houseplan-card/docs/specs/107-virtual-light-toggle.md

Issue #107 — переключение виртуального источника света «Всегда»

Уточнение #174: это ТЗ остаётся authority для несвязанного ручного режима. Если на exact marker существует валидная входящая связь controller, HA state реальных drivers имеет приоритет, а клик по лампе выполняет HA group operation. Снятие последней связи возвращает сохранённый manual state; полный контракт описан в ТЗ #174.

• Issue: https://github.com/Matysh/houseplan-card/issues/107
• Редакция: первая редакция для независимого ревью; статус задачи определяется только метками issue
• Тип / приоритет: feature + polish / P2
• Оценка: пользовательская ценность 6/10; ценность для разработки 3/10; сложность и риск 7/10
• Область: View-action, canonical light resolver, target preview, backend operational state, multi-card live-sync, i18n, compatibility и тесты
• Связано: #65, #84, #88, #94, #97, docs/SCOPE.md, docs/TOUCH-SUPPORT.md, docs/LIGHT.md, docs/CONFIG-COMPATIBILITY.md

1. Сценарий и продуктовый контекст

Персона: home admin либо домочадец, который пользуется обычным View на настенной панели, телефоне или desktop dashboard. Право редактировать план для этого действия не требуется.

Поверхность и момент: на плане есть virtual marker, у которого роль источника света явно установлена в «Всегда», а действие по нажатию — «Переключить состояние». Пользователь нажимает marker, чтобы погасить или снова включить изображённый виртуальный светильник.

Задача обслуживает:

• J1: Glow, room fill и room light statistics показывают одно текущее пространственное состояние;
• J3: очевидное безопасное действие выполняется прямо с плана;
• гарантированный touch/View/kiosk-контракт: tap работает так же, как click, и результат не расходится между настенной панелью, телефоном и второй карточкой.

Это утверждённое владельцем узкое исключение к замороженной функциональности virtual devices. Оно не создаёт общего state engine для виртуальных маркеров и не меняет их роль placeholder в остальных комбинациях.

2. Что человек увидит до и после

До: диалог честно сообщает, что переключаемого состояния нет, а нажатие в View является тихим no-op. Passive Always source без контроллера всегда считается включённым по контракту #84.

После: в точной утверждённой комбинации preview показывает сам виртуальный источник, его текущее состояние и следующий эффект. Нажатие выключает его, а повторное включает. Одновременно меняются его Glow и все room-light consumers. Результат сразу видят другие карточки и он сохраняется после reload страницы и restart Home Assistant.

3. Подтверждённая причина текущего поведения

1. resolvedLightSources() создаёт для passive Always источник с identity marker:<id>, пустыми stateEids/serviceEids и default on.
2. Если сохранены incoming controller links, #84 заменяет default на OR их HA driver entities. Ручного состояния у источника нет.
3. resolveToggleIntent() ищет только HA service target. Virtual marker без actionable entity получает no-actionable-entity.
4. _clickDevice() выполняет только HA service command и при его отсутствии намеренно ничего не делает.
5. Hint в диалоге форматирует тот же resolved intent и поэтому показывает marker.toggle_none_no_actionable_entity.

Локальная ветка только в renderer не подходит: #84 закрепил resolvedLightSources() как authority для Glow, room fill, room state, N из M, room card и preview. Локальный browser state также нарушил бы принятое решение о reload/restart и multi-card synchronization.

4. Решения владельца

Владелец принял defaults Q1–Q3 14.08.2026. Каноническая запись: https://github.com/Matysh/houseplan-card/issues/107#issuecomment-5287719167

1. Состояние общее для всех карточек, live-синхронизируется, переживает reload страницы и restart Home Assistant. Источник без сохранённой записи начинает в on, сохраняя совместимость с #84. State является operational data и не входит в конфигурацию плана или export.
2. Переключается canonical state источника, а не один SVG Glow. Вместе меняются Glow, room light fill, room statistics/card и preview. Геометрия, цвет, яркость и радиус не меняются.
3. Пока действует точная тройка binding=virtual + is_light=true + effective tap_action=toggle, ручное состояние авторитетно; incoming controller links сохраняются, но не управляют этим источником. Когда тройка перестаёт действовать, ручная запись удаляется и немедленно возвращается обычная семантика #84. Повторное включение тройки начинает с on.

5. Точное условие исключения

Manual virtual-light action существует только для активного marker, у которого одновременно выполняется:

1. marker.binding === 'virtual';
2. marker.is_light === true;
3. effective tap action равен toggle;
4. marker не является удалённым tombstone (removed !== true).

Для virtual marker нет HA domain, который мог бы неявно спроецировать default toggle, поэтому сохранённый action token обязан быть toggle. Backend всё равно проверяет persisted config, а не доверяет утверждению frontend.

hidden: true временно убирает источник из визуальных consumers, но не стирает его ручное состояние: возврат видимости восстанавливает прежний on/off.

В точной тройке manual target имеет приоритет действия. Tap переключает только состояние собственного virtual source и не вызывает HA service даже при наличии сохранённых outgoing controls. Сами controls остаются lossless и продолжают участвовать в light graph по правилам #65/#84. После выхода из тройки обычный resolver #94 снова получает их без изменения.

Все прочие сочетания — virtual Auto/Never, non-virtual Always, другое действие, удалённый marker — сохраняют текущее поведение без нового state target.

6. Нормативная модель состояния

6.1. Значение по умолчанию

Отсутствующая запись означает on. Поэтому существующие passive Always источники не меняют вид после обновления, а первый tap переводит источник в off.

Хранилище может сохранять только множество выключенных marker IDs: отсутствие ID является canonical on. Это техническая форма, а не новый пользовательский режим. В ответах frontend получает revisioned snapshot, достаточный для однозначного восстановления on/off.

6.2. Один canonical consumer contract

Для eligible marker manual state подменяет только вычисление source.on. Identity, room ownership, position, castsGlow, geometry, manual/live colour, brightness и radius остаются теми же.

Один и тот же resolved source обязан дать одинаковый результат для:

• spatial Glow full card и kiosk;
• light room fill;
• room light state и resolvedLightStats / N из M;
• room card и device presentation;
• device-editor preview;
• статического houseplan-space-card.

Нельзя добавлять manual-state ветку отдельно в SVG renderer, room card, preview или static card. Runtime snapshot является входом canonical light resolver, а его revision входит в cache invalidation. Один tap не должен ждать следующего HA state tick.

6.3. Controller semantics

• Для eligible source manual on/off выигрывает у incoming controllers.
• Incoming marker:<id> links не удаляются, не становятся service targets и не меняют HA entities.
• Контроллер продолжает выполнять собственное действие #94, но его HA state не меняет manual source, пока тройка активна.
• После выхода target из тройки manual record очищается; incoming links снова определяют passive source по OR-контракту #84 без Save со стороны controller.
• Остальные источники того же room продолжают давать независимые votes. Поэтому выключенный manual source не обязан погасить комнату, если в ней включён другой источник.

7. Backend storage и WebSocket contract

7.1. Отдельные operational data

State хранится в отдельном versioned Home Assistant Store, например houseplan.virtual_lights, а не в Marker, layout, Lovelace config, localStorage-authority или HA entity registry.

Минимальная логическая структура:

• monotonic runtime revision;
• последняя согласованная config revision;
• bounded set/map выключенных eligible marker IDs.

Точные Python class/key names можно изменить. Обязательны отсутствие записи = on, лимит не выше числа markers, отказ от произвольных строк вне live config и отдельность от export/import payload.

7.2. Initial snapshot

houseplan/config/get возвращает дополнительное optional поле с revisioned virtual-light snapshot. Оно читается вместе с той же config revision, по которой backend проверил eligibility.

Это поле является обязательной частью корректного нового frontend frame: сохранённый off не может сначала отрисоваться как on и исправиться только после необязательной подписки. Старый frontend игнорирует добавочное поле.

Поле optional на wire только для rolling/downgrade compatibility. Новый frontend при его отсутствии применяет legacy/default on; попытка toggle на старом backend завершается контролируемой ошибкой, без optimistic ложного состояния.

7.3. Atomic toggle command

Добавляется один authenticated WS command вида houseplan/virtual_light/toggle, принимающий только marker_id.

Backend под общим для config/state load-modify-save lock:

1. загружает текущую config revision и marker;
2. повторно проверяет точное условие §5;
3. читает текущее значение (on, если записи нет);
4. атомарно инвертирует его и сохраняет state revision;
5. возвращает {marker_id, on, rev};
6. после успешного save публикует houseplan_virtual_light_updated с тем же payload.

Клиент не присылает желаемый boolean и не выполняет read→set: две одновременные команды сериализуются как два toggle, а не теряют одну запись. Event не публикуется до durable save. Invalid/missing/ineligible marker получает стабильную ошибку not_toggleable; store и event при этом не меняются.

7.4. Права

Команда доступна любому аутентифицированному HA-пользователю, которому доступна карточка. may_write и опция admin-only защищают редактирование плана, но не View-action; иначе утверждённая household/kiosk persona увидела бы рабочий hint и получила no-op.

Это разрешение уже, чем HA service toggle: request содержит только marker ID, backend разрешает ровно утверждённую тройку и не вызывает HA service. Guest без authenticated HA session доступа не получает.

7.5. Config coherence и cleanup

Каждый backend writer конфигурации — обычный Save, import apply, optimize/undo, setup migration и другие пути замены config — согласует operational store с новой config revision до публикации завершённого config update:

• сохраняет off только для marker IDs, которые всё ещё eligible;
• удаляет записи deleted/rebound/Auto/Never/non-toggle markers;
• сохраняет state при rename, move, room/space reassignment, hidden/unhidden и несвязанных edits;
• записывает согласованную config revision.

Из-за двух отдельных HA Store файлов crash между saves не может быть общей транзакцией. Fail-safe правило: если operational store видит неизвестный разрыв config revision (включая downgrade, старый writer или прерванный save), он сбрасывает manual-off overrides к безопасному compatibility default on, а не рискует воскресить старый off после повторного включения тройки. Следующий snapshot сохраняет согласованную revision.

Все config writers должны использовать один backend helper; список разрозненных ручных state_store.async_save() не допускается.

8. Frontend action и synchronization

8.1. Единый resolved intent

Authority #94 расширяется typed operational target, а не обходится ранним if непосредственно в _clickDevice() или диалоге.

Для eligible marker resolver возвращает:

• stable target identity marker:<id> и читаемое имя marker;
• current on/off из принятого runtime snapshot;
• next effect turn-off / turn-on;
• executable operation virtual-light-toggle, отличную по типу от HA service command.

Formatter preview/confirmation получает эту же модель. Virtual target никогда не выдаётся за entity_id и никогда не попадает в callService.

8.2. Tap, click и confirmation

• Обычный tap/click отправляет atomic WS toggle и принимает только response/event с revision не старее локального.
• Optimistic визуальный flip запрещён: transport/backend failure не должен показывать несохранённое состояние.
• tap_confirm: true сохраняет существующий confirmation dialog. Перед выполнением eligibility/target re-resolve повторяется; текущий direction решает серверный atomic toggle.
• Если marker перестал быть eligible до подтверждения или ответа, action не retargets на controls/HA entity. Пользователь получает существующий смысл «цель изменилась» либо локализованную контролируемую ошибку.
• Ошибка WS использует локализованный toast и оставляет последний подтверждённый state. Page error и unhandled rejection недопустимы.

8.3. Live-sync и несколько карточек

Full card подписывается на houseplan_virtual_light_updated рядом с текущими House Plan events. houseplan-space-card получает тот же snapshot/event через module-level shared cache, чтобы N static cards не создавали N fetch/subscription.

Monotonic revision защищает от перестановки response и event. Применение более новой revision:

1. заменяет immutable runtime snapshot;
2. инвалидирует light/presentation cache;
3. обновляет local server-snapshot cache;
4. просит render без structural config/device rebuild и без HA state mutation.

Missed event после disconnect исправляется следующим config/get. Подписка best-effort не заменяет initial snapshot и не является условием первого полного кадра.

8.4. Local cache

LS_CFG может хранить последний revisioned operational snapshot рядом с config/layout для мгновенного stale-while-revalidate кадра. Он не становится authority: server response всегда выигрывает по revision/config coherence.

Старый cache без поля означает default on. Corrupt/oversized/wrong-shape state игнорируется целиком, а не частично внедряется в resolver. Runtime event обновляет cache, чтобы reload не давал краткого обратного Glow flash.

9. UX редактора и i18n

В точной тройке прежний текст marker.toggle_none_no_actionable_entity не показывается. Вместо него preview содержит локализованные строки:

• target: виртуальный источник с именем marker, без вымышленного entity ID;
• current state: «включён/выключен»;
• next effect: «включить/выключить».

Новый несохранённый draft и draft, который только что вошёл в тройку, показывают initial on → off. Редактируемый сохранённый marker показывает server state. Cancel не меняет operational state; Save меняет eligibility и запускает cleanup только после принятого config write.

Нужны полноценные RU/EN keys для virtual target/state и ошибки toggle. Нельзя склеивать предложения или показывать backend error text как готовый перевод. Существующие HA entity/group/secure/missing hints #94 не меняются.

10. Accessibility и touch

Новых controls и focus order нет. Existing device marker, selector, confirmation и toast сохраняют текущие accessible surfaces.

Touch View и kiosk — блокирующие поверхности:

• один tap выполняет ровно один toggle;
• pan, pinch, long-press и suppressed synthetic click не выполняют action;
• confirmation остаётся доступным и не теряет focus contract;
• live event не перехватывает focus и не создаёт screen-reader spam;
• static card остаётся неинтерактивной, но показывает тот же state.

Touch editor остаётся best effort: новый control не добавляется, а существующий desktop-first preview должен оставаться читаемым без горизонтального overflow.

11. Lifecycle и edge cases

1. Existing eligible marker без state entry: on; первый tap → off.
2. Повторный tap: off → on, off-entry может быть удалена.
3. Reload/new browser/restart HA: последнее durable значение восстановлено.
4. Две full cards и static card: одно событие приводит все к одной revision.
5. Два одновременных tap: две server revisions, итог равен исходному состоянию.
6. Response пришёл после более нового event: stale response игнорируется.
7. Incoming controller включён, manual source выключен: source остаётся off.
8. Manual source выключен, другой room source включён: room остаётся on, stats считают голоса раздельно.
9. Outgoing controls есть: manual tap не вызывает их HA services; config сохраняется lossless.
10. Always → Auto/Never: off-entry очищена, #84/#65 действует сразу.
11. toggle → info/run/more-info: запись очищена, новое действие штатное.
12. Virtual → HA binding/rebind: запись очищена и не приклеивается к новой цели.
13. Delete/tombstone: запись очищена; restore/recreate начинает on.
14. Rename/move/room/space/hidden: state сохраняется по stable marker ID.
15. Full import сохраняет state только для совпавших всё ещё eligible IDs; импорт не приносит state из backup.
16. Config revision gap/downgrade writer: conservative reset к on, без stale resurrection.
17. Backend unavailable/command failure: confirmed state остаётся, generic no-op не маскирует ошибку.
18. Old frontend + new backend: extra snapshot/event игнорируются, config не повреждается; marker ведёт себя по старому.
19. New frontend + old backend: default on, команда не создаёт local false state и заканчивается контролируемой ошибкой.
20. Auto/Never/non-virtual/missing marker request, подделанный вручную: backend not_toggleable, без save/event/service.

12. Модель данных, compatibility и import/export

Marker, ServerConfig, layout и Lovelace card config не получают новых полей. Backend CONFIG_SCHEMA, import schema и config revision не меняются. Миграция плана и materialization отсутствуют.

Создаётся отдельный optional operational Store version 1. Его отсутствие при upgrade/downgrade означает пустой off-set/default on. Старые integration и frontend его не читают и не уничтожают plan config. Config revision gap после старого writer обрабатывается fail-safe правилом §7.5.

Operational state намеренно не входит в:

• full/space export и import preview/apply;
• marker JSON и compatibility passthrough;
• Lovelace config/local editor draft;
• HA entity/device registry.

Диагностика может показывать version/revision/count, но не обязана экспортировать полную map marker IDs. docs/CONFIG-COMPATIBILITY.md фиксирует wire field, отдельный Store, old/new matrix и reset-on-unknown-revision.

13. Не входит в задачу

• общее переключаемое состояние для virtual devices;
• действие для virtual Auto/Never либо для info, run, more-info;
• создание input_boolean, synthetic HA light/entity или helper;
• управление цветом, brightness, radius, geometry или animation через tap;
• запись state в marker config, layout или export backup;
• изменение OR/links semantics #84 вне manual-authority исключения;
• переключение HA entities из exact manual action;
• история состояний, расписания, automations или restoration UI;
• новый editor control «начальное состояние»;
• polling, remote API либо отдельная general-purpose runtime-state platform.

14. Критерии приёмки

• AC1 (unit): eligibility matrix разрешает operational target только для active virtual + is_light:true + explicit/effective toggle; Auto, Never, non-virtual, other action и removed сохраняют прежний resolver #94.
• AC2 (backend): новый eligible marker без записи возвращает on; atomic toggle сохраняет off, второй сохраняет on, увеличивает revision и публикует event только после успешного durable save.
• AC3 (backend): два concurrent toggle одного marker сериализуются без lost update; response/event revisions монотонны, итог соответствует двум инверсиям.
• AC4 (backend + ревью кода): non-admin authenticated connection может выполнить eligible toggle без may_write; forged missing/ineligible ID получает not_toggleable, не меняет store и не вызывает HA service.
• AC5 (unit): manual off является source.on=false во всех canonical light consumers; incoming controller on его не перекрывает, а другой независимый room source продолжает влиять на room aggregate.
• AC6 (unit + ревью кода): exact manual intent имеет typed marker target, current/next effect и operational operation; marker ID никогда не попадает в hass.states как entity и в callService/entity_id.
• AC7 (unit + smoke): диалог exact-комбинации не показывает toggle_none_no_actionable_entity, показывает virtual target и current/next; остальные hints/confirmation #94 не изменились.
• AC8 (backend): restart/recreation runtime data загружает сохранённый off; config/get возвращает согласованный revisioned snapshot, достаточный для первого off frame без ожидания event.
• AC9 (backend): все config writers сохраняют state для rename/move/ hidden/unrelated edits и очищают его при role/action/binding/delete change; неизвестный config revision gap сбрасывает overrides к on.
• AC10 (smoke): tap/click в full View меняет Glow, room fill и room N из M вместе; повторный tap возвращает их. Touch pointer выполняет один toggle, pan/pinch/long-press не выполняют.
• AC11 (smoke): две full cards и houseplan-space-card принимают один server event и показывают одинаковый state; stale response не откатывает более новую revision, reconnect/reload исправляет missed event.
• AC12 (unit + smoke): outgoing controls exact marker не получают HA service от manual tap; после выхода из тройки прежний resolver #94 получает сохранённые controls без потери.
• AC13 (unit + smoke): tap_confirm re-resolves stable marker target, выполняет server-current atomic toggle и безопасно отказывает, если eligibility изменилась до подтверждения.
• AC14 (unit + ревью кода): runtime revision инвалидирует canonical light/presentation cache без HA tick, polling и structural config/device rebuild; N static cards разделяют cache/subscription.
• AC15 (unit + build): RU/EN parity, malformed cache/store input и old/new optional field matrix покрыты; три bundle snapshot после build побайтно совпадают.
• AC16 (ревью кода): оба changelog, RU user guide, README light recipe, LIGHT, ARCHITECTURE и CONFIG-COMPATIBILITY описывают точное исключение, persistence/permissions и отсутствие export.

15. План тестов и доказательств

15.1. Frontend unit

1. Eligibility/action matrix AC1/AC6/AC12.
2. Canonical source matrix: default on, manual off/on, controller OR ignored, other room sources, hidden and exit from triple.
3. Intent formatter: virtual target/current/next, no fake entity ID, no old no-actionable text, confirmation target stability.
4. Runtime snapshot cache: revision ordering, event-before-response, reconnect snapshot and malformed local cache.
5. Resolver-cache mutant: removing runtime revision from cache key must make a test fail because state would stay stale without HA tick.

15.2. Backend

1. Store absence/default, off/on persistence and runtime recreation.
2. Atomic concurrency with controlled interleaving; save/event ordering.
3. Admin and non-admin authenticated connection; invalid marker matrix.
4. Config writer lifecycle for ordinary set, import apply, optimize/undo and setup migration path.
5. Config revision gap, corrupt/oversized Store, bounded pruning and save failure without false event.
6. Wire compatibility: optional snapshot, old client payload and no config schema/export changes.

15.3. Browser smoke

Targeted scenario builds one eligible virtual lamp, one incoming controller, one unrelated room source, two full cards and one static card. It checks AC7/AC10–AC13 using real click and touch pointer sequences, visible Glow/room presentation, WS call log, event revisions and zero HA service calls.

Reload starts from server off and proves the first committed candidate is already off. A disconnected card misses an event, reconnects and adopts the current snapshot. Confirmation race changes config before confirm and proves no retarget.

По действующему процессу smoke пишется вместе с реализацией, но в цикле реализации запускаются только typecheck, unit и build. Целевой smoke и полный browser smoke исполняются перед бетой; reviewer может запустить узкий сценарий для доказательства AC.

15.4. Golden и performance

Golden matrix получает точный on/off virtual-lamp fixture на существующей flat View сцене; новый художественный baseline не проектируется. Golden verify и обновление принятого baseline выполняются только на pre-beta gate.

Performance gate должен подтвердить отсутствие polling, дополнительного HA state subscription, per-source network call и полного config/device rebuild на event. Отдельный новый численный budget не вводится: операция пользовательская, state snapshot bounded числом markers, а resolver остаётся frame-cached.

16. Security и надёжность

Основной новый trust boundary — authenticated non-admin WS mutation. Он ограничен следующими правилами:

• marker выбирается только из server config;
• eligibility вычисляет backend;
• command не принимает state, entity ID, service/domain или config fragment;
• payload и persisted set ограничены существующим marker limit;
• одна команда делает одну atomic inversion;
• никакой HA service/file/network action не выполняется;
• failed save не создаёт success response/event;
• revision gap деградирует в on, а не в stale manual state.

Lock/alarm invariant docs/SCOPE.md не затронут: virtual operational target не может резолвиться в secure entity или HA service.

17. Release-артефакты

Реализационный пользовательский коммит содержит:

• docs/CHANGELOG.md и docs/CHANGELOG.ru.md со ссылкой на #107;
• docs/USER-GUIDE.ru.md — рецепт точной тройки, persistence и отличие от controller link;
• README.md — краткий EN recipe/contract;
• docs/LIGHT.md — manual authority в canonical resolver;
• docs/ARCHITECTURE.md — operational Store/WS/live-sync boundary;
• docs/CONFIG-COMPATIBILITY.md — old/new matrix, config-revision coherence и export exclusion;
• frontend unit, backend tests и browser scenario;
• синхронные dist/houseplan-card.js, custom_components/houseplan/frontend/houseplan-card.js и demo/srv/assets/houseplan-card.js.

Новых migration UI, screenshot документации и отдельного security report не требуется. Перед бетой идут штатные golden verify, browser smoke и performance gate по release runbook.

18. Откат

Откат — обычный revert frontend/backend изменения, тестов, документации, changelog и bundle snapshot. Plan config/layout/import formats не меняются.

Отдельный operational Store после downgrade безопасно игнорируется; старая версия снова считает passive Always source включённым и не умеет его переключать. При последующем upgrade незнакомый config revision сбрасывает stale overrides к on. Ручное редактирование .storage пользователю не предлагается.

19. Принятые технические предположения — можно менять без пересмотра продукта

1. Отдельный Store и хранение только off IDs предпочтительны, но точный key и Python class names не являются продуктовым решением.
2. Initial state может ехать дополнительным полем config/get либо другим атомарным snapshot endpoint, если первый frame, old/new compatibility и config-revision coherence полностью сохранены.
3. Typed intent можно оформить union-командой либо отдельным operational action рядом с HA command; запрещены только две расходящиеся resolver-ветки.
4. Full card может иметь собственную event subscription, а static cards — общую module-level; точная раскладка допустима при отсутствии N одинаковых fetch.
5. Local cache хранит snapshot для continuity, но server revision остаётся authority и optimistic toggle не вводится.
6. Config writer helper может консервативно сбросить все manual overrides при неизвестном revision gap вместо попытки угадать историю eligibility.
7. Hidden marker сохраняет state, tombstone удаляет; это следует существующей границе visual hide против semantic delete.
8. Full import не импортирует state, но может сохранить текущее значение совпавшего stable eligible marker ID после reconciliation.