main/audits/2026-10-11/reports/10-custom-scripts-and-tooling.md

Аудит 10 — Custom Scripts & Tooling

1. Audit metadata

• Audit ID: 10 / Custom Scripts & Tooling.
• Дата: 2026-10-11.
• Workspace: /Users/ksv741/Project/vibe/WealthLedger.
• Задание: audit-prompts/10-custom-scripts-and-tooling.md.
• Результат: audit-results/10-custom-scripts-and-tooling.md. Имя без суффикса -report выбрано по прямому указанию пользователя.
• Режим: read-only для исследованных репозиториев; единственная подготовленная запись в workspace — этот отчёт.
• Skill: установленный ponytail-audit прочитан и применён к сложности инструментов. Его complexity-pass отделён от проверки побочных эффектов и границ гарантий. Исправления не применялись.
• Graphify: инструкции прочитаны; существующий graphify-out/graph.json в workspace не найден. Extraction/install не запускались: они создают дополнительные артефакты, не предусмотренные read-only контрактом аудита.
• Прежний аудит: audit-results/technical-audit-2026-10-11.md прочитан как реестр гипотез. Findings этого отчёта получены из текущих файлов и callers независимо.

Репозитории и состояние

Пути в таблице относительны к workspace; evidence далее использует тот же префикс.

Repo path	HEAD SHA	git status --short при исследовании	Охват
.	dc030f84c979cedb2628ef4bd97c62d6c63a9256	Пустой вывод	Workspace manifest, release config, CI и allowlist
frontend	c8821200ce699dab1ce65360d1968d5877a2e78b	Пустой вывод	Полный инвентарь custom tooling
backend	0ad84ff4f0b4712abc7e69dc299856f14af6eadd	Пустой вывод	Полный инвентарь custom tooling
specs	fcdc805f6c1b3be6a20a7e858e3e80cbd83a9121	Пустой вывод	Полный инвентарь custom tooling
docs	e6fd4f64b81dd73b33959b845a1babcfac1891c8	Пустой вывод	Полный инвентарь custom tooling
deploy	a56ed85230ae27c1e7155f0cc74ecb33fb9d5644	Пустой вывод	Только обнаружение layout и Git metadata; вне четырёх явно перечисленных targets

deploy — дополнительный самостоятельный checkout, а не root-owned каталог. В нём обнаружен deploy.sh, но его реализация и tests/ не исследовались. Утверждение о полном инвентаре ниже относится к четырём targets промпта, а не ко всем возможным deployment-инструментам workspace.

Root исключает audit-results/ из tracking через .gitignore:1–7; чистый root status сам по себе не подтверждает наличие или качество нового отчёта. Файл проверяется отдельно.

Что запускалось

1. git rev-parse HEAD, git status --short, git ls-files в указанных checkout.

2. Статические чтения manifests, hooks, workflows, конфигураций и всех найденных custom tooling files; rg --files --hidden --no-ignore и адресные content searches.

3. Context7 для актуальной семантики openapi-typescript --check, release-it Git checks и npm/npx fallback; установленные реализации генератора и release-it проверены отдельно.

4. Две небольшие read-only проверки установленного генератора из frontend:

   source "$HOME/.nvm/nvm.sh" && nvm use --silent && node node_modules/openapi-typescript/bin/cli.js src/shared/api/spec/openapi.json -o src/shared/api/generated/schema.d.ts --check
   source "$HOME/.nvm/nvm.sh" && nvm use --silent && node node_modules/openapi-typescript/bin/cli.js src/shared/api/spec/openapi.json -o packages/icons/src/types.ts --check
   

   Первая завершилась успешно и вывела openapi-typescript 7.13.0. Вторая намеренно сравнивала результат с другим существующим файлом и получила Generated types are not up-to-date! — ветвь отказа с exit 1. Это проверка отрицательного исхода без изменения snapshot или generated types, а не симуляция обновления backend schema. После запусков frontend status оставался пустым.

   Первоначальный вызов nvm use --silent не выполнился: shell не загрузил функцию nvm. Node-команда тогда не запускалась. Проблема устранена загрузкой существующего $HOME/.nvm/nvm.sh; установка Node не потребовалась.

Не запускались: npm ci/install/audit, custom scripts, release preview/prepare, codegen без --check, Prisma migration/generate, E2E/SQLite/durability/container runners, full verify, сборки, публикация images, broker/bank API, OpenSpec CLI и новые исполняемые инструменты. Runtime поведение этих runners оценено по коду, не воспроизведено.

Проверки сохранённого отчёта:

• source "$HOME/.nvm/nvm.sh" && nvm use --silent && node docs/node_modules/markdownlint-cli/markdownlint.js --config docs/.markdownlint.json -- audit-results/10-custom-scripts-and-tooling.md — PASS, без --fix. Первый запуск выявил только MD029 в нумерации двух списков; нумерация исправлена, повторный запуск прошёл.
• git diff --no-index --check -- /dev/null audit-results/10-custom-scripts-and-tooling.md — PASS; проверяет и новый ignored report, который обычный diff не охватывает.
• git diff --check в root и четырёх targets — PASS; git status --short во всех пяти — пустой вывод. git status --short --ignored -- audit-results/10-custom-scripts-and-tooling.md подтвердил ожидаемый ignored-каталог.
• Семантически сверены inventory totals, callers, scope, evidence и различие confirmed/UNVERIFIED. Boy Scout review ограничен новым отчётом: конкурирующие отчёты/инструкции не создавались, исходники и прежние audit files сохранены.

2. Executive verdict

1. Факт: основной tooling уже делегирует штатным ESLint, TypeScript, Vitest/Jest, dependency-cruiser, npm, Prisma и release-it. Biome сейчас отсутствует; возвращать его ради сокращения scripts не обосновано.
2. Подтверждённое упрощение: frontend check-openapi.mjs повторяет имеющийся openapi-typescript --check. Можно убрать один 45-строчный файл, сохранив npm run openapi:check и ту же гарантию сравнения generated types с локальным snapshot — TOOL-001.
3. Подтверждённая возможность нежелательного side effect: pre-commit использует npx lint-staged без отказа от установки отсутствующего пакета. При корректном npm ci используется локальный пакет; при неполной установке команда допускает registry/cache fallback. Фактическая установка во время commit UNVERIFIED — TOOL-002.
4. Непроверенная эксплуатационная гипотеза: у backend/test/runtime-check.cjs и frontend/scripts/check-image-publication.cjs не найдены локальные исполняющие callers. Это possible unused, не доказанный dead code. У второго есть полезный recovery-инвариант, поэтому автоматическое удаление особенно неуместно — TOOL-003/004.
5. KEEP: SQLite isolation/cleanup, crash-process fixture, durability checks, offline backend schema generator и release version guards имеют самостоятельную ответственность. Ни обычный Jest, ни git diff --exit-code, ни базовые release-it checks полностью её не заменяют.
6. Граница доказательства: локальная freshness-проверка generated types не подтверждает свежесть предоставленного snapshot относительно текущего backend. Сравнение backend offline document с configured runtime document принадлежит отдельной backend suite; это правильное разделение ownership.

Подтверждённых проблем уровня P0–P2 в исследованном tooling не установлено. Рекомендации ниже — небольшие P3 улучшения и проверки ownership. Экономия runtime/CI minutes не измерялась.

3. Inventory & coverage

3.1. Метод и воспроизводимые границы подсчёта

Инвентарь построен по tracked tree каждого repo и независимому filesystem scan со скрытыми папками. Исключены .git, node_modules, dist, dist-dev, generated, coverage, storybook-static и generated .husky/_.

Пример команды обнаружения физических JS/shell-инструментов:

rg --files --hidden --no-ignore frontend backend specs docs -g '*.sh' -g '*.mjs' -g '*.cjs' -g '*.js' -g '*.py' -g '!**/node_modules/**' -g '!**/.git/**' -g '!**/dist/**' -g '!**/dist-dev/**' -g '!**/coverage/**' -g '!**/generated/**' -g '!**/storybook-static/**' -g '!**/.husky/_/**'

Hooks без расширения и TS config entrypoints добавлены из git ls-files и manifest/config references. Ранние широкие searches включали lockfile/generated шум; он не использован для подсчёта custom scripts или findings. Установленные library files читались только для проверки семантики замены, в инвентарь project-owned code не включены.

Определение метрики: custom tooling file — project-owned CLI/test runner либо загружаемый helper с собственной validation/execution logic. Декларативная конфигурация штатного инструмента, application entrypoint и обычные application tests отдельным custom script не считаются.

Repo	CLI / standalone tooling files	Loaded custom helpers	Git hooks без расширения	Ключи scripts в основном manifest	Дополнительные workspace scripts
frontend	5	1	2	25	2
backend	9	1	0	27	0
specs	1	0	1	5	0
docs	1	1	0	5	0
Всего	16	3	3	62	2

Таким образом, 19 физических custom tooling files + 3 hook entrypoints и 64 npm script entries, включая workspace builds. Это разные единицы: npm aliases не являются 64 собственными реализациями. Пересчёт возможен по явным спискам следующих таблиц; секции scripts находятся в frontend/package.json:9–35, backend/package.json:11–39, specs/package.json:8–14, docs/package.json:8–14, двух package manifests ниже.

Root отдельно содержит 3 npm entries: release:preview, release:prepare, commitlint (package.json:8–12); custom CLI/helper files в его tracked allowlist не найдены. Root .agents/ — установленный агентский toolbox, не application tooling четырёх targets; стандартные skills и их reference scripts не пересчитывались.

3.2. Complete Custom Script Inventory

В колонке imports указаны прямые зависимости, существенные для исполнения. Частота означает настроенный trigger, не измеренное количество запусков. Общий владелец — repo, содержащий файл; специальный consumer указан отдельно.

ID	Entrypoint / фактическая команда / тип	Imports и inputs	Outputs / side effects	Consumers / triggers	Failure mode, инвариант и последствие удаления
F1	frontend/scripts/check-openapi.mjs:1–45; node scripts/check-openapi.mjs; validation wrapper	node:child_process, fs/promises, os, path; local snapshot, committed types, installed generator	Генерирует в private system temp, сравнивает UTF-8 text, удаляет temp; tracked output не пишет	openapi:check → verify; локальный вызов, PR/push/image gates	Mismatch/generator failure → nonzero; защита freshness. Удаление без переноса команды теряет gate; штатная замена — TOOL-001
F2	frontend/scripts/check-release.cjs:1–24; node scripts/check-release.cjs; custom guard	assert, child_process, ../package.json; merged semver Git tags	Только чтение Git и version	after:git:init → обе release-команды	Version должна равняться последнему merged vX.Y.Z, иначе отказ. Без guard повторная подготовка версии может пройти при наличии release-коммита
F3	frontend/scripts/test-eslint.mjs:1–395; node --test scripts/test-eslint.mjs; regression executable	ESLint API, установленные plugin presets, assert, fs.globSync, node:test; synthetic TS/TSX и реальные config scopes	Assertions; fix:true применяется к lintText в памяти, файлы не переписывает	test:lint → verify; каждое исполнение canonical gate	Проверяет scope/config, custom rules, formatter stability и сохранение JSX text. Без него lint остаётся, но исчезает proof правильного подключения/исключений
F4	frontend/scripts/test-pre-commit.mjs:1–79; node --test scripts/test-pre-commit.mjs; isolated hook regression	assert, child_process, crypto.randomBytes, fs, os, path, node:test; hook, установленный Gitleaks	Private temp Git repo, staged/unstaged synthetic secret, fake npm/npx, marker; cleanup	README:24; CI verify.yml:63 с PATH=/tmp/gitleaks-bin:$PATH	Assertions для index-only scan, redaction, fail closed и запрета downstream после отказа. Удаление теряет проверку hook boundary, не заменяется обычным history scan
F5	frontend/scripts/check-image-publication.cjs:1–88; вручную node --test scripts/check-image-publication.cjs; synthetic workflow regression	assert, child_process, fs, os, path, node:test; извлечённый shell block image.yml, fake Docker/npm	Temporary binaries, markers, call log; cleanup; реальный registry не используется	Локальный исполняющий caller не найден; manual entrypoint возможен	Проверяет post-push retry, digest-bound labels/smoke и отсутствие второго build. possible unused; сохранять до определения владельца — TOOL-004
F6	frontend/eslint-rules.mjs:1–178; loaded ESLint plugin	ESLint context/AST; filename, source text	Diagnostics; whitespace fixer при --fix	eslint.config.mjs:23–30 → lint, lint-staged, verify, test:lint	2 custom rules: readability и JSX sibling spacing. Удаление снимает локальные style/placement требования; не снимает типовые React/security rules
B1	backend/scripts/check-release.cjs:1–11; node scripts/check-release.cjs; custom guard	assert, child_process, package version, merged tags	Только чтение	release-it hook:22 → preview/prepare	Та же release-version защита, что F2; нужна локальная реализация без зависимости от соседнего checkout
B2	backend/scripts/generate-openapi.cjs:1–41; node scripts/generate-openapi.cjs; generator glue	crypto.randomBytes, fs/promises.writeFile, NestFactory, compiled AppModule/openapi; synthetic env	Перезаписывает openapi.json в cwd; создаёт Nest preview, закрывает app; не слушает порт	openapi:generate после build; openapi-contract.e2e-spec.ts:139–151 из temp cwd	Failure → exitCode 1; офлайн публикация contract из DTO/Swagger metadata. Удаление теряет artifact-producing entrypoint; frontend generator его не заменяет
B3	backend/test/sqlite.cjs:1–95; node test/sqlite.cjs [suite… / --all]; custom runner	child_process.spawn, fs, os, path; suite filenames, Prisma CLI, Jest config	Для каждой suite private temp SQLite, migration deploy, Jest child process group, cleanup; внешний DATABASE_URL заменяется	test:e2e, test:performance, test:sqlite, test:openapi-contract; README, CI verify/image, B4	Unknown suite, migration/test failure, signals → nonzero. Держит DB isolation, общий URL для migration/Jest, kill/cleanup; стандартный Jest этого не обеспечивает
B4	backend/test/sqlite-regression.cjs:1–96; node test/sqlite-regression.cjs; manual runner proof	assert, child_process.spawn, fs, os, path; B3, sentinel DB, engine/signal overrides	3 sequential + 2 parallel full suite passes и 3 failure/signal probes; temp logs/sentinel сохраняются как evidence	README:250–254; не включён в npm verify или CI	Assert distinct DBs, cleanup, external sentinel unchanged, exit codes. Удаление теряет runner regression proof; число повторов не равно измеренным CI затратам
B5	backend/test/e2e-env.cjs:1–17; loaded setup	os.tmpdir, path; WL_E2E_DIRECTORY, DATABASE_URL	При несовпадении temp binding бросает ошибку; задаёт synthetic test env	test/jest-e2e.json:5; B10	Прямой Jest с посторонней DB отвергается до suite. Удаление открывает путь тестам в пользовательскую базу; KEEP
B6	backend/test/eslint-config.cjs:1–146; node --test test/eslint-config.cjs; config regression	ESLint API, assert, fs, path, node:test; synthetic snippets/config	В одном тесте создаёт .eslint-require-* под repo cwd и удаляет в finally; остальные проверки in-memory	test:lint → verify	Проверяет typed rules, boundaries и source resolution compiled imports. Это не formatter write; удаление теряет proof wiring линтера
B7	backend/test/runtime-check.cjs:1–8; node test/runtime-check.cjs; built-artifact assertion	assert, fs; package.json, built entrypoint, compiled Prisma client	Read-only assertions и module import	Только упоминания в ESLint config/test fixtures; исполняющий caller не найден	Проверяет точную строку start:prod, наличие build и import client. possible unused; без caller сегодня не добавляет automated protection — TOOL-003
B8	backend/test/container-smoke.cjs:1–77; node test/container-smoke.cjs <image>; image-boundary test	assert, child_process.execFileSync, crypto.randomUUID; Docker image, CLI	Создаёт disposable volume/container, мигрирует isolated DB, auth HTTP внутри контейнера, restart и cleanup	test:container; image workflow:55 передаёт $IMAGE@$DIGEST	Missing config, unhealthy runtime, assets/native modules/auth/persistence defects → nonzero. Удаление теряет проверку реально опубликованного image
B9	backend/test/bank-cards-durability.cjs:1–219; node test/bank-cards-durability.cjs <baseline-dir>; historical durability runner	assert, child_process, crypto, events, fs, net, os, path, better-sqlite3; отдельный заранее собранный baseline	Private DB, migrations, real local app HTTP, restart/rollback, backups, retained logs/result.json; child stop в finally	test:durability; README:268–293, testing convention:55; manual при data/schema changes	Baseline/current history mismatch и assertions → failure. Защита денежных данных/replay/history через реальные restart/restore boundaries; обычный fresh-DB E2E не равносилен
B10	backend/test/fixtures/tbank-sync-crash.cjs:1–86; child fork(..., [checkpoint]); crash fixture	B5, ConfigService, compiled access/token/sync/repository/Prisma classes; synthetic upstream, temp DB	Real staging/publication в test DB, IPC checkpoint; process намеренно останавливает родитель SIGKILL	test/tbank-operations-sync.e2e-spec.ts:424–488 → B3/test:e2e	Failure до checkpoint → error; демонстрирует durable boundaries между страницами/до/после publish. Изоляция отдельного процесса принципиальна; mocks не заменяют SIGKILL
S1	specs/scripts/check-release.cjs:1–10; node scripts/check-release.cjs; release guard	assert, child_process, package version/tags/porcelain status	Только чтение; rejects untracked/staged/unstaged files и version mismatch	release hook:22 → preview/prepare	Сохраняет clean-tree включая untracked и запрет repeated bump; native release-it имеет более узкую clean-tree проверку
D1	docs/scripts/check-release.cjs:1–10; та же команда	Те же imports/inputs, но только локальный docs checkout	Только чтение	release hook:22 → preview/prepare	Те же гарантии, что S1. Копия между самостоятельными repos не доказывает ненужную общую abstraction
D2	docs/.markdownlint-rule-relative-links.cjs:1; loaded adapter	Установленный markdownlint-rule-relative-links, его .default export	Экспорт rule, без собственного validation algorithm	docs/package.json:9: обе ветви Markdown lint	Однострочный CommonJS adapter; полезная совместимость. Без него нужно доказать корректную загрузку package export штатным CLI

Git hooks и прочие config entrypoints

Entrypoint	Execution graph / inputs	Side effects / failure / invariant
frontend/.husky/pre-commit:1–3	gitleaks git --pre-commit --staged --redact=100 --no-banner → npx lint-staged → npm run deps	Scan index; lint-staged намеренно автоисправляет staged JS/TS; deps собирает packages и проверяет graph. Secret scan failure останавливает downstream. npx install fallback — TOOL-002
frontend/.husky/commit-msg:1	npx --no-install commitlint --edit "$1"	Read commit message, reject invalid format; без package download fallback
specs/.githooks/commit-msg:1–2	npx --no-install commitlint --edit "$1" --strict	Та же responsibility; подключается npm prepare через git config core.hooksPath .githooks
frontend/dependency-cruiser.cjs:1–88	Штатные declarative forbidden rules/options	Cycles, unresolved dependencies, layers/public APIs, production→tests; собственного graph parser нет
frontend/.storybook/dependency-cruiser.cjs:1–23	Расширяет base config; reachable: true, tsPreCompilationDeps: false	Дополнительно запрещает transitive reachability stories→application data. Однострочный direct-import lint не равносилен
frontend/vite.config.ts:15–20	PWA configureOptions проверяет наличие Storybook plugin	Меняет только build plugin options, отключая worker в каталоге; installed tool integration, не отдельный executable framework
backend/prisma.config.ts:1–13	Prisma CLI загружает dotenv/config и native defineConfig	Удаляет RUST_LOG только из текущего CLI process env. Это compatibility shim с описанным historical failure; актуальная необходимость не воспроизводилась
4 repo-local commitlint.config.cjs	@commitlint/config-conventional + declarative type enum	Нативная конфигурация; не custom parser и не отдельный gate implementation

3.3. Package script graph — все aliases и реальные префиксы

Frontend — 25 entries

Script names	Команды / порядок
dev	npm run build:packages && vite
dev:catalog	npm run build:packages && storybook dev -p 6006 --no-open --disable-telemetry
build:catalog	npm run build:packages && storybook build --output-dir storybook-static --disable-telemetry
preview:catalog	vite preview --outDir storybook-static
typecheck	npm run build:packages && tsc -b --noEmit
build	npm run build:packages && tsc -b && vite build
lint → lint:eslint	npm run lint:eslint → npm run build:packages && eslint . --max-warnings=0
lint:fix	npm run build:packages && eslint . --fix --max-warnings=0
test, test:run, test:coverage	Каждый сначала npm run build:packages, затем соответственно vitest, vitest run, vitest run --coverage
test:lint	node --test scripts/test-eslint.mjs
openapi:generate	openapi-typescript src/shared/api/spec/openapi.json -o src/shared/api/generated/schema.d.ts
openapi:check	node scripts/check-openapi.mjs
knip	npm run build:packages && knip
deps	npm run build:packages && depcruise src packages --config dependency-cruiser.cjs --output-type err-long
deps:storybook	npm run build:packages && depcruise src packages .storybook/preview.tsx --config .storybook/dependency-cruiser.cjs --output-type err-long
verify	build:packages → openapi:check → tsc -b --noEmit → eslint . --max-warnings=0 → test:lint → vitest run --coverage → knip → оба depcruise commands без повторного npm prefix → tsc -b → vite build → storybook build --output-dir storybook-static --disable-telemetry
prepare	husky
preview	vite preview
release:preview, release:prepare	release-it --dry-run --ci, release-it --ci; оба загружают local release hook
commitlint	commitlint
build:packages	npm run build --workspaces --if-present

Workspace entries: packages/icons/package.json:19–21 и packages/ui/package.json:23–25 содержат по одному build = vite build && tsc -p tsconfig.json. packages/tokens/package.json:1–12 не содержит scripts; --if-present намеренно его пропускает.

Backend — 27 entries

Script names	Команды / порядок
build	prisma generate && nest build
openapi:generate	npm run build && node scripts/generate-openapi.cjs
format → lint:fix	npm run lint:fix → eslint . --fix --max-warnings=0
start	nest start
start:dev	NODE_ENV=development nest start --watch --path tsconfig.dev.json
start:debug	nest start --debug --watch --path tsconfig.dev.json
start:prod	node dist/src/main.js
lint → lint:check	npm run lint:check → eslint . --max-warnings=0
typecheck:app, typecheck:test	tsc --project tsconfig.typecheck.app.json, tsc --project tsconfig.typecheck.test.json
test	node --experimental-vm-modules node_modules/jest/bin/jest.js
test:watch, test:cov	npm test -- --watch, npm test -- --coverage
test:debug	node --experimental-vm-modules --inspect-brk -r tsconfig-paths/register -r ts-node/register node_modules/.bin/jest --runInBand
test:e2e	npm run build && node test/sqlite.cjs --all
test:performance	npm run build && node test/sqlite.cjs tbank-read-baseline.e2e-spec.ts
test:sqlite	node test/sqlite.cjs; default: auth + bank-cards suites
test:container	node test/container-smoke.cjs; caller должен передать image
test:durability	node test/bank-cards-durability.cjs; caller должен передать baseline
test:openapi-contract	npm run build && node test/sqlite.cjs openapi-contract.e2e-spec.ts
verify	npm run lint && npm run test:lint && npm run typecheck:app && npm run typecheck:test && npm run test:cov -- --runInBand && npm run build
release:preview, release:prepare	release-it --dry-run --ci, release-it --ci; оба загружают local release hook
commitlint	commitlint
test:lint	node --test test/eslint-config.cjs

Важно: test:sqlite, test:container, test:durability сами не собирают backend. Наличие уже подготовленного build/image/baseline — явный input, а не скрытый auto-build/install.

Specs и docs — по 5 entries

Repo / script	Реальная команда
specs/verify	git diff --check
specs/prepare	git config core.hooksPath .githooks
specs/release:preview, specs/release:prepare, specs/commitlint	release-it --dry-run --ci, release-it --ci, commitlint
docs/lint	markdownlint --dot --rules .markdownlint-rule-relative-links.cjs --ignore node_modules --ignore CHANGELOG.md -- "**/*.md" && markdownlint --config .markdownlint-changelog.json --rules .markdownlint-rule-relative-links.cjs -- CHANGELOG.md
docs/verify	npm run lint && git diff --check
docs/release:preview, docs/release:prepare, docs/commitlint	release-it --dry-run --ci, release-it --ci, commitlint

specs/verify проверяет whitespace diff, не валидность behavioral specifications. Это ограничение команды, а не обнаруженный custom validator или причина вводить новый framework в этом аудите.

3.4. Scripts Dependency DAG

frontend CI verify / image + local engineering gate
  -> npm run verify
     -> npm run build:packages
        -> npm run build --workspaces --if-present
           -> icons, ui: vite build -> tsc -p
     -> npm run openapi:check -> check-openapi.mjs -> installed openapi-typescript
     -> ESLint -> eslint.config.mjs -> eslint-rules.mjs + native plugins
     -> npm run test:lint -> node --test test-eslint.mjs -> ESLint API
     -> Vitest -> JSDOM project + browser project -> Playwright/Chromium
     -> Knip
     -> dependency-cruiser [base config]
     -> dependency-cruiser [storybook config -> base, reachable rule]
     -> tsc -> Vite/PWA -> Storybook
frontend security job
  -> standard sha256sum -> downloaded Gitleaks -> history scan
  -> PATH=/tmp/gitleaks-bin:$PATH node --test test-pre-commit.mjs
     -> synthetic temp Git repo -> real .husky/pre-commit
        -> Gitleaks -> fake npx/npm markers
frontend Git pre-commit
  -> staged/redacted Gitleaks -> npx lint-staged [ESLint --fix] -> npm run deps
frontend image workflow
  -> inline version/lock/SHA assertions -> immutable publish/resume
     -> Docker digest -> pull by digest -> label assertions -> nginx smoke
check-image-publication.cjs [manual entrypoint; caller UNVERIFIED]
  -> extracts this workflow shell block -> fake Docker/npm -> recovery assertions

backend CI verify / image + local engineering gate
  -> Prisma generate [native config -> process-local RUST_LOG shim]
  -> npm run verify
     -> ESLint -> native config/plugins
     -> node --test eslint-config.cjs -> ESLint API
     -> both tsc projects -> Jest coverage -> build [Prisma -> Nest]
  -> npm run test:e2e -> build -> sqlite.cjs --all
     -> per-suite mkdtemp / fixed test DB -> Prisma migrate deploy
     -> Jest --config test/jest-e2e.json --runInBand --runTestsByPath
        -> e2e-env.cjs [reject non-runner database]
        -> openapi-contract suite -> generate-openapi.cjs in temp cwd
           -> compiled AppModule + openapi -> Nest preview -> temp openapi.json
        -> operations-sync suite -> fork tbank-sync-crash.cjs -> IPC -> SIGKILL
     -> process-group stop / directory cleanup
backend manual SQLite regression -> sqlite-regression.cjs -> sqlite.cjs
backend manual durability -> bank-cards-durability.cjs
  -> historical/current builds -> isolated migration + real local HTTP
  -> restart / application rollback / SQLite backup-restore -> retained evidence
backend image workflow
  -> inline version/lock/SHA assertions -> Docker publish -> digest pull
  -> npm run test:container -- IMAGE@DIGEST -> container-smoke.cjs
runtime-check.cjs [manual entrypoint; caller UNVERIFIED]
  -> package script string + built main presence + compiled Prisma import

frontend/backend/specs/docs release:preview or release:prepare
  -> release-it -> native branch/clean/commits checks
  -> after:git:init -> local check-release.cjs -> package version vs merged tags
     -> specs/docs additionally check porcelain, including untracked files
specs npm install lifecycle -> prepare -> local Git hook config
specs commit-msg -> local commitlint
specs CI verify -> npm run verify -> git diff --check
docs CI verify -> npm run verify -> Markdown lint
  -> one-line relative-links adapter -> installed relative-links rule
  -> git diff --check
all four security workflows -> sha256sum -> Gitleaks; npm audit separately
all four PR commit workflows -> commitlint title + BASE_SHA..HEAD_SHA
root PR workflow -> npm exec --no -- commitlint; no cross-repo script delegation

DAG показывает ownership и ordering. Количество запусков, required-check настройки и эффект repeated gates относятся к аудитам 11/14; здесь не измерялись.

3.5. SHA/Fingerprint Mechanism Registry

Категории промпта: a business idempotency/replay; b storage integrity; c generated artifact freshness; d CI/cache identity; e test determinism; f ad hoc guard. Runtime resource revision/identity отдельно помечены как расширение категории d: это не CI cache. Crypto authentication и подписанный cursor указаны отдельно, чтобы не назвать их tooling checks.

Для всех project-owned SHA-256 fingerprints ниже код исходит из практической уникальности digest; отдельных collision detectors не найдено. Это не доказательство криптографической модели — её аудит здесь не проводился. Обычный SHA не является подписью, шифрованием или authorization.

Mechanism / category	Evidence / caller	Binding input / угроза / assumptions	Альтернативная гарантия и решение
Card/operation creation fingerprints — a	backend/src/modules/banking/bank-cards/application/bank-card-input.ts:74–81; backend/src/modules/banking/bank-cards/application/bank-cards.service.ts:74–95; backend/src/modules/banking/bank-cards/application/bank-operations.service.ts:214–239	SHA-256 от normalized input; BigInt сериализуется decimal string. UUID и owner проверяются отдельно; одинаковый intent возвращается, конфликт payload отвергается, tombstone не позволяет воссоздать удалённую operation	Unique ID один не обнаружит изменённый payload; current row comparison после редактирования не равно original intent. KEEP, сохранять ownership/transaction/tombstone
Refresh-token hash + CAS — authentication / replay, близко a, не tooling	backend/src/modules/auth/application/auth.service.ts:81–113,166–205; test helper backend/src/modules/auth/application/auth.service.spec.ts:24–25	SHA-256 всего token; session/sub/expiry проверяются отдельно; updateMany связывается с прежним hash. Test helper вычисляет expected value тем же стандартным primitive	JWT verify один не заменяет stored-token rotation/CAS. KEEP; security оценка — audit 13
Password hash — credential storage, вне tooling categories	backend/src/modules/auth/application/auth.service.ts:19–26,48–53,64–75	bcrypt rounds 12, библиотечный salt; password input; dummy hash для отсутствующего user. Не SHA checksum и не storage-file integrity	Без равносильного password KDF замену не предлагать. KEEP; dependency/security rationalization здесь не выполнялась
Operations cursor binding — runtime pagination identity, d-runtime	backend/src/modules/investments/operations/infrastructure/brokerage-operations.repository.ts:128–144; backend/src/modules/investments/operations/application/brokerage-operations.service.ts:239,331–339	SHA-256 от user, connection revision, membership revision для all, account operations revisions и filter key; rejects cursor после изменения scope/data	HMAC защищает body от подделки, но сам по себе не проверяет актуальность binding. KEEP
Operations cursor HMAC — authentication of opaque cursor	backend/src/modules/investments/operations/application/brokerage-operations.service.ts:347–388; read → encode/decode	HMAC-SHA256 от base64url JSON body под JWT_SECRET; length + timingSafeEqual; repository отдельно проверяет binding	Неподписанный base64 не равносилен. KEEP; key reuse/полнота validation относятся к audit 13
Operations work scope key — durable deduplication, a	backend/src/modules/investments/operations/infrastructure/brokerage-operations.repository.ts:254–269; backend/src/modules/investments/operations/application/brokerage-operations-sync.service.ts:157–167	SHA-256 от отсортированных unique interval keys; owner/revision входят в DB identity отдельно. Угроза — дублирующиеся work intents	Raw canonical JSON можно рассматривать только с DB key/migration proof; отдельная новая защита не нужна. KEEP
Operations resource key — d-runtime	backend/src/modules/investments/operations/application/brokerage-operations.service.ts:237–253; controller read → response metadata	SHA-256 filterKey, base64url; связывает metadata identity с фильтром, не с authenticator	Можно передавать raw filterKey только после проверки wire consumers/compatibility. Экономия не измерена. KEEP
Aggregated accounts data revision — d-runtime	backend/src/modules/investments/brokerage-accounts/brokerage-accounts.service.ts:16–65 → investmentResourceMeta; frontend/src/shared/api/resource-query.ts:129–148 проецирует meta	SHA-256 membership revision и списка account IDs/portfolio data revisions. Hash revision graph, не всего response и не schema	Monotonic stored revision требует другого owner/state; простое UUID на каждый GET меняет стабильность. KEEP
Candle data revision — d-runtime	backend/src/modules/investments/instruments/infrastructure/candle.repository.ts:30–53; backend/src/modules/investments/instruments/application/candle.service.ts:101–128	SHA-256 JSON упорядоченных candle time/close/isComplete; coverage/freshness отражаются отдельно. Same digest не доказывает same coverage	Timestamp/revision может заменить только после определения равносильной change semantics. KEEP
Downloaded Gitleaks archive checksum — b, distribution integrity	frontend/.gitea/workflows/verify.yml:52–58; backend/.gitea/workflows/verify.yml:52–58; specs/.gitea/workflows/security.yml:24–30; docs/.gitea/workflows/security.yml:24–30	Pinned SHA-256 целого tar.gz до extraction/execution; checksum доверяется из tracked workflow. Угроза — получение иных bytes	HTTPS без pin не доказывает совпадение bytes с ожидаемым artifact. Используется native sha256sum --check, custom checker нет. KEEP
OCI image digest + source SHA binding — d, artifact identity	frontend/.gitea/workflows/image.yml:46–62; backend/.gitea/workflows/image.yml:42–56; F5/B8	Docker-generated manifest digest; pull/smoke по IMAGE@DIGEST, revision/version OCI labels проверяются отдельно; source SHA задан event/checkout	Version tag или label отдельно не связывает проверку с тем же artifact. Native Docker handles digest; не собственный hashing framework. KEEP
Event HEAD/PR revision SHA — d, source identity	Image workflows:26–27; four commits workflows; verify log SHA	Git HEAD равен event SHA для publication; commitlint диапазон BASE..HEAD; SHA log — traceability. Не equivalent runtime provenance proof	KEEP native Git assertions; source SHA не доказывает schema freshness
npm lockfile SRI — b, package artifact integrity	Четыре package-lock.json, например backend/package-lock.json:85; consumers — npm CLI / npm ci	Library-maintained integrity, обычно SHA-512; input — package tarball. Не custom registry	KEEP package manager ownership. Lock entries не считались отдельными custom mechanisms
Frontend generated-types freshness — c, hashing нет	F1; frontend/package.json:22–26; local generator CLI:125–134,280–292	Exact generated UTF-8 text сравнивается с committed text. Проверяет воспроизводимость относительно local snapshot, не backend актуальность	Native generator --check обеспечивает ту же гарантию — SIMPLIFY TOOL-001
Backend offline/runtime OpenAPI equality — c, hashing нет	B2; backend/test/openapi-contract.e2e-spec.ts:126–159	Generated JSON из compiled preview сравнивается с configured app document; child network listen/connect запрещены; temp artifact	JSON equality дополняется HTTP behavior tests, не SHA. KEEP; не переносить чтение backend source во frontend gate
SQLite integrity/foreign keys — b, hashing нет	B8:63; B9:109–118,202–205; backend/test/tbank-migration.e2e-spec.ts:78–79,259–260	Native PRAGMA integrity_check / foreign_key_check после runtime/migration/restore boundaries	Filesystem byte checksum не доказывает relational integrity. KEEP native DB checks
Release version / migration-prefix guards — f, hashing нет	F2/B1/S1/D1; B9:13–23	Version vs accepted merged semver; historic migration bytes unchanged; synthetic baseline/current directories distinct	Native release-it checks частично покрывают prerequisites, но не всю семантику; KEEP
Synthetic determinism — e, собственный hash не найден	F4:22; F5:38–46; B4:14–18; B9:88–106	Random temp IDs/secret и фиксированный fake digest sha256:exact; deterministic fixtures/assertions. Fake digest не вычисляется и не является security evidence	KEEP isolation; не добавлять hash registry для тестов
PWA generated precache revisions — d, dependency-owned cache identity	frontend/vite.config.ts:12–51; Vite/PWA/workbox build	Asset content revisions обслуживает установленный генератор; own glob/static-shell policy, API paths excluded from navigation fallback	Это generated output, не custom SHA checker. KEEP library ownership; build artifacts не аудитировались

Не найдено: project-owned SHA/fingerprint registry для FSD, conventions, specs или generated freshness; custom CI cache hash scripts; snapshot-update scripts в канонических commands. Наличие слова snapshot в financial DTO/tests не классифицировалось как test snapshot tooling.

3.6. Native Tool Replacement Matrix

Custom mechanism / wrapper	Проверенная native возможность	Реальная эквивалентность / решение
F1 OpenAPI freshness wrapper	Installed openapi-typescript@7.13.0 --check -o; CLI:125–134 и 280–292	Да, для нынешнего single local schema/output. Генерация в памяти, сравнение, exit 0/1 до write. Перенести команду и удалить F1
F1 через regenerate + git diff --exit-code	Git показывает изменение tracked result	Нет для read-only verification: генерация сначала перепишет result; обычный diff не видит untracked. Native generator check проще и точнее
Release clean-tree guard S1/D1	release-it requireCleanWorkingDir: true	Не полностью: installed docs/node_modules/release-it/lib/plugin/git/Git.js:126–130 использует git diff --quiet HEAD, custom guard использует porcelain status и видит untracked. Не удалять assertion как «дубликат»
Version-vs-last-tag guard F2/B1/S1/D1	release-it requireBranch, requireCommits; npm.ignoreVersion	Нет: commits-after-tag не проверяет equality package version/accepted tag; ignoreVersion меняет источник версии. Сохранить guard
SQLite scheduling B3	Jest --runTestsByPath, --runInBand, config/setupFiles	Native Jest уже используется. Нет замены mkdtemp, migration binding, override external URL, process-group cleanup. KEEP thin custom orchestration
E2E environment safety B5	Jest setupFiles	Native hook — caller, не сама гарантия безопасной DB. KEEP 17-строчный guard
Crash/durability/image checks	Jest/Vitest mocks, Playwright browser tests, TypeScript compile	Нет: не воспроизводят SIGKILL, historical migrations/restore и actual Docker packaging. KEEP boundary-specific runners
ESLint config tests F3/B6	eslint ., --max-warnings=0, ESLint API / native RuleTester	Native CLI проверяет current code, но не synthetic counterexamples wiring. Применён native API; новый validator/framework не нужен
F6 JSX-spacing	Installed @stylistic/jsx-newline, prevent:false; frontend/node_modules/@stylistic/eslint-plugin/dist/rules/jsx-newline.js:43–84	Не drop-in: native rule обрабатывает все JSXExpressionContainer и gaps, custom — только выражения с JSX, не text interpolation; алгоритмы различны. Сначала определить нужную policy, не заменять вслепую
F6 readability	Native no-restricted-syntax / no-restricted-imports, TypeScript rules	Части placement/style policy можно выразить selectors; единой эквивалентной замены всего plugin не установлено. Наличие syntax rule не доказывает нужность самой convention. KEEP до доказанной цены/false positives
FSD/story isolation	dependency-cruiser rules с circular, couldNotResolve, reachable, capture groups	Уже native declarative config, не custom graph analyzer. Direct ESLint import запрет не покрывает transitive story reachability. KEEP
D2 Markdown adapter	markdownlint CLI --rules + installed relative-links package	Однострочный adapter уже минимален; semantic link validation принадлежит dependency. Не добавлять собственный link checker
Named npm aliases	npm run, workspaces --if-present	Stable developer commands полезны. Нельзя считать одно делегирование основанием DELETE
Pre-commit npx lint-staged	npm exec --no / npx --no; старое --no-install конвертируется в --no	Native отказ от установки покрывает конкретный side effect; использовать его без новой dependency — TOOL-002
Biome / Prettier	В manifests не установлены; README frontend:95–99 описывает удаление Biome	Нет основания вводить второй formatter ради сокращения текущего tooling

Проверенные внешние источники: OpenAPI TypeScript CLI (https://github.com/openapi-ts/openapi-typescript/blob/main/packages/openapi-typescript/bin/cli.js), release-it Git prerequisites (https://github.com/release-it/release-it/blob/main/docs/git.md), npm exec/npx (https://github.com/npm/cli/blob/latest/docs/lib/content/commands/npx.md). Для version-sensitive решений приоритет отдан установленному коду, не только latest документации.

3.7. Проверки и их side effects

Поток	Фактический side effect	Оценка
Frontend verify, typecheck, lint, deps	Префикс build:packages создаёт package dist; verify также coverage, TS/build artifacts, app/catalog/PWA output	Заявленный build-backed gate. Не read-only в строгом файловом смысле, но generated types не переписывает; не подтверждён forbidden tracked rewrite
Backend verify	Coverage, Prisma client generation и compiled build	Заявленные outputs. Нельзя запускать в аудите read-only; не повод удалять build
openapi:generate frontend/backend	Перезаписывает artifact	Явно generation, не check. Не использовать как read-only proof
F1 и предложенный native --check	F1 пишет private temp, native single-schema check не пишет output	Native вариант уменьшает и implementation, и файловые side effects
F3/B6 test:lint	F3 fixes in-memory; B6 temporary source в repo с finally cleanup	Не source auto-fix. При строгом read-only режиме всё равно не запускалось
Pre-commit	lint-staged auto-fix/stage; packages build; возможный npx install fallback	Auto-fix заявлен README/package config. Установка отсутствующего tool не нужна проверке — TOOL-002
Frontend/specs prepare lifecycle	Husky setup / изменение local Git core.hooksPath	Installation lifecycle, не validator; npm ci --ignore-scripts обходит lifecycle в commitlint jobs
SQLite/E2E/crash runners	Migration/write/delete только runner temp DB; tests могут слушать local HTTP	Поддерживаемая isolation boundary. Не запускать без side-effect review; не заменять на direct Jest с inherited DB
Container smoke	Docker volume/container, migration/auth write внутри disposable image environment	Явные isolated тестовые изменения, cleanup предусмотрен
Durability/regression	Retained temporary DB, backups, logs/result.json	Заявленные диагностические outputs в README, не скрытый snapshot update
Image publication	Docker login/build/push/pull и registry changes	Реальное publication, не безопасная локальная validation команда. Не исполнялось

False positives / negatives: текущий freshness checker и native replacement требуют exact text equality: различие generator output может блокировать gate даже при эквивалентных TS типах. Это выбранная reproducibility-гарантия; частота такого churn не измерена. Одинаковые snapshot/generated files могут быть совместно устаревшими — это не ложное обещание текущего README, который ограничивает check локальным snapshot. Для F6 синтаксические эвристики не устанавливают semantic ownership: schema branch реагирует на имя метода refine/superRefine, helper branch проверяет определённую форму arrow-component. Production false positives/negatives и реальный churn UNVERIFIED; отдельный finding без примера текущего consumer не сформирован.

4. Findings

TOOL-001 — Самописный OpenAPI checker заменяется уже установленным --check

• Decision: SIMPLIFY.
• Severity: P3.
• Confidence: High.
• Evidence: frontend/scripts/check-openapi.mjs:1–45; frontend/package.json:22–26; frontend/scripts/test-eslint.mjs:88–90; frontend/.ai/conventions/data.md:32–33. Проверка замены: installed frontend/node_modules/openapi-typescript/bin/cli.js:125–134,280–292.
• Claim: temp-directory/spawn/read/compare/cleanup реализация не добавляет гарантий к нынешнему single-schema native check.
• Current mechanism: verify вызывает openapi:check; helper запускает тот же generator с теми же input/options, но с temporary output, затем сравнивает UTF-8 strings и транслирует exit code.
• Impact / actual cost: один дополнительный 45-строчный file, process wrapper и filesystem lifecycle для сопровождения. Impact unmeasured для времени/CI/tokens; генерация всё равно нужна и её стоимость не исчезнет.
• Why now: native option присутствует в закреплённой версии 7.13.0; положительная и отрицательная ветви read-only CLI проверены на текущем checkout.
• Minimum change: сохранить alias и задать openapi:check = openapi-typescript src/shared/api/spec/openapi.json -o src/shared/api/generated/schema.d.ts --check; удалить только scripts/check-openapi.mjs; synthetic ESLint sample filePath:88 заменить на surviving .mjs file; data convention:33 описать native check вместо temp implementation.
• Guarantees at risk: mismatch должен давать nonzero; check не должен чинить generated file, читать соседний backend или обращаться к runtime endpoint. Обновление native version/options должно применяться одинаково к generate/check.
• Counterarguments / trade-offs: теряется собственное сообщение с подсказкой npm run openapi:generate; native diagnostic короче. Custom wrapper оправдан при реальных дополнительных нескольких schemas/outputs или иной семантике сравнения, которых сейчас нет.
• Verification or rollback: сверить success на committed artifact, rejection на отличающемся output, отсутствие изменений после обоих исходов; при реализации повторить существующий test:lint. Rollback — восстановить helper и прежнюю строку alias, без изменения schema/artifact.
• Effort: S.
• Related finding IDs: —.

TOOL-002 — Pre-commit допускает установку отсутствующего lint tool

• Decision: FIX.
• Severity: P3.
• Confidence: High для способности fallback; фактическое использование fallback UNVERIFIED.
• Evidence: frontend/.husky/pre-commit:1–3; frontend/package.json:36–38,106; frontend/.husky/commit-msg:1; frontend/scripts/test-pre-commit.mjs:38–46,53–74; npm npx/exec semantics в источниках секции 3.6.
• Claim: plain npx lint-staged не ограничивает hook установленным tool и допускает ненужный install side effect при его отсутствии.
• Current mechanism: Git pre-commit сначала проходит Gitleaks, затем npx разрешает binary. После нормального npm ci локальный lint-staged@17.5.1 уже существует; при неполной установке npm может запросить/выполнить installation в cache, а не сразу отказать.
• Impact / actual cost: возможны registry/cache mutation, ожидание сети/подтверждения и запуск tool вне текущей локальной installation. Impact unmeasured; проблема не воспроизводилась удалением packages и не заявляется как состоявшаяся установка.
• Why now: явный no-install pattern уже используется соседним commit-msg hook; изменение одной строки устраняет ненужную возможность побочного эффекта.
• Minimum change: использовать npx --no lint-staged; поддерживаемый existing spelling npx --no-install lint-staged также транслируется npm в отказ от установки. Остальные hook steps сохраняются.
• Guarantees at risk: Gitleaks должен остаться первым, redacted и fail closed; lint-staged должен продолжить intended auto-fix/index handling; dependency graph check не пропускать.
• Counterarguments / trade-offs: в штатной installation fallback не нужен и не происходит. Hook станет явно требовать подготовленной development installation; он не должен устанавливать её во время commit. Отказ от установки не является полной проверкой provenance уже закешированных/global executables.
• Verification or rollback: существующий hook regression проверяет order/failure/redaction, но fake npx не доказывает no-install resolution. Самая дешёвая дополнительная проверка — controlled temporary PATH/cache с отсутствующим tool и explicit --no, подтверждающая отказ без установки; не трогать текущие node_modules. Rollback — прежняя hook строка.
• Effort: S.
• Related finding IDs: —.

TOOL-003 — У build runtime assertion не найден исполняющий consumer

• Decision: INVESTIGATE.
• Severity: P3.
• Confidence: Medium.
• Evidence: backend/test/runtime-check.cjs:1–8; backend/eslint.config.mjs:67–75; backend/test/eslint-config.cjs:14–23; backend/package.json:11–39; backend/Dockerfile:21–41; backend/test/container-smoke.cjs:29–65; caller search по active manifests/workflows/docs/scripts.
• Claim: инструмент possible unused: references в lint scope/synthetic lint cases не являются его выполнением.
• Current mechanism: вручную исполнимый script сравнивает строку start:prod, проверяет наличие dist/src/main.js и импортирует compiled Prisma client. Npm script, workflow, Docker RUN/CMD и активный README его не вызывают.
• Impact / actual cost: небольшой orphan file и специальные lint/test references; automated runtime protection не подтверждена. Impact unmeasured; потеря времени/CI не заявляется.
• Why now: complete script inventory выявляет неопределённое ownership; это позволяет убрать лишний навигационный путь, если manual/external caller отсутствует.
• Minimum change: сначала спросить release/runtime owner об external pipeline/manual use. При отрицательном ответе удалить файл и исключительно связанные config/test references; не добавлять новый alias только ради оправдания существования файла.
• Guarantees at risk: проверка literal command string исчезнет; actual packaging/client loading частично защищает container smoke, но это другая boundary и другой trigger.
• Counterarguments / trade-offs: файл может быть полезной дешёвой локальной проверкой build без Docker. Отсутствие repo references не исключает ручной запуск или external automation.
• Verification or rollback: подтвердить отсутствие external/manual caller; сравнить защищаемые ошибки с existing image smoke и build. Если нужная local гарантия отсутствует, KEEP и документировать действующий caller. Rollback — восстановить 8-строчный file и его lint entries.
• Effort: S.
• Related finding IDs: TOOL-004 — общий вопрос ownership, не общая реализация.

TOOL-004 — Publication recovery regression не подключён к найденному графу команд

• Decision: INVESTIGATE.
• Severity: P3.
• Confidence: Medium.
• Evidence: frontend/scripts/check-image-publication.cjs:15–29,31–47,49–87; frontend/.gitea/workflows/image.yml:46–62; frontend/.gitea/workflows/verify.yml:63,88–92; frontend/package.json:21,26; frontend/vitest.config.ts:26–64; caller search по active docs/configs/scripts.
• Claim: нет найденного локального исполняющего consumer, хотя test защищает реальную recovery-семантику публикации.
• Current mechanism: Node test извлекает конкретный shell block из YAML по имени/indentation и запускает его с temporary fake Docker/npm. Проверяет failed first pull, успешный retry по тому же digest, label/smoke failure и один build.
• Impact / actual cost: наличие test file само по себе не даёт regression gate. Его связь с workflow также требует поддержки при rename/reindentation шага. Impact unmeasured; actual CI failure/churn не установлен.
• Why now: test:lint запускает один другой file; application Vitest projects не включают этот .cjs script; workflows не вызывают его напрямую. Нужна ясная responsibility перед cleanup.
• Minimum change: установить, используется ли test manually/external pipeline. Если recovery-проверка нужна, закрепить существующий entrypoint у image-tooling owner; выбор trigger отдать audit 11. Если этот сценарий намеренно больше не нужен, удалять test только вместе с решением о гарантии.
• Guarantees at risk: без равносильной regression можно потерять safe post-push resume/digest-bound smoke. Реальную immutable publication и label/digest checks не удалять.
• Counterarguments / trade-offs: standalone manual test вполне допустим; широкий verify не обязан исполнять все diagnostic tools. String extraction тестирует actual block, но чувствительна к структуре YAML; переход на новый custom YAML framework не оправдан.
• Verification or rollback: дешёвая safe проверка — текущий node --test scripts/check-image-publication.cjs после просмотра implementation, в synthetic окружении; в этом аудите не запускалась. Подтвердить manual ownership/trace перед удалением. Rollback — восстановить file/caller; registry не изменять.
• Effort: S.
• Related finding IDs: TOOL-003 — общий вопрос ownership.

5. DELETE / SIMPLIFY / KEEP / INVESTIGATE

Decision	Объект	Почему / сохранённая гарантия
DELETE	Безусловных кандидатов нет	Ни один orphan не доказан dead с учётом manual/external use
SIMPLIFY	F1 check-openapi.mjs implementation, TOOL-001	Удалить файл после переноса alias на native --check; freshness и read-only output сохраняются
FIX	Plain npx в pre-commit, TOOL-002	Explicit refusal to install; staged secret scan и auto-fix остаются
KEEP	Stable npm delegation aliases / workspace builds	Это interface commands, не 64 отдельных bespoke tools
KEEP	F2/B1/S1/D1 release guards	Version equality не заменяется requireCommits; specs/docs porcelain дополнительно видит untracked
KEEP	B3/B5 SQLite isolation/guard	Не допускает migrations/tests на inherited пользовательском DATABASE_URL
KEEP	B4 runner regression	Manual proof process isolation/cleanup; не включён в обычный CI, стоимость не измерена
KEEP	B8/B9/B10 image/durability/crash runners	Native modules/assets, durable publication, exact financial/replay/rollback guarantees
KEEP	B2 и backend offline/runtime schema suite	Offline artifact producer + отдельный runtime parity proof
KEEP	F3/B6 ESLint config regressions	Synthetic negative cases проверяют реальные scopes и formatter behavior
KEEP	F4 Gitleaks staged/redaction regression	History scan не доказывает index-only behavior и downstream stop
KEEP	SHA-256 fingerprints, CAS, cursor HMAC, digest/checksum assertions	Business/security/artifact invariants; native hashing уже используется
KEEP	D2 one-line rule adapter / native depcruise configs	Уже минимальная delegation/config integration
INVESTIGATE	B7 runtime-check, TOOL-003	Possible unused; first verify external/manual ownership
INVESTIGATE	F5 publication regression, TOOL-004	Сохранить защиту recovery, пока не принято решение о consumer
INVESTIGATE	F6 readability/JSX style policy	Нет подтверждённой native semantic equivalence или измеренной цены false positives
INVESTIGATE	Prisma process-local RUST_LOG shim	Historical failure описан, current-version reproduction отсутствует; не удалять по факту обновления Prisma

6. Cost & benefit

Изменение	Ожидаемый класс экономии	Что действительно измерено	Обязательная граница безопасности
TOOL-001	Maintenance, cognitive load; меньше custom process/temp orchestration	Read tool показал 45 физических строк helper, включая imports/blanks; native success/failure выполнены. Runtime, CI minutes и agent tokens — not measured	Не заменять check на mutating generate; не обращаться к backend checkout/endpoint
TOOL-002	Предотвращение ненужной network/install работы и неоднозначного error recovery	not measured; подтверждена command capability, не частота fallback	Сохранить порядок scan → intended format → deps и failure propagation
TOOL-003	Potential cleanup одного 8-строчного файла и orphan references	File size из текущего чтения; benefit/use frequency — not measured	Manual/external use должен быть подтверждён до DELETE
TOOL-004	Ясность ownership / сохранение полезного test	not measured; test execution сейчас UNVERIFIED	Не терять immutable post-push recovery regression
Protected runners	Избежание повторного создания inferior wrappers/checks	not measured	DB isolation, money/replay invariants, migration history и process shutdown остаются

Complexity-pass в формате установленного skill:

• native: убрать custom temp-generation checker; заменить installed openapi-typescript --check, сохранив npm alias. [frontend/scripts/check-openapi.mjs]
• net: -45 lines, -0 deps possible. Это потенциал удаления одного текущего 45-строчного helper, не measured net diff после сопутствующей правки docs/test fixture и не оценка ускорения. Условные orphan deletions в число не включены.

Candidate Removal Plan

Candidate	Минимальная безопасная последовательность	Proof before removal	Rollback
F1 helper — подтверждённый implementation removal	Перенести local alias на native check; поправить synthetic ESLint path и описание; удалить helper	Success + deliberate mismatch + unchanged output + existing lint config test	Восстановить file и alias; generated artifact не менять
B7 runtime-check — условный	Подтвердить manual/external ownership; при отсутствии удалить file и только exclusive references	Existing build/image consumers сохраняются; определить нужность literal start command assertion	Восстановить file/config references
F5 publication regression — удаление сейчас не рекомендовано	Сначала решить, является ли recovery scenario сохраняемой гарантией; при необходимости оставить существующий test у owner	Перед потерей гарантии нужен равносильный proof или явное решение о её прекращении	Восстановить test/caller; не перепубликовывать image

Не предлагать общий release-tooling repo, новый YAML/parser framework, новую dependency для трёхстрочного hook или custom fingerprint framework.

7. Top actions

Quick wins

1. TOOL-002: закрыть install fallback pre-commit одной explicit no-install опцией. Low effort; полезно даже без доказанной частоты fallback.
2. TOOL-001: перенести openapi:check на installed native --check, удалить wrapper implementation; сохранить имя команды и обновить две связанные references.

Решения с ownership / тестовым подтверждением

1. TOOL-003: уточнить manual/external consumers runtime-check; DELETE только при подтверждённом отсутствии потребности.
2. TOOL-004: уточнить owner/consumer существующей recovery regression; по умолчанию сохранить. Trigger выбирать в CI-аудите, не расширять canonical verify автоматически.

Ни одно подтверждённое quick win не требует ADR. ADR имеет смысл только если будет изменяться публичная release/recovery или DB-safety гарантия, а не из-за удаления wrapper file. Массовое переписывание runners и общие tooling abstractions не рекомендованы.

8. Cross-audit signals

• Audit 11 — CI/CD: frontend/scripts/check-image-publication.cjs, frontend/.gitea/workflows/image.yml, backend/.gitea/workflows/image.yml:45–55 — owner/trigger recovery test и различающаяся политика повторного запуска после post-push failure; здесь registry-поведение не воспроизводилось.
• Audit 13 — security/integrity: hash/HMAC/CAS consumers из registry — сохранить guarantees; отдельно оценивать binding/key policy, не трактовать наличие SHA как over-engineering.
• Audit 14 — agent workflow/conventions: frontend/eslint-rules.mjs:63–98, frontend/eslint.config.mjs:270–282 — нужность общего запрета local component handlers/helpers и реальный churn должны оцениваться по policy/consumer, не по числу lint rules.
• Граница targets: отдельный deploy/deploy.sh и deploy/tests/ требуют явного дополнительного tooling target; их анализ не входит в инвентарь четырёх targets этого запуска.

9. Open questions / verification plan

Вопрос, меняющий решение	Текущий статус	Самый дешёвый способ проверить
Есть ли внешний/manual caller runtime-check?	UNVERIFIED	Ответ runtime owner / поиск в его external pipeline configuration. Без caller и потребности DELETE; иначе KEEP
Выполняется ли publication recovery test вручную и нужна ли эта гарантия?	UNVERIFIED	Ответ image owner и один existing synthetic Node test. Затем решение о consumer, не о новом framework
Происходил ли npx install fallback во время commit?	UNVERIFIED; capability подтверждена	Не требуется для однострочного FIX. Если нужна оценка частоты — только имеющиеся redacted logs; не удалять пакеты в checkout
Можно ли заменить JSX-spacing native rule без text/layout изменений?	UNVERIFIED, code semantics различаются	На существующих representative TSX/examples сравнить diagnostics и in-memory fixes; не делать массовый autofix для исследования
Нужен ли RUST_LOG workaround на Prisma 7.10.0?	UNVERIFIED	В отдельной разрешённой тестовой сессии fresh temporary DB migration с warn/error и default env; пользовательскую DB не использовать

Отчёт не подтверждает доступность real registry/runner, correctness всех financial/hash algorithms, полноту HTTP contract behavior или actual full-suite PASS. Эти ограничения не мешают подтверждённому native-wrapper cleanup.

Машинно-считываемая таблица для консолидации

ID	Decision	Severity	Confidence	Repo	Files	One-line impact	Effort	Related IDs
TOOL-001	SIMPLIFY	P3	High	frontend	scripts/check-openapi.mjs; package.json; scripts/test-eslint.mjs; .ai/conventions/data.md	Native --check preserves freshness while removing one custom wrapper	S	—
TOOL-002	FIX	P3	High	frontend	.husky/pre-commit	Plain npx permits unnecessary installation when the local lint tool is absent; occurrence unverified	S	—
TOOL-003	INVESTIGATE	P3	Medium	backend	test/runtime-check.cjs; eslint.config.mjs; test/eslint-config.cjs	No executing local caller found; manual/external use must be verified before removal	S	TOOL-004
TOOL-004	INVESTIGATE	P3	Medium	frontend	scripts/check-image-publication.cjs; .gitea/workflows/image.yml	Useful publication recovery regression has no discovered executing consumer	S	TOOL-003