.go`, греп
+`TestTwoResumesOfOneRunTakeOneHoldAndBothAnswer`): проигравший обязан ответить прогоном, который открыл
+победитель, а не ошибкой. Под нагрузкой вызовы сериализуются, и проигравший упирается в проверку состояния.
 
-### 4.3 `PD-162` — прогон, который никогда не поедет, обязан отказать ДО денег — **делай РОВНО так в границе, свободен внутри неё**
+⛔ **Почему тебе запрещено это строить.** Различить «прогон идёт, потому что его только что открыл
+параллельный резюм» от «прогон идёт сам по себе» **сегодня нечем**: у проигравшего состояние побайтово то же,
+что у законного резюма часового прогона, и ни `LiveRun`, ни `run_attempts` не несут ни заявителя, ни ключа
+идемпотентности. Все три законных пути выходят за твои полномочия: **(а)** `Idempotency-Key` на `resumeRun`
+(механизм в дереве есть и работает на трёх других ручках, но резюм его не зовёт) — это контрактный минор;
+**(б)** claim-токен или колонка внутри транзакции рестарта — это миграция; **(в)** пере-структурирование
+чтения до замка. ⚠ **И ловушка:** перенести чтение статуса ПОД замок — сделать детерминированно хуже,
+проигравший тогда будет видеть «переводится» всегда. ⛔ Ретрай с паузой решением не является: он превращает
+гонку в лотерею и прячет предмет.
+
+⛔ **Второе, и важное: канон и дерево здесь УЖЕ расходятся.** `openapi.yaml` для состояния `translating`
+обещает `409 run_not_resumable` («nothing; it is already running»), а отгруженный код проигравшему гонки за
+уникальный индекс возвращает ПРОГОН. Назови это расхождение в отчёте отдельным пунктом — правлю канон я.
+
+**Твой результат по пункту:** разбор с `file:line`, три пути с ценой каждого, рекомендация и то, чего ты НЕ
+знаешь. Плюс воспроизведение: ряд говорит, что изолированно тест зелёный 5/5, а полный пакет на загруженной
+машине падал 2 из 2 — скажи, воспроизводится ли это сегодня, и каким прибором ты смотрел.
+
+### 4.3 `PD-162` — прогон, который никогда не поедет, обязан отказать ДО денег — **делай РОВНО так**
 
 **Граница (отступление = пинг):** автоматический терминальный вердикт живому прогону НЕ строится (§3).
-**Внутри границы:** ряд сам называет второй путь — **валидация каталога книги ПРИ ДОПУСКЕ**, до взятия холда
-(`internal/runs/runs.go` `Start`, `internal/runs/spawn.go` `journalSize` — ENOENT там законно мапится в ноль
-для ПЕРВОГО прогона, и именно это делает дыру невидимой). Спроектируй и построй допуск, который отвергает
-прогон книги, чьего каталога нет, **не сломав законный первый прогон** — это и есть вся трудность пункта.
-⚠ Класс ряда ШИРЕ удаления каталога (прогон, запиненный к старой сборке движка, даёт тот же клин). Закрываешь
-одну половину — скажи это прямо и оставь ряд открытым с пере-написанным остатком; «закрыто» при живой второй
-половине — дефект акта, а не победа.
+**Внутри границы** ряд сам называет второй путь — **валидация каталога книги ПРИ ДОПУСКЕ, до взятия холда.**
 
-### 4.4 Интейк-гигиена — **реши сам, аргументируй; можешь взять НЕ ВСЁ**
+⛔ **ИСПР. 11.09 — трудности, которую прежняя редакция этого промта объявляла главной, НЕ СУЩЕСТВУЕТ.** Я
+написал, что проверка обязана отличать «журнала нет, потому что прогон первый» от «каталога нет вовсе», и это
+было неверно: **каталог книги создаётся НА ИНТЕЙКЕ, до строки в БД** (`internal/books/books.go` — `os.MkdirAll`
+перед созданием записи; схема говорит прямо: «created before the row, so a row always points at a directory
+that exists»). Исключение первого прогона принадлежит ЖУРНАЛУ (`workdir/events.jsonl`), а не каталогу ⇒
+`os.Stat(book.Workdir)` на допуске не отвергает ничего законного. `Workdir` уже в руках у допуска, и отказ
+готов — `ErrNotReady`-класс, уходящий на провод четыреста-девятым.
+⇒ **пункт дешевле, чем я думал; сделай его правильно и не выдумывай себе сложность.**
 
-Три предмета, названные `D39.176` п.1 инженерными: число аплоадов ничем не ограничено · у статуса `rejected`
-нет выхода · каталоги-сироты никто не подметает. **Возьми то, что честно закрывается в этом паке, и назови,
-что оставляешь и почему.** ⛔ Продуктовых квот не строить (§3). ⛔ Свип обязан определять сироту по СОСТОЯНИЮ
-В БАЗЕ, а не по возрасту каталога на диске: каталог, который никто не читал неделю, и каталог, которого нет
-в базе, — разные вещи, и первый может быть книгой, которую читатель откроет завтра.
+⚠ Класс ряда ШИРЕ удаления каталога (прогон, запиненный к старой сборке движка, даёт тот же клин без всякого
+удаления). Закрываешь одну половину — скажи это прямо и оставь ряд открытым с пере-написанным остатком.
+
+### 4.4 Интейк-гигиена — **НЕ ДЕЛАЙ, и вот подписанный довод**
+
+Прежняя редакция промта заказывала свип каталогов-сирот и потолок на число аплоадов. **Снято 11.09:**
+- все три предмета живут рядом **`PD-175`**, и его диспозиция после `D39.176` называет **гейт: открытая
+  регистрация, которой в закрытой бете НЕТ** ⇒ это наименее срочная работа зоны, а не первая;
+- удалительная половина по тому же ряду закрывается **вместе с ручкой удаления** (`PD-122`), которой в
+  контракте нет вовсе, — «не раньше и не позже»;
+- любой счётный потолок на аплоады есть КВОТА под другим именем, а квоты запрещены `D39.176` п.1; законен
+  только потолок ДИСКА, и он отдельный предмет;
+- ⚠ и рядом в дереве уже лежит образец, написанный ровно запрещённым способом — свип `.partial-` каталогов
+  **по возрасту на диске** (`internal/backup/backup.go`). Копировать его нельзя: возраст каталога и
+  отсутствие записи в базе — разные вещи, и первый может оказаться книгой, которую читатель откроет завтра.
+
+**Что вместо:** одна строка в отчёте — какой из предметов `PD-175` ты считаешь следующим и почему.
 
 ### 4.5 Якоря регистра — **делай РОВНО так** ($0, попутно)
 
-`python3 docs/scripts/counts.py --lint` (из корня репозитория) сегодня показывает **три** уехавших якоря в
-твоей зоне: `platform/docs/DEFECT_REGISTER.md:84` (`reconcile.go:327` ← `const settlementBackoffCap`) ·
-`:559` (`reconcile.go:278` ← `case overran:`) · `:560` (`pgstore/sink.go:724` ← `where a.reconcile_after…`),
-плюс уехавший якорь внутри `PD-162` (§3). Пере-снять адреса командой и починить. ⚠ Якорь бывает ДВУХ ролей:
-живая ссылка (чинить) и УЛИКА в описании дефекта — «код цитирует вот этот путь, а его удалили» (не чинить:
-замена переворачивает описание поломки в описание её отсутствия). Раздели хиты прежде правки.
+`python3 docs/scripts/counts.py --lint` (из корня репозитория) даёт **три** уехавших якоря в твоей зоне:
+`DEFECT_REGISTER.md:84` · `:559` · `:560`. Плюс четвёртый, линтером НЕ ловимый (у него нет токена): адрес
+`reconcile.go:249-257` внутри `PD-162` (§3). Пере-снять командой и починить.
+⛔ **Сводку линтера «по КОРНЮ ЦЕЛИ: … internal 6» зоной НЕ читать:** из этих шести три твои, а три —
+`backend/docs/`. Прибор группирует по корню ЦЕЛИ, а не по владельцу дока; пойдёшь по его строке — полезешь в
+чужую зону. ⚠ Якорь бывает двух ролей: живая ссылка (чинить) и УЛИКА в описании дефекта (не чинить).
+Проверено 11.09: среди трёх твоих улик нет, все три — адресные ссылки.
 
 ### 4.6 Чего в паке НЕТ — **не делай**
 
-Эскроу (`П-18`) · автоматический терминальный вердикт · продуктовые квоты и фри-тир · платёжный провайдер ·
-правка канона контракта (описываешь, правит оркестратор) · чужие зоны · платные прогоны движка.
+Эскроу (`П-18`) · автоматический терминальный вердикт · продуктовые квоты и фри-тир · свип и ретеншен (§4.4) ·
+платёжный провайдер · правка канона контракта (описываешь — правлю я) · чужие зоны · платные прогоны движка.
+**Подписанные пропуски:** строка бэклога **332** (десять пунктов синхронного разреза приёма — «построен, но
+не готов») в пак НЕ входит и остаётся заказом следующего пака зоны; единственный `major` регистра `PD-441`
+жив ДВИЖКОВОЙ половиной и тебе не принадлежит.
 
 ## 5. Мандат самопроверки ИСПОЛНЕНИЕМ — «перечитал сам» не считается
 
-Механизм НАЗВАН: **`make check` целиком** (не подмножество `-run`) + **мутационные посадки на СВОИ новые
-пины** + **живая проба на стенде** (рецепт стенда — `platform/docs/STACK_DECISIONS.md`). Субагентов
-спавнить тебе **РАЗРЕШЕНО и требуется** (иначе дефолт-запрет харнесса тихо победит); модель задавай ЯВНО.
-Артефакт — таблица «находка → что сделано → ЧЕМ ПРЕДЪЯВЛЕНО».
+Механизм НАЗВАН: **`make check` целиком** (не подмножество `-run`) **плюс `make vuln`** — ⚠ `govulncheck` в
+`check` НЕ входит, а зонный стандарт §2 называет его блокером лендинга; **мутационные посадки на СВОИ новые
+пины**; **живая проба на стенде** (рецепт — `platform/docs/STACK_DECISIONS.md`). Субагентов спавнить
+**РАЗРЕШЕНО и требуется**, модель задавай ЯВНО. Артефакт — таблица «находка → что сделано → ЧЕМ ПРЕДЪЯВЛЕНО».
+**Интервальная самоверификация** субагентом примерно на середине против явных критериев §4.
 
-⛔ **Где у ЭТОГО пака мягко — четыре места, и адверсариальный проход веди по ним** (глубину и веер выбираешь
-сам):
+⛔ **Изоляция мутаций — по зонному стандарту §3 п.3, иначе таблица посадок ЛЖЁТ:** копия берётся ВМЕСТЕ с
+каноном контракта (`cp -a --parents platform docs/architecture/14-api-contract <куда>/`), потому что гейт
+версии читает канон ВЫШЕ корня модуля; голая копия даёт постоянный красный, базовый красный маскирует дельту,
+и мутация самой версии контракта выходит «выжившей». Вердикт судится по ДЕЛЬТЕ против чистой базы ТОЙ ЖЕ
+копии. ⛔ И перед любой правкой в последовательности — два утверждения: `test -f go.mod` и сверка `pwd`.
 
-1. **`PD-448` — тест, зелёный в изоляции, о гонке не говорит НИЧЕГО.** Замер 05.09: изолированно
-   `-count=5` → 5/5 `ok`, а полный пакет при загруженной машине падал 2 раза из 2. ⇒ твой пин обязан
-   краснеть на НЕПОЧИНЕННОМ коде воспроизводимо, а не «иногда»: пин, флейковый на мутанте, измеряет пустой
-   сценарий. Гони его многократно и назови число прогонов.
-2. **`PD-455` — «форма спросила допуск» легко выродится в копию.** Проверь у себя: если завтра изменится
-   правило допуска, сколько мест придётся тронуть? Больше одного — ты построил вторую копию, а не общее
-   определение.
-3. **`PD-162` — валидация каталога ломает законный ПЕРВЫЙ прогон.** ENOENT в `journalSize` мапится в ноль
-   именно потому, что у первого прогона журнала ещё нет. Твоя проверка обязана различать «журнала нет,
-   потому что прогон первый» и «каталога нет вовсе» — и обе ветви обязаны иметь пин.
-4. **Свип сирот — самая опасная правка пака: он УДАЛЯЕТ.** Прежде чем удалять, докажи пином, что предмет
-   удаления не может оказаться живой книгой. ⛔ Отрицательный замер здесь особенно вреден: «0 сирот» и «свип
-   не посмотрел» неотличимы — печатай рядом контрольную величину (сколько каталогов прибор прочёл).
+⛔ **Где у ЭТОГО пака мягко — четыре места; адверсариальный проход веди по ним:**
 
-Плюс общие для кодового пака: **пин на УСЛОВНОЕ сообщение обязан иметь фикстуру, где это сообщение ОБЯЗАНО
-прозвучать** (тест, утверждающий только молчание, вакуумен) · **перед отчётом сверь каждый клейм с
-результатом инструмента ЭТОЙ сессии** · **дифф `^func Test` — исполнением, не памятью** · **править или
-удалять тест/гейт ради зелени НЕДОПУСТИМО**; правка, вызванная ЗАКАЗАННОЙ сменой поведения, — обслуживание,
-и она ОБЪЯВЛЯЕТСЯ в отчёте (что изменилось, какой тест это описывал, куда уехала гарантия).
+1. **`PD-448` — тест, зелёный в изоляции, о гонке не говорит ничего.** Изолированно `-count=5` → 5/5 `ok`,
+   полный пакет на загруженной машине падал 2 из 2. Пин, флейковый на мутанте, измеряет пустой сценарий:
+   если будешь что-то пинить, гоняй многократно и назови ЧИСЛО прогонов.
+2. **`PD-455` — «форма спросила допуск» легко вырождается в копию.** Проверяй ОПРЕДЕЛЕНИЯ, а не площадки
+   (§4.1): при верной реализации площадок законно две.
+3. **`PD-162` — соблазн построить exemption, чтобы было что пинить.** Ветви «каталога нет, потому что прогон
+   первый» НЕ существует (§4.3). Пин пиши на то, что есть, и не создавай недостижимую ветвь ради симметрии.
+4. **Контракт.** Пак трогает провод в двух местах (§4.1 и расхождение §4.2). Мутация, меняющая
+   `ContractVersion`, обязана краснеть — проверь это явно, это и есть тест твоей изоляции копии.
 
-⛔ **И отдельное слово владельца 11.09, оно же ось приёмки: никаких велосипедов, воркэраундов и хаков ВОКРУГ
-проблемы.** Нужно логически правильное решение поставленной задачи, а не её обход. Рефакторинг — только
-действительно необходимый; «дешевле подпереть» доводом не является.
+Плюс общие для кодового пака: **пин на УСЛОВНОЕ сообщение обязан иметь фикстуру, где оно ОБЯЗАНО прозвучать**
+· **перед отчётом сверь каждый клейм с результатом инструмента ЭТОЙ сессии** · **дифф `^func Test` —
+исполнением, не памятью** · **править или удалять тест ради зелени НЕДОПУСТИМО**; правка от ЗАКАЗАННОЙ смены
+поведения — обслуживание, и она ОБЪЯВЛЯЕТСЯ (что изменилось, какой тест это описывал, куда уехала гарантия).
+
+⛔ **Слово владельца 11.09, оно же отдельная ось приёмки: никаких велосипедов, воркэраундов и хаков ВОКРУГ
+проблемы.** Нужно логически правильное решение задачи, а не её обход; рефакторинг — только действительно
+необходимый. «Дешевле подпереть» доводом не является.
 
 ## 6. Предметные оси ревью
 
 **Код** — тест утверждает не то, что думает: часы как способ синхронизации там, где предмет утверждения НЕ
 время; ассерт по подстроке в буфере, куда пишет кто-то ещё. Обе формы дают тихо-зелёное, а оно дороже
 ложно-красного. Сверка с индустриальным первоисточником прежде велосипеда.
-**Деньги** — из сырого леджера ДВУМЯ независимыми путями; леджер = нижняя граница. Холд, взятый и не
-возвращённый, — денежный дефект, даже если сумма мала.
+**Деньги — ось живая ТОЛЬКО для `PD-162`** (у двух других рядов деньги не затронуты по их собственным
+уликам, §1). Там она работает так: холд, взятый и не возвращённый, — денежный дефект, даже если сумма мала;
+числа — из сырого леджера двумя независимыми путями.
 
 ## 7. Записка-план ДО работы
 
 До первой правки пришли оркестратору ≤15 строк: что берёшь по каждому пункту §4 · где ждёшь сопротивления ·
-что считаешь спорным в самом заказе. Комплектность против заказа сверяется механически, а не по памяти.
+что считаешь спорным в самом заказе. Канала нет — записка идёт первой секцией зонного журнала.
+Комплектность против заказа сверяется МЕХАНИЧЕСКИ (таблицей против §4), а не словом «сверил».
 
 ## 8. Заявление = команда
 
-Любое число и любая категорика отчёта — с командой, которой получены, и её выводом. ⛔ Рядом с НУЛЁМ
-ПЕЧАТАЕТСЯ контрольная величина, доказывающая, что вопрос задан существующему предмету («в базе без этой
-таблицы: 0», «каталогов прибор прочёл: 67»). Не «проверено с контрольной строкой» — само число.
-⛔ **`make check` без `-v` скипы не печатает:** «20 пакетов ok» на машине без стенда неотличимо от «20 ok при
-N скипах». Печатай счёт скипов рядом с числом `ok` и называй условие каждого.
+Любое число и любая категорика — с командой, которой получены, и её выводом; **утверждение без команды
+помечается «мнение»** — эрудиция уликой не является. ⛔ Рядом с НУЛЁМ ПЕЧАТАЕТСЯ контрольная величина
+(«каталогов прибор прочёл: 67»), а не слова о проверке.
+⛔ **`make check` без `-v` скипы не печатает.** Печатай счёт скипов рядом с числом `ok` и называй условие
+каждого; **сколько у батареи условий скипа — носитель `platform/docs/STACK_DECISIONS.md` §«Гейты батареи»**,
+сверяйся с ним, а не с памятью: зонный стандарт помнит случай, когда сессия объявила приёмку при красном.
 
 ## 9. Эхо-протокол старта
 
 ДО первой правки пришли **оркестратору первым действием, по адресу из `/tmp/textmachine-channel`**
 (`SendMessage`, роль `ОРКЕСТРАТОР`) ≤10 строк: скоуп · инварианты · не-делать — **СВОИМИ словами.**
-Дословный пересказ промта подтверждает канал, но не понимание, и ошибку промта повторяет вместе с ним.
-Канала нет — эхо первой секцией отчёта, это законный случай.
+Дословный пересказ подтверждает канал, но не понимание, и ошибку промта повторяет вместе с ним.
 
 ## 10. Что НЕ удалось — обязательная секция отчёта
 
-Что не проверено · что не воспроизвелось · где данных не хватило · что пришлось оставить. **«Не измерено»
-вместо догадки.** «Не проверено» ≠ «опровергнуто».
+Что не проверено · что не воспроизвелось · где данных не хватило · что оставил. **«Не измерено» вместо
+догадки.** «Не проверено» ≠ «опровергнуто».
 
 ## 11. Канал вопросов и право отказаться
 
-Конфликт промта с кодом или доками — **пинг оркестратору, НЕ интерпретация**. У тебя есть право сказать
-«этого делать не надо» с аргументом — им пользуются, и такие развилки поощряются.
-Вопрос владельцу (деньги сверх мелочи · продуктовый скоуп) идёт через оркестратора, не напрямую.
+Конфликт промта с кодом или доками — **пинг оркестратору, НЕ интерпретация**; форма контрактного пинга — в
+§4.1, и она же годится для §4.2/§4.3. Право сказать «этого делать не надо» с аргументом есть, и такие
+развилки поощряются. Вопрос владельцу (деньги сверх мелочи · продуктовый скоуп) — через меня.
 
 ## 12. Прямой канал
 
-Механизм — `CLAUDE.md` §«Связь между сессиями»: файл `/tmp/textmachine-channel`, свой блок дописать первым
-делом, живость адресата — `ListAgents`. Нужной роли в файле нет, файла нет или имя не отвечает ⇒ **КАНАЛА
-НЕТ, и это НОРМАЛЬНЫЙ случай: сессии подряд НЕ опрашивать**, вопрос — секцией в отчёт.
+`CLAUDE.md` §«Связь между сессиями»: `/tmp/textmachine-channel`, свой блок дописать первым делом, живость
+адресата — `ListAgents`. Роли нет, файла нет или имя не отвечает ⇒ **КАНАЛА НЕТ, и это НОРМАЛЬНЫЙ случай:
+сессии подряд НЕ опрашивать**, вопрос — секцией в отчёт.
 
 ## 13. Критерий завершённости — по нему тебя примут
 
 Работа завершена, когда: у каждого пункта §4 есть исход (сделано · не делаю с доводом · пинг) · круги
-самопроверки СОШЛИСЬ — последний не дал НОВЫХ находок, прежние закрыты таблицей «находка → что сделано →
-чем предъявлено» · таблица мутаций полная, выжившие названы поимённо · числа сняты ПОСЛЕ последней правки ·
-ряды регистра и зонного бэклога переведены ТЕМ ЖЕ движением, что и код (закрытый ряд при живой половине —
-дефект) · всё живое в ДЕРЕВЕ, а не в письме · явное **«работа завершена, править не планирую»**.
-Без последнего пак считается идущим.
-⛔ **Пак доводится до конца САМОЙ сессией** (слово владельца 11.09): владельца не беспокоить, оркестратора
-не тегать «просто так» — его приёмка идёт последней и вторым кругом тебе не служит.
+самопроверки СОШЛИСЬ — последний не дал НОВЫХ находок · таблица мутаций полная, выжившие названы поимённо ·
+числа сняты ПОСЛЕ последней правки · **ряды переведены ТЕМ ЖЕ движением, что и код, и проверено ПРИБОРОМ, а
+не памятью: зонный стандарт §3 п.8 — грепнуть ОТКРЫТЫЕ строки регистра по СВОИМ ПОЛНЫМ путям (не по именам
+функций) и назвать каждый ряд, которого твоя правка касается** · всё живое в ДЕРЕВЕ, а не в письме · явное
+**«работа завершена, править не планирую»**. Без последнего пак считается идущим.
+⛔ **Пак доводится до конца САМОЙ сессией** (слово владельца 11.09): владельца не беспокоить, меня не тегать
+«просто так» — приёмка идёт последней и вторым кругом тебе не служит.
 
 ## Деньги
 
@@ -215,8 +263,9 @@ N скипах». Печатай счёт скипов рядом с число
 
 ## Отчёт
 
-Зонный журнал `platform/docs/platform-PROGRESS.md` + переведённые ряды регистра + сообщение оркестратору:
-что сделано по каждому пункту · чем предъявлено (команда и вывод) · таблица «находка → что сделано → чем
-предъявлено» · что сказал твой адверсариальный проход и что ты с этим сделал · секция §10 · **что ты сам
-считаешь слабым местом сделанного**.
+Зонный журнал `platform/docs/platform-PROGRESS.md` + переведённые ряды регистра + сообщение мне: что сделано
+по каждому пункту · чем предъявлено (команда и вывод) · таблица «находка → что сделано → чем предъявлено» ·
+**разбор `PD-448` с тремя путями и рекомендацией** · **расхождение канона и дерева по `translating`
+отдельным пунктом** · что сказал твой адверсариальный проход · секция §10 · **что ты сам считаешь слабым
+местом сделанного**.
 ⛔ Последний абзац отчёта — план или обещание? Значит работа не кончена: сделай сейчас.

docs/README.md

@@ -32,15 +32,16 @@
   | Бэкенд · КОНСИСТЕНТНОСТЬ | активного НЕТ | пак ОТРАБОТАН и **ПРИНЯТ С ДОФИКСОМ 07.09** — акт **D39.222**; промт в `archive/prompts/` с баннером исхода. Строки 267 и 318 закрыты, у 320 исполнена половина (а). Живой остаток зоны ЗАКРЫТ актом **D39.226** (строки 333–338); живое — **353** · **354** · **356** · **359** (⚠ форма испр. 10.09: стоял диапазон «353–359», а 355 · 357 · 358 закрыты) |
   | Бэкенд · ПРАВДА ОПЕРАТОРУ И ДЕНЬГИ | активного НЕТ | пак ОТРАБОТАН и **ПРИНЯТ С ДОФИКСОМ 08.09** — акт **D39.226**, живой платный прогон; промт в `archive/prompts/` с баннером-исходом |
   | Бэкенд · ГЕЙТ ВМЕСТО ПРОЗЫ | активного НЕТ | пак ОТРАБОТАН и **ПРИНЯТ С ДОФИКСОМ 07.09** — акт **D39.225**; промт в `archive/prompts/` с баннером-исходом |
-  | **Бэкенд · СТРУКТУРА ГЛАВ (ДИЗАЙН)** | [CHAPTER_STRUCTURE_DESIGN_SESSION_PROMPT.md](CHAPTER_STRUCTURE_DESIGN_SESSION_PROMPT.md) | ⚠ **ПРОЕКТИРОВАНИЕ, НЕ СТРОЙКА** (`D39.136` п.3): дизайн окна большой пере-нарезки — чем адресуется глава и развязка чанкера (161) · карта осей сдвига · банк-окна на chapter-ID · контент-адресуемый resume `D15.2` · IR/адаптеры/индуктор · правило заголовка и не-CJK путь (303) · гранулярность EPUB (302) и выдача (283). Снимает временный отказ интейка книге из одной главы (`D39.221`). Пак 1 «форматы и честный словарь» ОТРАБОТАН и ПРИНЯТ 06.09 — акт **D39.210**, промт в `archive/prompts/`. ⚠ **ПАК 2 (лексиконы не-CJK, корпус, замер оракулом) — НЕ НАПИСАН и ждёт файлов владельца** |
+  | **Бэкенд · СТРУКТУРА ГЛАВ (ДИЗАЙН)** | [CHAPTER_STRUCTURE_DESIGN_SESSION_PROMPT.md](CHAPTER_STRUCTURE_DESIGN_SESSION_PROMPT.md) | ✅ **ВЫДАН 11.09** (актуализирован пятью врезками + 19 правок по опровергателю: мёртвые адреса, две таксономии осей, три «уже построено», собственная зона записи `backend/docs/` с дизайном-оф-рекорд `D15.2` и прибором shiftmap). ⚠ **ПРОЕКТИРОВАНИЕ, НЕ СТРОЙКА** (`D39.136` п.3): дизайн окна большой пере-нарезки — чем адресуется глава и развязка чанкера (161) · карта осей сдвига · банк-окна на chapter-ID · контент-адресуемый resume `D15.2` · IR/адаптеры/индуктор · правило заголовка и не-CJK путь (303) · гранулярность EPUB (302) и выдача (283). Снимает временный отказ интейка книге из одной главы (`D39.221`). Пак 1 «форматы и честный словарь» ОТРАБОТАН и ПРИНЯТ 06.09 — акт **D39.210**, промт в `archive/prompts/`. ⚠ **ПАК 2 (лексиконы не-CJK, корпус, замер оракулом) — НЕ НАПИСАН и ждёт файлов владельца** |
   | Бэкенд · отозванный | активного НЕТ | пак КАЧЕСТВО написан и ОТОЗВАН до выдачи 05.09 (`archive/prompts/…_WITHDRAWN.md`): предмет дешевле пака — точность чекера уже измерена, пере-снять её стоит одной команды. Следующий пак — СТРУКТУРА ГЛАВ (решение владельца 05.09 «любая книга любого формата»), пишется |
   | Бэкенд · прежний | активного НЕТ | пак «денежный стоп» ОТРАБОТАН и ПРИНЯТ С ДОФИКСОМ 05.09 — акт **D39.206** (`81a89e9` + `616a8e4`), промт в `archive/prompts/` с баннером исхода. Следующая работа зоны — строки **291** (флаг вместо клина, `D39.204`) · **294** (форма «сколько добавить», `D39.203`) · **296** (точечная перегенерация по промаху глоссария, после 295) |
+  | **Платформа · ПРАВДА У ДВЕРИ** | [PLATFORM_TRUTH_AT_THE_DOOR_SESSION_PROMPT.md](PLATFORM_TRUTH_AT_THE_DOOR_SESSION_PROMPT.md) | ✅ **ВЫДАН 11.09**: `PD-455` (форма обещает то, в чём дверь откажет — точка роста `Blocked.code`, не закрытый enum вердикта) · `PD-448` (двойной клик по «продолжить» — **исследуй и предложи, НЕ строй**: все три законных пути требуют контрактного минора или миграции) · `PD-162` (прогон книги с исчезнувшим каталогом висит с холдом — валидация каталога ПРИ ДОПУСКЕ). ⛔ Свип сирот и потолок аплоадов СНЯТЫ подписанным пропуском: их гейт — открытая регистрация, которой в закрытой бете нет (`PD-175` + `D39.176` п.1) |
   | Платформа · РАЗРЕЗ ПРИЁМА И ПРАВДА О СЕБЕ | активного НЕТ | пак ОТРАБОТАН и **ПРИНЯТ 08.09** — акт **D39.229** (`ddcbf0c`, 26 путей, $0); промт в `archive/prompts/` с баннером-исходом. Синхронный вход разреза под потолком, граница хвоста выведена из кода, зонный журнал и регистр приведены к правде (открытых 112 → 109, major 3 → 1). Живое из не взятого — строка **364** (потолок разрезов не есть потолок процессов движка) |
   | Платформа · ДЕНЬГИ И ПРАВДА | активного НЕТ | пак ОТРАБОТАН и **ПРИНЯТ С ДОФИКСОМ 07.09** — акт **D39.221**, контрактный минор **0.13.0**; промт в `archive/prompts/` с баннером исхода. ⚠ **Синхронный разрез приёма остановлен правилом остановки и заландён построенным, но НЕ готовым** — десять пунктов несёт строка бэклога **332**, и она же заказ следующему паку зоны; ложный инвариант бюджета заландён осознанно (окно 8 с при дефолте в 16 минутах) |
   | Платформа · ФОРМА ЗАКАЗА | активного НЕТ | пак ОТРАБОТАН, ПРИНЯТ С ДОФИКСОМ и ЗАЛЕНДЕН 06.09 — акт **D39.208**, код + канон **0.11.0**; промт уведён в `archive/prompts/ORDER_FORM_SESSION_PROMPT_2026-09-05.md` с баннером исхода. ⚠ **НЕ построено, хотя заказывалось:** денежный ползунок на проводе объявлен, а отправить его нечем, и оценки под ВЫБРАННЫЙ заказ нет; «упрощение резюма» не сделано — обе позиции живут строками бэклога, брать их как новый пак СЛЕДУЮЩЕЙ сессии, не читать промт как задание |
   | Платформа · прежний | активного НЕТ | пак «пустить внутрь можно» ОТРАБОТАН и ПРИНЯТ С ДОФИКСОМ 05.09 — акт **D39.201** (`7e2226a` + `3e84716`), промт в `archive/prompts/` с баннером исхода. Следующая работа зоны — строки **294** (зеркало словаря под минор потока) ⚠ (строка 293 — зона ОРКЕСТРАТОРА, не платформы: правило игнора общее для всех рабочих деревьев клона) |
-  | **Полигон · РЕМОНТ ПРИБОРА** | [POLYGON_INSTRUMENT_REPAIR_SESSION_PROMPT.md](POLYGON_INSTRUMENT_REPAIR_SESSION_PROMPT.md) | ⚠ **ИДЁТ ПЕРЕД любым следующим платным замером, включая продолжение фазы Д**: три эрраты носителей БАННЕРАМИ · гигиена стенда (300, 265) · линза против ИСХОДНИКА + порог различимости (319, 143). Санкции на платный замер НЕ несёт |
-  | Полигон · фаза Д | [POLYGON_EXP2223_REDO_SESSION_PROMPT.md](POLYGON_EXP2223_REDO_SESSION_PROMPT.md) | ⚠ **ПРИОСТАНОВЛЕНА до лендинга «РЕМОНТА ПРИБОРА»**: линза замера меряет верность ЧЕРНОВИКУ, а руке велено отходить от него по исходнику (`D39.215` п.3) ⇒ продолжать замер до починки значит покупать числа, которые ничего не значат. ⚠ Прежний указатель на `PACKAGE4` снят: остаток вынесен строкой 327, промт ретирован |
+  | Полигон · РЕМОНТ ПРИБОРА | [POLYGON_INSTRUMENT_REPAIR_SESSION_PROMPT.md](POLYGON_INSTRUMENT_REPAIR_SESSION_PROMPT.md) | ⛔ **ПРИПАРКОВАН 11.09 — НЕ БРАТЬ** (баннер в шапке): слот зоны отдан холодному прогону A по норме «один промт на зону»; пере-выдаётся сразу после закрытия A актом. ⚠ Его гейт **ИДЁТ ПЕРЕД любым следующим платным ЗАМЕРОМ**, включая продолжение фазы Д**: три эрраты носителей БАННЕРАМИ · гигиена стенда (300, 265) · линза против ИСХОДНИКА + порог различимости (319, 143). Санкции на платный замер НЕ несёт |
+  | Полигон · фаза Д | [POLYGON_EXP2223_REDO_SESSION_PROMPT.md](POLYGON_EXP2223_REDO_SESSION_PROMPT.md) | ⛔ **ПРИПАРКОВАНА 11.09 — НЕ БРАТЬ** (баннер в шапке), сверх прежнего: ⚠ **ПРИОСТАНОВЛЕНА до лендинга «РЕМОНТА ПРИБОРА»**: линза замера меряет верность ЧЕРНОВИКУ, а руке велено отходить от него по исходнику (`D39.215` п.3) ⇒ продолжать замер до починки значит покупать числа, которые ничего не значат. ⚠ Прежний указатель на `PACKAGE4` снят: остаток вынесен строкой 327, промт ретирован |
   | Фронт | активного НЕТ | **ЗОНА ЗАМОРОЖЕНА** (D39.136 п.2 + D39.147: разморозка отдельным словом владельца, не привязана к P7); перечень первого касания — в зонном журнале |
   | Контракт | активного НЕТ | канон — `architecture/14-api-contract/`; ⚠ версию брать ФАЙЛОМ (`grep '^  version:' openapi.yaml`), не отсюда: миноры ратифицируются D-нотами и их содержание грепается по реестру нот. |