fix: the witness floor comes from the matrix, not from surviving baselines

Порог свидетелей считался от числа сцен со статусом не missing-baseline, то
есть от эталонов, уцелевших на диске. Обход в одну команду: git rm
demo/golden/baselines/*.png — все сцены становятся missing-baseline, порог
обращается в ноль, свидетелей никто не требует, и чужая съёмка всей матрицы
принимается без единого следа причины в манифесте. Отказ
goldenAcceptanceRefusal этого не ловит: он требует объявить каждую новую сцену
в --expect-new, а объявить их все ничто не мешает.

Прежняя редакция объясняла ноль тем, что первичная съёмка свидетелей иметь не
может. Верно по факту и неверно по выводу: невозможность доказать среду не
отменяет требования, она требует сказать это вслух. Теперь и первичная съёмка
идёт через --no-witnesses --reason, а причина уезжает в манифест эталонов.

Размер матрицы стал обязательным параметром, а не выводится из отчёта: у
частичного прогона (run.mjs --only=…) results короче матрицы, и порог просел
бы молча — тот же дефект в другой одежде. Отсутствие параметра — отказ.

Формула не менялась: она общая с docsWitnessFloor и обязана такой остаться.
Менялся источник счётчика. На обычной приёмке ничего не меняется: при 143
эталонах порог был и остался 10.

Issue: #408
User-Visible: no

test/golden-policy.test.mjs

@@ -187,6 +187,7 @@ test('приёмка без свидетелей отказывает и наз
   }));
   const { refusal, floor } = goldenWitnessRefusal({
     results: all,
+    sceneCount: all.length,
     declared: all.map((result) => result.id),
     previousHashes: Object.fromEntries(all.map((result) => [result.id, `old-${result.id}`])),
   });
@@ -208,7 +209,7 @@ test('обычная приёмка с достаточным числом св
       .map((scene) => [scene.id, scene.actualSha256]),
   );
   const { refusal, witnesses, floor } = goldenWitnessRefusal({
-    results: scenes, declared: ['edited'], previousHashes,
+    results: scenes, sceneCount: scenes.length, declared: ['edited'], previousHashes,
   });
   assert.equal(refusal, null);
   assert.equal(floor, 4, '10% от 31 эталонной сцены');
@@ -224,7 +225,7 @@ test('passed в пределах порога — не свидетель: ср
     scenes.map((scene) => [scene.id, `baseline-${scene.id}`]),
   );
   const { refusal, witnesses } = goldenWitnessRefusal({
-    results: scenes, declared: [], previousHashes,
+    results: scenes, sceneCount: scenes.length, declared: [], previousHashes,
   });
   assert.equal(witnesses.length, 0, 'подпороговый дрейф не доказывает среду');
   assert.match(refusal, /0 из необходимых 1/);
@@ -240,12 +241,71 @@ test('--no-witnesses требует причину и с ней пропуска
   assert.equal(reasoned.refusal, null);
 });
 
-test('первичная съёмка без единого эталона свидетелей не требует (#355)', async () => {
+test('первичная съёмка требует названной причины, а не молчания (#408)', async () => {
   const { goldenWitnessRefusal, goldenWitnessFloor } = await import('../scripts/golden-acceptance.mjs');
-  assert.equal(goldenWitnessFloor(0), 0);
-  const { refusal } = goldenWitnessRefusal({
-    results: [{ id: 'first', status: 'missing-baseline', actualSha256: 'x' }],
-    declaredNew: ['first'],
+  // До #408 здесь стоял отказ от требования: матрица без эталонов свидетелей
+  // иметь не может, значит и floor ноль. Верно по факту, неверно по выводу —
+  // именно этим ноль и обходился: `git rm baselines/*.png` превращал любую
+  // приёмку в первичную съёмку.
+  assert.equal(goldenWitnessFloor(0), 0, 'пустая матрица — единственный законный ноль');
+  const results = [{ id: 'first', status: 'missing-baseline', actualSha256: 'x' }];
+  const silent = goldenWitnessRefusal({ results, sceneCount: 1, declaredNew: ['first'] });
+  assert.match(silent.refusal, /свидетелей среды недостаточно/,
+    'невозможность доказать среду не отменяет требования, а требует сказать это вслух');
+  const named = goldenWitnessRefusal({
+    results, sceneCount: 1, declaredNew: ['first'],
+    skipWitnesses: true, skipReason: 'первичная съёмка матрицы',
   });
-  assert.equal(refusal, null, 'каждый кадр и так объявлен в --expect-new');
+  assert.equal(named.refusal, null);
 });
+
+test('удаление всех эталонов не снижает порог (#408)', async () => {
+  const { goldenWitnessRefusal } = await import('../scripts/golden-acceptance.mjs');
+  // Воспроизведение обхода из #408 целиком: удалить эталоны, объявить все сцены
+  // новыми, принять чужую съёмку без единого следа причины.
+  const wiped = Array.from({ length: 143 }, (_, index) => ({
+    id: `scene-${index}`, status: 'missing-baseline', actualSha256: `foreign-${index}`,
+  }));
+  const { refusal, floor, witnesses } = goldenWitnessRefusal({
+    results: wiped,
+    sceneCount: wiped.length,
+    declaredNew: wiped.map((result) => result.id),
+  });
+  assert.equal(floor, 10, 'порог считается от матрицы, а не от нуля уцелевших');
+  assert.equal(witnesses.length, 0);
+  assert.match(refusal, /0 из необходимых 10/);
+  assert.match(refusal, /сцен в матрице 143, с эталонами 0/);
+});
+
+test('порог держится и при частичной потере эталонов (#408)', async () => {
+  const { goldenWitnessRefusal } = await import('../scripts/golden-acceptance.mjs');
+  // Три уцелевших эталона дают три свидетеля — но планку задаёт матрица.
+  const kept = Array.from({ length: 3 }, (_, index) => ({
+    id: `kept-${index}`, status: 'passed', actualSha256: `same-${index}`,
+  }));
+  const lost = Array.from({ length: 140 }, (_, index) => ({
+    id: `lost-${index}`, status: 'missing-baseline', actualSha256: `new-${index}`,
+  }));
+  const { refusal, floor, witnesses } = goldenWitnessRefusal({
+    results: [...kept, ...lost],
+    sceneCount: 143,
+    declaredNew: lost.map((result) => result.id),
+    previousHashes: Object.fromEntries(kept.map((result) => [result.id, result.actualSha256])),
+  });
+  assert.equal(floor, 10);
+  assert.equal(witnesses.length, 3, 'свидетелем может быть только сцена с эталоном');
+  assert.match(refusal, /3 из необходимых 10/);
+});
+
+test('размер матрицы обязателен: догадываться о нём нельзя (#408)', async () => {
+  const { goldenWitnessRefusal } = await import('../scripts/golden-acceptance.mjs');
+  // Вывести его из отчёта соблазнительно и неверно: у частичного прогона
+  // (`run.mjs --only=…`) results короче матрицы, и порог просел бы молча.
+  const results = [{ id: 'one', status: 'different', actualSha256: 'x' }];
+  for (const sceneCount of [undefined, null, -1, 1.5, '143']) {
+    const { refusal, floor } = goldenWitnessRefusal({ results, sceneCount, declared: ['one'] });
+    assert.match(refusal, /не знает размера матрицы/, `sceneCount=${sceneCount}`);
+    assert.equal(floor, 0);
+  }
+});
+