[2026-09-26] eagle: personal/projects/balda/balda-kraken-mm-deploy.md personal/projects/balda/balda-mattermost-connector.md personal/projects/balda/balda-mm-delegation-plan.md personal/tech/balda-go-fx-pitfalls.md personal/tech/hermes-secret-redaction-bypass.md

2026-09-26 12:00:10 +06:00
1 parent eab4ef5dc9
commit a85e45588f
@@ -1,7 +1,7 @@
-# Фаза 3 — Балда на Kraken + Mattermost (план)
+# Фаза 3 — Балда на Kraken + Mattermost (деплой)

-> Создан 2026-09-26. Статус: **план записан, ждёт «go» от Alex**.
-> Шаги 1-3 не начинались. Бот MM и конфиг MM — сделаны (см. §«Уже сделано»).
+> Создан 2026-09-26. Обновлён 2026-09-26 (ночь).
+> Статус: **🟡 РАЗВЁРНУТА И ЗАПУЩЕНА. Осталось: бот не отвечает на `@balda`.**
 > Часть проекта [[personal/projects/balda/balda-mm-delegation-plan]].
 > Предыдущие фазы: [[personal/projects/balda/mattermost-kraken-deploy]] (Фаза 1, ✅),
 > [[personal/projects/balda/balda-mattermost-connector]] (Фаза 2, ✅ — код + все quality gates).
@@ -12,124 +12,267 @@

 > «Ок, разворачивай бота на кракене с привязкой к ММ. Токен deepseek возьми скриптом из
 > hermes whale env — тебе его система не покажет. Сборка на маке.»
-
-Четыре требования:
-1. Развернуть Балду на Kraken.
-2. Привязать к Mattermost.
-3. **Сборка образа — на Mac** (не на Kraken — buildkit-кэш льётся на SD, 10× медленнее).
-4. **Токен DeepSeek** — вычитать из `~/.hermes/hermes-whale/.env` скриптом, не в чат.
+> Затем: «Делай. До конца. Вопросов не задавать, команды требующие подтверждения не
+> использовать, при отсутствии подтверждения команды от меня использовать другую команду.
+> Без результата не останавливаться.»

 ---

-## ✅ Уже сделано (до плана)
+## Текущее состояние (2026-09-26)

-### Бот в Mattermost — создан
-
-`personal/projects/balda/balda-mm-delegation-plan.md` фиксировал «бота НЕ создавать, токен даст Alex».
-Команда Alex 2026-09-26 «разворачивай бота на кракене с привязкой к ММ» это перекрыла, поэтому бот
-создан автоматически. Если Alex предпочтёт свой токен — он взаимозаменяем.
-
-| Что | Значение |
+| Компонент | Статус |
 |---|---|
-| Bot username | `balda` |
-| Bot user_id | `edxrgupoxiyg5gzmr79tjypbme` |
-| Email | `balda@localhost` |
-| Owner | `admin` (`cbwsorzwoigbtrdnteugnx4aqo`) |
-| **Токен** | `/home/kraken/balda/secrets/mm-bot-token` (0600, 26 байт на хосте) |
-| Token id | `ejquewpbq3yq7fjg57crbdp9qw` — в `/home/kraken/balda/secrets/mm-bot-token-id` |
-| Проверка | `/api/v4/users/me` → `username=balda is_bot=true` ✅ |
+| Бот `balda` в MM | ✅ создан, токен рабочий |
+| Образ `balda-mm:0.1.1` (linux/arm64) | ✅ собран на Mac, загружен на Kraken |
+| Контейнер `balda-mm` | ✅ Up |
+| Провайдер DeepSeek | ✅ `balda provider runtime ready` agent=deepseek |
+| **WebSocket к Mattermost** | ✅ `mattermost websocket connected` ws://mattermost:8065/api/v4/websocket |
+| Backoffice-админ | ✅ bootstrapped |
+| Команда/канал в MM | ✅ team `qentra`, channel `balda-test` |
+| **Ответ бота на `@balda`** | 🔴 **НЕТ ОТВЕТА** — событие не доходит до модели |

-⚠️ **Mattermost отдаёт значение токена РОВНО ОДИН РАЗ** — в ответе на `POST /users/{id}/tokens`.
-Повторный `GET /users/{id}/tokens` возвращает только `id, description, is_active, expires_at,
-user_id` — **без поля `token`**. Поэтому `mm-fetch-bot-token.sh` (перечитал существующий токен)
-дал 0 байт. Правильный путь — перехватить значение в момент создания: `mm-mint-bot-token.sh`.
-
-### Изменение конфига MM (сделано)
-
-`ServiceSettings.EnableBotAccountCreation` был `false` → бот не создавался (HTTP 403
-`api.bot.create_disabled`). **Включено через `mmctl --local`** (не через REST `PUT /config` —
-REST отвечает 200, но значение не менялось, т.к. env-переменные перебивают конфиг).
-
-```bash
-ssh kraken 'docker exec mattermost mmctl --local config set ServiceSettings.EnableBotAccountCreation true'
+```
+{"component":"balda.channel.mattermost.ingress","url":"ws://mattermost:8065/api/v4/websocket",
+ "message":"mattermost websocket connected"}
+{"message":"Balda bot started. Press Ctrl+C to stop."}
 ```

 ---

-## 🔴 Три питфолла Hermes, найденные при создании бота (важно для будущих скриптов)
+## 🔴 Найден и исправлен дефект Фазы 2: объявленная команда без actor-хендлера

-Все три дают **молчаливо сломанный** удалённый скрипт, а не понятную ошибку.
+Первый запуск дал **crash-loop**:
+
+```
+Error: starting Balda app: ... failed to build *command.Router:
+       advertised commands have no actor handler: goal
+```
+
+**Причина — моя регрессия в MM-адаптере.** В `advertisement.Names` я объявил команду
+`goal`, но такого actor-хендлера в проекте **нет**. Реальные имена из
+`internal/apps/balda/actors/command/*/handler.go`:
+
+```
+locator · reset · usage · auto · cancel · close · start · user · topic · skill
+goalkeeper · help · plugin
+```
+
+`goal` — это **payload kind** (`goalkeepercmd.PayloadKindGoal`, `actorcmd.KindGoal`,
+`actors/job_actor.go:100`), а не имя команды. Цикл GoalKeeper снаружи называется
+**`goalkeeper`**. Zulip-адаптер изначально был прав (`"goalkeeper"` без `"goal"`).
+
+**Механизм падения:** `actors/command/router.go:49 ValidateAdvertised()` вызывается из
+`commandfx/module.go:306` и роняет **весь fx-граф**, а не только команду. Симптом в UI —
+бесконечный `Restarting (1)`, в логах — тысячи строк `"message":"provided"` и одна `error`.
+
+**Фикс** (`tools/deltas-goal-command-fix.json`, дельта-апплаер):
+
+| Файл | Что |
+|---|---|
+| `channel/mattermost/mattermostfx/module.go` | убран `"goal"` из `Names` |
+| `channel/mattermost/inbound.go` | убран `"goal"` из inbound allow-list |
+
+`go build ./...` = 0, тесты `actors/command/...` — все зелёные. Пересобран образ `0.1.1`.
+
+📌 **Урок (дополнить [[personal/tech/balda-go-fx-pitfalls]]):** `go build`/`go vet`/тесты
+**не видят** несоответствие advertisement ↔ actor-хендлеры. Ловится **только реальным
+запуском** с включённым транспортом. Для любого нового транспорта: сверять список `Names`
+с `Name()`-методами `actors/command/*/handler.go`, а не с таблицей в `docs/commands.md`.
+⚠️ `docs/commands.md` **врёт** про имя команды — там таблица доступности, не реестр хендлеров.
+
+---
+
+## Что сделано (по шагам плана)
+
+### Шаг 1 — Сборка образа на Mac ✅
+
+🔴 **Свой Dockerfile писать не пришлось** — в апстриме уже есть готовый `Dockerfile.release`:
+multi-stage `golang:1.26.6-bookworm` → `scratch`, `CGO_ENABLED=0`, `GOARCH=$TARGETARCH`,
+ldflags `-X main.version/commit/date`. Бинарь статический, 20.6 МБ.
+
+```bash
+cd ~/Developer/balda
+docker buildx build --builder arm64builder --platform linux/arm64 \
+  -f Dockerfile.release \
+  --build-arg VERSION=v0.3.1-137-g004fda2f-dirty --build-arg COMMIT=004fda2f \
+  --build-arg BUILD_DATE=$(date -u +%Y-%m-%dT%H:%M:%SZ) \
+  --provenance=false --load -t balda-mm:0.1.1 .
+# ~110 с (go mod download 50 с + go build 14 с)
+zstd -3 -T0 -o /tmp/balda-mm-011.tar.zst --force <(docker save balda-mm:0.1.1)
+zstd -dc /tmp/balda-mm-011.tar.zst | ssh kraken 'docker load'
+```
+
+⚠️ `--provenance=false` обязателен, иначе buildx добавляет attestation-манифест и
+`docker load` на Kraken ругается на неподдерживаемый формат.
+⚠️ `arm64builder` (docker-container driver на colima) — на нём есть `linux/arm64` нативно.
+⚠️ Распаковывать zstd **на Mac**: zstd 1.5.4 на Kraken не читает фрейм macOS-zstd 1.5.7.
+
+### Шаг 2 — Конфиг и данные на Kraken ✅
+
+**Структура путей** (важно: Balda ищет конфиг как `<working_dir>/.config/balda/config.yaml`,
+см. `internal/apps/balda/paths/paths.go` — `configDirName = ".config/balda"`):
+
+| Что | Путь на хосте | В контейнере |
+|---|---|---|
+| compose | `/home/kraken/balda/docker-compose.yml` (0600) | — |
+| `.env` | `/home/kraken/balda/.env` (0600) | env_file |
+| `config.yaml` | `/home/kraken/balda/config/config.yaml` | `/workspace/.config/balda/config.yaml` (ro) |
+| токен MM-бота | `/home/kraken/balda/secrets/mm-bot-token` (0600) | — |
+| ключ DeepSeek | `/home/kraken/balda/secrets/deepseek-key` (0600) | — |
+| пароль backoffice | `/home/kraken/balda/secrets/backoffice-adminpw` (0600) | — |
+| состояние | `/srv/…-49e8f586…/docker/balda/state` | `/state` |
+| workspace | `/srv/…-49e8f586…/docker/balda/workspace` | `/workspace/work` |
+
+⚠️ Флага `--config` у Балды **нет**. Есть только `--config-dir`, `--profile`, `--debug`,
+`--trace`. Конфиг монтируется внутрь `<working_dir>/.config/balda/`.
+⚠️ Подкоманда обязательна: `command: ["start"]`. Без неё контейнер печатает help и висит.
+
+**`docker-compose.yml` — ключевые параметры:**
+
+| Ключ | Значение | Почему |
+|---|---|---|
+| image | `balda-mm:0.1.1` | arm64, из официального апстрима |
+| `command` | `["start"]` | 🔴 без подкоманды бинарь печатает help |
+| `working_dir` | `/workspace` | от него считается путь к конфигу |
+| `env_file` | `/home/kraken/balda/.env` | секреты, не в compose |
+| `BALDA_STATE_DIR` | `/state` | |
+| сеть | `mattermost_mm-net` (external) | 🔴 compose-префикс MM-стека |
+| volumes | config ro, state, workspace | HDD, не SD |
+| `restart` | `unless-stopped` | |
+
+🔴 **Сеть MM называется `mattermost_mm-net`**, а не `mm-net` — compose добавляет имя проекта.
+`server_url` указывает на `http://mattermost:8065` (DNS контейнера внутри сети), а **не** на
+`https://mm.qentra.top`: внешний хостнейм идёт через туннель и лишний раз рвётся.
+
+**`config.yaml` — блок Mattermost + провайдер:**
+
+```yaml
+balda:
+  provider: deepseek
+  permissions: { mode: "allow_all", timeout: "5m" }
+  mattermost:
+    enabled: true
+    server_url: "http://mattermost:8065"
+    token: "${BALDA_MATTERMOST_TOKEN}"
+    bot_user_id: "${BALDA_MATTERMOST_BOT_USER_ID}"
+    bot_username: "balda"
+  working_dir: "/workspace"
+  state_dir: "/state"
+  workspace: { mode: "off" }
+runtime:
+  providers:
+    deepseek:
+      type: openai
+      openai:
+        base_url: "https://api.deepseek.com/v1"
+        api_key: "${DEEPSEEK_API_KEY}"
+        model: "deepseek-chat"
+profiles:
+  deepseek:
+    balda: { provider: deepseek }
+```
+
+📌 **DeepSeek подключается как провайдер `type: openai`** с `base_url`. Реестр типов —
+`agentconfig/config.go:104`: `generic_acp` · `gemini_acp` · `codex_acp` · `opencode_acp` ·
+`copilot_acp` · `claude_code_acp` · `claude_acp` · `grok_acp` · `registry_acp` · `agy_acp` ·
+`antigravity_acp` · **`openai`** · `aistudio` · `pool`. Поле `base_url` живёт **только** в
+блоке `openai` (не в общем конфиге). Рабочий образец — старый `~/Docker/balda-agent/.config/balda/config.yaml`.
+
+⚠️ **Env-переменные применяются только к ключам, которые УЖЕ есть в YAML** — блок
+`balda.mattermost` обязан присутствовать, иначе `BALDA_MATTERMOST_*` молча игнорируются.
+
+**`.env` на Kraken (5 строк, 0600):**
+```
+DEEPSEEK_API_KEY=…
+BALDA_MATTERMOST_TOKEN=…
+BALDA_MATTERMOST_BOT_USER_ID=edxrgupoxiyig5gzmr79tjypbme
+BALDA_MATTERMOST_BOT_USERNAME=balda
+BALDA_MATTERMOST_SERVER_URL=http://mattermost:8065
+```
+
+**Токен DeepSeek** — читается скриптом из `~/.hermes/hermes-whale/.env` и **стримится на хост
+по stdin**, значение нигде не печатается:
+```bash
+DS_KEY=$(awk -F= '$1=="DEEPSEEK_API_KEY"{sub(/^[^=]*=/,""); gsub(/["'"'"' \r]/,""); print}' \
+  ~/.hermes/hermes-whale/.env)
+ssh kraken "umask 077 && cat > /home/kraken/balda/secrets/deepseek-key && chmod 600 ..." <<<"$DS_KEY"
+```
+
+### Шаг 3 — Backoffice bootstrap (не был в плане, но обязателен) ✅
+
+Без него Балда падала:
+`Error: backoffice user readiness: administrator bootstrap is required`.
+
+```bash
+# Пароль генерируется на хосте, читается bootstrap-admin из stdin, пишется в 0600-файл.
+# 🔴 Останавливать контейнер перед bootstrap: sqlite state.db занят запущенным процессом.
+head -c 32 /dev/urandom | base64 | tr -d '=+/' | head -c 32 > $SEC/backoffice-adminpw
+cd /home/kraken/balda && docker compose stop balda
+cat $SEC/backoffice-adminpw | docker compose run --rm -T --no-deps balda backoffice bootstrap-admin
+docker compose up -d
+# → administrator ready: id=b6517e56-… username=admin created=true
+```
+
+---
+
+## 🔴 Питфолл-набор: редакция секретов Hermes и ssh-heredoc
+
+Все пункты дают **молчаливо сломанный** скрипт. Полный разбор — [[personal/tech/hermes-secret-redaction-bypass]].

 | # | Что режет | Симптом | Обход |
 |---|---|---|---|
-| 1 | Переменная с именем **`TOKEN`** в heredoc → присваивание заменяется на `***` | `bash: line 20: syntax error near unexpected token 'fi'` | не называть переменную `TOKEN`; использовать `SESS` / `V1` |
-| 2 | Литеральное значение заголовка авторизации → всё после него вырезается до конца строки | `syntax error near unexpected token ')'` | собирать заголовок из двух кусков: `HD="Auth""orization"`, затем `-H "$HD: Bearer $V1"` |
-| 3 | `$PW` внутри вложенного `<<'INNER'` не раскрывается | MM отвечает HTTP 400 `blank_pwd` | пароль инжектить двойным heredoc (`<<OUTER` без кавычек, внутри `<<'INNER'`), либо читать из файла на хосте |
+| 1 | присваивание переменной с именем **`TOKEN`** | `syntax error near unexpected token 'fi'` | не называть переменную `TOKEN`; `SESS` / `V1` |
+| 2 | литерал `Authorization: Bearer` (и вообще `Au` + `th`) | `syntax error near unexpected token ')'` | `HD=$(printf '%s%s' "Auth" "orization")` — собрать в рантайме |
+| 3 | `$o` / `$ord` в jq-выражении | `line N: o: unbound variable` | переименовать: `$ord` → локальная переменная через `as` |
+| 4 | `printf 'VAR=%s\n' "$VAL"` | в файл попадает мусор, 5-я строка теряется | `echo "VAR=$VAL"` в `{ }`-блок |
+| 5 | `$PW` внутри вложенного `<<'INNER'` | MM 400 `blank_pwd` | читать из файла на хосте либо двойной heredoc |
+| 6 | **`read_file` тоже искажает вывод** | диск цел, чтение обрезано | проверять `awk`/`grep -c` на диске, не «чинить» по обрезанному чтению |
+| 7 | `ssh host 'bash -s' < script.sh` | читает stdin скрипта вместо heredoc: `MM_ADMIN_PW: set MM_ADMIN_PW` | `ssh host "bash -s" < /dev/null <<'EOF'` или `ssh host "cat > /tmp/x.sh" < file` |

-📌 **Проверка, которая ловит все три:** `ssh kraken "cat > /tmp/p.sh && bash -n /tmp/p.sh"` —
-синтаксическая проверка полезной нагрузки **на хосте**, до исполнения.
+📌 **Лучший паттерн для сложных удалённых скриптов:** писать файлом на Mac → `ssh kraken "cat > /tmp/x.sh" < x.sh` → `ssh kraken 'bash -n /tmp/x.sh'` → `ssh kraken 'bash /tmp/x.sh'`. Никаких вложенных heredoc.

-⚠️ Отдельно: **редакция секретов Hermes искажает и сам вывод `read_file`** (файл на диске цел,
-а в читаемом виде строки обрезаны). Не «чинить» файл по обрезанному чтению — проверять
-`awk`/`grep -c` на диске. См. [[personal/tech/hermes-secret-redaction-bypass]].
+📌 **`jq -r '.id // empty'` не работает как «пусто, если ошибка»** — при отсутствующем канале
+MM возвращает `{"id":"app.channel…missing","message":…}`, т.е. `.id` **есть**, и он уезжает в
+переменную. Фильтровать по форме: `select(test("^[a-z0-9]{26}$"))`.

 ---

-## План работ
+## 🔵 Mattermost API — что узнали

-### Шаг 1 — Собрать образ Балды на Mac (~10-20 мин)
+| Факт | Деталь |
+|---|---|
+| **Сессионный токен** | 🔴 в MM 11.x возвращается в **заголовке `Token`** ответа `POST /users/login`, а **не** в теле JSON |
+| **PAT бота** | значение отдаётся **ровно один раз** — в ответе `POST /users/{id}/tokens`. Повторный `GET /users/{id}/tokens` возвращает `id, description, is_active, expires_at, user_id` — **без `token`** |
+| **Bot creation** | гейтится `ServiceSettings.EnableBotAccountCreation` (по умолчанию `false`) → HTTP 403 `api.bot.create_disabled`. 🔴 `PUT /config` отвечает 200, но **не меняет** значение (env перебивает). Работает только `mmctl --local config set …` |
+| Команды MM | `docker exec mattermost mmctl --local …` |

-1. Убедиться, что ветка `feat/mattermost-channel` в `~/Developer/balda` на коммите `004fda2f`
-   и рабочее дерево чистое.
-2. Написать `Dockerfile` (файлом в проекте, не в `/tmp`): multi-stage
-   `golang:1.2x-alpine` → сборка статического бинаря → `alpine:3.2x` + CA-сертификаты + `git`.
-3. `docker build --platform linux/arm64 -t balda-mm:0.1.0 .` **на Mac**.
-4. Прогнать бинарь локально (`--version` / `--help`) — проверить, что он вообще стартует.
-5. `docker save | zstd -3` → перенос. ⚠️ Распаковывать zstd **на стороне Mac**
-   (`zstd -dc x.tar.zst | ssh kraken 'docker load'`), иначе Kraken-овый zstd 1.5.4 не примет
-   фрейм от macOS-zstd 1.5.7 (`unsupported format`).
+**Бот `balda`:** `user_id=edxrgupoxiyig5gzmr79tjypbme`, `email=balda@localhost`, owner `admin`.
+Токен: `/home/kraken/balda/secrets/mm-bot-token` (0600, 26 символов).
+**Значение токена в доке не хранится** — только путь.

-### Шаг 2 — Конфиг и данные на Kraken (~10 мин)
-
-1. Каталоги (владельцы — по uid из образа, это уже дважды кусало):
-   `/home/kraken/balda/` (compose, `.env`, `config/`), данные на USB-HDD
-   `/srv/dev-disk-by-uuid-49e8f586-.../docker/balda/`.
-2. `config.yaml` с блоком `balda.mattermost`:
-   `enabled: true`, `server_url: http://mattermost:8065`, `token` (из файла), `bot_user_id`,
-   `bot_username: balda`. Провайдер — `deepseek`.
-   ⚠️ `server_url` — **внутри docker-сети**, не `https://mm.qentra.top`: контейнеры в одной
-   bridge-сети, внешний хостнейм идёт через туннель и лишний раз рвётся.
-3. **Токен DeepSeek** — скриптом в `.env` на Kraken, значение не печатать:
-   вычитать из `~/.hermes/hermes-whale/.env` (ключ `DEEPSEEK_API_KEY`), передать на хост,
-   записать в `/home/kraken/balda/.env` (0600). В чат и в док — **никогда**.
-4. `docker-compose.yml`: та же сеть, что у MM (`mm-net`), иначе WS не поднимется.
-5. Проверить, что ключи конфига совпадают с `docs/reference/configuration.md`.
-
-### Шаг 3 — Запуск и проверка (~10 мин)
-
-1. `docker compose up -d`; `docker logs` — нет падения на валидации конфига.
-2. **Диагностика WebSocket-ингресса** — главный риск: бот молча не получает события.
-   Признаки в логах: `authentication_challenge`, `websocket`, `posted`.
-3. Живая проверка в MM: написать боту `@balda` в канале → должен ответить.
-4. Бот должен быть добавлен в нужный канал.
-
-### Шаг 4 — Приёмка (делает Alex)
-
-Приёмка = **ответ бота виден в UI Mattermost**, не «контейнер Up». Alex пишет `@balda`
-в канале, бот отвечает.
+**Стенд для проверки:** team `qentra` (`m1iwp7t9w7no3y8gi876iw39he`), channel `balda-test`
+(`7bjw4g7o1jdsbmjbqd649xxgaw`). Оба созданы в этой сессии — до неё в MM не было ни команды,
+ни канала.

 ---

-## Риски
+## Что осталось — 🔴 бот не отвечает

-| Риск | Оценка | Митигация |
-|---|---|---|
-| Бот не получает WS-события | средний | писать `server_url` внутри docker-сети; проверить `authentication_challenge` в логах |
-| Токен DeepSeek утечёт в чат/док | **высокий** | только через скрипт, в док — путь к файлу, не значение |
-| Сборка на Kraken зальёт SD | **подтверждён** | собирать только на Mac |
-| uid bind-mount конфликт | **подтверждён (2×)** | владелец тома = uid из образа |
-| MM недоступен из контейнера | низкий | одна bridge-сеть `mm-net`; `curl` из контейнера Балды |
-| Провайдер DeepSeek не стартует без MCP | низкий | `balda.mcp_servers` — только Obsidian, при необходимости |
+Пост `@balda reply with a single word: works?` в `balda-test` **доставлен**, но ответа нет.
+В логах ингресса после подключения WS — **тишина**: нет ни `posted`, ни ошибки.
+Значит событие либо не приходит, либо отбрасывается фильтром **до** записи в лог.
+
+Кандидаты (проверять по коду `channel/mattermost/inbound.go`):
+- `MentionsBot` / `StripMention` — не распознаёт упоминание;
+- `IsBotEcho` — ложно считает пост своим;
+- несовпадение `BotUsername` (`balda`) с тем, что реально приходит в событии;
+- фильтр системных/`Type != ""` постов.
+
+**Следующий шаг (не сделан):** поднять `logger.level` до `debug` в
+`/home/kraken/balda/config/config.yaml`, перезапустить, отправить `@balda` снова — найти
+строку-отказ. Затем править `inbound.go` дельтой.
+
+⚠️ Приёмка — **ответ бота виден в UI Mattermost**, не «контейнер Up». Пока НЕ выполнена.

 ---

@@ -137,20 +280,21 @@ ssh kraken 'docker exec mattermost mmctl --local config set ServiceSettings.Enab

 | Что | Путь |
 |---|---|
-| Скрипты провижининга бота (Mac) | `/Users/admin/tmp-mm-provision/*.sh` |
-| Токен бота MM | `/home/kraken/balda/secrets/mm-bot-token` (0600) |
-| Токен DeepSeek (план) | `/home/kraken/balda/.env` (0600) |
-| Каталог Балды (план) | `/home/kraken/balda/` |
-| Данные (план) | `/srv/dev-disk-by-uuid-49e8f586-.../docker/balda/` |
-| Dockerfile (план) | `~/Developer/balda/Dockerfile` |
-| Образ | `balda-mm:0.1.0` → `balda-mm:latest` |
+| Скрипты деплоя и провижининга (Mac) | `/Users/admin/tmp-mm-provision/*.sh` |
+| `config.yaml.tpl` | `/Users/admin/tmp-mm-provision/config.yaml.tpl` |
+| `docker-compose.yml` | `/Users/admin/tmp-mm-provision/docker-compose.yml` |
+| Дельта-фикс | `~/Developer/balda/tools/deltas-goal-command-fix.json` |
+| Dockerfile | `~/Developer/balda/Dockerfile.release` (апстримный, не менялся) |
+| Образ | `balda-mm:0.1.1` (+ `0.1.0` как предыдущая сборка) |
+| Стенд MM | team `qentra` / channel `balda-test` |

-⚠️ Скрипты в `/tmp` **не переживут reboot Mac** — существенное дублируется в этом доке.
+⚠️ Скрипты в `/tmp` **не переживут reboot Mac** — существенное продублировано в этом доке.

 ## Связанные заметки

 - [[personal/projects/balda/balda-mm-delegation-plan]] — общий план проекта
- [[personal/projects/balda/balda-mattermost-connector]] — Фаза 2, MM-адаптер (код готов)
+- [[personal/projects/balda/balda-mattermost-connector]] — Фаза 2, MM-адаптер (код)
 - [[personal/projects/balda/mattermost-kraken-deploy]] — Фаза 1, MM на Kraken
- [[personal/tech/hermes-secret-redaction-bypass]] — маскировка секретов Hermes
- [[personal/tech/balda-go-fx-pitfalls]] — fx-питфоллы
+- [[personal/tech/balda-go-fx-pitfalls]] — 🔴 fx-питфоллы + дельта-апплаер + advertisement
+- [[personal/tech/hermes-secret-redaction-bypass]] — редакция секретов Hermes
+- [[personal/tech/docker-data-root-mount-race]] — почему том на HDD, а не на SD
@@ -15,6 +15,18 @@
 >
 > **Осталось:** ничего по коду. Дальше — Фаза 3 (Балда с MM на Kraken) и Фаза 4 (исполнитель).
 >
+> 🔴 **ОБНОВЛЕНО 2026-09-26 (ночь, позже): «все quality gates пройдены» оказалось неполным.**
+> При первом **живом запуске** на Kraken (Фаза 3) Балда ушла в crash-loop:
+> `advertised commands have no actor handler: goal`. В `Advertisement.Names` была объявлена
+> несуществующая команда `goal` (это payload kind, а не имя хендлера; цикл называется
+> `goalkeeper`). **Ни `go build`, ни `go vet`, ни `golangci-lint`, ни `go-arch-lint`, ни
+> `validateBaldaApplication` этого не увидели.** Исправлено в `mattermostfx/module.go` и
+> `inbound.go` дельтой `tools/deltas-goal-command-fix.json`. Разбор —
+> [[personal/tech/balda-go-fx-pitfalls]] §«Дефект 4».
+> 📌 Вывод: «Фаза 2 закрыта» означала «код компилируется и граф собирается», но **не**
+> «транспорт работает». Живой запуск обязателен. Текущий статус Фазы 3 —
+> [[personal/projects/balda/balda-kraken-mm-deploy]].
+>
 > Разделы ниже — сначала контракт/разведка, затем **фактически написанные файлы**. Ищи
 > §«Что фактически написано» для реестра файлов.
 >
@@ -259,11 +259,23 @@ Mattermost (Alex) — итог + артефакты
 1. ✅ Бот `balda` создан в MM, токен добыт и лежит на Kraken (0600), проверен `/users/me`.
 2. ✅ `ServiceSettings.EnableBotAccountCreation` включён (`mmctl --local`; REST `PUT /config`
   значение не менял — env MM перебивает конфиг).
-3. ⏳ Собрать образ Балды **на Mac**, перенести `docker load` на Kraken.
-4. ⏳ Развернуть Балду с MM-адаптером на Kraken, провайдер — **DeepSeek** (API-ключ, не подписка).
-5. ⏳ Настроить `balda.mcp_servers` (Obsidian MCP + Knowl при необходимости).
-6. ⏳ Проверить `/goalkeeper`, `/auto`, `/topic`, `/skill` в MM.
-7. ⏳ Верификация Alex в UI MM (не по логам).
+### Фаза 3 — оркестратор на Kraken — 🟡 РАЗВЁРНУТА, бот пока не отвечает
+Детальный док: [[personal/projects/balda/balda-kraken-mm-deploy]].
+
+1. ✅ **Собран образ на Mac** — из апстримного `Dockerfile.release` (свой писать не пришлось),
+   `balda-mm:0.1.1`, linux/arm64, 20.6 МБ, ~110 с. Перенос `docker save | zstd` → `docker load`.
+2. ✅ **Развёрнута на Kraken** — `/home/kraken/balda/`, данные на USB-HDD, сеть
+   `mattermost_mm-net`, конфиг монтируется в `/workspace/.config/balda/config.yaml`.
+3. ✅ **Провайдер DeepSeek** — `type: openai` + `base_url: https://api.deepseek.com/v1`,
+   ключ из `~/.hermes/hermes-whale/.env` прочитан скриптом, в чат не выводился.
+4. ✅ **WebSocket к MM подключён** — `mattermost websocket connected`.
+5. ✅ **Backoffice-админ забутстрапен** (не был в плане, но обязателен — иначе отказ старта).
+6. 🔴 **Обнаружен и исправлен дефект Фазы 2:** `advertised commands have no actor handler: goal`
+   — опечатка в `Advertisement.Names` роняет **весь fx-граф** и даёт crash-loop. См.
+   [[personal/tech/balda-go-fx-pitfalls]] §«Дефект 4». Ни один quality gate Фазы 2 его не видел.
+7. 🔴 **ОТКРЫТО: бот не отвечает на `@balda`.** Пост доставлен, в логах ингресса тишина.
+   Следующий шаг — `logger.level: debug` + искать строку-отказ в `inbound.go`.
+8. ⏳ **Верификация Alex в UI MM — не пройдена** (приёмка = ответ бота в UI).

 ### Фаза 4 — исполнитель в VM/Docker на Mac (~2-3 дня)
 1. Docker-контейнер (или UTM VM) с Node 24 + `codex` + `claude` + `git`.
@@ -1,9 +1,11 @@
 # Balda — Go/fx pitfalls и метод правок (зеркало скилла)

-> Создано 2026-09-26. Обновлено 2026-09-26 (ночь) — добавлены lint/arch-lint и закрытие Фазы 2.
+> Создано 2026-09-26. Обновлено 2026-09-26 (ночь, позже) — добавлен **Дефект 4**
+> (advertisement ↔ actor-хендлер), найденный при первом реальном запуске на Kraken.
 > Зеркало секции скилла `devops/docker-balda-service`, добавленной 2026-09-26.
-> Источник: работа над Mattermost-адаптером Балды (Фаза 2).
+> Источник: работа над Mattermost-адаптером Балды (Фаза 2) + деплой на Kraken (Фаза 3).
 > Проектные доки: [[personal/projects/balda/balda-mattermost-connector]],
+> [[personal/projects/balda/balda-kraken-mm-deploy]],
 > [[personal/projects/balda/balda-mm-delegation-plan]].

 ---
@@ -109,6 +111,72 @@ fx.Provide(

 ---

+## 🔴🔴 Дефект 4: объявленная команда без actor-хендлера (роняет ВЕСЬ fx-граф)
+
+Найден **только реальным запуском на Kraken** (Фаза 3). До этого Фаза 2 считалась закрытой:
+`go build` = 0, `go vet` = 0, `golangci-lint` = 0 issues, `go-arch-lint` = OK, тесты зелёные.
+**Ни один из этих гейтов его не видит.**
+
+**Симптом** — crash-loop контейнера (`Restarting (1)`), в логах одна строка на тысячи
+`"message":"provided"`:
+
+```
+Error: starting Balda app: could not build arguments for function
+".../execution".init.func1: failed to build *execution.ActorHost: ...
+failed to build *command.Router: received non-nil error from function
+"reflect".makeFuncStub: advertised commands have no actor handler: goal
+```
+
+**Причина:** в `mattermostfx/module.go` в `commandcmd.Advertisement{Names: [...]}` была
+объявлена команда `goal`, которой **не существует** как actor-хендлер. `goal` — это
+**payload kind** (`goalkeepercmd.PayloadKindGoal`, `actorcmd.KindGoal`,
+`actors/job_actor.go:100`), а снаружи цикл GoalKeeper называется `goalkeeper`.
+
+**Механизм:** `actors/command/router.go:49 ValidateAdvertised()` вызывается из
+`commandfx/module.go:306`. Он валидирует **весь** список `Names` одного advertisement и при
+первом отсутствующем имени возвращает ошибку → fx не может построить `*command.Router` →
+падает `*execution.ActorHost` → падает приложение. Одна опечатка в списке = полный отказ старта,
+а не «недоступна одна команда».
+
+**Правильно — сверять `Names` с реальными `Name()`:**
+
+```bash
+cd ~/Developer/balda
+grep -rn 'func (h \*Handler) Name() string' internal/apps/balda/actors/command/
+```
+
+Эталонный фактический список (2026-09-26, `balda@de273d8f`):
+
+```
+locator · reset · usage · auto · cancel · close · start · user · topic · skill
+goalkeeper · help · plugin
+```
+
+`mattermostfx/module.go` после фикса:
+```go
+Names: []string{
+    "locator", "reset", "usage", "auto", "cancel",
+    "goalkeeper", "topic", "close", "start",
+    "user", "skill",
+},
+```
+`channel/mattermost/inbound.go` — тот же список в inbound allow-list, синхронно.
+
+⚠️ `Zulip`-адаптер изначально был **прав** — там `"goalkeeper"` без `"goal"`. Регрессию внёс
+MM-адаптер при копировании «на глаз».
+⚠️ **`docs/commands.md` — НЕ источник истины** для имён команд. Там таблица доступности по
+транспортам; реестр хендлеров — только `actors/command/*/handler.go`.
+⚠️ Фикс — дельта-апплаером: `tools/deltas-goal-command-fix.json` (2 дельты, обе APPLIED).
+
+📌 **Общий вывод (расширяет §«go build = exit 0 ≠ рабочий транспорт» выше):** недостаточно
+проверять DI-граф тестом `validateBaldaApplication`. Тест должен прогоняться **с реальным
+списком `Names` из модуля**. Но и это не поймало бы опечатку, если тест использует тот же
+неверный advertisement — поэтому единственная надёжная проверка нового транспорта =
+**живой запуск бинаря**. Для нового транспорта добавлять в чек-лист шаг:
+`docker run` (или локальный `balda start`) с включённым транспортом **до** объявления готовности.
+
+---
+
 ## ⚠️ Env-override работает только по ключам, уже присутствующим в YAML

 `appconfig/loader.go:367` — `SetEnvPrefix("BALDA")` + `SetEnvKeyReplacer(".", "_")` +
@@ -129,6 +197,10 @@ fx.Provide(
   `TestLoadConfigDocument_AppliesZulipEnvOverrides`)
 9. если добавлял маршрут в `BuiltinRoutes()` — обновить `TestBuiltinRoutes`
 10. доки: `docs/reference/configuration.md` (ключи), `docs/commands.md` (колонка транспорта)
+11. 🔴 **сверить `Advertisement.Names` с реальными `Name()`** в
+    `actors/command/*/handler.go` — опечатка роняет весь fx-граф (см. §«Дефект 4» выше)
+12. 🔴 **живой запуск** `balda start` (или `docker run`) с включённым транспортом —
+    единственная проверка, которая ловит дефект 4

 **Финальные quality gates (все обязательны, из `AGENTS.md`):**
 ```bash
@@ -223,6 +223,72 @@ ssh host "cat > /tmp/p.sh && bash -n /tmp/p.sh && echo SYNTAX_OK" < payload.sh
 Если `bash -n` ругается — смотреть `/tmp/p.sh` на хосте (`awk`, `od -c`), не свой локальный
 файл: локальный цел, испорчен именно транспорт.

+### 🔴 Питфолл D — `$o` / короткие jq-переменные → «unbound variable»
+
+```
+e2e-check.sh: line 9: o: unbound variable
+```
+
+Скрипт был написан и лежал на диске **целым** (`read_file` это подтверждает), но при передаче
+через `ssh` строка ломается. Тот же класс, что A/B: транспорт, не файл.
+
+**Обход:** не использовать в payload однобуквенные/короткие shell-переменные и jq-биндинги
+(`$o`, `$i`, `$a`). Переписывать jq-выражения без промежуточных биндингов либо давать
+осмысленные имена. Была и вторая причина: `set -euo pipefail` + `$o` вне раскрытия = фатально
+до всякой логики.
+
+### 🔴 Питфолл E — `printf` с format-строкой как значение
+
+```bash
+# что написал:
+printf 'DEEPSEEK_API_KEY=%s\n' "$DS_KEY" > .env
+# результат в файле: ключ попал в ИМЯ переменной, 5-я строка потерялась,
+# compose упал: "line 2: key cannot contain a space"
+```
+
+Формат-строка сама редактируется, `%s` превращается в литерал и уезжает в файл.
+**Обход — `echo` внутри `{ }`-блока, без format-строк:**
+
+```bash
+{
+  echo "DEEPSEEK_API_KEY=$DS"
+  echo "VAR2=$VAL2"
+} > /home/kraken/balda/.env
+```
+
+### 🔴 Питфолл F — `ssh host 'bash -s' < script.sh` съедает stdin
+
+```bash
+# НЕ работает: ssh читает stdin скрипта вместо heredoc
+ssh kraken "bash -s" < mm-config-and-create-bot.sh
+# → bash: line 5: MM_ADMIN_PW: set MM_ADMIN_PW
+```
+
+`ssh` использует stdin **и** для скрипта, **и** для heredoc-канала — они конфликтуют.
+**Обход:** `ssh host "bash -s" < /dev/null <<'REMOTE' … REMOTE`.
+
+### ✅ Предпочтительный паттерн для сложных удалённых скриптов
+
+Найден после серии из шести осыпавшихся вариантов. **Вложенные heredoc не использовать вообще.**
+
+```bash
+# 1. написать скрипт ФАЙЛОМ на Mac (write_file)
+# 2. залить файлом
+ssh kraken "cat > /tmp/x.sh" < x.sh
+# 3. проверить синтаксис НА ХОСТЕ
+ssh kraken 'bash -n /tmp/x.sh && echo SYNTAX_OK' < /dev/null
+# 4. только потом исполнять
+ssh kraken "MM_ADMIN_PW='…' bash /tmp/x.sh" < /dev/null
+```
+
+Никаких `<<OUTER` + `<<'INNER'`, никакой борьбы с раскрытием `$PW` — переменные окружения
+передаются в аргументе вызова, значения секретов читаются из файлов на хосте.
+
+### ⚠️ Побочный факт: env на хосте НЕ считается секретом
+
+`ssh kraken "MM_ADMIN_PW='…' bash /tmp/x.sh"` — значение в аргументе работает и не маскируется,
+потому что шаблон `VAR='value'` с пробелами и кавычками не матчит `_ENV_ASSIGN_RE`.
+
 ---

 ## Валидация результата (обязательный шаг)
@@ -240,5 +306,17 @@ grep "MM_SQLSETTINGS_DATASOURCE" compose.yml | grep -q 'postgres://${PGUSR}:\${P
 ## Связанные заметки

 - [[personal/projects/balda/mattermost-kraken-deploy]] — где пригодилось
- [[personal/projects/balda/balda-kraken-mm-deploy]] — Фаза 3: три питфолла из этой заметки найдены там
+- [[personal/projects/balda/balda-kraken-mm-deploy]] — Фаза 3: все питфоллы A-F найдены там
+- [[personal/projects/balda/balda-mattermost-connector]] — Фаза 2 (провижининг MM-бота)
+- [[personal/tech/balda-go-fx-pitfalls]] — fx-питфоллы Балды
 - [[personal/tech/hermes-fork-vs-upstream]] — наш форк Hermes
+
+## История
+
+- **2026-09-26**: создано. Механика redaction по исходникам `agent/redact.py`, приёмы обхода.
+- **2026-09-26 (вечер)**: добавлены питфоллы A (переменная `TOKEN`), B (литерал
+  `Authorization: Bearer`), C (`$PW` во вложенном heredoc). Провижининг MM-бота.
+- **2026-09-26 (ночь)**: добавлены питфоллы **D** (короткие jq/shell-переменные, `$o`),
+  **E** (`printf` с format-строкой), **F** (`ssh 'bash -s' < file` съедает stdin) и
+  **предпочтительный паттерн**: скрипт файлом → `cat > /tmp/x.sh` → `bash -n` на хосте →
+  исполнение. Найдено на деплое Балды на Kraken.