docs: устранить противоречия процессного канона (#553)

Issue: #553
User-Visible: no

AGENTS.md

@@ -56,7 +56,8 @@ where a criterion is broken plainly and saying which one is easy.
 `S5-ready`, with the AC written into the issue body first. `trivial` requires a bug confined to one surface with no new UX
 contract, no migration, no i18n, no perf or touch impact, at most three checkable
 AC, **and expected behaviour already on record** — nothing left to decide. Code
-review is never skipped on either track; it is what stands in for testing.
+review is never skipped on either track: it checks scope, risks and the evidence
+from executed tests, but does not stand in for executing them.
 `PROCESS.md` §5 and §5.1 hold the criteria.
 
 An issue filed by an outsider is worked exactly like one of the owner's own, once
@@ -497,9 +498,10 @@ candidate-bound `RELEASE-MEMBERSHIP.json` covered by the same passport (#547).
 
 ## Environments
 
-**Local Windows checkout** is the day-to-day environment: Node 22 and Python 3.14
-as in CI (`npm run toolchain:check` compares the machine with the pins CI actually
-uses — `.nvmrc` and `.python-version` are derived from the same sources, #496),
+**Local Windows checkout** is the day-to-day environment: repository-pinned Node
+and Python as in CI (`npm run toolchain:check` compares the machine with the pins
+CI actually uses — `.nvmrc` and `.python-version` are derived from the same
+sources, #496),
 `gh` authenticated. On the owner's machine do not trust the ambient PATH:
 `.\scripts\windows-toolchain.ps1 setup|check` owns a verified portable Node and
 dedicated `.venv-ci`, and its `npm`/`node`/`python`/`playwright` actions are the

PROCESS.md

@@ -14,10 +14,15 @@
 >
 > **Приоритет источников.** Канонический бэклог — GitHub Issues; статус живёт в
 > метках и больше нигде: Project v2 не используется. При расхождении
-> документации с GitHub побеждает GitHub. При расхождении этого документа с
-> `.github/workflows/*.yml` и `scripts/*` побеждает **фактическая автоматизация**:
-> она исполняется, а описание — нет. Расхождение при этом не игнорируется, а
-> заводится issue с меткой `process`.
+> документации с GitHub побеждает GitHub. Этот файл — единственный полный канон
+> процесса в репозитории; `AGENTS.md` — его короткое обязательное резюме, а
+> внешний `CODEX-RUNBOOK.md` — только маршрутизатор к канону и историческим
+> инструкциям. Текущие версии, состояние конкретных issue, runtime pins и списки
+> jobs не копируются в производную прозу: они читаются из своих исполняемых
+> источников.
+> При расхождении этого документа с `.github/workflows/*.yml` и `scripts/*`
+> побеждает **фактическая автоматизация**: она исполняется, а описание — нет.
+> Расхождение при этом не игнорируется, а заводится issue с меткой `process`.
 >
 > При расхождении процесса и привычки побеждает процесс.
 
@@ -189,6 +194,16 @@ S1-new → S2-analysis → S3-spec → S4-spec-review ⟲ → S5-ready →
   `unit`/`backend`/`smoke`/`golden`, получает свою проверку здесь же.
   «Тестирование вне жизненного цикла» означает отсутствие фазы ручного
   тестирования, а не отсутствие тестов.
+- **Приёмка проверяет результат для человека, а не строки реализации.** Для
+  изменённой поверхности автор выбирает обычный сценарий и самый рискованный
+  применимый соседний случай; у каждого должен быть наблюдаемый oracle — что
+  пользователь видит, может сделать или что система отказывается делать. При
+  выборе случаев коротко пройти шесть классов риска: async (порядок, отмена,
+  устаревший ответ); данные и права (пусто, нет связи, несколько источников,
+  отказ); геометрия (границы, стыки, трансформации); визуал (промежуточный кадр,
+  тема, zoom/DPR); объём данных и performance; host/input (HA, кэш, mouse/touch/
+  keyboard). Неприменимое так и отмечается; проверка имени метода или строки
+  исходника пользовательским oracle не считается.
 - **Скоуп не расширяется.** Найденное по пути становится новым issue в «Новое».
   Если находка блокирует — текущий issue уходит в «Заблокировано» со ссылкой.
   Попутных правок «раз уж я здесь» не бывает.
@@ -203,10 +218,13 @@ S1-new → S2-analysis → S3-spec → S4-spec-review ⟲ → S5-ready →
 - **Артефакт:** `docs/reviews/CODE-REVIEW-<tag|NN>-r<N>.md` в действующем
   формате: скоуп, как проверялось (таблица гейтов с результатами), находки
   High/Medium/Low с воспроизведением, что проверено и корректно, чего не проверял.
-- **Ревьюер отвечает за AC.** Раз ручного тестирования в цикле нет, именно ревью
-  кода отвечает на вопрос «оно вообще работает»: каждый AC либо доказан
-  автотестом — и ревьюер убедился, что **тест умеет падать**, — либо разобран по
-  коду с явной записью «проверено чтением, не исполнением».
+- **Ревьюер отвечает за полноту доказательств AC, а не заменяет их исполнение.**
+  Каждый AC либо доказан автотестом — и ревьюер убедился, что **тест умеет
+  падать**, — либо разобран по коду с явной записью «проверено чтением, не
+  исполнением». Чтение кода выявляет риски, но не доказывает наблюдаемый
+  пользовательский результат; если соразмерный исполнимый oracle возможен, его
+  отсутствие — находка. Ревьюер отдельно сверяет применимые классы риска из
+  §2.6 и не выдаёт запуск гейта за проверку сценария, которого в гейте нет.
 - **Защитный AC доказывается таблицей «чем краснеет» (#435).** Для каждого AC,
   заявляющего защиту — валидация, гард, лимит, отказ, инвариант, — в документе
   ревью обязательна строка из трёх столбцов: **AC · чем доказан** (точная
@@ -448,13 +466,14 @@ S1-new → S2-analysis → S3-spec → S4-spec-review ⟲ → S5-ready →
 - лимит ревью ТЗ — 2 цикла.
 
 **Что не упрощается:** issue, оценка, статусы, трейлеры коммитов, changelog,
-**код-ревью и его документ**, закрытие после беты. Код-ревью не пропускается
-никогда — именно оно в этом процессе заменяет тестирование. Единственное
-исключение — починка упавшего предрелизного гейта, §11.4.
+**код-ревью и его документ**, закрытие после беты. Код-ревью не пропускается:
+оно проверяет скоуп, риски и качество доказательств, но не заменяет исполнение
+тестов. Единственное исключение из повторного ревью — починка упавшего
+предрелизного гейта, §11.4.
 
 Если по ходу выясняется, что критерий нарушен (появилась миграция, задело второй
 модуль) — метка `small` снимается, issue возвращается в `S3-spec` и получает
-нормальный файл ТЗ. Это не провал, это ранняя диагностика.
+полное ТЗ в теле issue по §7.1. Это не провал, это ранняя диагностика.
 
 ### 5.1 Короткий трек (метка `trivial`)
 

docs/STATUS.md

@@ -27,12 +27,12 @@ metadata). Only an explicit owner-approved emergency hotfix may skip this gate.
 | Workflow | Superseded 2026-08-12: the pre-1.62 rule of "local edits without tests or commits" is **dead** — since release 1.62 every product change follows `PROCESS.md` (issue in `S5-ready`+, branch `issue/<NN>-slug`, trailers on every commit, review pipeline; `AGENTS.md` is the summary). Release mechanics below remain current. A requested pre-release gets a production build plus the smallest targeted unit/smoke set covering the changed surfaces, one tested `dev` commit/tag and a GitHub Release with `prerelease=true`; `main` stays untouched. The complete local frontend/backend/smoke gate runs only before a stable release, after which `main` is fast-forwarded to the exact tested `dev` SHA and the stable release is produced by `release.yml` (`workflow_dispatch` on `main` with the tag) — the only publisher of installable assets since #540: gates on the exact SHA (Validate, Full Performance, E2E on the candidate commit), one build, `houseplan.zip` archived from the committed tree, `SHA256SUMS`, draft → publish → read-back verification; a release published by hand in the GitHub form is turned back into a draft and walked through the same path, and a re-dispatch on a public tag is a repair that adds only missing assets. Release bodies are short and bilingual (Russian first); every bullet links its GitHub issue (#NN) so the #328 rules stay machine-checkable. A STABLE body aggregates the changelog since the PREVIOUS STABLE release (never since the last beta): features/fixes described across the line's beta changelogs must appear, while bugs that were introduced and fixed strictly inside the beta line (never shipped in any stable) are excluded — draft with `npm run release:notes -- <tag>`, curate by hand, then `npm run release:notes -- <tag> --verify` must pass. `Мелкие исправления и улучшения` / `Small fixes and improvements` is allowed only when the range really contains user-visible work not itemised in the body; a single-issue hotfix ships without it (the verifier enforces this). Every body ends with separate links to the Russian and English changelogs. Open or partially delivered issues are never presented as shipped. Telegram announcements are sent only for stable releases; beta and RC publication is silent. `docs/RELEASE-NOTES.md` is the current canonical body instance; `npm run release:prerelease -- <tag> --issues=… --yes` is the primary local publication path and the manual `Publish prerelease` workflow is its GitHub-only equivalent once present on `main`. Nothing is copied to the home instance by hand |
 | GitHub | https://github.com/Matysh/houseplan-card — [Issues](https://github.com/Matysh/houseplan-card/issues) are the canonical task records; their labels carry priority and workflow status (`PROCESS.md` §9). GitHub Projects is no longer used. `main` carries stable releases; pre-release tags may point directly at `dev`. Work lands on `dev` and is merged into `main` for a stable release, so `dev` is normally equal to or ahead of `main`, never behind. Push via SSH key `ha_jb` (remote git@github.com:…); API releases via the fine-grained PAT in `~/.git-credentials` (Contents R/W, issued 2026-07-23) |
 | CI | #541 replaces three incompatible meanings of “green” with one machine-verifiable Validate proof: candidate SHA/tree, run ID/attempt, requested checks, actually executed jobs and independently checked content-addressed reuse. Review, merge and release share the same closed state machine; a light green dispatch cannot hide a full red run, and a dispatch without six executed mutant jobs cannot authorize review or merge. Prerelease publication requires a green full exact-SHA proof covering frontend/backend, smoke (including the #73 rAF frame sampler), golden, HACS/Hassfest and the short absolute-ceiling performance smoke. Obsolete same-ref Validate runs are cancelled. Full seven-sample base/candidate performance remains in `performance.yml` (`main` push, weekly, manual); stable release assets fail closed unless Validate and Full Performance are green for the exact tagged SHA and the stable-only CDP compositor screencast finds no empty/black presented frame. |
-| Local toolchain | #557 removes ambient-PATH claims from the owner's workstation: `scripts/windows-toolchain.ps1` keeps verified portable Node 22 and a dedicated Python 3.14 `.venv-ci` without changing system defaults; `toolchain:check` reports exact executable/package/browser paths. The WSL entrypoint uses its own nvm + `.venv-ci`, and `--verify` runs a real HA subset and one Linux golden capture from an ext4 clone. These are early-feedback paths only; exact-SHA Linux CI remains canonical. |
+| Local toolchain | #557 removes ambient-PATH claims from the owner's workstation: `scripts/windows-toolchain.ps1` keeps verified portable repository-pinned Node and a dedicated repository-pinned Python `.venv-ci` without changing system defaults; `toolchain:check` reports the current versions and exact executable/package/browser paths. The WSL entrypoint uses its own nvm + `.venv-ci`, and `--verify` runs a real HA subset and one Linux golden capture from an ext4 clone. These are early-feedback paths only; exact-SHA Linux CI remains canonical. |
 | HACS | **In the default catalog since 2026-08-25** (hacs/default#9004 merged). Install = plain HACS search. `houseplan.zip` is attached to stable tags automatically (verified on v1.72.0); forum/4pda announcement still pending |
 | Home instance | ha.jbstudio.pro (SSH port **22222**, key `ha_jb`; HA config root is `/mnt/data/supervisor/homeassistant` — `/config` does NOT exist in this SSH environment), last direct copy was **v1.57.0**; from v1.58.0 on it updates itself through HACS by tag (no scp) |
 | Localization | UI en/ru/de (src/i18n/*.json), everything user-visible localized incl. kiosk popover; German is loaded lazily through the registry introduced by #62 |
 | Furniture | #159 replaces the flat ~30-item picker with a two-level category/variant palette and 56 top-view symbols. The reviewed 77-SVG MIT source pack is vendored under `assets/furniture/houseplan-0.3.0`; plan art stays in the initial View graph, front-view category art stays in the lazy editor graph, and existing saved geometry is unchanged. |
-| Tests | Four layers: Node unit (`npm test`: frontend pure modules + tooling policy), pure backend (`pytest tests_backend`, runs anywhere), HA-harness backend (same folder, CI only — needs py3.13 + pytest-homeassistant-custom-component), and browser smokes (`demo/smoke_*.mjs`, headless chromium). **Counts are not written down here** — they went stale within two releases while the version line beside them was kept current, which reads as less coverage than exists (review R5-2). Run `npm run inventory` for the current numbers, or read them off the last CI run |
+| Tests | Four layers: Node unit (`npm test`: frontend pure modules + tooling policy), pure backend (`pytest tests_backend`, runs anywhere), HA-harness backend (same folder, CI only — uses repository-pinned Python plus pytest-homeassistant-custom-component), and browser smokes (`demo/smoke_*.mjs`, headless chromium). **Counts and runtime pins are not duplicated here** — they drift faster than release prose; run `npm run inventory` for current counts and `npm run toolchain:check` for the executable pins, or read them from the exact CI run |
 | Input support | Owner's rule since 2026-08-08: View and kiosk are fully supported and release-blocking on touch. All three editors are desktop-first; touch editing is best effort and may be awkward, reduced or absent when parity is expensive. `docs/TOUCH-SUPPORT.md` defines the non-negotiable safety floor and documentation/test rules |
 | Vacuums | Live puck, server-side trails and fit calibration are shipped. The local v1.61 Stage 1 contract in docs/VACUUM.md adds explicit Dreame/XCME/Valetudo coverage, registry-less source selection, capability diagnostics, path-gap preservation and source-health warnings; #205 resumes one ended same-map run through an inclusive 30-minute station/pause grace. #209 renders current and previous trails through the same bounded 17.5 cm rounded-corner curve without changing stored points or gaps. Roomba remains Stage 2 |
 | Demo stand | **https://demo.houseplan.tech** — public, login `demo`/`demo`, resets to a pristine synthetic home every hour. **https://dev.houseplan.tech** — closed (basic auth), auto-deploys the `dev` branch every 10 min. Host: `ssh -i ~/.ssh/hp_stand hp@135.106.166.146`; layout, seeds and gotchas in the memory note `houseplan-demo-stand`. Since 2026-07-31 the stand covers most of the manual checklist: a scripted robot vacuum (`demo/stand/demo_robot` — Tasshack-shaped map sensor, serpentine run, pre-solved calibration, seeded server trail), Zigbee-style LQI template sensors, hand/auto-triggered leak+smoke alarms, an hvac_action climate marker and working script/scene/automation targets for tap-run. The stand-specific how-to-check guide is **docs/TESTING-DEMO.md** |

test/review-doc-guard.test.mjs

@@ -748,6 +748,28 @@ test('#517 AC4: документы процесса не требуют файл
   assert.doesNotMatch(readme, /Статус ТЗ/);
 });
 
+test('#553: канон разделяет review и исполнение тестов и не возвращает новые ТЗ в архив', () => {
+  const read = (rel) => readFileSync(new URL(`../${rel}`, import.meta.url), 'utf8');
+  const process = read('PROCESS.md');
+  const agents = read('AGENTS.md');
+  const status = read('docs/STATUS.md');
+
+  assert.doesNotMatch(process, /ревью[^\n]{0,80}заменяет тестирование/i);
+  assert.doesNotMatch(agents, /review[^\n]{0,80}stands in for testing/i);
+  assert.doesNotMatch(process, /получает\s+нормальный файл ТЗ/i);
+  assert.match(process, /полное ТЗ в теле issue по §7\.1/);
+  assert.match(process, /Приёмка проверяет результат для человека/);
+  assert.match(process, /async \(порядок, отмена/);
+  assert.match(process, /zoom\/DPR/);
+  assert.match(process, /host\/input/);
+  assert.match(process, /Ревьюер отвечает за полноту доказательств AC/);
+  assert.match(process, /проверено чтением, не\s+исполнением/);
+  assert.doesNotMatch(status, /py3\.13|Python 3\.13/i);
+  assert.match(status, /uses repository-pinned Python/);
+  assert.doesNotMatch(agents, /Node 22|Python 3\.14/,
+    'точные runtime pins читаются из исполняемых источников, не из памятки');
+});
+
 test('#551: gates, модель и интеграция имеют независимые jobs, contracts и бюджеты', () => {
   const workflow = readFileSync(new URL('../.github/workflows/process.yml', import.meta.url), 'utf8');
   const job = (name, next) => {