ci: anchor the review material to content, not to history

#413 закрыл класс «SHA мёртв уже в момент публикации». Остаётся более частый:
SHA был жив, а умер потом — по корпусу таких объявлений 98 из 804, потому что
ветку задачи после ревью перебазируют, сквошат или удаляют.

SHA коммита — свойство истории, а история переписывается. Содержимое не
переписывается: git адресует деревья и блобы их хешем. На #403 спец-коммит
переехал из 83005c3c в 94502d3d, а блоб ТЗ у обоих один — 56a92e12; по нему
материал находится одной командой независимо от ребейза.

Конвейер снимает якоря там, где читает материал — в шаге перехода на ветку
задачи, пока рабочая копия равна тому, что прочтёт ревьюер. В шаге публикации
спрашивать поздно: дерево уже сброшено на целевую ветку. При публикации якоря
дописываются машинным блоком: дерево материала и блоб каждого ТЗ, каждый со
своей исполнимой командой поиска.

Блок машинный и помечен как машинный. Ревьюер его не заполняет: дисциплина
ручного переписывания SHA здесь уже подвела, и заменять её другой ручной
дисциплиной смысла нет.

Гейт #413 смягчён ровно там, где обязан: осиротевший SHA при живых якорях —
предупреждение, а не отказ. Ронять раунд, который воспроизводим, было бы той
же ошибкой в другую сторону. Отказ остаётся, когда не работает ни один
объявленный способ найти материал.

Проверено на настоящем осиротевшем случае: блок, собранный для 94502d3d,
находит и дерево, и блоб ТЗ; тот же документ с якорями даёт предупреждение
вместо отказа, без якорей — отказ.

Issue: #416
User-Visible: no

.github/workflows/process.yml

@@ -226,6 +226,20 @@ jobs:
             git checkout -q "origin/$branch"
             echo "материал ревью: ветка $branch, $(git rev-parse --short HEAD)"
             echo "name=$branch" >> "$GITHUB_OUTPUT"
+            # Якоря материала, устойчивые к ребейзу (#413, #414). SHA коммита
+            # ребейз меняет — содержимое нет: git адресует деревья и блобы их
+            # хешем. Снимаются здесь, где рабочая копия ЕЩЁ равна тому, что
+            # ревьюер прочтёт; в шаге публикации дерево уже сброшено на целевую
+            # ветку, и спрашивать его поздно.
+            echo "sha=$(git rev-parse HEAD)" >> "$GITHUB_OUTPUT"
+            echo "tree=$(git rev-parse 'HEAD^{tree}')" >> "$GITHUB_OUTPUT"
+            # ТЗ задачи: блоб переживает и ребейз, и удаление ветки, пока текст
+            # где-нибудь достижим. Файлов может не быть (инфраструктурная
+            # задача) или быть несколько (разбитое ТЗ) — тогда список пуст либо
+            # длиннее одного.
+            specs=$(git ls-files -s -- "docs/specs/${NUM}-*.md" \
+              | awk '{print $2" "$4}' | tr '\n' ';')
+            echo "specs=$specs" >> "$GITHUB_OUTPUT"
           else
             echo "::warning::ветка issue/${NUM}-* не найдена на origin — ревью пойдёт по dev"
             echo "МАТЕРИАЛ НЕ ЗАПУШЕН" >> "$GITHUB_STEP_SUMMARY"
@@ -629,6 +643,9 @@ jobs:
           STAGE: ${{ needs.guard.outputs.stage }}
           CYCLE: ${{ needs.guard.outputs.cycle }}
           SOURCE: ${{ runner.temp }}/review-document.md
+          MATERIAL_SHA: ${{ steps.branch.outputs.sha }}
+          MATERIAL_TREE: ${{ steps.branch.outputs.tree }}
+          MATERIAL_SPECS: ${{ steps.branch.outputs.specs }}
         run: |
           # Ветки задачи может не быть: у задач, размеченных до появления
           # конвейера, ТЗ лежит прямо в dev. Раньше шаг в этом случае молча
@@ -677,6 +694,14 @@ jobs:
             mkdir -p docs/reviews
             cp "$SOURCE" "$doc"
             echo "документ взят из $SOURCE ($(wc -c < "$doc") байт)"
+            # Якоря дописывает конвейер, а не ревьюер (#414). Дисциплина здесь
+            # уже подводила: на #403 SHA сняли до ребейза и не сверили перед
+            # выводом — через раунд команда из §2.10 не работала. Машина же
+            # снимает якоря в момент чтения материала и ошибиться в них не
+            # может; блок помечен как машинный, чтобы никто не правил его руками.
+            node scripts/review-doc-guard.mjs --anchor="$doc" \
+              --sha="$MATERIAL_SHA" --tree="$MATERIAL_TREE" \
+              --branch="${BRANCH:-dev}" --specs="$MATERIAL_SPECS"
           else
             echo "::warning::$SOURCE не найден — документа для публикации нет"
           fi