WEB board

РЕШЕНИЕ=todo
ОСНОВАНИЕ=Актуально: карточка создана 14.09.2026; тело фиксирует отсутствие verified.json на l115m/l115n и последнюю наличную l115l; приёмка/вердикт в карточке не записаны; канон WEB-449 указывает текущую посадку l115o/68e25d8df (15.09.2026), поэтому пробел не закрыт.
ЧТО НУЖНО=Ответственный не назначен; первый шаг — на текущей линии сверить артефакты verify для l115m/l115n и установить причину пропуска, не подделывая verified.json.
triage-neo 4618

[23.09 08:46Z координатор] ## Координатор 23.09 09:0xZ — факты по A1: `verified.json` ЕСТЬ у l115o, l115q, l115r (`/home/ubuntu/l115X-deploy/`), нет у l115n/l115p (l115m — каталог не найден). Посадки l115q/l115r шли по книге с обязательной стадией `transition.py verify`. Добавляю в `nc-ops-scripts/post-landing-checks.sh` жёсткую проверку: `verified.json` новой линии существует и новее `deployed.json`, иначе посадка не считается закрытой (красная строка в отчёте). Гейт в самой фабрике (`transition.py flip` не завершается без последующего verify / `rollback` требует verified.json цели) — задача на код фабрики, поставлю отдельной волной после l115s.

[23.09 10:34Z координатор] ## 4696 (M1, GO, 5/5) — принято: гейт verify в фабрике линий (`ops/line-factory/transition.py`): `flip` по завершении сам вызывает `verify` и пишет `verified.json`; `--skip-verify` явный → `deployed.json.verifyPending=true` + предупреждение; `rollback` к цели без `verified.json`/с `verifyPending` — отказ, кроме `--force-unverified` с записью причины в `flip.log`; `status` печатает `verified: yes|no|pending`. Тесты 11/11 новых + 162/162 старых. Ветка A2 `l115s-web661-verify-gate` (2 коммита). Перед посадкой: сверить с боевой копией фабрики на A1 (она несёт защиты, которых нет в репо) — `diff-note.md` в сдаче. Статус ← review.

[23.09 14:39Z координатор] ## 4741 (M1, Luna) — в работе: diff боевой фабрики (`/home/ubuntu/line-factory`, 9 файлов, transition 269/migrations 380/linefactory 968 + provenance/apply_state) против `ops/line-factory/` релиза, перенос всех HARDENING-hunks поверх 4722 (WEB-667), параметризация боевых путей, тест-сверка «репозиторная фабрика ⊇ боевая» для посадочного вентиля.

[23.09 14:53Z координатор] ## 4741 (M1, Luna) — GO: diff боевой фабрики ↔ релиз = 18 hunks, все 18 класса HARDENING перенесены в `ops/line-factory/` (поверх 4722/WEB-667), добавлены модули `factory_provenance.py` и `migration_apply_state.py` с тестами, 1 боевой путь параметризован, DRIFT 0; добавлен тест-сверка «репозиторная фабрика ⊇ боевая» для посадочного вентиля; тесты фабрики 188/188. Патчи 0004/0005 наложены на A2, ветка `l115s-web661-factory-hardenings` (поверх `l115s-web667-migrations-reverse-check`). Вместе с гейтом 2b/3 (`verified.json`) в `post-landing-checks.sh` и обратной проверкой миграций — набор WEB-661 готов в all6; статус остаётся «ревью» до посадки.

[23.09 15:07Z координатор] ## 4743 (M1, независимое ревью) — WEB-661 (4741): **NO-GO**: superset-тест «репозиторий ⊇ бой» синтаксический (имена, сигнатуры, needles в комментариях/строках) — подсаженная пустая функция с тем же именем проходит (репродуктор `web661-superset-behavior.patch`). Перенос 18 hunks сам по себе не оспорен. → в работу, раунд 2 (4747): поведенческие фикстуры на каждую перенесённую защиту (отрицательный вход → отказ с кодом), гейт сравнивает поведение, а не текст.

[23.09 15:20Z координатор] ## 4747 (M1, Luna, раунд 2) — GO: гейт «репозиторная фабрика ⊇ боевая» стал поведенческим — 18/18 защит с фикстурами «отрицательный вход → отказ с кодом / положительный → проходит», прогон против репозитория и против снимка боевой фабрики (`PROD_FACTORY_DIR`), совпадение 18/18; заглушка-репродуктор 4743 красная; тесты фабрики 190/190. Патчи 0006/0007 наложены на A2 `l115s-web661-factory-hardenings`. Статус → в ревью (7-е ревью вместе с WEB-683 р3).

[23.09 15:47Z координатор] ## 4750 (M1, независимое ревью) — WEB-661 р2: **NO-GO**, 2 существенных: (3) фикстуры проверяют только тип исключения и общий маркер SystemExit — защита, отказавшая по НЕ той причине, проходит; (4) `PROD_FACTORY_DIR` — неограниченный override: указав на репозиторий, гейт «репо↔бой» сравнивает с самим собой (2/2), независимость снимка не проверяется. Репродуктор `0002-web661-gate-contract-and-self-compare-repro.patch`. → раунд 3 (4755): фикстуры проверяют код/причину отказа (точное сообщение/reason-код каждой из 18 защит), гейт требует, чтобы снимок был вне репозитория и отличался по контрольной сумме от репозиторных файлов (иначе красный).

[23.09 16:55Z координатор] ## 4755 (M1, Luna, раунд 3) — GO: 18/18 защит с точными контрактами отказа (код причины/сообщение), подсаженная «не та причина» — красная; гейт «репо ⊇ бой» требует снимок вне repo root и хотя бы один отличающийся по SHA-256 файл (самосравнение — красное); тесты фабрики 192/192. Патчи 0008/0009 наложены на A2 `l115s-web661-factory-hardenings`. Статус → в ревью.

[23.09 17:19Z координатор] ## 4771 (M1, независимое ревью) — WEB-661 р3: **NO-GO**: F-04 гейт принимает «снимок без поведения» — критерий независимости (realpath вне repo + один отличающийся файл) обходится копией репозитория с правкой одного файла. → раунд 4 (4779): подлинность снимка доказывается происхождением (подпись/хеши из посадочной расписки боя, `SNAPSHOT-ORIGIN` с проверяемым хешем каталога боя), а не «отличается ли файл».

[23.09 17:44Z координатор] ## 4779 (M1, Luna, раунд 4) — GO: подлинность снимка фабрики по подписи HMAC (`SNAPSHOT-ORIGIN.json`, ключ из доверенного пути `/etc/line-factory/snapshot-hmac.key`, в тестах случайный ключ вне снимка) + сверка с посадочными расписками; подделка красная; тесты фабрики 196/196 (14 OK). Патчи 0010/0011 наложены на A2 `l115s-web661-factory-hardenings` (36565ed2). Статус → в ревью (4788).

[23.09 18:00Z координатор] ## 4788 (M1, независимое ревью) — WEB-661 р4: **NO-GO**, 2 крит.: (P0) `factory_provenance.py:246-262` принимает путь ключа HMAC аргументом — атакующий подписывает подделку своим ключом; (P0) расписки опциональны (`receipt_paths=()`) и выбираются вызывающим — зелёный результат без расписок. → раунд 5 (4792): путь ключа и расписок вшит с проверкой владельца/режима, тестовый режим недействителен в проде.

[23.09 18:15Z координатор] ## 4792 (M1, WEB-661 раунд 5) — GO: ключ HMAC снимка закреплён (`/etc/line-factory/snapshot-hmac.key`, проверки owner/mode/nosymlink/outside), квитанции деплоя обязательны, test-mode на бою инертен, репродуктор ревью 4788 красный→зелёный, фабрика 204/204. Патчи 0012–0014 наложены на A2 `l115s-web661-factory-hardenings` (53643988b, 14 коммитов). Дальше: независимое ревью р5 (следующая волна), затем в all9.

[23.09 19:27Z координатор] ## 4800 (M1, независимое ревью WEB-661 р5) — NO-GO, 3 находки: (6) квитанции обязательны и привязаны к хешам файлов, но не проверяются формат, исходный коммит, артефакт, время и повтор; symlink квитанции проходит после `resolve()` (`factory_provenance.py:392-410`); (7) селектор test-mode подделываем: ключ/квитанции из env + cwd вызывающего, нет боевого маркера (`:123-140,212-224`); (8) статический superset-гейт принимает поведенчески пустые заглушки (`test_factory_superset.py:104-123`). Раунд 6 — следующая волна.

[23.09 20:02Z координатор] ## СОСТОЯНИЕ НА 23.09 20:1xZ (для нулевого агента)
- Что это: перенос защит боевой фабрики линий (`/root/line-factory` на A1, 269 строк transition.py) в репозиторий + HMAC-подпись снимка `SNAPSHOT-ORIGIN.json`, обязательные квитанции деплоя, закреплённый ключ `/etc/line-factory/snapshot-hmac.key`.
- Где код: A2 ветка `l115s-web661-factory-hardenings` = 53643988b (14 коммитов над 1a5822a8; worktree `wt-l115s-web661h`). Раунд 4 (11) — в all8; р5+ — в all9. Старая ветка `l115s-web661-verify-gate` (wt-l115s-web661) — история.
- Раунды: 1–5 (4722/4741/4747/4755/4779/4792), ревью 6; последнее 4800 (19:05Z) NO-GO: квитанции без аутентификации полей/времени/повтора, symlink, test-mode подделываем из env+cwd, статический гейт пропускает пустышки.
- Сейчас: раунд 6 — волна 4807 на M1 (`~/wt-l115s-e`), 19:30Z. Материал боевой фабрики для сверки: `m1:~/waves/4741-material/prod-line-factory/`.

[23.09 20:07Z координатор] ## 4807 (M1, WEB-661 раунд 6) — GO: квитанция = подписанный документ фиксированной схемы (6 полей: schema_version, source_commit, artifact_sha256, line, issued_at, nonce), проверяются все поля, окно времени, журнал nonce, symlink = отказ до resolve (lstat); боевой режим определяется закреплённым ключом (env не переключает test-mode при наличии ключа); superset-гейт поведенческий (заглушка `pass` не проходит). Репродукторы 12→9 зелёных (по числу тестов), фабрика 212/212. Патчи 0015–0019 на A2 `l115s-web661-factory-hardenings` = 89548a553b (19). СОСТОЯНИЕ: раунд 6 принят → ревью 4811 (M1).

[23.09 20:43Z координатор] ## 4811 (M1, независимое ревью WEB-661 р6, 7-е) — NO-GO: (high) журнал nonce неограничен (`factory_provenance.py:556-598`) — append навсегда, чтение всего файла в память → отказ в доступности; (medium) поведенческий superset неполон: 14 публичных функций, приватные helper-ы ключа/квитанции/nonce не входят, часть сценариев только `_refuses`. СОСТОЯНИЕ: раунд 7 — волна 4818 (M1, e): журнал с окном/потолком/flock, сценарии позитив+негатив для каждой функции.

[23.09 21:16Z координатор] ## 4818 (M1, WEB-661 раунд 7) — GO: журнал nonce ограничен окном/потолком, атомарная компактация под flock; поведенческие сценарии позитив+негатив для 18/18 функций-защит (включая приватные helper-ы), «всегда отказывает» не проходит; фабрика 218/218. Патчи 0020–0022 на A2 `l115s-web661-factory-hardenings` = e93cb32479 (22). СОСТОЯНИЕ: → ревью 4822 (M1, 8-е).

[23.09 21:50Z координатор] ## 4822 (M1, независимое ревью WEB-661 р7, 8-е) — GO: журнал nonce с ретеншном и потолком 64 КиБ, атомарная компактация, 18/18 функций-защит с позитивом и негативом — подтверждены; прошлые находки по WEB-661 закрыты. СОСТОЯНИЕ: код WEB-661 = A2 `l115s-web661-factory-hardenings` e93cb32479 (22 коммита) ПРИНЯТ → в all9 → посадка. На тикете остаётся только post-landing: фабрика на бою с закреплённым ключом `/etc/line-factory/snapshot-hmac.key` (создать root:root 0600 при посадке).

[24.09 04:27Z координатор] Волна 4884 (M1, пробная сборка all9: all8d + принятые наборы 683/593/661/664/439/685ф1). Швы слияния исправлены 3 коммитами без ослабления тестов: 683 — проверки на хэш содержимого при создании (81/81 без PG); 593 — учтён 29-й вызов freshness из all8 (37/40, 3 пропуска — нужен PG); 661 — перепривязка происхождения фабрики (218/218). Вердикт волны NO-GO только из-за полного typecheck: 3277 против базы 2136, из новых 2191 вне 685. Проверяю тот же typecheck на базе all8d — если там столько же, долг общий, не от наборов. Патчи: A2 /home/ubuntu/patches-4884/, HEAD 77915901.

[25.09 08:42Z координатор] VERDICT=CLOSE — WEB-661.

Код all9 переносит и repin-ит provenance фабрики: signed `SNAPSHOT-ORIGIN`, pinned key, обязательные fixed-schema receipts, lstat/no-symlink и bounded nonce journal. Коммиты: `e93cb32479`, `aeea18c7a`. Ключевой файл `ops/line-factory/factory_provenance.py:83-108,145-187,237-290,461-536`; 27/27 целевых Python-тестов зелёные.

Что ломалось: ревью 4788 нашло caller-selected HMAC key/optional receipts; 4800 — неподтверждённые receipt fields, symlink и fake test-mode; 4811 — unbounded journal и неполный behavioral superset. Раунды 4807/4818 и независимый 4822 закрыли всё: nonce ≤64KiB/retention/atomic compaction, 18/18 positive+negative. Остаток: при посадке координатор создаёт `/etc/line-factory/snapshot-hmac.key` root:root 0600 и выполняет live verify. Доска: http://127.0.0.1:8787/api/web/issues/WEB-661.

Старт нового агента: прочитать `factory_provenance.py`, запустить четыре Python-файла из evidence/tests.md; не создавать live key и не подделывать verified receipt.


Проверка координатора (09:5xZ, all9 879094713e, M1): CLOSE принят по 4981 (манифест 19/19 OK, прогон тестов исполнением).