obsidian-vault/personal/projects/balda/balda-kraken-mm-deploy.md

# Фаза 3 — Балда на Kraken + Mattermost (деплой)

> Создан 2026-09-26. Обновлён 2026-09-26 (ночь, root-cause сессия).
> Статус: **🟡 РАЗВЁРНУТА. Найдены 3 причины тишины, 2 исправлены. Бот пока не отвечает.**
> Часть проекта [[personal/projects/balda/balda-mm-delegation-plan]].
> Предыдущие фазы: [[personal/projects/balda/mattermost-kraken-deploy]] (Фаза 1, ✅),
> [[personal/projects/balda/balda-mattermost-connector]] (Фаза 2, ✅ — код + все quality gates).

---

## Команда Alex (2026-09-26)

> «Ок, разворачивай бота на кракене с привязкой к ММ. Токен deepseek возьми скриптом из
> hermes whale env — тебе его система не покажет. Сборка на маке.»
> Затем: «Делай. До конца. Вопросов не задавать, команды требующие подтверждения не
> использовать, при отсутствии подтверждения команды от меня использовать другую команду.
> Без результата не останавливаться.»
> Затем (после паузы): **«Хули ты встал?! Я кажется сказал не останавливаться пока
> прод-левел реализация не будет закончена»** — 🔴 Alex **не приемлет остановок** на
> промежуточном результате. Пока сквозной путь не работает — не докладывать «готово»,
> а продолжать. Статус докладывать только с указанием, что именно осталось и что делаю дальше.

---

## Текущее состояние (2026-09-26)

| Компонент | Статус |
|---|---|
| Бот `balda` в MM | ✅ создан, токен рабочий, **в команде и канале** |
| Образ `balda-mm:0.1.2` (linux/arm64) | ✅ собран на Mac, загружен на Kraken, задеплоен |
| Контейнер `balda-mm` | ✅ Up |
| Провайдер DeepSeek | ✅ `balda provider runtime ready` agent=deepseek |
| **WebSocket к Mattermost** | ✅ `mattermost websocket connected`, 101 Switching Protocols |
| Backoffice-админ | ✅ bootstrapped |
| Команда/канал в MM | ✅ team `qentra`, channel `balda-test`, пользователь `testuser` |
| Тишина ингресса (челлендж) | ✅ **исправлено** — дельта 14, образ `0.1.2` |
| **Ответ бота на `@balda`** | 🔴 **НЕТ ОТВЕТА** — событие теряется до `handleFrame` |

```
{"component":"balda.channel.mattermost.ingress","url":"ws://mattermost:8065/api/v4/websocket",
 "message":"mattermost websocket connected"}
{"message":"Balda bot started. Press Ctrl+C to stop."}
```

---

## 🔴 Найден и исправлен дефект Фазы 2: объявленная команда без actor-хендлера

Первый запуск дал **crash-loop**:

```
Error: starting Balda app: ... failed to build *command.Router:
       advertised commands have no actor handler: goal
```

**Причина — моя регрессия в MM-адаптере.** В `advertisement.Names` я объявил команду
`goal`, но такого actor-хендлера в проекте **нет**. Реальные имена из
`internal/apps/balda/actors/command/*/handler.go`:

```
locator · reset · usage · auto · cancel · close · start · user · topic · skill
goalkeeper · help · plugin
```

`goal` — это **payload kind** (`goalkeepercmd.PayloadKindGoal`, `actorcmd.KindGoal`,
`actors/job_actor.go:100`), а не имя команды. Цикл GoalKeeper снаружи называется
**`goalkeeper`**. Zulip-адаптер изначально был прав (`"goalkeeper"` без `"goal"`).

**Механизм падения:** `actors/command/router.go:49 ValidateAdvertised()` вызывается из
`commandfx/module.go:306` и роняет **весь fx-граф**, а не только команду. Симптом в UI —
бесконечный `Restarting (1)`, в логах — тысячи строк `"message":"provided"` и одна `error`.

**Фикс** (`tools/deltas-goal-command-fix.json`, дельта-апплаер):

| Файл | Что |
|---|---|
| `channel/mattermost/mattermostfx/module.go` | убран `"goal"` из `Names` |
| `channel/mattermost/inbound.go` | убран `"goal"` из inbound allow-list |

`go build ./...` = 0, тесты `actors/command/...` — все зелёные. Пересобран образ `0.1.1`.

📌 **Урок (дополнить [[personal/tech/balda-go-fx-pitfalls]]):** `go build`/`go vet`/тесты
**не видят** несоответствие advertisement ↔ actor-хендлеры. Ловится **только реальным
запуском** с включённым транспортом. Для любого нового транспорта: сверять список `Names`
с `Name()`-методами `actors/command/*/handler.go`, а не с таблицей в `docs/commands.md`.
⚠️ `docs/commands.md` **врёт** про имя команды — там таблица доступности, не реестр хендлеров.

---

## Что сделано (по шагам плана)

### Шаг 1 — Сборка образа на Mac ✅

🔴 **Свой Dockerfile писать не пришлось** — в апстриме уже есть готовый `Dockerfile.release`:
multi-stage `golang:1.26.6-bookworm` → `scratch`, `CGO_ENABLED=0`, `GOARCH=$TARGETARCH`,
ldflags `-X main.version/commit/date`. Бинарь статический, 20.6 МБ.

```bash
cd ~/Developer/balda
docker buildx build --builder arm64builder --platform linux/arm64 \
  -f Dockerfile.release \
  --build-arg VERSION=v0.3.1-137-g004fda2f-dirty --build-arg COMMIT=004fda2f \
  --build-arg BUILD_DATE=$(date -u +%Y-%m-%dT%H:%M:%SZ) \
  --provenance=false --load -t balda-mm:0.1.1 .
# ~110 с (go mod download 50 с + go build 14 с)
zstd -3 -T0 -o /tmp/balda-mm-011.tar.zst --force <(docker save balda-mm:0.1.1)
zstd -dc /tmp/balda-mm-011.tar.zst | ssh kraken 'docker load'
```

⚠️ `--provenance=false` обязателен, иначе buildx добавляет attestation-манифест и
`docker load` на Kraken ругается на неподдерживаемый формат.
⚠️ `arm64builder` (docker-container driver на colima) — на нём есть `linux/arm64` нативно.
⚠️ Распаковывать zstd **на Mac**: zstd 1.5.4 на Kraken не читает фрейм macOS-zstd 1.5.7.

### Шаг 2 — Конфиг и данные на Kraken ✅

**Структура путей** (важно: Balda ищет конфиг как `<working_dir>/.config/balda/config.yaml`,
см. `internal/apps/balda/paths/paths.go` — `configDirName = ".config/balda"`):

| Что | Путь на хосте | В контейнере |
|---|---|---|
| compose | `/home/kraken/balda/docker-compose.yml` (0600) | — |
| `.env` | `/home/kraken/balda/.env` (0600) | env_file |
| `config.yaml` | `/home/kraken/balda/config/config.yaml` | `/workspace/.config/balda/config.yaml` (ro) |
| токен MM-бота | `/home/kraken/balda/secrets/mm-bot-token` (0600) | — |
| ключ DeepSeek | `/home/kraken/balda/secrets/deepseek-key` (0600) | — |
| пароль backoffice | `/home/kraken/balda/secrets/backoffice-adminpw` (0600) | — |
| состояние | `/srv/…-49e8f586…/docker/balda/state` | `/state` |
| workspace | `/srv/…-49e8f586…/docker/balda/workspace` | `/workspace/work` |

⚠️ Флага `--config` у Балды **нет**. Есть только `--config-dir`, `--profile`, `--debug`,
`--trace`. Конфиг монтируется внутрь `<working_dir>/.config/balda/`.
⚠️ Подкоманда обязательна: `command: ["start"]`. Без неё контейнер печатает help и висит.

**`docker-compose.yml` — ключевые параметры:**

| Ключ | Значение | Почему |
|---|---|---|
| image | `balda-mm:0.1.1` | arm64, из официального апстрима |
| `command` | `["start"]` | 🔴 без подкоманды бинарь печатает help |
| `working_dir` | `/workspace` | от него считается путь к конфигу |
| `env_file` | `/home/kraken/balda/.env` | секреты, не в compose |
| `BALDA_STATE_DIR` | `/state` | |
| сеть | `mattermost_mm-net` (external) | 🔴 compose-префикс MM-стека |
| volumes | config ro, state, workspace | HDD, не SD |
| `restart` | `unless-stopped` | |

🔴 **Сеть MM называется `mattermost_mm-net`**, а не `mm-net` — compose добавляет имя проекта.
`server_url` указывает на `http://mattermost:8065` (DNS контейнера внутри сети), а **не** на
`https://mm.qentra.top`: внешний хостнейм идёт через туннель и лишний раз рвётся.

**`config.yaml` — блок Mattermost + провайдер:**

```yaml
balda:
  provider: deepseek
  permissions: { mode: "allow_all", timeout: "5m" }
  mattermost:
    enabled: true
    server_url: "http://mattermost:8065"
    token: "${BALDA_MATTERMOST_TOKEN}"
    bot_user_id: "${BALDA_MATTERMOST_BOT_USER_ID}"
    bot_username: "balda"
  working_dir: "/workspace"
  state_dir: "/state"
  workspace: { mode: "off" }
runtime:
  providers:
    deepseek:
      type: openai
      openai:
        base_url: "https://api.deepseek.com/v1"
        api_key: "${DEEPSEEK_API_KEY}"
        model: "deepseek-chat"
profiles:
  deepseek:
    balda: { provider: deepseek }
```

📌 **DeepSeek подключается как провайдер `type: openai`** с `base_url`. Реестр типов —
`agentconfig/config.go:104`: `generic_acp` · `gemini_acp` · `codex_acp` · `opencode_acp` ·
`copilot_acp` · `claude_code_acp` · `claude_acp` · `grok_acp` · `registry_acp` · `agy_acp` ·
`antigravity_acp` · **`openai`** · `aistudio` · `pool`. Поле `base_url` живёт **только** в
блоке `openai` (не в общем конфиге). Рабочий образец — старый `~/Docker/balda-agent/.config/balda/config.yaml`.

⚠️ **Env-переменные применяются только к ключам, которые УЖЕ есть в YAML** — блок
`balda.mattermost` обязан присутствовать, иначе `BALDA_MATTERMOST_*` молча игнорируются.

**`.env` на Kraken (5 строк, 0600):**
```
DEEPSEEK_API_KEY=…
BALDA_MATTERMOST_TOKEN=…
BALDA_MATTERMOST_BOT_USER_ID=edxrgupoxiyig5gzmr79tjypbme
BALDA_MATTERMOST_BOT_USERNAME=balda
BALDA_MATTERMOST_SERVER_URL=http://mattermost:8065
```

**Токен DeepSeek** — читается скриптом из `~/.hermes/hermes-whale/.env` и **стримится на хост
по stdin**, значение нигде не печатается:
```bash
DS_KEY=$(awk -F= '$1=="DEEPSEEK_API_KEY"{sub(/^[^=]*=/,""); gsub(/["'"'"' \r]/,""); print}' \
  ~/.hermes/hermes-whale/.env)
ssh kraken "umask 077 && cat > /home/kraken/balda/secrets/deepseek-key && chmod 600 ..." <<<"$DS_KEY"
```

### Шаг 3 — Backoffice bootstrap (не был в плане, но обязателен) ✅

Без него Балда падала:
`Error: backoffice user readiness: administrator bootstrap is required`.

```bash
# Пароль генерируется на хосте, читается bootstrap-admin из stdin, пишется в 0600-файл.
# 🔴 Останавливать контейнер перед bootstrap: sqlite state.db занят запущенным процессом.
head -c 32 /dev/urandom | base64 | tr -d '=+/' | head -c 32 > $SEC/backoffice-adminpw
cd /home/kraken/balda && docker compose stop balda
cat $SEC/backoffice-adminpw | docker compose run --rm -T --no-deps balda backoffice bootstrap-admin
docker compose up -d
# → administrator ready: id=b6517e56-… username=admin created=true
```

---

## 🔴 Питфолл-набор: редакция секретов Hermes и ssh-heredoc

Все пункты дают **молчаливо сломанный** скрипт. Полный разбор — [[personal/tech/hermes-secret-redaction-bypass]].

| # | Что режет | Симптом | Обход |
|---|---|---|---|
| 1 | присваивание переменной с именем **`TOKEN`** | `syntax error near unexpected token 'fi'` | не называть переменную `TOKEN`; `SESS` / `V1` |
| 2 | литерал `Authorization: Bearer` (и вообще `Au` + `th`) | `syntax error near unexpected token ')'` | `HD=$(printf '%s%s' "Auth" "orization")` — собрать в рантайме |
| 3 | `$o` / `$ord` в jq-выражении | `line N: o: unbound variable` | переименовать: `$ord` → локальная переменная через `as` |
| 4 | `printf 'VAR=%s\n' "$VAL"` | в файл попадает мусор, 5-я строка теряется | `echo "VAR=$VAL"` в `{ }`-блок |
| 5 | `$PW` внутри вложенного `<<'INNER'` | MM 400 `blank_pwd` | читать из файла на хосте либо двойной heredoc |
| 6 | **`read_file` тоже искажает вывод** | диск цел, чтение обрезано | проверять `awk`/`grep -c` на диске, не «чинить» по обрезанному чтению |
| 7 | `ssh host 'bash -s' < script.sh` | читает stdin скрипта вместо heredoc: `MM_ADMIN_PW: set MM_ADMIN_PW` | `ssh host "bash -s" < /dev/null <<'EOF'` или `ssh host "cat > /tmp/x.sh" < file` |

📌 **Лучший паттерн для сложных удалённых скриптов:** писать файлом на Mac → `ssh kraken "cat > /tmp/x.sh" < x.sh` → `ssh kraken 'bash -n /tmp/x.sh'` → `ssh kraken 'bash /tmp/x.sh'`. Никаких вложенных heredoc.

📌 **`jq -r '.id // empty'` не работает как «пусто, если ошибка»** — при отсутствующем канале
MM возвращает `{"id":"app.channel…missing","message":…}`, т.е. `.id` **есть**, и он уезжает в
переменную. Фильтровать по форме: `select(test("^[a-z0-9]{26}$"))`.

---

## 🔵 Mattermost API — что узнали

| Факт | Деталь |
|---|---|
| **Сессионный токен** | 🔴 в MM 11.x возвращается в **заголовке `Token`** ответа `POST /users/login`, а **не** в теле JSON |
| **Заголовок `Token:` для API-запросов** | 🔴 **НЕ РАБОТАЕТ** — MM 11.x отвечает 401 `api.context.session_expired.app_error`. Работает **только `Authorization: Bearer *** Сессия при этом живая (в БД `expiresat` = +180 дней, не удалена). Старый заголовок из MM 5.x больше не принимается |
| **PAT бота** | значение отдаётся **ровно один раз** — в ответе `POST /users/{id}/tokens`. Повторный `GET /users/{id}/tokens` возвращает `id, description, is_active, expires_at, user_id` — **без `token`** |
| **Bot creation** | гейтится `ServiceSettings.EnableBotAccountCreation` (по умолчанию `false`) → HTTP 403 `api.bot.create_disabled`. 🔴 `PUT /config` отвечает 200, но **не меняет** значение (env перебивает). Работает только `mmctl --local config set …` |
| **Пост от бота в канал** | бот должен быть **в команде И в канале**, иначе 403 `api.context.permissions.app_error`. Порядок: `mmctl --local team users add qentra <bot_user_id>` → `channel users add qentra:balda-test <bot_user_id>` |
| **`mmctl --local post create`** | 🔴 **не работает**: `Error: creating posts is not supported in local mode`. Для тестовых постов — только REST API |
| **Сессия логина** | каждый `POST /users/login` создаёт **новую** сессию; предыдущие не инвалидируются (в БД видно 6 живых сессий `testuser`). Если получаешь 401 — смотри `Authorization: Bearer`, а не лимит сессий |
| **Логин в скрипте** | сессия приходит в заголовке ответа. Парсить: `printf "%s" "$RESP" \| tr -d "\015" \| sed -n "s/^[Tt]oken: //p"`. ⚠️ `tr -d "\r"` внутри одинарных кавычек `sh -c` даёт литерал `r`, CR не удаляется — нужен `\015` |
| **WS: аутентификация** | 🔴 `Authorization: Bearer *** в dial — **правильный и достаточный** способ. Заголовка хватает, MM отвечает `101 Switching Protocols` и шлёт `hello` |
| Команды MM | `docker exec mattermost mmctl --local …` |

**Бот `balda`:** `user_id=edxrgupoxiyig5gzmr79tjypbme`, `email=balda@localhost`, owner `admin`.
Токен: `/home/kraken/balda/secrets/mm-bot-token` (0600, 26 символов).
**Значение токена в доке не хранится** — только путь.

**Стенд для проверки:** team `qentra` (`m1iwp7t9w7no3y8gi876iw39he`), channel `balda-test`
(`7bjw4g7o1jdsbmjbqd649xxgaw`). Оба созданы в этой сессии — до неё в MM не было ни команды,
ни канала. Бот `balda` добавлен в команду и канал (иначе 403).
Тестовый пользователь `testuser` (`c6udeze8dfrdxm5jbgq55bd58r`, пароль в `/tmp/mm-post-user.sh`
не хранится) — нужен, чтобы событие `posted` приходило с **человеческим** `user_id`,
иначе `IsBotEcho` отбрасывает пост.

---

## 🔴 ROOT CAUSE: WS-пробник и три найденные причины

Пробник `~/Developer/balda-wsprobe/main.go` — pure Go stdlib (RFC6455 handshake + reader,
без зависимостей), собирается нативно на Mac, на Kraken кладётся статический бинарь
(3.4 МБ, arm64). Флаги: `-url`, `-token`, `-secs`, `-authheader`.

```bash
cd ~/Developer/balda-wsprobe
CGO_ENABLED=0 GOOS=linux GOARCH=arm64 go build -o wsprobe-linux-arm64 .
scp wsprobe-linux-arm64 kraken:/tmp/wsprobe
ssh kraken 'cd /home/kraken/balda/secrets && TOK=$(cat mm-bot-token) && \
  docker run --rm --network mattermost_mm-net -v /tmp/wsprobe:/wsprobe:ro \
  alpine:3.20 /wsprobe -url ws://mattermost:8065/api/v4/websocket \
  -token "$TOK" -secs 20 -authheader'
```

### Причина 1 — `Origin` в handshake ломает всё (CORS)

Первая версия пробника отправляла `Origin: http://mattermost:8065`. MM ответил
**`403 Forbidden` / `api.web_socket.connect.upgrade.app_error` — «URL Blocked because of CORS»**,
потому что `SiteURL=https://mm.qentra.top`, а `Origin` был `http://mattermost:8065` — не совпадает.
Убрал `Origin` → `101 Switching Protocols`.
📌 Без `Origin` MM не проверяет CORS и принимает соединение. Балда `Origin` не шлёт — с ней всё ок.

### Причина 2 — `authentication_challenge` на уже аутентифицированном сокете УБИВАЕТ подписку

Это был **реальный баг в коде Балды** (`channel/mattermost/ingress.go`, `streamOnce`).
Соединение аутентифицируется заголовком `Authorization: Bearer`, но код **дополнительно**
слал `{"seq":1,"action":"authentication_challenge","data":{"token":…}}`.

**Проверено эмпирически:** с челленджем — приходит `hello`, затем `status_change`, затем
**тишина 40 секунд**, хотя в канал создаётся пост. Без челленджа — `posted` приходит штатно.
То есть избыточный челлендж заставляет MM переинициализировать сессию сокета, и `posted`
на него больше не пушится.

🔴 **Это объясняет «connected, но тишина»**: Балда логировала `mattermost websocket connected`
**до** отправки челленджа, поэтому лог выглядел здоровым, а события не шли.

**Фикс** — дельта `tools/deltas-mattermost-14.json` (формат: **плоский массив**, не объект!):
- удалён блок `WriteJSON(...authentication_challenge...)` из `streamOnce`;
- удалена константа `websocketActionAuthChallenge` (стала unused).

Пересобран образ `balda-mm:0.1.2` → задеплоен (`docker compose up -d --force-recreate`).

📌 **Правило:** если сокет аутентифицирован заголовком на dial — **не** слать
`authentication_challenge`. Одно из двух, не оба.

### Причина 3 — событие приходит, но теряется между фреймом и `handleFrame` (ОТКРЫТО)

После фикса (образ `0.1.2`, челленджа нет) картина:

| Проверка | Результат |
|---|---|
| Ingress логирует `mattermost websocket connected` | ✅ |
| Пробник ловит `posted` с human `user_id` при живом сокете | ✅ событие **есть** на сокете |
| Балда логирует `posted` / `dispatchPosted` | 🔴 **ничего**, даже на `logger.level=debug` |
| `MentionsBot("@balda …", "balda")` → `contains("@balda")` | ✅ true (проверено по коду) |
| `IsBotEcho` / `IsSystemPost` / `IsDeletedPost` | ✅ не срабатывают |
| `bot_username: "balda"` в `config.yaml` | ✅ присутствует |
| `PostedData.Post` — тип `string`, JSON-строка поста | ✅ парсинг корректен |

**Вывод:** обрыв между получением фрейма в `readLoop` и входом в `handleFrame`.
Версии:
- **A** — фрейм не доходит до `handleFrame` (напр. `frame.messageType != websocket.TextMessage`);
- **B** — `handleFrame` вызван, но `json.Unmarshal(payload, &WebSocketEvent)` падает, и уходит
  только `debug`-строка «ignoring undecodable mattermost websocket frame» (мог не заметить в потоке).

**Следующий шаг:** временный debug-лог в начало `handleFrame` (`ingress.go`), фиксирующий **каждый**
полученный фрейм → пересобрать `0.1.3` → отправить `@balda` от `testuser` → прочитать.
Даёт точку обрыва за один прогон.

---

## 🔴 Инструмент постинга в MM (нужен для каждого теста)

`mmctl --local post create` не работает, поэтому постинг — через REST в контейнере.

| Скрипт (Mac → Kraken `/tmp/`) | Что делает |
|---|---|
| `~/Developer/balda/tools/mm-post-user.sh <cid> <user> <pass> <text>` | пост от **человека** — правильный тест ингресса |
| `~/Developer/balda/tools/mm-post-bot.sh <cid> <text>` | пост от **бота** — ⚠️ `IsBotEcho` его отбросит, годится только для проверки WS-доставки |
| `~/Developer/balda/tools/mm-debug-session.sh` | логин + `/users/me` тем же токеном — отладка 401 |
| `~/Developer/balda-wsprobe/main.go` | WS-пробник |

📌 **Тест ингресса валиден только от НЕ-бота.** Пост от бота даёт событие с `user_id` бота,
и `IsBotEcho` его легитимно отбрасывает — на этом я потерял два прогона.

---

## 🔴 Новые питфоллы редакции секретов (дополнение к [[personal/tech/hermes-secret-redaction-bypass]])

Найдены в этой сессии при написании `mm-post-user.sh`:

| # | Что режет | Симптом | Обход |
|---|---|---|---|
| G | `-H "Authorization: Bearer *** $V1"` | `sh: syntax error: unterminated quoted string` — на диске строка обрезана после `***` | собирать схему и имя заголовка из кусков **внутри скрипта**: `SCHEME="Bea""rer"`, `HD="Auth""orization: ${SCHEME} ${V1}"`, затем `-H "$HD"` |
| H | `${#V1}` (длина строки) и `if` на одной строке с `echo` | `sh: syntax error: unexpected "then"`; строка слилась с предыдущей | не использовать подстановку длины; `if` — только отдельной строкой или через `[ ] &&` без `echo` рядом |
| I | `tr -d "\r"` внутри `sh -c '…'` | CR не удаляется (литерал `r`), токен с `\r` → 401 | писать `tr -d "\015"` (октальный код работаёт в одинарных кавычках) |

⚠️ Подтверждён питфолл из прошлой сессии: **`write_file` пишет байт-в-байт, но редакция
срабатывает на выводе** — `read_file`/`terminal` показывают `***`, а на диске строка цела.
Проверять `bash -n` **на хосте**, а не глазами.

---

## Что осталось — 🔴 бот не отвечает

Актуальное состояние обрыва — см. §«Причина 3» выше. Кратко: событие `posted` **доказанно
приходит** на сокет бота (поймано пробником с human `user_id`), все фильтры `inbound.go`
проверены и корректны, но Балда не логирует ничего даже на `debug`. Обрыв — между `readLoop`
и `handleFrame`.

⚠️ **Приёмка — ответ бота виден в UI Mattermost**, не «контейнер Up». Пока НЕ выполнена.
⚠️ Не докладывать «готово», пока сквозной путь не работает (см. реакцию Alex выше).

---

## 🔵 Проверка расходования диска (2026-09-26, по вопросу Alex)

Alex спросил «почему ты работаешь на SD карте?» — проверено, ответ: **Docker целиком на HDD**,
SD под Docker не используется.

```
Docker Root: /srv/…-6194539b…/docker-data        ← USB-HDD (1.8T)
/var/lib/docker: No such file or directory       ← на SD его НЕТ
/etc/docker/daemon.json: data-root = /srv/…-49e8f586…/docker-data   ← symlink на 6194539b
docker system df → Build Cache: 0B
```

SD (`/dev/mmcblk0p2`, 14 ГБ, 36%): `/usr` 2.9 ГБ · `/var/swap` 513 МБ · `/var/cache` 404 МБ ·
`/home` 486 МБ. Единственный крупный файл на SD — `/var/swap` (swapfile), это штатно.

📌 **Вывод:** buildkit-кэш, из-за которого правило и появилось, **пуст** — первая сборка шла на
`arm64builder` (colima на Mac) с `--load`, кэш на Kraken не писался вообще. Путь
`49e8f586…` и `6194539b…` — **один и тот же диск** (первый — симлинк).
⚠️ Неаккуратность этой сессии: `docker run golang:1.26.6-bookworm` тянул ~800 МБ на Kraken ради
одноразовой проверки WS. Лёг на HDD, но это лишний мусор — такие пробы гонять на Mac.

---

## Файлы

| Что | Путь |
|---|---|
| Скрипты деплоя и провижининга (Mac) | `/Users/admin/tmp-mm-provision/*.sh` |
| `config.yaml.tpl` | `/Users/admin/tmp-mm-provision/config.yaml.tpl` |
| `docker-compose.yml` | `/Users/admin/tmp-mm-provision/docker-compose.yml` |
| Дельта-фикс `goal`/`goalkeeper` | `~/Developer/balda/tools/deltas-goal-command-fix.json` |
| **Дельта-фикс челленджа (14)** | `~/Developer/balda/tools/deltas-mattermost-14.json` |
| **WS-пробник (исходник)** | `~/Developer/balda-wsprobe/main.go` |
| **Пост от человека** | `~/Developer/balda/tools/mm-post-user.sh` |
| **Пост от бота** | `~/Developer/balda/tools/mm-post-bot.sh` |
| **Отладка логина/401** | `~/Developer/balda/tools/mm-debug-session.sh` |
| Dockerfile | `~/Developer/balda/Dockerfile.release` (апстримный, не менялся) |
| Образ | `balda-mm:0.1.2` (актуальный) · `0.1.1`, `0.1.0` (предыдущие) |
| Стенд MM | team `qentra` / channel `balda-test` / user `testuser` |
| JVM-пробники на Kraken | `/tmp/wsprobe`, `/tmp/mm-post-user.sh`, `/tmp/mm-post-bot.sh` (не переживут reboot) |

📌 **Дельта-апплаер `tools/run-project-deltas.sh` требует ТРИ аргумента:**
`<check|apply|list> <deltas.json> <state.json>` (state = `tools/.deltas-state.json`).
JSON дельт — **плоский массив** `[{file,note,search,replace}, …]`, НЕ объект с ключом `deltas`.
Ошибка `TypeError: string indices must be integers` = передан объект вместо массива.

⚠️ Скрипты в `/tmp` **не переживут reboot Mac** — существенное продублировано в этом доке
и живёт в `~/Developer/balda/tools/`.

## Связанные заметки

- [[personal/projects/balda/balda-mm-delegation-plan]] — общий план проекта
- [[personal/projects/balda/balda-mattermost-connector]] — Фаза 2, MM-адаптер (код)
- [[personal/projects/balda/mattermost-kraken-deploy]] — Фаза 1, MM на Kraken
- [[personal/tech/balda-go-fx-pitfalls]] — 🔴 fx-питфоллы + дельта-апплаер + advertisement
- [[personal/tech/hermes-secret-redaction-bypass]] — редакция секретов Hermes
- [[personal/tech/docker-data-root-mount-race]] — почему том на HDD, а не на SD