houseplan-card/docs/reviews/SPEC-REVIEW-39-r3.md

# SPEC-REVIEW-39-r3

- Issue: https://github.com/Matysh/houseplan-card/issues/39 — «[HP-UX-09] большие подложки»
- Этап: ТЗ на ревью (PROCESS.md §2.4)
- Заход: r3 · блокирующих циклов израсходовано 2/4 (зелёные вердикты цикл не образуют, #227)
- ТЗ: `docs/specs/039-large-backdrops.md`, ревизия 4, SHA `9431a5ce`
- Предыдущий вердикт: жёлтый, r2, SHA `f787de99` (`docs/reviews/SPEC-REVIEW-39-r2.md`) — 0 High, 2 Medium (r2-M1, r2-M2)
- Трек: полный (владелец, 2026-08-15: «P3, polish/tech-debt, обычный трек») — без изменений

## Скоуп проверки (дельта r2→r3)

Дельта локальна и полностью укладывается в границы одной правки одного файла:
`git diff f787de99..9431a5ce -- docs/specs/039-large-backdrops.md` — 22
добавленных / 7 удалённых строк, ничего больше (`git diff --stat f787de99..9431a5ce`
показывает только этот файл плюс публикацию `docs/reviews/SPEC-REVIEW-39-r2.md`,
которую я не оцениваю как предмет ревью — это артефакт прошлого раунда).
Единственный коммит в диапазоне — `9431a5ce docs: #39 spec revision 4 per
SPEC-REVIEW-39-r2` (`Issue: #39`, `User-Visible: no`). Ребейза на ушедший вперёд
`dev` не было (`f787de99` — прямой родитель по линии этого файла). Контракт
поведения не менялся: ревизия 4 отвечает точечно на r2-M1 и r2-M2, новых AC не
добавляла, новой подсистемы не задела. Объём дельты не сопоставим с исходной
задачей — веду по дельте согласно PROCESS.md §2.9/§2.10, полный разбор с нуля
не требуется.

## Закрытие раунда r2

| Находка r2 | Чем закрыта | Где это видно |
|---|---|---|
| **r2-M1** — AC4б без названного способа доказательства: не назван триггер decode-fail/таймаута в смоке, не проверяется ключ тоста и сброс инпута, ни один мутант не ловит регресс «автофолбэк на оригинал» | Раздел «Тесты и мутанты» получил абзац «Hard фаза 2 в смоке»: `window.createImageBitmap` подменяется на (а) reject — путь decode-fail, (б) вечно висящий Promise — путь таймаута; названы 4 ассерта (тост содержит `_t('backdrop.downscale_failed')`, `<input type=file>.value` сброшен, `_spaceDialog.planFile === null`, повторный выбор открывает диалог заново) плюс счётчик обращений к upload/planFile со старым оригиналом; в реестр мутантов добавлен пункт (5) — подмена catch фазы 2 продолжением старого пути ловится смоком по этому счётчику | `docs/specs/039-large-backdrops.md:176–186` |
| **r2-M2** — «Release-артефакты» не называет security даже отрицательно, хотя вводится ручной парсер заголовков от пользователя | Добавлен пункт «security (явное решение)»: парсер читает только фиксированные оффсеты/длины уже полученного `ArrayBuffer`, ни одно поле файла не становится размером аллокации, `w×h` — арифметика с защитой от переполнения через `Number`-границы и отказом `unknown` на неправдоподобных значениях, любые исключения → `unknown`; юнит-таблица получает fuzz-набор враждебных заголовков (нулевые/гигантские длины чанков, обрезанный VP8X, SOF без длины); SVG-путь парсером не тронут | `docs/specs/039-large-backdrops.md:214–221` |

Обе находки r2 закрыты полностью, а не частично: r2-M1 требовал по своей
формулировке «правки» назвать способ форсировать decode-fail/таймаут — «мок
`window.createImageBitmap`… на усмотрение автора, но названный» — ревизия 4
называет ровно этот способ и для decode-fail, и для таймаута, плюс закрывает
все перечисленные в r2 пробелы (тост, сброс инпута, мутант на автофолбэк).
r2-M2 требовал одну строку с явным решением по security — ревизия 4 даёт
больше запрошенного минимума (перечисляет конкретные защитные инварианты
парсера и связывает их с юнит-фикстурами), но это не выход за скоуп: те же
фикстуры уже были обещаны разделом «Тесты и мутанты» ревизии 3, здесь их
только называют явно под заголовком security.

## Унаследовано из r2 (и транзитивно из r1)

Без повторной проверки — дельта их не касается:

- Технические анкеры кода (`_pickPlanFile`, ручной base64-цикл, aspect через
  `<img>`, `MAX_FILE_BYTES`, квота, транзакция staging-до-save) — сверены
  построчно в r1 (SHA `156be645`), текст этих мест дельта r2→r3 не меняла.
- Бенчмарк-матрица (4–165 МП, headless Chromium) и константы
  `src/backdrop-probe.ts` (`WARN_DECODED_BYTES`, `HARD_DIMENSION`,
  `DOWNSCALE_TARGET_PX`) — не менялись со ревизии 2/3.
- AC1–AC3, AC5–AC9, AC4/AC4б по своей формулировке (не по способу
  доказательства) — не менялись в этой дельте, признаны проверяемыми в r1/r2.
- Раздел «Сценарий» и «До/После» (закрытие M1 из r1) и полный список i18n-ключей
  en/ru (закрытие M2 из r1) — не менялись, проверены в r2 (`SPEC-REVIEW-39-r2.md`,
  SHA `f787de99`).
- Тост как технически достижимый механизм из `_pickPlanFile` →
  `this.host._showToast` — сверено в r2 по коду `houseplan-editor-runtime.ts:8252`
  и `houseplan-card.ts:2495`; дельта r3 не меняла ни вызывающий код, ни
  описание тоста, только добавила новый ключ в уже существующий канал.
- `docs/SCOPE.md` J4 и standing rules (never-delete-a-file, lock invariant) —
  нерелевантны/не задеты, сверено в r1 и r2, дельта r3 текст сценария и скоупа
  не трогала.
- Терминология («подложка», диалоги `hp-dialog`) соответствует
  `docs/USER-GUIDE.ru.md` — сверено в r1, новых терминов в дельте r3 нет.
- Low-находки r2 («чего не проверял»): возможное несоответствие
  `backdrop.unknown_title`/`large_title` и наличие ли у `hp-dialog` готового
  сценария с тремя кнопками действия — оставлены открытыми решением
  ревьюера r2 (не блокируют DoR), дельта r3 их не касалась, повторно не
  поднимаю.

## Как проверялось в этом раунде

1. Нашёл вердикт r2 и его SHA в опубликованном документе
   `docs/reviews/SPEC-REVIEW-39-r2.md:6` (`f787de99`, назван явно) и в
   комментарии issue от 2026-08-29T06:22:04Z — совпадают.
2. `git diff f787de99..9431a5ce -- docs/specs/039-large-backdrops.md`
   построчно (полный вывод см. выше в «Скоуп проверки»).
3. `git diff --stat f787de99..9431a5ce` — подтвердил, что дельта не тронула
   ничего вне `docs/specs/039-large-backdrops.md` (второй файл в диапазоне —
   публикация прошлого документа ревью, не предмет этого раунда).
4. Прочитал итоговый файл целиком (232 строки), не только diff-хунки — сверил
   новый абзац «Hard фаза 2 в смоке» и мутант (5) против UX-контракта фазы 2
   (`:99–104`) и AC4б (`:157–159`): триггер, тост, сброс инпута и «нет
   автофолбэка» совпадают дословно с тем, что описано в UX и AC.
5. Сверил новый security-абзац (`:214–221`) с разделом «Диагностика: заголовки,
   не decode» (`:75–85`) и «Риски» (`:194–197`, «Зоопарк заголовков») —
   противоречий нет, детали (фиксированные оффсеты, отказ в `unknown`)
   согласуются, а не дублируют другим числом.
6. `gh issue view 39 --json comments` — прочитал все 6 комментариев целиком,
   включая комментарий владельца о ревизии 4 (совпадает с diff, новых устных
   решений или продуктовых вопросов не содержит).
7. `docs/specs/README.md` (список обязательных release-артефактов) — сверил,
   что после правки перечень «changelog / docs / i18n / golden / performance /
   security» закрыт по всем пунктам буквально, а не молчанием.
8. Проверил метки issue (`gh issue view 39 --json labels`): `S4-spec-review`,
   `P3`, `polish`, `tech-debt` — трек по-прежнему полный, файл ТЗ обязателен
   (не `small`), что и наблюдается.

## Гейты

Diff — только `docs/specs/039-large-backdrops.md` (плюс публикация прошлого
review-документа), 0 файлов в `src/**`/`custom_components/**`/`test/**`/
`demo/**`. Как в r1 и r2:

| Гейт | Применимо? | Причина |
|---|---|---|
| `npx tsc --noEmit` / `npm test` / `npm run build` | нет | диапазон не содержит кода |
| `node scripts/check-docs.mjs` | нет | `src/**` не тронут |
| `npm run invariants` | нет | геометрия/`layout`/толщина стен не затронуты |
| browser-смоки, `golden:verify`, `pytest tests_backend` | нет | реализации по-прежнему нет; смоки/юниты из ТЗ (`test/backdrop-probe.test.mjs`, `demo/smoke_backdrop_guard.mjs`) не существуют |

Намеренно ничего не прогонял: предмет этапа `spec` — текст ТЗ, а не код, и
прогон гейтов над docs-only диапазоном не проверил бы ничего по существу.

## Находки

Нет. High: 0. Medium: 0. Обе находки r2 закрыты полностью (см. таблицу выше),
новых Medium/High дельта не вносит.

## Что проверено и корректно

- r2-M1 закрыта: способ форсирования decode-fail (`reject`) и таймаута
  (вечно висящий `Promise`) назван явно через мок `window.createImageBitmap`;
  все 4 ранее не названных ассерта (ключ тоста, сброс инпута, чистый staging,
  повторный выбор) теперь в тексте; мутант (5) ловит именно ту регрессию,
  ради которой AC4б вводился («молча грузить оригинал, от которого
  отказались, — нечестно»).
- r2-M2 закрыта: security-решение явное, содержательное (fixed-offset parsing,
  без file-controlled allocation size, fail-closed в `unknown`, fuzz-таблица)
  и не противоречит уже описанной диагностике и рискам.
- Новый текст согласован с остальным документом: UX-контракт фазы 2
  (`:99–104`), AC4б (`:157–159`) и обновлённые «Тесты и мутанты» (`:176–186`)
  описывают одно и то же поведение одними и теми же терминами (тост,
  сброс инпута, staging), расхождений в формулировках нет.
- «Откат», «Вне скоупа», i18n-список и «Риски» дельтой не менялись и остаются
  согласованными с новым текстом.
- Владельцу вопросов не задавалось ни в этом, ни в предыдущих раундах — обе
  находки r2 были техническими и решены автором ТЗ в своей компетенции.
- DoR §2.5 по совокупности трёх ревизий (r1→r4) закрыт буквально: сценарий и
  «до/после» есть, AC1–AC9(+4б) пронумерованы с указанием способа
  доказательства, i18n-ключи en/ru перечислены явно, риски и release-артефакты
  (включая security) названы, откат — один revert без миграции конфига.

## Чего не проверял

- Реальное поведение в браузере — реализации по-прежнему нет, `test/backdrop-probe.test.mjs`
  и `demo/smoke_backdrop_guard.mjs` не существуют; их «умение падать» —
  предмет код-ревью (AC4б, мутант 5 в частности).
- Точна ли оценка «10 с таймаут» будет действительно проверяться смоком без
  реального 10-секундного ожидания в CI: текст называет механизм (мок
  глобала на вечно висящий `Promise`), но не говорит, укорачивается ли сам
  таймер реализации под тестовым флагом. Это не было отдельно
  сформулировано как обязательное требование в «Правке» r2-M1 (там был
  предложен выбор «мок глобала **или** ускоренный таймер — на усмотрение
  автора, но названный»), и названный вариант формально закрывает находку.
  Оставляю Low, не блокирует: это решение исполнителя о скорости прогона
  смока, не о корректности AC4б, и он вправе сам выбрать — ускорить таймер
  под тестовым флагом или мириться с 10-секундным ожиданием в смоке.
- Low-находки, унаследованные из r2 (`backdrop.unknown_title` vs переиспользование
  `large_title`; поддержка `hp-dialog` трёх кнопок действия) — не переоценивал,
  дельта их не касалась, решение реализации остаётся открытым по тем же
  причинам, что в r2.
- Точность чисел бенчмарка (4–165 МП) — не пересчитывал, как и в r1/r2.

## Вердикт

0 High, 0 Medium. Обе Medium-находки r2 (r2-M1, r2-M2) закрыты полностью и
без остатка, новых блокирующих находок дельта r2→r3 не вносит. ТЗ (ревизия 4)
удовлетворяет §7.1 и DoR §2.5 по совокупности всех четырёх ревизий.

**Вердикт: зелёный · заход r3 · блокирующих циклов 2/4 · High: 0 · Medium: 0**