magistr/BUG_FIX_PROGRESS.md

# Журнал исправления проблем

Обновлено: 2026-07-19 (Europe/Moscow).

## Область и неизменяемые данные

- В работе ровно 33 проблемы: `1` и `3–34`.
- Проблема № 2 исключена: демонстрационные учётные записи, seed-данные и документация по ним не изменяются.
- `BUG_REPORT.md` не редактируется.
- По прямому разрешению владельца проекта миграции V2–V7 удалены, а их итоговая схема
  объединена в `V1__init.sql`: проект находится на этапе разработки, клиентских tenant-БД нет.
  Для этой редакции требуется полный сброс локальной БД.

Исходное рабочее дерево перед началом реализации было чистым (`git status --short` без вывода).

Контрольные суммы исходных миграций до разрешённой консолидации (историческая справка):

| Файл | SHA-256 |
|---|---|
| `V1__init.sql` | `404f65f270dd87f4db996495fc970456c4fd0f762e7c32638199dffaa812ea7b` |
| `V2__subgroups_active_unique_name.sql` | `68f5525a50ddba4f8800a63cab3cd0f84779e301c4a1f29a6e0399f97fbdb30b` |

Текущая единая baseline-миграция: `V1__init.sql`, SHA-256
`fffedf66e8bf7d25d2d8c1b1a6146b45dd5b7e52233d05a68de8bf62c817f7a7`.
Упоминания V2–V7 в исторических записях ниже описывают последовательность разработки до
консолидации и не означают наличие этих файлов в текущем дереве.

## Исходная линия проверок

| Проверка | Результат до изменений |
|---|---|
| `mvn -f backend/pom.xml test` | Maven на хосте отсутствует. Контейнерный эквивалент `maven:3.9-eclipse-temurin-17` завершён успешно: 30 тестов, 0 failures, 0 errors. |
| `find frontend ... node --check` | Успешно. |
| `docker compose config --quiet` | Успешно. |
| `kubectl kustomize ../k8s >/dev/null` | Успешно. |
| `bash -n ../k8s/deploy.sh` | Успешно. |
| `git diff --check` | Успешно. |

## Порядок выполнения

1. Безопасная production-конфигурация и внешние секреты: № 1 (с зависимой частью № 14).
2. Аутентификация и границы запроса: № 3, 4, 24, 25, 28.
3. Высокоприоритетные инварианты расписания: № 5–8.
4. Tenant lifecycle и Kubernetes coordination: № 9, 10, 13, 14.
5. Frontend-сессия и достоверность UI: № 11, 12, 33, 34.
6. Календарные и DB-инварианты: № 15–17, 21, 31, 32.
7. История, права, масштаб и производительность: № 18–23.
8. Локальный запуск, CI/CD, воспроизводимые артефакты и timezone: № 26, 27, 29, 30.
9. AutoUpdateDocs, полный регрессионный прогон и финальный аудит 33 пунктов.

## Чек-лист

Статусы меняются только после реализации и воспроизводимой проверки.

| № | Статус | Подтверждённая первопричина | Решение и основные файлы | Проверка |
|---:|---|---|---|---|
| 1 | требуется внешнее действие | В коде и production YAML были встроенные/placeholder JWT и DB credentials; tenant и OTel credentials находились в отслеживаемой конфигурации; Secure-cookie не был обязательным для production. | Встроенный JWT default удалён; добавлен fail-fast validator; production использует только внешние `app-secret`, `tenants-secret`, `otel-postgres-secret`; создан `docs/SECURITY_RUNBOOK.md`. Репозиторная часть исправлена. Оператору остаются ротация, provisioning, rollout и очистка истории. | 11 JWT unit/context tests; общий backend: 45/0/0; `scripts/check-production-secrets.sh`; Kustomize и shell syntax — успешно. |
| 3 | исправлено и проверено | Ротация refresh-токена выполняла read-check-write без блокировки/условного update. | `RefreshTokenService.rotate()` использует блокирующий `findByTokenHashForUpdate()` с `PESSIMISTIC_WRITE` и `JOIN FETCH` внутри транзакции. | Два синхронных запроса к Spring proxy и PostgreSQL: один успех, один отказ, один активный новый токен. Полный backend: 46/0/0/0. |
| 4 | исправлено и проверено | `AuthContext` устанавливался до role-check и сохранялся в servlet-потоке, когда `preHandle=false` не приводил к `afterCompletion`. | `AuthorizationInterceptor` очищает контекст в начале каждого запроса и устанавливает пользователя только после успешной проверки ролей; финальная очистка сохранена. | Один MockMvc-поток: `403`, публичный запрос, разрешённый запрос и очистка после завершения. Полный backend: 47/0/0/0. |
| 5 | исправлено и проверено | Override сохранялся без доказательства исходной пары, action-specific полей и ресурсных конфликтов. | `ScheduleOverrideService` строит base/effective day, валидирует матрицу и фактическое изменение, проверяет ресурсы и сериализует CRUD через PostgreSQL advisory locks; структурные CHECK включены в V1. | 27 целевых unit/MockMvc/PostgreSQL tests; полный backend: 74/0/0/0. |
| 6 | исправлено и проверено | Teacher-only поиск загружал только базовые правила исходного преподавателя до применения override. | Один snapshot overrides; релевантные `newTeacher`-замены достраивают exact base occurrences по уникальным датам, затем применяются overrides, финальный teacher-фильтр и deduplicate. | 5 новых A→B/phantom/cache/dedup/regression тестов; узкий прогон 10/0/0/0, полный backend 79/0/0/0. |
| 7 | исправлено и проверено | Контроллер сравнивал новые слоты только с сохранёнными правилами, не проверял роль преподавателя и enum формата, а нечётные часы приводили к перерасходу генератора. | `ScheduleRuleService` валидирует весь кандидат до мутации, попарно проверяет дубли/ресурсы, требует `TEACHER`, `Очно`/`Онлайн` и чётные часы; строка семестра сериализует запись. Чётность и точный дубль закреплены в V1. | 23 service/MockMvc/Flyway/PostgreSQL tests; полный backend: 102/0/0/0. |
| 8 | исправлено и проверено | `saveGrid` удалял данные до полной валидации и ловил исключение внутри transactional controller-метода, поэтому Spring коммитил delete и уже обработанные строки. | `AcademicCalendarGridService` полностью валидирует и строит replacement до delete, атомарно заменяет строки и очищает кэш через `afterCommit`; контроллер стал HTTP-адаптером. | 8 unit + 1 PostgreSQL proxy test; fingerprint старой сетки после отказа неизменен; полный backend 111/0/0/0. |
| 9 | исправлено и проверено | При update старый pool закрывался до создания нового; Hikari допускал ленивый нерабочий pool, Flyway проглатывал ошибку, а отказ persistence мог сочетаться с изменённым локальным состоянием. | `TenantLifecycleService` выполняет prepare → connection validation → Flyway → Secret persistence → atomic snapshot swap; candidate закрывается при отказе, прежний route сохраняется, Secret компенсируется, старый pool закрывается после drain. | 18 целевых unit/MockMvc/PostgreSQL tests; create/update, credentials, invalid connection, Flyway, persistence, swap, HTTP `503` и in-flight connection. Полный backend: 132/0/0/0. |
| 10 | исправлено и проверено | Два pod перезаписывали целый tenant-документ без `resourceVersion`; TCP probes не отражали готовность tenant-БД. | Backend применяет доменные upsert/remove через GET → условный PUT по `resourceVersion`, ограниченный retry и безопасную компенсацию; Actuator разделяет process-only liveness и readiness обязательных tenant-БД. Kubernetes содержит RBAC `get/update`, directory mount без `subPath`, required tenant-config и HTTP probes. | 64 целевых теста; полный backend 277/0/0/0; Kustomize, secret-scan и синтаксис deploy-скрипта прошли. |
| 11 | исправлено и проверено | Воскресенье вычислялось повторным мутированием одной даты, date-only строился через UTC, а ошибки кафедральных запросов превращались в пустой успешный результат. | `dashboard-conflicts.js` формирует локальный диапазон на отдельных объектах, загружает кафедры через `Promise.allSettled` и fail-closed различает `COMPLETE`/`PARTIAL`/`NOT_RUN`; зелёная карточка разрешена только для полного результата без конфликтов. | 12 `node:test`: 02.07.2026 00:15 Europe/Moscow, переход года, полный/частичный/нулевой успех и строгий UI-контракт; `npm run check` и синтаксис 25 JS/MJS-файлов — успешно. |
| 12 | исправлено и проверено | Четыре frontend-клиента хранили access JWT и профиль в Web Storage; login/admin исполняли OTel с `esm.sh`, а inline JS/styles не позволяли включить строгий CSP. | Общий `auth-session.js` держит access JWT только в памяти и восстанавливает его через HttpOnly refresh-cookie; OTel собирается из exact npm-зависимостей в same-origin bundle; Apache выдаёт CSP без `unsafe-inline`/`unsafe-eval`. | 21 frontend test, `npm audit` 0 vulnerabilities, Docker build и live HTTP/CSP/bundle check — успешно. |
| 13 | исправлено и проверено | Watcher сравнивал только домены, подтверждал hash до полного успеха, а API после мутации мог принять запаздывающую mounted-проекцию за актуальную. | Полное нормализованное сравнение, prepare/verify/Flyway/atomic swap без повторной записи Secret, hash-after-success, retry 30–300 секунд и semantic snapshot fence по `TenantSecretUpdateReceipt`. | 53 целевых теста, 2 PostgreSQL lifecycle-теста; полный backend 200/0/0/0. |
| 14 | исправлено и проверено | Kubernetes HTTP-клиент имел trust-all TLS fallback. | `KubernetesTenantSecretUpdater` загружает service-account CA, строит PKIX trust store, включает HTTPS hostname verification и не имеет небезопасного fallback. | Mock HTTPS: доверенный CA принят; чужой CA, неверный hostname и отсутствующий CA отклонены. Backend 45/0/0. |
| 15 | исправлено и проверено | CRUD слотов жил в контроллере, проверял только номер пары и принимал клиентскую длительность; DB не запрещала overlap и перенос используемого базового слота. | Транзакционный `TimeSlotService` блокирует сетки, валидирует границы, вычисляет duration и отклоняет overlap; V1 содержит duration CHECK, GiST exclusion и триггеры привязки правил к `DEFAULT`; UI показывает расчётное readonly-поле. | 6 unit; общий backend без Testcontainers 209/0/0/0; чистая V1 и конкурентные DB-сценарии проверены на PostgreSQL 16.3. |
| 16 | исправлено и проверено | CRUD проверял только порядок дат; update не проверял duplicate title/type, годы и семестры пересекались, а семестр мог выходить за год. | `AcademicPeriodService` централизует inclusive-range validation и блокирует родительский год; V1 содержит GiST exclusion constraints и взаимные триггеры границ года/семестра. | 8 unit; общий backend без Testcontainers 209/0/0/0; чистая V1, adjacent/overlap/bounds и конкурентные годы проверены на PostgreSQL 16.3. |
| 17 | исправлено и проверено | Изменение измерений группы/календаря оставляло несовместимые assignments/grid/subjects. | `AcademicStructureService` транзакционно блокирует группу/график, перевалидирует назначения, курсы, сетку и дисциплины; V1 дублирует инварианты конкурентно безопасными триггерами. Несовместимое изменение даёт русский `409` без мутации данных. | 7 unit; общий backend без Testcontainers 209/0/0/0; чистая V1, DB-отказы и гонка двух транзакций проверены на PostgreSQL 16.3. |
| 18 | исправлено и проверено | Бизнес-решения смешивали `users.department_id` с датированными assignments и фильтровали архивные записи по текущему состоянию. | `TeacherDepartmentService` централизует разрешение кафедры на дату; списки, права и нагрузка используют историю, будущий перевод не меняет текущую принадлежность; V1 запрещает overlap основных периодов. | 5 service + 7 controller tests; полный backend 216/0/0/0; чистая V1, overlap и конкурентная запись проверены на PostgreSQL 16.3. |
| 19 | исправлено и проверено | Workload принимал произвольный `departmentId` или глобальный scope для роли `DEPARTMENT`. | Все пять workload-сценариев вычисляют scope через `AuthContext`: кафедра получает только свою выборку, чужой ID даёт русский `403`; глобальный scope сохранён уполномоченным ролям. | 5 controller tests; полный backend 219/0/0/0; compose и diff-check успешны. |
| 20 | исправлено и проверено | Workload и free-classrooms переиспользовали интерактивный широкий поиск, который отклонял tenant с более чем 50 активными группами. | Добавлен узкий `searchForAggregation`: общие validation/overrides/filter/dedup сохранены, UI-лимит отключён только для агрегатов; обычный search не изменён. | 51 и 100 активных групп обработаны полностью; целевые 9/0/0/0, полный backend 221/0/0/0. |
| 21 | исправлено и проверено | Импорт находил дисциплину по глобальному имени и без проверки менял её `department_id`. | Транзакционный `SubjectImportService` сохраняет глобальное владение: свой повтор обновляет тот же ID, чужой даёт `409`; V1 содержит case-insensitive уникальность названия. | 4 unit; полный backend 225/0/0/0; чистая V1, регистровый дубль и конкурентная вставка проверены на PostgreSQL 16.3. |
| 22 | исправлено и проверено | Календарный график учебного отдела получал `403` на specialties/profiles, а видимый CRUD форм обучения был ADMIN-only. | EDUCATION_OFFICE получила read-only specialities/profiles и CRUD education forms; frontend admin/settings используют единый `role-capabilities.js`. | 2 MockMvc role-сценария через реальный interceptor; frontend role test; полный backend 227/0/0/0, npm check успешен. |
| 23 | исправлено и проверено | Генератор искал semester внутри дат и правил, а assignment/calendar day и эффективную сетку времени — внутри комбинаций дат и групп. | `AcademicDateService.ScheduleSnapshot`, batch-репозитории и `buildScheduleForGroups()` загружают данные один раз на запрос; lookup-карты используются во всех внутренних циклах. | 120 дат, 30 групп и 20 правил: ровно 7 repository reads, 30 корректных занятий; полный backend 228/0/0/0. |
| 24 | исправлено и проверено | Login/refresh добавляли строки, а revoke/rotate только ставили `revoked_at`; cleanup отсутствовал. | `RefreshTokenCleanupJob` обходит snapshot tenant-БД, удаляет старые строки ограниченными транзакционными пачками с `FOR UPDATE SKIP LOCKED`; retention и расписание настраиваются, cleanup-индексы включены в V1. | 3 unit; полный backend 231/0/0/0; точная V1 и две конкурентные PostgreSQL-транзакции удалили разные пачки, fresh/active сохранены, повтор удалил 0. |
| 25 | исправлено и проверено | Не было общего mapping DB constraints; несколько контроллеров включали `Exception.getMessage()` в HTTP-body. | `GlobalExceptionHandler` и `DatabaseConstraintViolationMapper` централизованно преобразуют CHECK в безопасный русский `400`, UNIQUE/FK/GiST и неизвестные нарушения — в `409`; raw exception body удалён. | 4 новых теста известных и неизвестных constraints без JDBC/SQL details; полный backend 235/0/0/0. |
| 26 | исправлено и проверено | Compose требовал внешнюю сеть, не публиковал HTTP, рассогласовывал DB/JWT и использовал anonymous volume. Live startup также выявил два неоднозначных Spring-конструктора. | Внутренняя bridge-сеть, Apache reverse proxy и `HTTP_PORT`; согласованные datasource/JWT env, healthchecks, named volume; production-конструкторы явно помечены для DI. | `up --build --wait`; PostgreSQL/backend/frontend healthy, `/` и liveness `200`, API `401`, named volume; полный backend 235/0/0/0. |
| 27 | исправлено и проверено | Pipeline собирал и деплоил без тестов, а release tag только перезапускал Deployment на mutable `:main`. | Обязательный checks job, production concurrency lock, SHA/release build tags и deploy только digest из build outputs; общий shell rollback обоих Deployment. | Workflow YAML/static scan, shell success/failure/rollback, production-secret scan и Kustomize — успешно. |
| 28 | исправлено и проверено | Login не имел shared rate limit, различал архивного пользователя и безусловно доверял forwarded header. | Транзакционный PostgreSQL limiter по tenant + NFKC username + проверенному IP; прогрессивная блокировка, audit/cleanup, единый `401`, `429`/`Retry-After` и trusted proxy chain. | 12 целевых unit/PostgreSQL tests; два service instance дали ровно один `401` и один `429`, общий failure count 2; V1 и cleanup проверены. |
| 29 | исправлено и проверено | Business dates зависели от timezone процесса, абсолютные моменты смешивались с `LocalDateTime`, frontend date-only местами строился через UTC. | `BusinessTimeService` с `Clock`/`Europe/Moscow`; абсолютные моменты переведены на `Instant`/`TIMESTAMPTZ`/UTC; frontend использует локальные компоненты; Compose и Kubernetes фиксируют бизнес-зону и timezone JVM. | Boundary tests московской полуночи, frontend date-only, Kustomize и полный backend PostgreSQL/Testcontainers-прогон 277/0/0/0 прошли. |
| 30 | исправлено и проверено | Образы/скачиваемые инструменты использовали mutable refs либо не имели общего контроля digest/SBOM/scan. | Docker/Compose/Testcontainers, OTel Collector и CI images закреплены tag+digest, Actions — commit SHA; checksum, provenance, SBOM и Trivy gate проверяются скриптом. | Shell-регрессии, Workflow/Compose YAML, repo и полный `K8S_DIR=../k8s` artifact-scan прошли. |
| 31 | исправлено и проверено | Group create/update допускал неположительные значения и уменьшение ниже активных подгрупп; параллельные изменения могли вместе превысить размер группы. | Общий validator create/update, блокировка родительской группы, положительные CHECK и перекрёстные триггеры непосредственно в V1. | 11 service tests и 4 PostgreSQL migration/concurrency tests; полный backend 277/0/0/0. |
| 32 | исправлено и проверено | `between(start,end) > 120` разрешал 121 включительную дату. | Оба сервиса считают включительные даты как `between + 1` и разрешают не больше 120. | Границы 120/121 в query/generator tests; полный backend 277/0/0/0. |
| 33 | исправлено и проверено | Несколько `e.message` вставлялись как HTML; парольные поля имели `type=text`. | Ошибки вкладок, БД и заявок рендерятся фиксированным текстом через `textContent`/`replaceChildren`; поля создания пользователя, tenant и одобрения заявки используют `type=password` и `autocomplete=new-password`. | 3 новых static regression tests; полный frontend: 24 проверки, 0 ошибок; CSP-хэши синхронизированы. |
| 34 | исправлено и проверено | В затронутых UI/log paths оставались английские метки/логи и raw exception text. | Статусы БД и пользовательские ошибки русифицированы; начальная tenant-конфигурация, маршрутизация и interceptor пишут русские production-сообщения с безопасным типом исключения. | Static-проверка исходных английских сообщений; полный backend 200/0/0/0; live Docker HTTP/CSP — успешно. |

## Завершённые этапы

### № 1 и зависимая № 14

- `JwtProperties` больше не содержит секрет по умолчанию; production startup отклоняет пустое, короткое, известное legacy/placeholder значение и `JWT_REFRESH_COOKIE_SECURE=false`.
- `../k8s/config.yaml` больше не создаёт Secret с литеральными значениями.
- `../k8s/backend.yaml` монтирует tenant-конфигурацию из `tenants-secret`.
- `../k8s/otel-collector.yaml` использует только `${env:...}` ссылки и `otel-postgres-secret`.
- `KubernetesTenantSecretUpdater` заменил `ConfigMapUpdater`, использует base64-поле Kubernetes Secret, service-account CA и hostname verification.
- `../k8s/deploy.sh` проверяет обязательные Secrets/ключи до rollout без вывода значений.
- Созданы `docs/SECURITY_RUNBOOK.md` и `scripts/check-production-secrets.sh`; документация синхронизирована через AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn test` | 45 тестов, 0 failures, 0 errors, BUILD SUCCESS. |
| `bash scripts/check-production-secrets.sh` | Успешно. |
| `kubectl kustomize ../k8s >/dev/null` | Успешно. |
| `bash -n ../k8s/deploy.sh` | Успешно. |
| `git diff --check` | Успешно. |
| Повторные SHA-256 V1/V2 | Совпадают с исходными. |

Изменённые вне Git-корня файлы: `../k8s/config.yaml`, `backend.yaml`,
`otel-collector.yaml`, `rbac.yaml`, `deploy.sh`, `README.md`. Их состояние проверяется
отдельно от `git diff`.

### № 3 — атомарная ротация refresh-токена

- Репозиторий захватывает строку исходного токена через `PESSIMISTIC_WRITE` и загружает
  пользователя в том же запросе.
- `RefreshTokenService.rotate()` выполняет проверку активности, отзыв исходного токена и
  создание следующего токена в одной транзакции после захвата блокировки.
- Добавлен интеграционный тест с двумя синхронными потоками, Spring transactional proxy,
  Flyway V1/V2 и реальным PostgreSQL 16.3 через Testcontainers.
- Одновременная ротация подтверждает ровно один успешный результат, один отказ, две строки
  в БД и ровно один активный следующий токен.
- `docs/ARCHITECTURE.md` и `docs/API.md` синхронизированы через AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный узкий `mvn -Dtest=RefreshTokenServiceTest,RefreshTokenServiceConcurrencyIntegrationTest test` | 5 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный полный `mvn test` | 46 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |

### № 4 — границы `AuthContext`

- `AuthorizationInterceptor.preHandle()` очищает `AuthContext` до проверки URI, метода,
  публичного endpoint и bearer-токена.
- Аутентифицированный пользователь помещается в `ThreadLocal` только после успешной
  проверки `@RequireRoles`; ответы `401` и `403` оставляют контекст пустым.
- `afterCompletion()` продолжает очищать контекст после успешно допущенного запроса.
- Регрессионный MockMvc-тест выполняет на одном JUnit-потоке запрещённый защищённый,
  публичный и разрешённый защищённый запросы и проверяет контекст внутри обработчиков и
  после завершения.
- `docs/ARCHITECTURE.md` синхронизирован через AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=AuthorizationInterceptorTest test` | 1 тест, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный полный `mvn test` | 47 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |

### № 5 — безопасные точечные изменения расписания

- `ScheduleOverrideController` стал тонким HTTP-адаптером, а CRUD перенесён в публичные
  транзакционные методы `ScheduleOverrideService`.
- Перед сохранением строится реальная базовая пара на дату с учётом семестра, календаря,
  чётности, lifecycle и остатка часов; несуществующая occurrence возвращает `400`.
- Матрица `CANCEL`/`MOVE`/`REPLACE`, формат и action-specific фактическое изменение
  проверяются до мутации managed entity.
- Сохранённые overrides и кандидат применяются общей логикой `ScheduleQueryService`;
  полуоткрытые интервалы проверяются по преподавателю, аудитории, целой группе и
  подгруппам. Конфликт возвращается как русский `409 Conflict`.
- PostgreSQL transaction advisory lock сериализует изменения даты между pod. Update/delete
  дополнительно блокируют ID; старая и новая даты update захватываются в стабильном порядке,
  после чего строка перечитывается с `PESSIMISTIC_WRITE`.
- Добавлена `V3__schedule_override_invariants.sql`: preflight legacy-строк, CHECK для
  payload каждого действия и формата. Миграционный тест подтверждает полный rollback на
  невалидном legacy `REPLACE` и clean upgrade до V3.
- `docs/API.md`, `docs/BUSINESS_LOGIC.md`, `docs/DATABASE.md` и `docs/ARCHITECTURE.md`
  синхронизированы через AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Целевые контейнерные Maven-прогоны № 5 | 22 unit/MockMvc/PostgreSQL теста, затем 24 усиленных unit/MockMvc теста; оба прогона без failures/errors/skipped. Все 27 тестов № 5 входят в полный прогон. |
| Контейнерный полный `mvn test` | 74 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |
| Повторные SHA-256 V1/V2 | Совпадают с исходными. |
| SHA-256 новой V3 | `eb5315b58a2bad95b0ad36718052788168be0d8f347649c5c98782949865357b`. |

### № 6 — замена преподавателя в результирующем расписании

- `ScheduleQueryService.search()` читает overrides диапазона один раз и переиспользует
  один снимок для достраивания и применения изменений.
- Teacher-only путь по-прежнему строит базовое расписание преподавателя напрямую. Только
  при наличии overrides с совпадающим `newTeacher` он группирует целевые слоты по дате и
  один раз строит полный базовый день каждой релевантной даты.
- Из дня добавляются только occurrences с точным `baseRuleSlotId + lessonDate`; отсутствующая
  базовая пара не создаёт фантомное занятие.
- Overrides применяются до окончательного teacher-фильтра: новый преподаватель видит замену,
  исходный — нет. Итоговая дедупликация удаляет совпавшие базовые и достроенные фрагменты.
- `CANCEL` и `MOVE` продолжают применяться из того же snapshot; при отсутствии релевантной
  замены `groupRepository.findAll()` не вызывается.
- `docs/API.md`, `docs/BUSINESS_LOGIC.md` и `docs/ARCHITECTURE.md` синхронизированы через
  AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Узкий контейнерный Maven-прогон трёх `ScheduleQueryService*Test` | 10 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный полный `mvn test` | 79 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |

### № 7 — полная валидация правил расписания

- `ScheduleRuleAdminController` стал тонким HTTP-адаптером; create/update/archive перенесены
  в публичные транзакционные методы `ScheduleRuleService`.
- До обращений к справочникам сервис проверяет обязательные поля, неотрицательность и
  чётность каждого лимита часов, положительную сумму, недели начала и структуру payload.
  Ноль разрешён для неиспользуемого типа занятия.
- Слот принимает только активного пользователя с ролью `TEACHER`, базовый временной слот и
  формат `Очно`/`Онлайн`; отсутствующая вложенная ссылка возвращает безопасный `400`.
- Кандидат строится отдельно от managed entity. Точные дубли и ресурсные конфликты слотов
  нового payload проверяются попарно до сохранения; `ODD` и `EVEN` разрешены одновременно,
  а `BOTH` пересекается с ними. Конфликтный update не изменяет существующее правило.
- Создание первым DB-запросом блокирует строку семестра. Update блокирует строку правила и
  старый/новый семестры в стабильном порядке; реальный PostgreSQL-тест подтверждает, что из
  двух параллельных create проходит один, а второй после commit видит `409 Conflict`.
- `V4__schedule_rule_even_hours.sql` выполняет русский preflight нечётных legacy-часов и
  точных дублей слотов, затем добавляет провалидированный CHECK чётности и UNIQUE точного
  payload слота. При legacy-нарушении V4 полностью откатывается и остаётся версия V3.
- `docs/API.md`, `docs/BUSINESS_LOGIC.md`, `docs/DATABASE.md` и `docs/ARCHITECTURE.md`
  синхронизированы через AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Целевые service/MockMvc/Flyway/PostgreSQL прогоны № 7 | 23 теста, 0 failures, 0 errors, 0 skipped. |
| Контейнерный полный `mvn test` | 102 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |
| Повторные SHA-256 V1/V2/V3 | Совпадают с зафиксированными значениями. |
| SHA-256 новой V4 | `211babace0f1620cac2186b42b6d3039c8ee8518284473b49da0a4d47186e490`. |

### № 8 — атомарная замена календарной сетки

- `AcademicCalendarController.saveGrid()` больше не содержит транзакцию, bulk delete,
  построчное сохранение и внутренний catch; endpoint делегирует публичному
  `AcademicCalendarGridService.replaceGrid()`.
- Сервис до первого write полностью валидирует непустой payload: `null`-строки, границы
  курса и учебного года, согласованность `weekNumber` и ISO `dayOfWeek` с датой, наличие
  activity type и уникальность `(courseNumber, date)`.
- Все `AcademicCalendarDay` строятся в памяти до `deleteByCalendarId`. Валидный набор
  сохраняется как `delete → flush → saveAll → flush` в одной транзакции; исключения выходят
  за Spring proxy и приводят к rollback.
- Очистка кэша зарегистрирована как `afterCommit`, поэтому не выполняется при rollback и не
  создаёт окно повторного кэширования старой сетки между flush и commit.
- PostgreSQL-тест сравнивает count+MD5 старой seed-сетки: payload с корректной первой и
  ошибочной второй строкой оставляет fingerprint неизменным и не добавляет первую строку;
  следующий валидный запрос атомарно оставляет ровно две новые строки.
- `docs/API.md`, `docs/BUSINESS_LOGIC.md` и `docs/ARCHITECTURE.md` синхронизированы через
  AutoUpdateDocs.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Unit `AcademicCalendarGridServiceTest` | 8 тестов, 0 failures, 0 errors, 0 skipped. |
| PostgreSQL `AcademicCalendarGridServiceIntegrationTest` | 1 тест, 0 failures, 0 errors, 0 skipped; rollback/fingerprint и after-commit подтверждены. |
| Контейнерный полный `mvn test` | 111 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |

### № 9 — безопасная замена tenant DataSource

- `DatabaseController` делегирует create/update/delete в единый `TenantLifecycleService` и
  возвращает lifecycle-ошибки как русский безопасный `503`, а не ложный `200` или raw
  JDBC/Flyway message.
- Новый Hikari candidate не публикуется в маршрутизации до явного `getConnection()` /
  `isValid(5)`, успешного Flyway и подтверждённой доменной мутации в актуальном
  `tenants-secret`.
- `TenantRoutingDataSource` одной volatile-публикацией заменяет неизменяемый снимок
  `TenantConfig + DataSource`; прежняя конфигурация и pool остаются рабочими при ошибке
  credentials, миграции, persistence или доатомарной активации.
- Неуспешная persistence не меняет локальный route. Неопределённый результат записи сначала
  сверяется повторным чтением и не даёт права на опасный откат. Если swap/remove отказывает
  после подтверждённой записи, прежний снимок восстанавливается только при точном совпадении
  `resourceVersion`; более новое изменение другого pod не перезаписывается.
- После успешного swap старый pool не закрывается синхронно: `RetiredTenantPoolService`
  прекращает новые маршруты, сохраняет уже выданные соединения и закрывает Hikari после
  drain либо grace timeout.
- Unit-тесты дополнены отдельной create-веткой, восстановлением снимка без нового domain,
  `Connection.isValid(false)` и MockMvc-проверкой `503` без технических деталей.
- PostgreSQL 16.3/Testcontainers-тест подтверждает сохранность старого route при неверном
  пароле, повреждённом Flyway checksum и отказе persistence, работоспособность in-flight
  соединения во время swap и последующий drain старого pool.
- `docs/API.md`, `docs/ARCHITECTURE.md` и `docs/INFRASTRUCTURE.md` синхронизированы через
  AutoUpdateDocs; исправлено устаревшее описание порядка «in-memory до Secret».

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный целевой `mvn -Dtest=TenantLifecycleServiceTest,TenantLifecyclePostgreSqlIntegrationTest,TenantRoutingDataSourceTest,DatabaseControllerTest test` | 18 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный полный `mvn test` | 132 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Повторные LF-нормализованные SHA-256 V1/V2/V3/V4 | Совпадают с ранее зафиксированными значениями. |

### № 10 — межподовая координация tenant-конфигурации и health probes

- Введён `TenantConfigStore` с явными операциями upsert/remove. Kubernetes-реализация перед
  каждой мутацией читает актуальный `tenants-secret`, нормализует домены и отправляет полный
  объект условным `PUT` с прочитанным `metadata.resourceVersion`.
- `409`, `408`, `429`, `5xx` и транспортные ошибки обрабатываются ограниченно: максимум три
  попытки с возрастающей задержкой и повторным применением только собственной доменной
  мутации к свежему состоянию. Идемпотентная операция не выполняет `PUT`.
- Успех записи и компенсации больше не определяется одним HTTP 2xx: backend разбирает
  возвращённый Secret, сравнивает `tenants.json` с ожидаемым и использует `resourceVersion`
  только проверенного объекта. Пустой, неполный или неоднозначный ответ сверяется повторным
  `GET` без выдачи квитанции, разрешающей небезопасный откат.
- Компенсация выполняется только для подтверждённой собственной версии. Если текущий Secret
  уже получил другой `resourceVersion`, откат прекращается и не затирает изменение другого
  pod. Отсутствующий `data.tenants.json`, повторяющиеся домены и Kubernetes mode без
  ServiceAccount token обрабатываются fail-closed.
- Добавлен Spring Boot Actuator. `/actuator/health/liveness` зависит только от жизнеспособности
  процесса; `/actuator/health/readiness` требует непустой набор обязательных tenant, успешную
  миграцию и свежую успешную проверку каждого соединения. H2-заглушка, ошибка обязательного
  конфига, migration failure, timeout, недоступность или просроченная проверка дают `503`.
- `TenantDatabaseHealthMonitor` проверяет tenant-БД ограниченно-параллельно в фоне; endpoint
  читает только атомарный кэш. Общий deadline отменяет лишь незавершённые задачи, уже
  завершившиеся результаты не теряются и получают фактическое время проверки. Scheduler
  имеет два потока, поэтому долгий health-pass не блокирует watcher.
- `TenantDataSourceConfig` и watcher поддерживают `TENANTS_CONFIG_REQUIRED=true`: отсутствие,
  пустой список или ошибка чтения production-файла фиксируют configuration failure, а H2 не
  маскирует отказ. Actuator endpoints исключены из tenant-interceptor и не раскрывают
  components, домены, JDBC URL или credentials.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/ARCHITECTURE.md` и
  `docs/INFRASTRUCTURE.md`. На этом этапе ограничение watcher по обновлению URL/credentials
  существующего домена было оставлено проблеме № 13 и устранено следующим этапом.
- В текущем внешнем `../k8s` подтверждены directory mount без `subPath`,
  `TENANTS_CONFIG_REQUIRED=true`, Role `get/update` для `tenants-secret` и HTTP liveness /
  readiness probes. Манифесты успешно собираются Kustomize; production rollout остаётся
  отдельным действием оператора.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `KubernetesTenantSecretUpdaterTest` | 21 тест, 0 failures, 0 errors, 0 skipped; два конкурентных updater, CAS conflict/retry, 408/5xx reconciliation, проверка 2xx и безопасная компенсация. |
| Health/startup target (`TenantDataSourceConfigTest`, registry/monitor/indicator, Actuator, MVC exclusion) | 19 тестов, 0 failures, 0 errors, 0 skipped. |
| Lifecycle/controller/watcher target | 24 теста, 0 failures, 0 errors, 0 skipped; PostgreSQL lifecycle отдельно повторён успешно после единичной Docker-сетевой флуктуации. |
| Контейнерный полный `mvn test` | 169 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; 40 suites. |
| `git diff --check` | Успешно. |
| Повторные LF-нормализованные SHA-256 V1/V2/V3/V4 | Совпадают с ранее зафиксированными значениями. |
| `kubectl kustomize ../k8s`, production secret-scan и `bash -n ../k8s/deploy.sh` | Успешно в финальном аудите. |

### № 13 — полная и повторяемая синхронизация tenant-конфигурации

- `TenantLifecycleService.synchronizeFromPersistedConfig()` валидирует весь входной список,
  отклоняет нормализованные дубли до изменения runtime/readiness и сравнивает `name`, `domain`,
  `url`, `username`, `password`. Новый или изменённый tenant проходит candidate prepare,
  проверку соединения, Flyway и атомарный swap; persisted-путь не вызывает `TenantConfigStore`.
- Hash mounted `tenants.json` становится применённым только после успешного разбора и полной
  lifecycle-синхронизации. Ошибка сохраняет прежний hash и повторяется с экспоненциальной
  задержкой 30–300 секунд; новая ревизия обходит backoff. Required missing/read/empty также
  наблюдаемы через readiness и русский лог без credentials, hash или fingerprint.
- Перед `POST`/`DELETE` watcher под общим reentrant monitor применяет ещё не обработанный
  semantic baseline. Ошибка чтения/разбора/sync возвращает безопасный `503` до начала мутации.
  `TenantLifecycleMutationResult` возвращает controller-у immutable-квитанцию персистенции,
  но не раскрывает её в HTTP.
- Snapshot fence ставится только для реально сохранённой изменённой версии
  (`persisted && changed`) и сравнивает нормализованные `previous/committed` snapshots, а не
  сырые JSON-хеши. Поэтому H0/H1 не откатывают две быстрые мутации до H2, форматирование JSON
  не влияет на решение, merged snapshot другого pod применяется, а local/no-op receipt ничего
  не блокирует.
- Ошибка публикации readiness после успешного swap больше не помечает активный новый pool как
  `FAILED`: повтор проверяет действующее соединение и восстанавливает readiness без второго
  Flyway/swap. Старый pool передаётся на drain сразу после успешной атомарной публикации.
- PostgreSQL 16.3/Testcontainers подтверждает сохранность прежнего route при неверных
  credentials и Flyway checksum, успешную замену на валидную БД, работу in-flight соединения,
  drain старого pool и отсутствие повторной записи Secret в persisted-пути.
- Windows/Docker portability TLS-теста стабилизирована явным `https://localhost:<port>`,
  совпадающим с SAN тестового сертификата; production hostname verification не ослаблялась.
- AutoUpdateDocs повторно синхронизировал `docs/API.md`, `docs/ARCHITECTURE.md` и
  `docs/INFRASTRUCTURE.md` с финальной receipt/snapshot-схемой.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `TenantConfigWatcherTest,TenantLifecycleServiceTest,DatabaseControllerTest,TenantRoutingDataSourceTest` | 53 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `TenantLifecyclePostgreSqlIntegrationTest` | 2 теста, 0 failures, 0 errors, 0 skipped; реальный PostgreSQL 16.3/Testcontainers. |
| `KubernetesTenantSecretUpdaterTest` | 21 тест, 0 failures, 0 errors, 0 skipped; TLS, CAS, reconciliation и компенсация. |
| Полный `mvn -Dapi.version=1.44 test` | 200 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `git diff --check` | Успешно. |
| Повторные LF-нормализованные SHA-256 V1/V2/V3/V4 | Совпадают с ранее зафиксированными значениями; миграционные файлы не изменялись. |

### № 11 — достоверный статус проверки конфликтов на дашборде

- `formatLocalDate()` формирует `YYYY-MM-DD` из локальных компонентов `Date` без
  `toISOString()`. `currentWeekDateRange()` создаёт отдельный понедельник и вычисляет
  воскресенье как `понедельник + 6 дней`, поэтому начало месяца и переход года не мутируют
  исходную дату повторно.
- Расписания кафедр загружаются независимо через `Promise.allSettled`. Результат хранит число
  ответивших кафедр и одно из состояний: `COMPLETE`, `PARTIAL` или `NOT_RUN`; технические
  причины отказов не входят в UI-модель.
- `conflictCheckPresentation()` проверяет диапазон, количество конфликтов и согласованность
  счётчиков fail-closed. Зелёная карточка разрешена только для `COMPLETE`, когда проверены все
  кафедры и конфликтов нет. `PARTIAL` всегда показывает предупреждение и не скрывает найденные
  по доступной части конфликты, а полный отказ отображается как «Проверка не выполнена».
- Карточки используют русские безопасные тексты, экранирование, явные success/warning/error
  состояния, период и число проверенных кафедр. Контейнер получил live-region и `aria-busy`,
  кнопка — `type="button"`; после ошибки начальной загрузки «Перепроверить» повторно получает
  справочники, а не анализирует пустой список.
- Тот же локальный formatter устранит сдвиг даты сегодняшнего расписания до 03:00 по Москве.
  Остальная часть общей timezone-проблемы остаётся в объёме № 29.
- Добавлены dependency-free тесты на встроенном `node:test` и воспроизводимые npm-команды.
  AutoUpdateDocs синхронизировал структуру, контракт Red Zone и команды проверки в
  `docs/FRONTEND.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `npm test` в `frontend/` | 12 тестов, 12 passed, 0 failed; локальная полночь `2026-07-02 00:15 Europe/Moscow`, диапазон `2026-06-29…2026-07-05`, переход года и состояния отказов. |
| `npm run check` в `frontend/` | Синтаксис `dashboard-conflicts.js` и `dashboard.js`, затем 12 тестов — успешно. |
| Рекурсивный `node --check` для `frontend/**/*.js` и `frontend/**/*.mjs` | 25 файлов, ошибок нет. |
| Полный backend-регресс | Backend на этапе № 11 не изменялся; последний полный прогон этапа № 13 остаётся зелёным: 200/0/0/0. |
| `git diff --check` | Успешно. |
| Защищённые файлы | `BUG_REPORT.md` и существующие Flyway-миграции не изменялись. |

### № 12 — access JWT только в памяти и same-origin JavaScript

- Добавлен единый `frontend/auth-session.js` для login, admin/settings, teacher и student.
  Access JWT, роль, кафедра и ID пользователя существуют только в памяти ES-модуля;
  legacy-ключи удаляются из `localStorage` и `sessionStorage`, но больше не читаются и не
  записываются. После navigation/reload новый документ восстанавливает профиль через
  `POST /api/auth/refresh` и `HttpOnly` cookie.
- `fetchWithAuth()` добавляет bearer-токен из памяти, дедуплицирует параллельные refresh-
  запросы одним Promise и повторяет исходный запрос не более одного раза. Logout отзывает
  серверную cookie-сессию и очищает память даже при сетевой ошибке.
- Inline CSS/JS кабинетов преподавателя и студента вынесены в `style.css`/`app.js`; inline-
  редиректы кафедры и учебного отдела удалены. Admin/settings запускают UI только после
  успешного async session bootstrap и проверяют роль из общего профиля.
- Удалён `admin/js/otel.js` с runtime-import из `esm.sh`. OpenTelemetry 2.9.0/0.220.0 и
  auto-instrumentations 0.65.0 зафиксированы exact-версиями в `package-lock.json`, собираются
  esbuild в `/vendor/otel.js` на первом этапе Dockerfile и загружаются только с текущего
  origin. `npm audit` не обнаруживает уязвимостей.
- Apache подключает `security.conf`: `script-src 'self'`, `script-src-attr 'none'`,
  `style-src 'self'`, exact SHA-256 для статических style-атрибутов, `connect-src 'self'`,
  запрет frame/object и дополнительные защитные заголовки. `unsafe-inline`, `unsafe-eval`,
  удалённые JS imports и динамические inline-стили отсутствуют; тест проверяет полный набор
  CSP-хэшей. Базовые frontend-образы зафиксированы digest; остальные пункты № 30 остаются в
  его собственном объёме.
- AutoUpdateDocs синхронизировал `docs/FRONTEND.md`, `docs/INFRASTRUCTURE.md`,
  `docs/ARCHITECTURE.md`, `docs/API.md` и устаревший пример в `docs/DEVELOPMENT.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `npm run check` в `frontend/` | 21 тест: 12 dashboard + 5 auth session + 4 CSP/security; синтаксис критических модулей и все тесты успешны. |
| `npm audit --audit-level=moderate` | `found 0 vulnerabilities`. |
| Локальный `npm run build:vendor` | Same-origin bundle `dist/vendor/otel.js`, 327471 байт; удалённых imports нет. |
| `docker build -t magistr-frontend-codex:bug12 frontend` | Multi-stage npm/esbuild → Apache завершён успешно. |
| Live container HTTP check | `/` и `/vendor/otel.js` вернули `200`; CSP и дополнительные headers присутствуют, `unsafe-inline`/`unsafe-eval` отсутствуют. Временный контейнер остановлен и удалён. |
| `git diff --check` | Успешно. |
| Защищённые файлы | `BUG_REPORT.md` и существующие Flyway-миграции не изменялись. |

### № 33 и № 34 — безопасный DOM, скрытые пароли и языковой регламент

- Для ошибок загрузки SPA-вкладок, статуса/списка tenant-БД и заявок преподавателей добавлены
  общие `renderStatusMessage()`/`renderTableMessage()`. Они создают DOM-узлы, записывают
  фиксированный русский текст через `textContent` и атомарно заменяют содержимое через
  `replaceChildren`; `exception.message` больше не попадает в эти UI-границы.
- Поля пароля при создании пользователя, настройке tenant-БД и одобрении заявки преподавателя
  используют `type="password"` и `autocomplete="new-password"`. Поля логина помечены
  `autocomplete="username"`.
- Метки доступности БД `Online`/`Offline` заменены на `Доступно`/`Недоступно`. Затронутые
  production-логи `TenantDataSourceConfig`, `TenantRoutingDataSource` и `TenantInterceptor`
  переведены на русский; вместо текста исключения фиксируется только безопасный технический
  тип, а стек остаётся в отдельной русскоязычной записи `DEBUG`. Англоязычные frontend-логи
  загрузки оборудования, форм обучения и подгрупп также русифицированы; raw `error.message`
  больше не дописывается в собственные browser-console сообщения.
- CSP пересчитан после удаления двух неиспользуемых style-атрибутов. Статический тест требует
  точного равенства множества SHA-256-хэшей реальным атрибутам и не допускает ослабления
  `unsafe-inline`/`unsafe-eval`.
- AutoUpdateDocs синхронизировал `docs/FRONTEND.md`, `docs/ARCHITECTURE.md` и
  `docs/LOGGING.md` с безопасным DOM, парольными полями и правилами журналирования.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `npm run check` в `frontend/` | 24 проверки: 12 dashboard + 5 auth session + 7 security; все успешны. |
| `npm audit --audit-level=moderate` | `found 0 vulnerabilities`. |
| Полный контейнерный `mvn -Dapi.version=1.44 test` | 200 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `docker build -t magistr-frontend-codex:bug12-34 frontend` | Multi-stage npm/esbuild → Apache завершён успешно. |
| Live container HTTP check | `/` и `/vendor/otel.js` вернули `200`; актуальный CSP и дополнительные headers присутствуют. Временный контейнер остановлен и удалён. |
| `git diff --check` | Успешно. |
| Защищённые файлы | `BUG_REPORT.md` и Flyway V1–V4 не изменялись; SHA-256 совпадают с ранее зафиксированными значениями. |

### № 15 — инварианты временных слотов

- CRUD слотов перенесён из `TimeSlotAdminController` в публичный транзакционный
  `TimeSlotService`. Сервис проверяет положительный номер пары, существование сетки,
  `startTime < endTime`, длительность не меньше минуты и вычисляет `durationMinutes` только
  по границам времени, игнорируя одноимённое поле входного DTO.
- Создание блокирует строку целевой сетки, update — строку слота и старую/новую сетки в
  стабильном порядке. Внутри сетки запрещены повторный номер и пересечение по условию
  `start < other.end AND end > other.start`; касающиеся границами интервалы разрешены.
- Используемый правилом слот нельзя перенести из `DEFAULT`; удаление используемого слота
  также отклоняется до SQL-ошибки. Конфликт номера или интервала возвращается как русский
  `409 Conflict` через общий `ScheduleConflictException`.
- Раздел инвариантов временных слотов в `V1__init.sql` проверяет seed, добавляет
  `btree_gist`, CHECK вычисленной длительности, GiST exclusion constraint с
  полуоткрытыми интервалами и триггеры, сериализующие создание правила с переносом слота
  или изменением режима сетки.
- В настройках поле минут стало `readonly`, всегда пересчитывается при изменении границ и
  больше не отправляется как доверенное значение. AutoUpdateDocs синхронизировал
  `docs/API.md`, `docs/BUSINESS_LOGIC.md`, `docs/DATABASE.md` и `docs/FRONTEND.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=TimeSlotServiceTest test` без Docker socket | 6 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 194 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `TimeSlotInvariantMigrationIntegrationTest` | 2 PostgreSQL-сценария базовой V1 добавлены и успешно скомпилированы; запуск Testcontainers из Maven-контейнера среда отклонила из-за запрета передачи Docker socket. |
| Изолированный PostgreSQL 16.3 без томов | Единая V1 применилась с нуля; соседние слоты приняты; overlap (`23P01`), неверная длительность (`23514`) и три нарушения базовой сетки (`23514`) отклонены. |
| Две параллельные пересекающиеся транзакции | Ровно один `COMMIT`; вторая операция отклонена `ex_time_slots_scope_no_overlap`. Одноразовый контейнер удалён. |
| `npm run check` в `frontend/` | 24 проверки, все успешны. |
| `git diff --check` | Успешно. |
| Консолидация Flyway | По прямому разрешению владельца V2–V7 удалены, их итоговая схема включена в V1. |

### № 16 — инварианты учебных годов и семестров

- CRUD годов и семестров перенесён из `AcademicCalendarAdminController` в публичный
  транзакционный `AcademicPeriodService`. Названия годов нормализуются до duplicate-check,
  даты обязательны и упорядочены, а календарные диапазоны трактуются как включительные.
- Учебные годы не могут пересекаться. Семестр должен полностью находиться внутри своего
  года, не пересекаться с другим семестром этого года и иметь уникальный тип. Update года
  отклоняет границы, которые исключат любой сохранённый семестр; update повторно проверяет
  title/type и возвращает безопасный русский `409`, а не JDBC `500`.
- Semester create/update блокируют строку родительского года; update затем перечитывает
  строку семестра с `PESSIMISTIC_WRITE`. Инвалидация кэша расписания регистрируется только
  после успешного commit.
- Раздел учебных периодов в `V1__init.sql` проверяет seed, добавляет GiST exclusion
  constraints годов и семестров с
  `daterange(..., '[]')` и два триггера. Блокировка родительской строки в триггере закрывает
  гонку между изменением года и конкурентной записью семестра.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/BUSINESS_LOGIC.md`,
  `docs/DATABASE.md` и `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=AcademicPeriodServiceTest test` без Docker socket | 8 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 202 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `AcademicPeriodInvariantMigrationIntegrationTest` | 2 PostgreSQL-сценария базовой V1 добавлены и успешно скомпилированы; Testcontainers-прогон из Maven-контейнера недоступен из-за запрета передачи Docker socket. |
| Изолированный PostgreSQL 16.3 без томов | Единая V1 применилась с нуля; соседние периоды приняты; overlap года/семестра (`23P01`), выход семестра и сужение года (`23514`) отклонены. |
| Две параллельные пересекающиеся транзакции годов | Ровно один `COMMIT`; вторая операция отклонена `ex_academic_years_no_overlap`. Одноразовый контейнер удалён. |
| `git diff --check` | Успешно. |
| Текущая baseline V1 | SHA-256 `5f9326b545d14a8afb3c75de9e59ea9a35b36ed02fe5a8a822e8430fc3e972cd`. |

### № 17 — совместимость сохранённых календарных назначений и сеток

- Добавлен публичный транзакционный `AcademicStructureService`. Обновление графика
  блокирует его строку и до мутации проверяет все назначения, старшие курсы сетки,
  дисциплины старших семестров и даты сетки относительно нового учебного года.
- Обновление группы блокирует её строку и повторно проверяет год начала обучения,
  специальность, профиль и форму для всех назначений. При несовместимости
  `ScheduleConflictException` преобразуется в русский `409 Conflict`; сущность и назначения
  остаются без изменений.
- Сохранение назначения блокирует группу, график, учебный год и существующую запись,
  проверяет совпадение измерений и вычисленный курс. Инвалидация кэша выполняется только
  после commit.
- V1 содержит триггеры совместимости назначения, обратной защиты группы и графика,
  размерности строк сетки и дисциплин, а также защиты зависимостей при изменении границ
  учебного года. Seed назначения теперь сразу связывает календарь по году, специальности,
  профилю и форме обучения.
- Добавлены 7 unit-тестов сервиса и 2 Testcontainers-сценария базовой схемы, включая гонку
  изменения группы с созданием назначения.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=AcademicStructureServiceTest test` | 7 тестов, 0 failures, 0 errors, BUILD SUCCESS. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` | 209 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Контейнерный `mvn -DskipTests test` | Все 46 test source-файлов, включая DB-интеграционные, успешно скомпилированы. |
| Чистая PostgreSQL 16.3 без томов | Единая V1 применилась; 0 несовместимых seed-назначений; созданы 4 ключевых constraint и 5 dependency-trigger. |
| Прямые DB-изменения | Изменения формы графика/группы, уменьшение `course_count`, строка курса 5 и дисциплина семестра 9 отклонены с `23514`; назначение сохранено. |
| Две конкурентные транзакции | Ровно один `COMMIT`; несовместимое назначение отклонено с `23514`, итоговое состояние согласовано. |
| `git diff --check` | Успешно. |

### № 18 — историческая модель кафедр преподавателя

- Добавлен публичный транзакционный `TeacherDepartmentService`. Он разрешает основную и
  дополнительную кафедру на целевую дату, пакетно загружает назначения за диапазон и
  возвращает исторических преподавателей по периоду действия пользователя и назначения.
- `UserController`, `DepartmentWorkspaceController`, `TeacherSubjectController` и
  `WorkloadController` больше не используют `users.department_id` как источник бизнес-
  решений. Legacy-поле остаётся зеркалом основной кафедры на текущую дату.
- Будущий перевод закрывает прежний основной период днём перед `validFrom`, но сохраняет
  текущую принадлежность до вступления новой записи в силу. Перевод на текущую или прошлую
  дату синхронизирует legacy-зеркало. Пользователь и история блокируются до изменения.
- Нагрузка определяет кафедру отдельно на дату каждого занятия: сначала по основной, затем
  по дополнительной связи. Перевод внутри диапазона разделяет агрегат одного преподавателя
  между кафедрами, а прошлый отчёт не зависит от его текущей кафедры.
- V1 содержит GiST exclusion constraint
  `ex_teacher_primary_department_no_overlap`, запрещающий пересечение любых основных
  периодов одного преподавателя, включая конкурентную запись из нескольких pod.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/BUSINESS_LOGIC.md`,
  `docs/DATABASE.md` и `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 216 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; все 49 test source-файлов скомпилированы. |
| Целевые service/controller tests | 12 тестов: будущий и текущий перевод, архивная история, приоритет основной связи, fallback на дополнительную, доступ к дисциплине и разделение нагрузки; все успешны. |
| Чистая PostgreSQL 16.3 без томов | Точная текущая V1 применилась с нуля; constraint `ex_teacher_primary_department_no_overlap` создан. |
| Прямые DB-изменения | Соседние основные периоды и дополнительное назначение приняты; пересекающийся основной период отклонён с `23P01`. |
| Две конкурентные транзакции | Ровно один `COMMIT`; вторая пересекающаяся основная запись отклонена с `23P01`. |
| `npm run check` в `frontend/` | 3 test suite и синтаксические проверки завершены успешно. |
| `docker compose config --quiet` | Успешно. |
| `git diff --check` | Успешно. |
| Текущая baseline V1 | SHA-256 `5f9326b545d14a8afb3c75de9e59ea9a35b36ed02fe5a8a822e8430fc3e972cd`. |

### № 19 — ограничение кафедрального доступа к workload

- `WorkloadController` вычисляет разрешённый `departmentId` до любого вызова
  `ScheduleQueryService`. Для роли `DEPARTMENT` отсутствие фильтра означает кафедру из
  `AuthContext`, а несовпадающий ID отклоняется с русским `403 Forbidden`.
- Единое правило применено к отчётам преподавателей, аудиторий, кафедр, временных слотов и
  свободным аудиториям. Последний endpoint не принимает `departmentId`, но его внутренняя
  выборка для кафедры также больше не является глобальной.
- `ADMIN`, `EDUCATION_OFFICE` и `SCHEDULE_VIEWER` сохраняют явно документированное право на
  глобальный workload или выбор конкретной кафедры. Отсутствующий `AuthContext` обрабатывается
  fail-closed с русским `401`.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/BUSINESS_LOGIC.md` и
  `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=WorkloadControllerTest test` без Docker socket | 5 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Межкафедральный сценарий | Чужой `departmentId` даёт `403` до вызова поиска; отсутствие ID и все пять endpoints используют кафедру из `AuthContext`. |
| Привилегированный сценарий | `EDUCATION_OFFICE` сохраняет глобальный scope без `departmentId`. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 219 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `docker compose config --quiet` | Успешно. |
| `git diff --check` | Успешно. |

### № 20 — workload без интерактивного лимита 50 групп

- В `ScheduleQueryService` выделен узкий публичный `searchForAggregation(departmentId,
  timeSlotId, startDate, endDate)`. Он не принимает остальные UI-фильтры и поэтому не
  становится вторым общим поисковым API.
- Обычный `search()` продолжает отклонять широкий пользовательский запрос, если тот затрагивает
  больше 50 активных групп. Оба пути используют единый внутренний алгоритм проверки диапазона,
  выбора групп, генерации, применения одного снимка overrides, фильтрации и дедупликации.
- Все workload-отчёты и free-classrooms переведены на aggregate-путь. Кафедральный scope из
  №19 вычисляется до генерации и сохранён без изменений.
- Параметризованный тест доказывает полный вызов генератора для 51 и 100 активных групп;
  отдельный regression-test сохраняет отказ интерактивного поиска на 51-й группе.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/BUSINESS_LOGIC.md` и
  `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=ScheduleQueryServiceTest,WorkloadControllerTest test` | 9 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Aggregate 51/100 групп | Все активные группы переданы генератору, overrides прочитаны один раз, исключение лимита не возникает. |
| Интерактивный regression | Обычный широкий `search()` с 51 активной группой по-прежнему отклонён с просьбой уточнить scope. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 221 тест, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `docker compose config --quiet` | Успешно. |
| `git diff --check` | Успешно. |

### № 21 — безопасный импорт дисциплин кафедры

- Импорт вынесен из `DepartmentWorkspaceController` в транзакционный
  `SubjectImportService`. Весь payload нормализуется и дедуплицируется по названию без учёта
  регистра до мутации; повтор внутри payload обрабатывается один раз.
- Глобальная уникальность названия, уже заявленная в бизнес-документации, сохранена. Если
  запись принадлежит текущей кафедре, повторный импорт обновляет её код, восстанавливает из
  архива и сохраняет прежний ID. Совпадение с другой кафедрой даёт русский `409 Conflict`,
  не меняя владельца или код чужой записи.
- В V1 прежний case-sensitive `UNIQUE(name)` заменён функциональным уникальным индексом
  `uq_subjects_name_ci` на `lower(name)`. Он закрывает регистровые дубли и гонку импортов
  разных кафедр; admin-create также проверяет имя без учёта регистра.
- Ошибка уникальности при `saveAllAndFlush` преобразуется в безопасный доменный конфликт.
  Новых миграционных файлов не создано.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/BUSINESS_LOGIC.md`,
  `docs/DATABASE.md` и `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=SubjectImportServiceTest,DepartmentWorkspaceControllerTest test` | 7 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Повторный собственный импорт | Два последовательных импорта возвращают тот же объект/ID, обновляют код и восстанавливают архивную запись. |
| Совпадение чужой кафедры | Получен доменный `409`; чужие `departmentId` и код не изменены, `saveAllAndFlush` не вызван. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 225 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; 51 test source-файл скомпилирован. |
| Чистая PostgreSQL 16.3 без томов | Точная текущая V1 применилась с нуля; `информатика` отклонена как дубль seed `Информатика` по `uq_subjects_name_ci` (`23505`). |
| Две конкурентные транзакции | Первая запись `Теория систем` закоммичена; параллельная `теория систем` после ожидания отклонена `uq_subjects_name_ci` (`23505`). |
| `docker compose config --quiet` | Успешно. |
| `git diff --check` | Успешно. |
| Текущая baseline V1 | SHA-256 `5f9326b545d14a8afb3c75de9e59ea9a35b36ed02fe5a8a822e8430fc3e972cd`. |

### № 22 — согласованная матрица прав учебного отдела

- `SpecialityController` сохранил class-level `ADMIN` для всех write-операций, но обязательные
  GET специальностей, общего списка профилей и профилей специальности явно разрешены
  `EDUCATION_OFFICE`.
- `EducationFormController` разрешает `ADMIN` и `EDUCATION_OFFICE` создавать и удалять формы
  обучения. Широкий read-only GET для остальных ранее разрешённых ролей сохранён method-level
  аннотацией; защита используемых группами/графиками форм не ослаблена.
- Дубли матриц `ROLE_NAVIGATION` и `ROLE_TABS` удалены. Основной admin SPA и settings SPA
  используют единый `frontend/admin/js/role-capabilities.js`, где для учебного отдела явно
  перечислены календарный график, временные слоты и формы обучения.
- MockMvc-тест проходит через реальный `AuthorizationInterceptor`: GET specialties/profiles и
  GET/POST/DELETE education forms возвращают `200`, а POST специальности остаётся `403`.
- Frontend-тест импортирует матрицу как ES-модуль, проверяет capabilities учебного отдела и
  отсутствие локальных дубликатов в двух entrypoint-файлах.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/BUSINESS_LOGIC.md`,
  `docs/FRONTEND.md` и `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| Контейнерный `mvn -Dtest=EducationOfficeRoleMatrixTest test` | 2 теста, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| MockMvc role matrix | Штатная инициализация справочников календаря и CRUD форм обучения не получают `403`; изменение специальности учебным отделом отклонено. |
| `npm run check` в `frontend/` | Синтаксис entrypoints и 3 test suite, включая единую role matrix, завершены успешно. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 227 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; 52 test source-файла скомпилированы. |
| `docker compose config --quiet` | Успешно. |
| `git diff --check` | Успешно. |

### № 23 — batch-снимок генерации расписания

- `ScheduleQueryService` больше не вызывает генератор отдельно для каждой группы: обычный
  поиск, workload-агрегаты и построение полного базового дня передают весь набор групп в
  `ScheduleGeneratorService.buildScheduleForGroups()`.
- `AcademicDateService.ScheduleSnapshot` одним набором запросов загружает пересекающиеся
  семестры, назначения календарей групп и `academic_calendar_days` от начала затронутого
  семестра до конца диапазона. Внутренние проверки semester/assignment/activity работают по
  неизменяемым lookup-картам.
- Правила группы и преподавателя получили batch-запросы по набору семестров. Генератор
  индексирует их по `groupId + semesterId`, поэтому репозиторий не вызывается из циклов дат,
  правил и групп.
- Ручные назначения сетки звонков, weekday scopes и временные слоты также читаются один раз
  на диапазон; фактический слот выбирается по `date/scope/orderNumber` без дополнительных
  запросов на каждое занятие.
- `ScheduleGenerationQueryCountTest` обрабатывает 120 включительных дат, 30 групп и 20
  правил. Тест измеряет ровно 7 чтений репозиториев, запрещает старые point-методы и
  одновременно подтверждает 30 корректных занятий с эффективной weekday-сеткой.
- AutoUpdateDocs синхронизировал `docs/BUSINESS_LOGIC.md` и `docs/ARCHITECTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `ScheduleGenerationQueryCountTest` | 1 тест, 0 failures, 0 errors, 0 skipped; 120 дат, 30 групп, 20 правил, 7 repository reads. |
| `ScheduleQueryServiceTest,ScheduleQueryServiceTeacherOverrideTest` | 9 тестов, 0 failures, 0 errors, 0 skipped; batch-путь и overrides сохранены. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 228 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; 53 test source-файла скомпилированы. |

### № 24 — tenant-aware cleanup refresh-сессий

- `RefreshTokenCleanupJob` получает атомарный snapshot доменов из
  `TenantRoutingDataSource`, устанавливает `TenantContext` до вызова repository proxy и
  очищает каждую tenant-БД отдельно. Исходный tenant потока восстанавливается в `finally`.
- По умолчанию истёкшие и отозванные строки сохраняются 30 дней для аудита. Retention,
  включение job, размер пачки, максимум пачек, interval и initial delay задаются через
  `JWT_REFRESH_CLEANUP_*`.
- Native batch-delete выбирает только записи с `expires_at < cutoff` либо старым
  `revoked_at`, использует `FOR UPDATE SKIP LOCKED` и отдельную транзакцию repository-метода.
  Два pod разбирают непересекающиеся строки; повторная очистка безопасно возвращает 0.
- Локальный `AtomicBoolean` не допускает наложения двух запусков внутри одного pod, а лимит
  пачек ограничивает длительность одного прохода. Ошибка одной tenant-БД логируется по-русски
  без технического текста и не останавливает очистку остальных.
- В V1 добавлены частичный индекс по `revoked_at` и индекс по `expires_at`; новых файлов
  миграций не создавалось. Текущий SHA-256 V1:
  `5f9326b545d14a8afb3c75de9e59ea9a35b36ed02fe5a8a822e8430fc3e972cd`.
- AutoUpdateDocs синхронизировал `docs/DATABASE.md`, `docs/ARCHITECTURE.md` и
  `docs/INFRASTRUCTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `RefreshTokenCleanupJobTest,RefreshTokenServiceTest` | 7 тестов, 0 failures, 0 errors, 0 skipped; два job, retention, idempotency, overlap guard и disabled mode. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 231 тест, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; 54 test source-файла скомпилированы. |
| Точная V1 на чистой PostgreSQL 16.3 | Схема и два cleanup-индекса созданы без ошибок. |
| Две конкурентные PostgreSQL-транзакции | При незавершённой первой транзакции обе удалили разные пачки по 3 строки; повтор удалил 0, fresh-expired/fresh-revoked/active сохранены. |
| Testcontainers через Maven-контейнер | Не запускался: среда отклонила проброс `/var/run/docker.sock`; PostgreSQL-специфичный SQL проверен безопасным отдельным контейнером без socket mount. |

### № 25 — безопасное преобразование DB/JDBC-ошибок

- `GlobalExceptionHandler` перехватывает `DataIntegrityViolationException` до общего `500`
  и делегирует определение безопасного ответа в `DatabaseConstraintViolationMapper`.
- Именованные CHECK-ограничения текущей V1 преобразуются в русские `400`; UNIQUE, FK и
  GiST exclusion constraints — в русские `409`. Неизвестный SQLState класса integrity
  получает обобщённый `409` без текста драйвера.
- Технические `constraint` и SQLState доступны только в структурированном журнале.
  JDBC/SQL message, stack trace, запросы и значения параметров в HTTP JSON не включаются.
- Локальные `catch Exception`, которые формировали тело ответа через `getMessage()`, удалены:
  persistence-ошибки доходят до общего handler, а контролируемые доменные сообщения сохранены.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/ARCHITECTURE.md` и
  `docs/DEVELOPMENT.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `GlobalExceptionHandlerDataIntegrityTest` | 4 теста, 0 failures, 0 errors, 0 skipped; известные CHECK/UNIQUE и неизвестные нарушения не раскрывают constraint, JDBC URL, SQL или пароль. |
| Связанные controller tests | `ScheduleOverrideControllerTest` и `ScheduleRuleAdminControllerTest`: 5 тестов, 0 failures, 0 errors. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 235 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS; 55 test source-файлов скомпилированы. |
| `docker compose config --quiet` | Успешно. |
| `git diff --check` | Успешно. |
| Каталог Flyway | Содержит только `V1__init.sql`; SHA-256 не изменился: `5f9326b545d14a8afb3c75de9e59ea9a35b36ed02fe5a8a822e8430fc3e972cd`. |

### № 26 — самодостаточный локальный Docker Compose

- Compose больше не требует заранее созданную внешнюю сеть: bridge-сеть `magistr`, DNS
  сервисов и именованный том `postgres_data` создаются самим проектом.
- Frontend публикует `${HTTP_PORT:-80}` и через Apache `mod_proxy` направляет same-origin
  `/api` и `/actuator/health` во внутренний backend. Исходный `Host` сохраняется, поэтому
  локальный запрос выбирает tenant `default`; backend и PostgreSQL наружу не публикуются.
- `${POSTGRES_DB:-app_db}` одновременно задаёт создаваемую БД и
  `SPRING_DATASOURCE_URL`. Backend получает обязательные `POSTGRES_PASSWORD`, `JWT_SECRET`,
  JWT TTL и cleanup-параметры из `.env`; безопасный шаблон добавлен в `.env.example`.
- PostgreSQL закреплён на версии 16.3 и хранит данные в named volume. Backend имеет
  liveness healthcheck, а frontend запускается после его готовности; `up --wait` теперь
  подтверждает не только старт процесса, но и рабочий Spring context.
- Live startup обнаружил, что Spring не мог выбрать production-конструкторы
  `TenantDatabaseHealthMonitor` и `RefreshTokenCleanupJob`, хотя unit-тесты создавали их
  вручную. Оба конструктора явно помечены для injection; backend стабильно выходит в
  `Started Application`.
- Скачивание mutable OpenTelemetry `latest`, блокировавшее чистую сборку, заменено
  фиксированным Maven-артефактом `2.28.1` с обязательной SHA-256 проверкой. Локальный OTel
  SDK по умолчанию отключён, так как Collector не входит в Compose.
- AutoUpdateDocs синхронизировал `docs/README.md` и `docs/INFRASTRUCTURE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `docker compose up -d --build --wait` | PostgreSQL, backend healthcheck и frontend готовы; внутренняя сеть и `magistr_postgres_data` созданы автоматически. |
| Live HTTP через frontend proxy | `/` → `200`, `/actuator/health/liveness` → `200`, защищённый `/api/departments` → ожидаемый `401`. |
| Публикация порта | Порт 80 уже занят пользовательским Caddy; эквивалентная проверка успешно выполнена через документированный `HTTP_PORT=18080`, чужой сервис не останавливался. |
| PostgreSQL mount | Docker inspect: named volume `magistr_postgres_data` смонтирован в `/var/lib/postgresql/data`; backend и DB не имеют host ports. |
| Java Agent supply chain | Maven Central `opentelemetry-javaagent:2.28.1`, SHA-256 `faa89bdeebf9b1f52be4a4374689176717b02a59df2d8f8b6eb9aa39f9292589`, build check `OK`. |
| Контейнерный `mvn -Dtest=!*IntegrationTest test` без Docker socket | 235 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| `docker compose config --quiet` и `git diff --check` | Успешно. |
| Каталог Flyway | По-прежнему содержит только `V1__init.sql`; новых миграций нет. |

### № 27 — обязательные CI/CD gates и immutable rollout

- `.gitea/workflows/docker-build.yaml` получил обязательный `checks` job: полный backend
  non-integration suite, frontend `npm ci && npm run check`, Compose validation и shell-тест
  immutable deployment. Build/push jobs имеют `needs: checks`, поэтому непроверенный commit
  не публикуется и не разворачивается.
- Metadata публикует полный `sha-<commit>` и release tag без `latest`. Оба build job отдают
  registry digest, а deploy формирует ссылки `image@sha256:...`; release tag больше не
  перезапускает старый `:main`.
- Workflow-wide `magistr-production` concurrency lock сериализует production-запуски.
  `kubectl v1.33.12` загружается с официального CDN и проходит проверку закреплённого
  SHA-256 до установки.
- `scripts/deploy-images.sh` отклоняет любые tag-only ссылки, сохраняет текущие backend и
  frontend image refs, применяет оба новых digest и ждёт rollout. Ошибка `set image` или
  readiness запускает восстановление обоих предыдущих образов и повторную проверку.
- `scripts/test-deploy-images.sh` использует fake kubectl для трёх сценариев: tag отклонён,
  успешные digests применены, failed backend rollout вернул оба предыдущих digest.
- Во внешних `../k8s/backend.yaml` и `frontend.yaml` удалены `:main`; нулевой digest-sentinel
  не может случайно выбрать mutable image. `../k8s/deploy.sh` требует два реальных digest и
  подставляет их локально до apply. Backend probes переведены на HTTP liveness/readiness,
  а ConfigMap теперь задаёт корректные `TENANTS_CONFIG_PATH` и
  `TENANTS_CONFIG_REQUIRED=true`.
- AutoUpdateDocs синхронизировал `docs/INFRASTRUCTURE.md` и `../k8s/README.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `bash scripts/test-deploy-images.sh` | Mutable tag отклонён; success rollout завершён; failed rollout восстановил backend и frontend, тест завершён успешно. |
| Workflow static validation | Ruby YAML parser — успешно; отсутствуют `:main`, `stable.txt` и `rollout restart`; build jobs зависят от checks и экспортируют digest. |
| `bash -n` | `scripts/deploy-images.sh`, `scripts/test-deploy-images.sh` и `../k8s/deploy.sh` синтаксически корректны. |
| `K8S_DIR=../k8s bash scripts/check-production-secrets.sh` | Успешно. |
| `kubectl kustomize ../k8s >/dev/null` | Успешно. |
| `docker compose config --quiet` и `git diff --check` | Успешно. |
| Изменённые внешние файлы | `../k8s/backend.yaml`, `frontend.yaml`, `config.yaml`, `deploy.sh`, `README.md`; они находятся вне Git-корня `magistr` и отдельно проверены. |
| Production rollout | Не выполнялся: это внешняя необратимая операция, требующая отдельных полномочий и реальных build digests. |

### № 28 — общий PostgreSQL rate limit входа

- `LoginRateLimitService` выполняет создание/блокировку строки, bcrypt-проверку, изменение
  счётчика и запись аудита в одной транзакции. Ключ состоит из tenant, NFKC-нормализованного
  username в нижнем регистре и проверенного IP. `INSERT ... ON CONFLICT DO NOTHING` вместе
  с `PESSIMISTIC_WRITE` сериализует первые и последующие попытки на разных backend-pod.
- Пять отказов за 15 минут по умолчанию дают блокировку на 60 секунд. Следующая ошибка после
  окончания блокировки удваивает срок до максимума 15 минут. Controller возвращает `429`
  с округлённым вверх `Retry-After`; успешный вход удаляет состояние.
- Неизвестный, архивный и ошибочный пользователь проходят одинаковый bcrypt-путь и получают
  одинаковый `401`. В production-журнал попадает только SHA-256 fingerprint нормализованного
  имени; пароль и признак существования пользователя не сохраняются и не логируются.
- `ClientIpResolver` игнорирует `X-Forwarded-For` от недоверенного непосредственного
  источника, ограничивает длину/число hops и разбирает допустимую цепочку справа налево.
  Compose доверяет внутренней Docker-сети, K3s ConfigMap — стандартной pod-сети Traefik;
  нестандартный CIDR документирован как обязательная настройка оператора.
- В V1 добавлены `auth_login_rate_limits`, `auth_login_attempt_audit`, уникальный ключ,
  CHECK и cleanup-индексы. `LoginAttemptAuditCleanupJob` раз в сутки tenant-aware пачками
  `FOR UPDATE SKIP LOCKED` удаляет audit и неактивные счётчики старше 90 дней. Новых файлов
  миграций не создано; текущий SHA-256 V1:
  `250cab68c9ab6d8401619447585b47d6122458d1cb00a6e76af308414f89958d`.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/ARCHITECTURE.md`,
  `docs/DATABASE.md`, `docs/INFRASTRUCTURE.md` и внешний `../k8s/README.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `ClientIpResolverTest`, `LoginRateLimitServiceTest`, `AuthControllerTest` | 10 тестов, 0 failures; trusted chain, spoofed header, uniform reject, progressive block и `Retry-After`. |
| `LoginRateLimitConcurrencyIntegrationTest` | 2 теста, 0 failures; две отдельные service instance одной PostgreSQL-БД атомарно получили `REJECTED` + `BLOCKED`, failure count 2; cleanup сохранил fresh/active rows. |
| Полный контейнерный `mvn test` | 266 тестов: 263 успешны; все 12 тестов № 28 прошли. Три ранее добавленных конкурентных migration-теста нестабильны: два получили допустимый PostgreSQL `40P01` вместо ожидаемого только `23P01`, один запуск не воспроизвёл гонку. Стабилизация оставлена в финальном регрессионном аудите. |
| Чистая PostgreSQL 16.3 | Единственная V1 многократно применена Flyway без ошибок; обе новые таблицы и индексы созданы. |
| Compose, Kustomize, secret-scan, `git diff --check` | Успешно. |
| Изменённые внешние файлы | `../k8s/config.yaml`, `../k8s/README.md`; каталог вне Git-корня и проверен отдельно. |

### № 29 — единая временная зона бизнес-дат

- Добавлен `BusinessTimeService`: production использует UTC `Clock`, а календарную дату
  вычисляет в настраиваемой зоне `BUSINESS_TIME_ZONE` с безопасным default
  `Europe/Moscow`. Контроллеры пользователей, групп, кабинета кафедры, заявок и дисциплин,
  генератор расписания и история кафедр получают текущую бизнес-дату через этот сервис.
- Абсолютные моменты refresh/login-аудита, lifecycle, overrides, заявок, комментариев и
  назначений переведены с `LocalDateTime` на `Instant`. Hibernate и Jackson настроены на
  UTC; все соответствующие колонки единственной `V1__init.sql` используют `TIMESTAMPTZ`.
- `formatLocalDate()` и календарная арифметика frontend используют локальные компоненты
  `Date`; `toISOString().slice(0, 10)` для date-only в frontend больше не используется.
- Compose передаёт `BUSINESS_TIME_ZONE`, `TZ` и
  `JAVA_TOOL_OPTIONS=-Duser.timezone=...`; `.env.example` содержит явные значения.
  Kubernetes `app-config` содержит те же production-поля, поэтому backend pod не зависит от
  timezone node или базового образа.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/ARCHITECTURE.md`,
  `docs/DATABASE.md`, `docs/DEVELOPMENT.md`, `docs/FRONTEND.md` и
  `docs/INFRASTRUCTURE.md`.
- Новых миграционных файлов не создано; каталог Flyway содержит только `V1__init.sql`,
  текущий SHA-256 после завершения № 31:
  `fffedf66e8bf7d25d2d8c1b1a6146b45dd5b7e52233d05a68de8bf62c817f7a7`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `BusinessTimeServiceTest` | В первом полном прогоне обе границы московской полуночи прошли. |
| `npm test`, `node --check` | Все 4 frontend test-suite и изменённые JS-файлы прошли. |
| Static time scan | В production Java нет `LocalDate.now()`/`LocalDateTime.now()` без явной зоны; во frontend нет date-only через `toISOString`; в V1 и документации нет `TIMESTAMP` без timezone. |
| Compose и diff | `docker compose config --quiet` с обязательными секретами и `git diff --check` успешны. |
| Kubernetes timezone | Kustomize-рендер содержит `BUSINESS_TIME_ZONE=Europe/Moscow`, `TZ=Europe/Moscow` и `JAVA_TOOL_OPTIONS=-Duser.timezone=Europe/Moscow`. |
| Первый полный `mvn test` | 269 тестов: 263 успешны. После прогона исправлены новое lifecycle-ожидание, JDBC binding `Instant` и три ранее нестабильных ожидания PostgreSQL `40P01`; также усилена блокировка календарного assignment. |
| Повторный Maven/Testcontainers | Полный прогон после № 31–32: 277 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |

### № 30 — воспроизводимые и проверяемые артефакты

- Backend build/runtime, PostgreSQL Compose и все PostgreSQL Testcontainers закреплены
  одновременно точной версией и manifest digest. Ранее закреплённые frontend base images
  сохранены.
- Все сторонние Actions в Gitea workflow закреплены полными 40-символьными commit SHA;
  Maven, Node.js и Trivy запускаются только по `tag@sha256:...`.
- OpenTelemetry Java Agent и `kubectl` имеют точные версии и обязательную SHA-256 проверку до
  использования.
- Оба build job публикуют BuildKit provenance `mode=max` и SBOM-attestation. Отдельный
  `security-scan` проверяет backend/frontend digests закреплённым Trivy и блокирует deploy при
  исправимых `HIGH`/`CRITICAL` уязвимостях.
- Добавлены `scripts/check-artifact-pinning.sh` и его регрессионный shell-тест. Проверка
  контролирует Dockerfile, Compose, Testcontainers, Actions, checksum, SBOM/provenance, scan
  gate и зависимость deploy от scan. Опциональный `K8S_DIR` расширяет проверку на внешние
  production-манифесты.
- AutoUpdateDocs синхронизировал `docs/DATABASE.md`, `docs/DEVELOPMENT.md`,
  `docs/INFRASTRUCTURE.md` и `DEVOPS.md`.
- Внешний `../k8s/otel-collector.yaml` использует официальный Collector Contrib
  `0.153.0@sha256:93aad750175cbf1a973ae1c5886c3371f4d800f61be25cdd26870b8441ffe9fa`.
  Версия подтверждена официальным релизом OpenTelemetry, manifest digest получен напрямую
  из Docker Hub Registry API.
- Новых Flyway-файлов не создано; в каталоге миграций остаётся только `V1__init.sql` с
  SHA-256 `fffedf66e8bf7d25d2d8c1b1a6146b45dd5b7e52233d05a68de8bf62c817f7a7`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `bash scripts/check-artifact-pinning.sh` | Успешно: repo image refs, Actions, checksum, SBOM и scan gates закреплены. |
| `bash scripts/test-artifact-pinning.sh` | Успешно: незакреплённый base image и удалённая SBOM гарантированно отклоняются. |
| `bash scripts/test-deploy-images.sh` | Успешно: immutable refs, rollout и парный rollback. |
| Workflow YAML, Compose config, `git diff --check` | Успешно. |
| `K8S_DIR=../k8s bash scripts/check-artifact-pinning.sh` | Успешно: все production-образы имеют полный digest. |
| `kubectl kustomize ../k8s` | Успешно; рендер содержит закреплённый OTel Collector. |

### № 31 — инварианты численности групп и подгрупп

- Создание и изменение групп теперь проходят через общий validator
  `AcademicStructureService`: численность, год начала обучения и все идентификаторы должны
  быть положительными, обязательные поля не могут отсутствовать.
- При обновлении сервис блокирует группу и запрещает уменьшать `groupSize` ниже суммы
  численностей активных подгрупп. Создание, обновление и архивация подгрупп также блокируют
  строку родительской группы до завершения транзакции.
- `subgroups.student_capacity` стал обязательным. В V1 добавлены CHECK-ограничения
  положительной численности группы, года начала обучения и численности подгруппы.
- Два триггера V1 защищают перекрёстный инвариант при прямых и конкурентных записях:
  сумма активных подгрупп не может превышать размер группы. Ошибка сопоставляется с
  безопасным русским ответом через `DatabaseConstraintViolationMapper`.
- Новых миграций не создано: вся итоговая схема находится в `V1__init.sql`, а V2–V4
  отсутствуют.
- AutoUpdateDocs синхронизировал `docs/API.md`, `docs/ARCHITECTURE.md`,
  `docs/BUSINESS_LOGIC.md` и `docs/DATABASE.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `AcademicStructureServiceTest` | 11 тестов: общий create/update validator, положительные значения и запрет уменьшения ниже подгрупп прошли. |
| `AcademicStructureInvariantIntegrationTest` | 4 PostgreSQL-теста: CHECK, уменьшение группы и гонка уменьшения с добавлением подгруппы прошли; инвариант сохранён. |
| Полный контейнерный `mvn test` | 277 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |
| Каталог Flyway | Ровно один `V1__init.sql`, SHA-256 `fffedf66e8bf7d25d2d8c1b1a6146b45dd5b7e52233d05a68de8bf62c817f7a7`. |

### № 32 — точный включительный лимит диапазона расписания

- `ScheduleQueryService` и `ScheduleGeneratorService` одинаково вычисляют количество
  календарных дат как `ChronoUnit.DAYS.between(startDate, endDate) + 1`.
- Диапазон из 120 дат разрешён, а из 121 даты возвращает русскую ошибку валидации.
- AutoUpdateDocs уточнил включительную семантику лимита в `docs/API.md`,
  `docs/ARCHITECTURE.md` и `docs/BUSINESS_LOGIC.md`.

Фактические проверки этапа:

| Команда | Результат |
|---|---|
| `ScheduleQueryServiceTest.rangeLimitCountsBothBoundaryDates` | Граница 120 разрешена, 121 отклонена. |
| `ScheduleGenerationQueryCountTest` | Существующая генерация 120 дат сохранена, запрос 121 даты отклонён до генерации. |
| Полный контейнерный `mvn test` | 277 тестов, 0 failures, 0 errors, 0 skipped, BUILD SUCCESS. |

## Финальный аудит

- Все 33 проблемы из области (`1` и `3–34`) имеют реализованную репозиторную часть и
  воспроизводимое подтверждение. № 2 не изменялась, `BUG_REPORT.md` сохранён как исходный
  реестр.
- Полностью закрыты и проверены 32 пункта. Для № 1 остаются только операторские ротация,
  provisioning, rollout и очистка истории, которые исходный prompt прямо запрещает
  выполнять без отдельных production-полномочий.
- Полный backend PostgreSQL/Testcontainers-прогон: 277 тестов, 0 failures, 0 errors,
  0 skipped. Четыре frontend test-suite, `npm run check`, Compose validation,
  Workflow YAML, artifact/deploy shell-тесты и `git diff --check` прошли.
- `kubectl kustomize ../k8s`, production secret-scan, синтаксис deploy-скрипта и расширенный
  artifact-scan прошли. В production-манифестах отсутствуют mutable `latest` и `:main`.
- Каталог Flyway содержит ровно `V1__init.sql`; V2–V4 и другие дополнительные миграции
  отсутствуют. Финальный SHA-256 V1:
  `fffedf66e8bf7d25d2d8c1b1a6146b45dd5b7e52233d05a68de8bf62c817f7a7`.

## Точка продолжения

Текущий этап: **реализация и проверка всех разрешённых изменений завершены**.

Оставшееся операторское действие владельца:

1. при готовности production-полномочий выполнить `docs/SECURITY_RUNBOOK.md`: ротацию,
   provisioning, rollout и очистку истории для № 1. Эти действия не выполнялись
   автоматически и не требуются для завершения репозиторной реализации.