textmachine/backend/docs/SEAM_FIX_PLAN.md

План дофикса «входная дверь шва» (по промту docs/BACKEND_SEAM_FIX_SESSION_PROMPT.md)

Бэкенд-сессия 25.08.2026, продолжает незакоммиченное дерево пака. Заказ — 16 пунктов §4 (grep -cE '^### 4\.' → 16). Записка обязана быть комплектной механически, поэтому таблица ниже перечисляет ВСЕ шестнадцать, включая те, которые заканчиваются аргументированным отказом.

Базовая точка (снята ДО правок)

make battery на нетронутом дереве пака: EXIT=2, красен ровно TestKillMinus9LosesAtMostOneCall — один из двух названных промтом пред-существующих -race-флейков (internal/store). То есть флейк воспроизвёлся на дереве, к которому я ещё не прикасался; это моя собственная атрибуция, а не наследованная.

Что уже замерено до кода (§4.1, корень)

gopkg.in/yaml.v3 v3.0.1, проба вне рабочего дерева, матрица «значение → рендер → разбор» на обоих документах. Итог шире, чем говорит промт, и шире, чем говорила записка прошлой сессии:

значение поля	что рендерится	round-trip
"\nтекст"	note: |4- + строка	не разбирается (did not find expected key)
"\n\nтекст"	|4- + пустая строка	не разбирается
"\n\tx"	|4- + таб	не разбирается
"\n"	|4+	разбирается, но значение "" — тихая потеря
"\n x"	|4- + 10 пробелов	разбирается, но значение "x" — тихая потеря
"текст\n", "a\nb", " x", "\tx", "\r\nx"	скаляр/блок	ок

Два вывода, оба несущие:

1. Клейм промта «бьёт по ЛЮБОМУ свободному текстовому полю» ВЕРЕН, а поправка записки прошлой сессии («dst и sense не ломаются») — НЕТ: ломается любое строковое поле обоих документов (проверено на src/dst/sense/note и на rejects[].note). Триггер — ведущий \n, а не поле.
2. «Документ разбирается» — недостаточный инвариант. Две формы разбираются и МЕНЯЮТ значение. Заказанная §4.1 проверка render → parse их пропустит: дверь отчитается applied, файл загрузится, а заметка владельца будет другой. Инвариант обязан быть «прочиталось И совпало».

Механика (тоже замерена): дефект — рассогласование индикатора отступа блочного скаляра с реальным отступом родителя внутри элемента последовательности; на глубине 1 ({note: "\nx"} без - ) тот же вход рендерится и читается корректно, а SetIndent(2) случайно попадает в согласие. Путь «починить рендер стилями yaml.Node» закрыт: (*yaml.Node).Encode внутри сам гоняет marshal→unmarshal и падает на том же входе — узел построить нельзя.

Порядок работ

Волнами, снизу вверх: формат → чистая семантика → конфиг/CLI → обвязка → пины. Батарея после каждой волны, make battery-stand в конце.

№	что делаю	где
4.1	нормализация текстовых полей документа (TrimSpace, ОДНО правило на все поля обеих схем) + рендер, ДОКАЗЫВАЮЩИЙ себя: parse(render(A)) обязан совпасть с нормализованным A, иначе ошибка. Проверка распространяется на ОБА документа; байты, которые дверь проверила, она же и пишет (рендер один, не два). Фаззер пути ДВЕРИ: произвольные строки полей Decision → ApplyDecisions → рендер → разбор	seed, membank
4.2	пред-существующая проблема опознаётся по СУБЪЕКТУ: многосубъектный вердикт загружаемости раскладывается по термам до сравнения до/после	membank
4.3	config.LoadBook отказывает при совпадении путей. Шире буквы заказа на одну строку: попарно различны должны быть четыре пути, которые движок пишет или читает как РАЗНЫЕ форматы (project_db, glossary_seed, mined_delta, mined_rejects) — project_db == mined_delta сегодня означало бы YAML поверх sqlite. Проверю на всех book.yaml репозитория и стенда, что живых нарушителей нет	config
4.4	оба гарда — на ПРИСУТСТВИЕ флага через fs.Visit (прецедент ceilingGiven в том же файле)	cmd/tmctl
4.5	кап на размер документа решений + строка отказа полосой. Число выбираю после СВОЕГО замера памяти (методика будет названа); хвост про exit 2 при OOM — пингом	pipeline
4.6	конверт путей на поверхности, которую потребитель читает (manifest --json). Компромисс назову вслух: манифест — про дерево глав, путь артефакта там гость	pipeline
4.7	правило алиасов судит НАБОР: одобряемые тем же вызовом термы участвуют в проверке aliasOwner	membank
4.8	перевёрнутое окно глав (until < since, оба ненулевые) — отказ	membank
4.9	вероятно отклоню как предсказание и заменю на факт. Дверь не знает, сколько поверхностей осталось за капом реверс-секции — это знает майнер на следующем проходе. Кандидат: отчёт называет, что решил ЭТОТ вызов, и не читается как «стоп погас». Решу замером, видит ли дверь остаток вообще	pipeline
4.10	обработчик SIGTERM: бросить работу, отпустить лок, не записать ничего. Сначала замерю длительность вызова ПОСЛЕ капа §4.5 — если максимум по капу это десятки миллисекунд, скажу это аргументом	pipeline/cmd
4.11	десять посадок (строка (д) — три), пин на каждую, каждый краснеет на своей мутации. Харнесс мутаций пишу заново с отпечатком целей до/после; кладу его в репозиторий — приёмка сажает мутации тоже, а инструмент каждый раз пишется с нуля	все
4.12	тест цепи на фейковом провайдере (miningstop_join_test.go-харнесс): стоп → bank-apply → резюм → стоп погас, редакторская волна пошла. Плюс явная фиксация, что карта подписи после погасшего стопа остаётся на диске	pipeline
4.13	восемь мелочей: по каждой решение и довод, чиню или отклоняю — списком в отчёте, без «кажется»	разные
4.14	довод отказа --keys-file покрывает всех, кого ветка отвергает (redrive — платный, backup/migrate — деплой-шаги). Развилку про канал ключей redrive НЕ решаю	cmd/tmctl
4.15	три существующих пина: вердикт Preexisting исполнить всеми четырьмя проверками · четвёртый оракул фаззера снять с тавтологии · TestDecisionByBankID сверять с НЕЗАВИСИМО посчитанным id	тесты
4.16	платных вызовов ноль. Рантайм по платному пути остаётся PLAUSIBLE	—

Развилки, которые понесу владельцу/оркестратору (§11)

1. §4.1 шире заказа. Заказанный round-trip render → parse не ловит две тихие потери значения; делаю строже («прочиталось И совпало») и говорю об этом прямо, потому что это меняет ответ двери на входы, которые заказ считал безопасными.
2. §4.3 шире буквы на одну проверку — см. таблицу.
3. §4.9 — скорее всего отказ от предсказания в пользу факта.
4. §4.10 — возможен ответ «механизм без носителя после §4.5»; решит замер, не рассуждение.
5. §4.6 — сделаю, компромисс назову.

Чего НЕ делаю

Пинги приложения «дофикс НЕ исполняет» (exit 2 при OOM, readEngine платформы, канал ключей redrive, rubyToCandidates, слепота TestDispatchCommandsCoversTheSwitch к константам, схема сида без omitempty, лок на проекции, карта подписи после стопа) — не «допиливаю попутно». Механизм против капа реверс-секции не строю. Пере-именование банк-экспорта не трогаю. Словарь решений не расширяю.