architect(ET): auto-commit from architect run_id=327

docs/architecture/README.md

@@ -36,7 +36,7 @@ created → analysis → architecture → development → review → testing →
 | deploy | — | `check_deploy_status` | 14-deploy-log.md (`deploy_status:`) |
 | done | — | — | — |
 
-**Реестр QG** (`QG_CHECKS`): check_analysis_approved, check_analysis_complete, check_architecture_done, check_ci_green, check_review_approved, check_tests_passed, check_reviewer_verdict, check_tests_local, check_deploy_status, check_staging_status, check_branch_mergeable (ORCH-043), check_staging_image_fresh (ORCH-058).
+**Реестр QG** (`QG_CHECKS`): check_analysis_approved, check_analysis_complete, check_architecture_done, check_ci_green, check_review_approved, check_tests_passed, check_reviewer_verdict, check_tests_local, check_deploy_status, check_staging_status, check_branch_mergeable (ORCH-043), check_staging_image_fresh (ORCH-058), check_security_gate (ORCH-022 — design).
 
 **Канон гейтов:** машинные вердикты читаются ТОЛЬКО из YAML-frontmatter, никогда из прозы. Лог-файлы мержатся в `origin/main` отдельным PR; гейт читает из `origin/main`.
 
@@ -155,6 +155,38 @@ helper `validated_revision` питает и штамп A, и `EXPECTED_REVISION`
 образа, без миграций). Подробнее: [adr-0008](adr/adr-0008-staging-image-provenance.md),
 детально — `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.
 
+### Security-гейт: secret-scanning + dependency audit перед мержем (ORCH-022 — design)
+Автономный конвейер вливал ветку в `main` без проверки на утёкший секрет (ключ/токен/пароль/
+приватный ключ) и уязвимую зависимость (CVE); для self-hosting один секрет/CVE через одну
+задачу уезжал в общий прод всех проектов (CLAUDE.md §8). ORCH-022 вводит детерминированный
+(без LLM) **security-гейт как под-гейт ребра `deploy-staging → deploy`**, рядом с merge-gate
+(ORCH-043) и image-freshness (ORCH-058), исполняемый **ПЕРВЫМ** среди edge-под-гейтов
+(ДО merge-gate). Паттерн соседей: leaf `src/security_gate.py` (never-raise) + тонкая обёртка
+`check_security_gate` в `QG_CHECKS` + врезка `_handle_security_gate` в `advance_stage`.
+`STAGE_TRANSITIONS` и схема БД — **без изменений**.
+- **Secret-scanning (`gitleaks`, offline):** скан `origin/main..HEAD`; любой секрет вне
+  аллоулиста `.gitleaks.toml` → вклад в FAIL. Offline → гарантия «секрет всегда блокирует»
+  не зависит от сети (безусловна).
+- **Dependency audit (`pip-audit`, OSV/PyPI):** severity ≥ `security_dep_block_severity`
+  (дефолт `HIGH`) → FAIL; ниже / UNKNOWN → warning. Недоступность фида → **fail-open +
+  громкий warning** (анти-петля ORCH-061; флаг `security_dep_audit_fail_closed` для строгого
+  режима). best-effort при доступности фида.
+- **ПЕРВЫМ, ДО merge-gate:** дёшево фейлить до дорогих rebase/rebuild; скан ветки ДО rebase
+  не «обвиняет» задачу в CVE из обновившегося `main`; до захвата merge-lease → при FAIL lease
+  освобождать не нужно.
+- **Артефакт `17-security-report.md`** (YAML-frontmatter `security_status`/`secrets_found`/
+  `deps_blocking`/`deps_warning`/`deps_audit_degraded`); вердикт читается ТОЛЬКО из
+  frontmatter (гейт пишет → читает обратно через `parse_security_status` → возвращает: единый
+  источник истины), negative-токен авторитетен, битый/нет → fail-closed.
+- **FAIL → откат на `development`** + developer-retry (общий `_developer_retry_count`, cap 3,
+  затем `set_issue_blocked` + Telegram); `task_desc` несёт дословные находки (ORCH-046).
+- **Условность как ORCH-35/43/58:** `security_gate_enabled` + `security_gate_repos` (пусто →
+  только self-hosting); never-raise; таймаут `security_scan_timeout_s`; гейт не деплоит/не
+  рестартит прод. v1 — Python-only; SAST/мульти-стек — follow-up (BR-14).
+
+Подробнее: [adr-0012](adr/adr-0012-security-gate.md), детально —
+`docs/work-items/ORCH-022/06-adr/ADR-001-security-gate.md`.
+
 ### Reconciler: реконсиляция потерянных webhook (ORCH-053 — реализовано)
 Конвейер продвигается только входящими webhook; потерянное событие (502 на ребилде,
 нет ретраев у Plane/Gitea, неразрезолвленный `sha→branch`) → задача застревает молча
@@ -306,4 +338,4 @@ ORCH-065 вводит фоновый watchdog, чтобы смерть проц
 Схема БД, потоки данных, resilience-слой, детали Dockerfile — [internals.md](internals.md).
 
 ---
-*Актуально на 2026-06-07. Обновлять при изменении src/stages.py, src/qg/checks.py, src/main.py. Статусы доработок: ORCH-036 (исполняемый самодеплой `deploy`, adr-0007) — реализовано; ORCH-043 (merge-gate, adr-0006) — design, ветка feature/ORCH-043; ORCH-053 (reconciler, adr-0007, src/reconciler.py) — реализовано; ORCH-060 (F-1 skip escalated/Blocked/Needs-Input, `docs/work-items/ORCH-060/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-060 (Guard 1 `developer_retry_count>=MAX_DEVELOPER_RETRIES` + Guard 2 `plane_sync.fetch_issue_state` Blocked/Needs-Input, флаг `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED`); ORCH-058 (провенанс staging-образа: check_staging_image_fresh + staging_check свежего образа + хук-guard, adr-0008) — реализовано в ветке feature/ORCH-058 (обновлять также при изменении src/image_freshness.py, scripts/orchestrator-deploy-hook.sh, Dockerfile); ORCH-061 (толерантность staging-вердикта к инфра-FAIL C9a/C9b, adr-0009, `docs/work-items/ORCH-061/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-061 (обновлять также при изменении src/staging_verdict.py, scripts/staging_check.py, флаг staging_infra_tolerance_enabled); ORCH-021 (post-deploy наблюдение прода + реакция на деградацию, adr-0010, `docs/work-items/ORCH-021/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-021-post-deploy-rollback (reserved-agent job `post-deploy-monitor`: арм в src/stage_engine.py блок `next_stage == "done"`, тик `run_post_deploy_monitor` + перехват в src/agents/launcher.py ДО _spawn; чистая логика src/post_deploy.py never-raise; флаги `post_deploy_*` в src/config.py; блок `post_deploy` в `/queue`; артефакт 16-post-deploy-log.md; self-hosting всегда ALERT_ONLY — тик не рестартит прод; обновлять также при изменении src/post_deploy.py / арм-блока / launcher-перехвата); ORCH-065 (job-reaper + проактивный реклейм merge-lease + идемпотентная финализация merge, adr-0011, `docs/work-items/ORCH-065/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-065 (новый daemon-поток src/job_reaper.py + старт/стоп в src/main.py lifespan; колонка `jobs.pid` через _ensure_column + проставление в src/agents/launcher.py `_spawn`; функции реклейма lease `pid_alive`/`reclaim_stale_lease` + guard `pr_already_merged` в src/merge_gate.py (консультируется merge-актором — промпт `.openclaw/agents/deployer.md`); флаги `reaper_*`/`lease_reclaim_*` в src/config.py; блок `reaper` в `/queue`; обновлять также при изменении этих мест).*
+*Актуально на 2026-06-07. Обновлять при изменении src/stages.py, src/qg/checks.py, src/main.py. Статусы доработок: ORCH-036 (исполняемый самодеплой `deploy`, adr-0007) — реализовано; ORCH-043 (merge-gate, adr-0006) — design, ветка feature/ORCH-043; ORCH-053 (reconciler, adr-0007, src/reconciler.py) — реализовано; ORCH-060 (F-1 skip escalated/Blocked/Needs-Input, `docs/work-items/ORCH-060/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-060 (Guard 1 `developer_retry_count>=MAX_DEVELOPER_RETRIES` + Guard 2 `plane_sync.fetch_issue_state` Blocked/Needs-Input, флаг `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED`); ORCH-058 (провенанс staging-образа: check_staging_image_fresh + staging_check свежего образа + хук-guard, adr-0008) — реализовано в ветке feature/ORCH-058 (обновлять также при изменении src/image_freshness.py, scripts/orchestrator-deploy-hook.sh, Dockerfile); ORCH-061 (толерантность staging-вердикта к инфра-FAIL C9a/C9b, adr-0009, `docs/work-items/ORCH-061/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-061 (обновлять также при изменении src/staging_verdict.py, scripts/staging_check.py, флаг staging_infra_tolerance_enabled); ORCH-021 (post-deploy наблюдение прода + реакция на деградацию, adr-0010, `docs/work-items/ORCH-021/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-021-post-deploy-rollback (reserved-agent job `post-deploy-monitor`: арм в src/stage_engine.py блок `next_stage == "done"`, тик `run_post_deploy_monitor` + перехват в src/agents/launcher.py ДО _spawn; чистая логика src/post_deploy.py never-raise; флаги `post_deploy_*` в src/config.py; блок `post_deploy` в `/queue`; артефакт 16-post-deploy-log.md; self-hosting всегда ALERT_ONLY — тик не рестартит прод; обновлять также при изменении src/post_deploy.py / арм-блока / launcher-перехвата); ORCH-065 (job-reaper + проактивный реклейм merge-lease + идемпотентная финализация merge, adr-0011, `docs/work-items/ORCH-065/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-065 (новый daemon-поток src/job_reaper.py + старт/стоп в src/main.py lifespan; колонка `jobs.pid` через _ensure_column + проставление в src/agents/launcher.py `_spawn`; функции реклейма lease `pid_alive`/`reclaim_stale_lease` + guard `pr_already_merged` в src/merge_gate.py (консультируется merge-актором — промпт `.openclaw/agents/deployer.md`); флаги `reaper_*`/`lease_reclaim_*` в src/config.py; блок `reaper` в `/queue`; обновлять также при изменении этих мест); ORCH-022 (security-гейт: secret-scanning gitleaks + dependency audit pip-audit как под-гейт ребра `deploy-staging → deploy` ПЕРВЫМ, adr-0012, `docs/work-items/ORCH-022/06-adr/ADR-001`) — **design**, ветка feature/ORCH-022-security-secret-scanning (при реализации: новый leaf src/security_gate.py never-raise + check_security_gate в src/qg/checks.py `QG_CHECKS` + врезка _handle_security_gate в src/stage_engine.py блок `current_stage == "deploy-staging"` ПЕРВОЙ; флаги `security_*` в src/config.py; gitleaks в Dockerfile, pip-audit в requirements.txt, `.gitleaks.toml` в корне; артефакт 17-security-report.md; обновлять также при изменении этих мест).*

docs/architecture/adr/adr-0012-security-gate.md

@@ -0,0 +1,63 @@
+# adr-0012: Security-гейт — secret-scanning + dependency audit перед мержем
+
+- **Статус:** proposed
+- **Дата:** 2026-06-07
+- **Задача:** ORCH-022
+- **Детальный ADR:** `docs/work-items/ORCH-022/06-adr/ADR-001-security-gate.md`
+
+## Контекст
+Оркестратор автономен: `developer` пишет код без человека-фильтра. Перед слиянием ветки в
+`main` нет проверки на утёкший секрет (ключ/токен/пароль/приватный ключ) и уязвимую
+зависимость (CVE). Для self-hosting один общий прод-инстанс обслуживает все проекты с общей
+БД — секрет/CVE через одну задачу попадает в прод всех (CLAUDE.md §self-hosting, §8). Фактический
+мерж PR в `main` делает `deployer` в начале стадии `deploy`.
+
+## Решение
+Детерминированный (без LLM) **security-гейт как под-гейт ребра `deploy-staging → deploy`**,
+рядом с merge-gate (ORCH-043) и image-freshness (ORCH-058), исполняемый **ПЕРВЫМ** среди
+edge-под-гейтов (ДО merge-gate). `STAGE_TRANSITIONS` не меняется; в `QG_CHECKS` добавлен
+`check_security_gate`. Паттерн — как у соседей: leaf-модуль `src/security_gate.py`
+(never-raise) + тонкая обёртка в `QG_CHECKS` + врезка `_handle_security_gate` в `advance_stage`.
+
+- **Secret-scanning (`gitleaks`, offline):** скан `origin/main..HEAD`; любой секрет вне
+  аллоулиста (`.gitleaks.toml`) → вклад в FAIL. Offline → гарантия «секрет всегда блокирует»
+  не зависит от сети.
+- **Dependency audit (`pip-audit`, OSV/PyPI):** severity ≥ `security_dep_block_severity`
+  (дефолт `HIGH`) → FAIL; ниже / UNKNOWN → warning. Недоступность фида → **fail-open +
+  громкий warning** (анти-петля; флаг `security_dep_audit_fail_closed` для строгого режима).
+- **ПЕРВЫМ на ребре, ДО merge-gate:** дёшево фейлить до дорогих rebase/rebuild; скан ветки
+  ДО rebase не «обвиняет» задачу в CVE, притащенной обновившимся `main` (анти-петля
+  ORCH-061); до захвата merge-lease → при FAIL lease освобождать не нужно.
+- **Артефакт `17-security-report.md`** с YAML-frontmatter (`security_status`,
+  `secrets_found`, `deps_blocking`, `deps_warning`, `deps_audit_degraded`); вердикт читается
+  ТОЛЬКО из frontmatter (канон), negative-токен авторитетен; битый/нет → fail-closed.
+- **FAIL → откат на `development`** + developer-retry (общий `_developer_retry_count`, cap 3,
+  затем `set_issue_blocked` + Telegram); `task_desc` несёт дословные находки (ORCH-046).
+- **Условность (как ORCH-35/43/58):** `security_gate_enabled` + `security_gate_repos`; пусто
+  → реально только self-hosting (`orchestrator`), прочие репо — no-op pass.
+- **never-raise**, таймаут `security_scan_timeout_s`, гейт не деплоит/не рестартит прод.
+
+## Альтернативы
+- **Вариант R (review-стадия):** diff может разойтись с мержем в `main`; merge-edge — последняя
+  страховка. Отклонено.
+- **Вариант C (CI-job через `check_ci_green`):** пороги/severity/аллоулист/артефакт плохо
+  выражаются статусом коммита; коуплинг с раннером. Отклонено для v1 (точка расширения).
+- **Новая стадия `security`:** «пустая» стадия без агента не имеет триггера (как в ORCH-043).
+  Отклонено.
+- **fail-closed dep-audit / аудит после rebase:** ложные откаты → петля. Отклонено.
+- **Новая колонка retry в БД:** не нужна (переиспользуем `_developer_retry_count`).
+
+## Последствия
+- Класс «тихо влитый секрет/CVE» закрыт: секреты — безусловно (offline), CVE — best-effort при
+  доступности фида. Самоприменение CLAUDE.md §8 без человека.
+- Плата: ещё один «скрытый» под-гейт ребра (нет в `STAGE_TRANSITIONS`); внешние инструменты
+  (gitleaks в образе, pip-audit в зависимостях); время скана на каждом прогоне (ограничено
+  таймаутом); v1 — Python-only (SAST/мульти-стек — follow-up WI).
+- Сквозное изменение (новый QG + edge-под-гейт) → `arch:major-change`; прод-деплой ORCH-022 —
+  строго через staging-гейт (8501), без рестарта прод-контейнера.
+
+## Связи
+adr-0006 (merge-gate — паттерн edge-под-гейта/отката), adr-0008 (image-freshness —
+условность/never-raise/fail-closed), adr-0003 (условный гейт / `is_self_hosting_repo`),
+adr-0009 (анти-петля ложных FAIL, ORCH-061), ORCH-046 (дословный reason в `task_desc`),
+ORCH-9/15 (мульти-стек — будущая зависимость), ORCH-2 (worktree-изоляция).