houseplan-card/docs/reviews/CODE-REVIEW-573-r2.md

CODE-REVIEW-573-r2

Issue: #573 — Release proof: переиспользовать проверки product tree после baseline-only commit без второго полного Validate Трек: infrastructure (класс B/tests/process, класса A нет) Материал: 2ea1e5e62ae212a87b2d16d25bcabf883d2fca3b (рабочая копия уже на нём), база origin/dev = 06bf9b69 (не двигалась с r1) Заход: r2 · блокирующих циклов израсходовано 1 из 4 (r1 был жёлтым и потратил цикл; текущий заход в бюджет цикла не входит до вынесения вердикта)

Предмет раунда — дельта r1 → r2

Предыдущий вердикт: жёлтый, r1, документ docs/reviews/CODE-REVIEW-573-r1.md, материал 47f36e571c723ee163bb10dc44a31582b5e9e5fc. Единственная блокирующая для продолжения находка — Medium M1 (в скоупе).

Дельта — ровно один коммит 2ea1e5e6 (плюс доковский коммит da156dd1, собственная публикация конвейером документа r1, — не материал):

git diff 47f36e57..2ea1e5e6 --stat
 docs/DEVELOPMENT.md      |  4 ++-
 scripts/ci-proof.mjs     | 33 ++++++++++++++----------
 scripts/release-gate.mjs |  3 ++-
 test/ci-proof.test.mjs   | 66 +++++++++++++++++++++++++++++++++++++++++++++---
 4 files changed, 86 insertions(+), 20 deletions(-)

Дельта локальна: один файл продуктовой логики (ci-proof.mjs), один вызывающий модуль (release-gate.mjs), тест и абзац документации — все узко в границах находки M1. Новой подсистемы не задето, контракт поведения для release не менялся (только сузилась зона действия проверки reviewed-run для merge/review). Разбор по дельте достаточен; полный повторный обзор всей задачи не требуется.

Закрытие раунда r1

Находка r1	Чем закрыта	Где это видно
M1 (Medium, в скоупе): evaluateCiProof судил reviewedRun для ЛЮБОГО потребителя (включая merge/review), а loadGithubProofContext всегда запрашивал GitHub API за объявленным run'ом — независимо от того, передан ли expected. Расходилось с хендоффом («review/merge не меняются») и создавало новую внешнюю зависимость для merge/review на легитимном сценарии (9bf41ec3, #584).	В evaluateCiProof (scripts/ci-proof.mjs) блок проверки declared/reviewedRun перенесён внутрь if (expected), рядом со сверкой evidence — вызывается только когда потребитель передал ожидания (release). В loadGithubProofContext добавлен параметр withReviewedRun = false; запрос к /actions/runs/<id> выполняется только при withReviewedRun === true, и ключ reviewedRun не появляется в возвращаемом объекте контекста вовсе, если запрос не делался. release-gate.mjs передаёт withReviewedRun: Boolean(expected); merge-candidate.mjs и validate-gate.mjs вызывают loadGithubProofContext без этого флага (по умолчанию false) и evaluateCiProof без expected — тем самым не делают запроса и не судят reviewedRun.	git diff 47f36e57..2ea1e5e6 -- scripts/ci-proof.mjs (перенос блока и сигнатура loadGithubProofContext); scripts/release-gate.mjs:59 (withReviewedRun: Boolean(expected)); scripts/merge-candidate.mjs:111, scripts/validate-gate.mjs:131 (вызов без флага, поведение не изменилось); новый тест #573 r1 M1 в test/ci-proof.test.mjs — фейковый fetch с журналом URL доказывает отсутствие запроса при withReviewedRun: false и его наличие при true; расширенный #573 AC1 — merge/review green при reviewedRun = undefined/null/{run: null}. Лично воспроизвёл: откатил scripts/ci-proof.mjs к версии r1 (git diff 2ea1e5e6..47f36e57 -- scripts/ci-proof.mjs, применил патч) — из 7 целевых тестов 2 упали (#573 AC1 и #573 r1 M1), восстановил файл, дерево снова чистое.

Устранение выбрано по первому предложенному в r1 варианту («ограничить проверку reviewedRun тем же условием, что и expected»), не по второму (тест + принятие поведения) — это корректный выбор автора, ревьюер не навязывает альтернативу.

Унаследовано из r1

Без повторной проверки принимается всё, что дельта r2 не задевает — со ссылкой на docs/reviews/CODE-REVIEW-573-r1.md, материал 47f36e571c72... (дерево aca987ffcc31c3656ec79fea04db2890c9f2242a):

• AC1 (beta.3-воспроизведение: baseline-only commit переиспользует зелёные job, golden перегоняется, финальный proof зелёный) — ядро логики (BASELINE_OVERLAY, check-inputs.mjs, реальная пара e5fe4364→ad4000f9) не менялось в r2; расширение теста в r2 добавляет только новые случаи reviewedRun к тому же сценарию, не переписывая исходную проверку.
• AC2 (source + baseline вместе → job исполняются) — gate-reuse.mjs и его тест не в дельте r2.
• AC3 (красный smoke/mutant/perf не прячется зелёной golden) — код и тест #573 AC3 не в дельте r2.
• AC4 (подмена ключа/tree/индекса/reviewed-run → fail-closed) — логика сверки evidenceMismatch, productTreeId, baselineReviewedRun не в дельте r2; сама проверка reviewed-run переехала (см. закрытие M1 выше), но её содержимое (существует/не отменён/принадлежит Validate) не изменилось — подтверждено построчным чтением diff'а: условие внутри if (declared) идентично r1, изменилось только место вложенности.
• BASELINE_OVERLAY / closure / CHECKS.golden.roots — не в дельте r2, проверено r1 лично (воспроизведение + мутация), принимается без повтора.
• productTreeId/baselineReviewedRun как чистые функции, buildCiProof пишет/отвергает ключ маркера реюза, candidateExpectations считает evidence только при HEAD == sha — не в дельте r2, принимается по r1.
• Golden-гарды мутации не теряют защиту (golden-lamp-out-of-reach, golden-filled-tunnel-removed) — не в дельте r2.
• Мутанты proof-trusts-evidence-it-could-verify, reused-marker-key-unchecked-against-candidate, product-tree-identity-counts-baselines — код, который они целят, не тронут дельтой r2 (кроме места вложенности проверки reviewed-run, которое накрывает proof-trusts-evidence-it-could-verify); в этом раунде node scripts/mutation-gate.mjs --check лично прогнан на текущем дереве — все 767 якорей, включая эти четыре, ok.
• AC6 (замер wall time) — оценка автора, не в дельте r2.

Что перепроверено в этом раунде (AC5 и затронутый код)

AC5 («один terminal contract для release/merge/review») — в r1 был доказан только частично (сама находка M1). В r2 перепроверен целиком:

AC5	Чем доказан	Чем краснеет
merge/review без expected не судят reviewedRun и не делают запроса к GitHub	test/ci-proof.test.mjs: расширенный #573 AC1 (green для merge/review при reviewedRun = undefined/null/{run:null}) и новый #573 r1 M1 (фейковый fetch с журналом URL: без withReviewedRun запроса /actions/runs/<id> нет ни для merge, ни для review; с флагом — есть, только у release). Лично прогнал node --test --test-name-pattern="#573" test/ci-proof.test.mjs — 7/7 pass	лично откатил scripts/ci-proof.mjs к версии r1 — 2 из 7 тестов красные (#573 AC1, #573 r1 M1)
release по-прежнему сверяет reviewedRun, когда переданы ожидания	тот же #573 r1 M1: withReviewedRun: true → запрос выполнен, release.reviewedRun.run.id совпадает с объявленным; #573 AC4 (не в дельте, но использует тот же путь) остаётся зелёным	откат к версии r1 не ломает эту ветвь (она и раньше проходила release), поэтому свидетель именно на новой ветке — #573 r1 M1
консьюмеры не регрессировали (merge-candidate.mjs, validate-gate.mjs, release-gate.mjs)	лично прогнал node --test test/merge-candidate.test.mjs test/validate-gate.test.mjs test/release-gate.test.mjs — 35/35 pass, без правок в этих тестах	не применимо — регрессионный прогон существующего набора, не защитный AC этого раунда

Читкой подтверждено также: unconditional-блок сверки reused marker key (if (proof.evidence) { for (id of REUSE_JOBS) ... }) остался вне if (expected) — это осознанно не тронуто фиксом r2 и не было предметом находки M1: сверка чисто локальная (внутри уже загруженного proof, без сетевого запроса), поэтому распространение её на merge/review не создаёт новой внешней зависимости и не воспроизводит проблему M1.

Как проверялось (этот раунд)

Дешёвые гейты подтверждены зелёным Validate на точном материале раунда: run 35265282713 (https://github.com/Matysh/houseplan-card/actions/runs/35265282713), проверено gh run view 35265282713 --json headSha,conclusion → headSha: 2ea1e5e62ae212a87b2d16d25bcabf883d2fca3b, conclusion: success. Значит npx tsc --noEmit, npm test (полный), npm run build со сверкой копий бандла — не перегонял, приняты по этому прогону.

Сам прогнал (диф не трогает src/**, геометрию, рендер, Python):

Гейт	Команда	Результат
Выбор смоков по дельте r1→r2	node scripts/smoke-select.mjs --base 47f36e57 --head 2ea1e5e6	«Исполняемого frontend-диффа нет … Browser-smoke этим диффом не выбираются» — не нужны
Целевые unit-тесты дельты	node --test --test-name-pattern="#573" test/ci-proof.test.mjs	7/7 pass
Регрессия у консьюмеров (не в дельте, но зависят от изменённой сигнатуры)	node --test test/merge-candidate.test.mjs test/validate-gate.test.mjs test/release-gate.test.mjs	35/35 pass
«Тест умеет падать» для закрытия M1	откат scripts/ci-proof.mjs к версии r1 (git diff 2ea1e5e6..47f36e57 -- scripts/ci-proof.mjs применён и позже отменён) + повтор целевых тестов	5/7 pass, 2 fail (#573 AC1, #573 r1 M1) — воспроизведено лично, дерево восстановлено (git checkout -- scripts/ci-proof.mjs, git status чист)
Мутанты, задетые перемещённым кодом	node scripts/mutation-gate.mjs --check	767 якорей ok, включая proof-trusts-evidence-it-could-verify, reused-marker-key-unchecked-against-candidate, product-tree-identity-counts-baselines, baseline-overlay-leaks-into-every-key
Покрытие входов	node scripts/check-inputs.mjs --coverage	exit 0, без вывода — чисто
Трейлеры / провенанс коммита	git show -s --format=full 2ea1e5e6	Issue: #573, User-Visible: no, класс файлов B/C только (scripts/**, docs/**, test/**) — трейлер корректен, changelog не требуется

Не прогонял и почему: npm run golden:verify, browser-смоки, perf-профили, python -m pytest tests_backend, node scripts/model-invariants.mjs — диф r1→r2 не трогает src/**, рендер, геометрию/толщину/layout и custom_components/**/*.py; полный npm test/typecheck/build — покрыты зелёным Validate на точном SHA материала (ссылка выше), а целевые тесты, которые он покрывает менее прицельно, я перегнал сам с ручной проверкой на падение.

Находки нового раунда

Нет. Дельта r2 устраняет ровно находку M1 из r1, не расширяя и не сужая скоуп, не вводит новых Medium/High. Low-находок не было и не появилось.

Итог

Единственная блокирующая находка предыдущего раунда (Medium M1: reviewedRun судился для merge/review без привязки к expected, вопреки заявлению хендоффа) закрыта точечно и по предложенному в ревью r1 варианту: проверка и сетевой запрос теперь ограничены release-потребителем с переданными ожиданиями. Закрытие подтверждено новым тестом, который я лично убедился, что умеет падать (откат правки → 2 из 7 целевых тестов красные), и регрессионным прогоном трёх наборов консьюмеров (35/35 pass). Ядро задачи (AC1–AC4, AC6) наследуется из r1 без повторной проверки — дельта их не касается. High-находок нет, Medium-находок нет. Задача готова к слиянию.

---

Материал раунда

• Ветка: issue/573-release-proof-reuse, коммит 2ea1e5e62ae212a87b2d16d25bcabf883d2fca3b.
• Предыдущий материал (r1): 47f36e571c723ee163bb10dc44a31582b5e9e5fc, документ docs/reviews/CODE-REVIEW-573-r1.md.
• Дельта: git diff 47f36e571c723ee163bb10dc44a31582b5e9e5fc..2ea1e5e62ae212a87b2d16d25bcabf883d2fca3b.
• Вердикт этого раунда: green · High 0 · Medium 0.

---

Материал раунда

• Ветка: issue/573-release-proof-reuse, коммит 2ea1e5e62ae2 — ребейз его осиротит, и это нормально: ниже якоря, которые ребейз не меняет.
• Дерево материала: c71fdad23438471b83a2836681ba8ac846c2eb16

  git log --all --format='%H %T' | grep c71fdad23438
  

• Тело issue: 5ab99e532f34bdfa488c9143f2c1c1361b826159e0707a56ce70a640e8ca4fff
• Вердикт конвейера: green · High 0