[{"_1":2,"_3":-5,"_4":-5},"loaderData",{"_5":6,"_7":8,"_9":10},"actionData","errors","root",{"_379":380,"_381":382},"routes/_app.x.$handle.$name",{"_95":94,"_31":43,"_104":85,"_26":105,"_13":14,"_106":-5,"_11":107,"_108":109,"_110":111,"_112":113,"_114":115,"_20":-5,"_116":-5,"_117":-5,"_118":24,"_119":120,"_121":57,"_122":-5,"_123":-5,"_124":125},"routes/_app.x.$handle.$name.branch.$branch.version.$version.diff",{"_11":12,"_13":14,"_15":16,"_17":-5,"_18":-5},"project",{"_41":42,"_31":43,"_36":44,"_45":-5,"_46":24,"_47":48,"_49":48,"_50":51,"_52":-5,"_18":53,"_54":55,"_56":57,"_58":-5,"_59":-5,"_60":61,"_62":63,"_64":-5,"_65":-5,"_66":-5,"_67":-5,"_68":69,"_70":69,"_71":72,"_73":72,"_74":72,"_75":69,"_76":69,"_77":78,"_79":80,"_81":82,"_83":24},"version",162,"changes",[19],"aiChatInfo","userId",{"_20":21,"_22":-7,"_23":24,"_25":24,"_26":27,"_28":27},"file",{"_29":30,"_31":27,"_32":33,"_34":35,"_36":37,"_38":14,"_39":40,"_23":24},"previous","deleted",false,"deletedHere","path","remind-cron.ts","latestPath","fileId","5b14d9a8-a76e-11f1-a9c3-1607ee4eb77e","name","fileType","interval","content","// Напоминание сотрудникам заполнить отчёт — 17:45 по Алматы, Пн–Пт.\n// Дёргает /tg/remind-all этого же вала: тот сам находит всех, кто ещё не сдал\n// отчёт за сегодня, и пишет каждому лично. В общий чат ничего не уходит.\nconst SELF = \"https://umgroupkzcommits--bfdf35328cce11f180cf1607ee4eb77e.web.val.run\";\nexport default async function () {\n const key = Deno.env.get(\"TG_HOOK_KEY\") ?? \"\";\n if (!key) throw new Error(\"не задан TG_HOOK_KEY\");\n const res = await fetch(\n SELF + \"/tg/remind-all?key=\" + encodeURIComponent(key),\n );\n const text = await res.text();\n console.log(\"напоминания:\", res.status, text);\n}\n","createdAt",["D",1788422784123],"branchVersion","branchId","25b8e3e2-628a-4eb6-9af2-0242162621ad","id","f04cc041-3bf4-4db7-a7ca-6638165c8d3d","aiGateway",["D",1785495035570],"deletedAt","legacyEnvVars","privacy","public","httpPrivacy","description","MCP gateway to external LLM providers","imageUrl","ce244983-5dfc-4662-ad1a-ca34d2e798a0","pinnedFileId","bfdf3532-8cce-11f1-80cf-1607ee4eb77e","pinPreview",true,"pinMigrated","screenshotVersion","likeCount",0,"orgId","019fa853-4d22-71bf-b5fe-af55df9678e6","tursoName","tursoHostname","tursoMeasuredAt","pinned","userPerm","r","valPerm","blobPerm","rw","emailPerm","sqlitePerm","projectPerm","telemetryPerm","user",{"_95":94,"_103":99},"org",{"_95":94,"_96":97,"_98":99,"_18":53,"_100":101,"_102":24},"branch",{"_13":84,"_31":85,"_41":40,"_86":42,"_87":-5,"_88":-5,"_89":-5,"_90":-5,"_91":-5,"_92":43,"_93":94},"isOwned",293,"main","projectId","forkedBranchId","forkedBranchVersion","forkedProjectPrivacy","forkedProjectId","forkedProjectOrgId","projectName","userHandle","umgroupkzcommits","handle","displayName","umgroupkz-commits","avatar","https://avatars.githubusercontent.com/u/279207781?v=4","tier","free","canRestrictVals","profileImageUrl","branchName","","adoptOrgId",{"_41":42,"_31":43,"_36":375,"_45":-5,"_46":24,"_47":48,"_49":48,"_50":51,"_52":-5,"_18":53,"_54":55,"_56":57,"_58":-5,"_59":-5,"_60":61,"_62":63,"_64":-5,"_65":-5,"_66":-5,"_67":-5,"_68":69,"_70":69,"_71":72,"_73":72,"_74":72,"_75":69,"_76":69,"_77":376,"_79":377,"_81":378,"_83":24},"tree",[298,299,300,301,302,303,304,305,306,307,308,309,310,311,312,313,314,315,316],"files",[298,299,300,301,302,303,304,305,306,307,308,309,310,311,312,313,314,315,316],"counts",{"_287":61,"_288":169,"_289":61,"_290":291,"_292":293},"contents",[126,127,128,129,130,131,132,133,134,135,136,137,138,139,140,141,142,143,144],"upstreamProject","upstreamBranch","emptyEnvVars","flags",[],"hasHttpFiles","grants","orgs","customDomains",{},{"_41":279,"_31":280,"_29":281,"_148":-5,"_39":40,"_38":282,"_150":24,"_36":283,"_13":284,"_32":20,"_34":285,"_23":24,"_154":-5,"_26":286},{"_41":272,"_31":273,"_29":274,"_148":-5,"_39":40,"_38":275,"_150":24,"_36":276,"_13":61,"_32":20,"_34":277,"_23":24,"_154":-5,"_26":278},{"_41":264,"_31":265,"_29":266,"_148":-5,"_39":40,"_38":267,"_150":57,"_36":268,"_13":269,"_32":20,"_34":270,"_23":24,"_154":-5,"_26":271},{"_41":257,"_31":258,"_29":259,"_148":-5,"_39":40,"_38":260,"_150":57,"_36":261,"_13":152,"_32":20,"_34":262,"_23":24,"_154":-5,"_26":263},{"_41":250,"_31":251,"_29":252,"_148":-5,"_39":40,"_38":253,"_150":57,"_36":254,"_13":169,"_32":20,"_34":255,"_23":24,"_154":-5,"_26":256},{"_41":242,"_31":243,"_29":55,"_148":-5,"_39":40,"_38":244,"_150":24,"_36":245,"_13":246,"_32":247,"_34":248,"_23":24,"_154":-5,"_26":249},{"_41":235,"_31":236,"_29":237,"_148":-5,"_39":40,"_38":238,"_150":57,"_36":239,"_13":152,"_32":20,"_34":240,"_23":24,"_154":-5,"_26":241},{"_41":227,"_31":228,"_29":229,"_148":-5,"_39":40,"_38":230,"_150":57,"_36":231,"_13":232,"_32":20,"_34":233,"_23":24,"_154":-5,"_26":234},{"_41":220,"_31":221,"_29":222,"_148":-5,"_39":40,"_38":223,"_150":57,"_36":224,"_13":152,"_32":20,"_34":225,"_23":24,"_154":-5,"_26":226},{"_41":212,"_31":213,"_29":214,"_148":-5,"_39":40,"_38":215,"_150":57,"_36":216,"_13":217,"_32":20,"_34":218,"_23":24,"_154":-5,"_26":219},{"_41":205,"_31":206,"_29":207,"_148":-5,"_39":40,"_38":208,"_150":24,"_36":209,"_13":169,"_32":20,"_34":210,"_23":24,"_154":-5,"_26":211},{"_41":202,"_31":27,"_29":30,"_148":-5,"_39":40,"_38":14,"_150":57,"_36":203,"_13":61,"_32":33,"_34":35,"_23":24,"_154":-5,"_26":204},{"_41":195,"_31":196,"_29":197,"_148":-5,"_39":40,"_38":198,"_150":57,"_36":199,"_13":61,"_32":20,"_34":200,"_23":24,"_154":-5,"_26":201},{"_41":188,"_31":189,"_29":190,"_148":-5,"_39":40,"_38":191,"_150":57,"_36":192,"_13":169,"_32":20,"_34":193,"_23":24,"_154":-5,"_26":194},{"_41":180,"_31":181,"_29":182,"_148":-5,"_39":40,"_38":183,"_150":57,"_36":184,"_13":185,"_32":33,"_34":186,"_23":24,"_154":-5,"_26":187},{"_41":172,"_31":173,"_29":174,"_148":-5,"_39":40,"_38":175,"_150":24,"_36":176,"_13":177,"_32":20,"_34":178,"_23":24,"_154":-5,"_26":179},{"_41":164,"_31":165,"_29":166,"_148":-5,"_39":40,"_38":167,"_150":24,"_36":168,"_13":169,"_32":20,"_34":170,"_23":24,"_154":-5,"_26":171},{"_41":156,"_31":157,"_29":158,"_148":-5,"_39":40,"_38":159,"_150":57,"_36":160,"_13":161,"_32":20,"_34":162,"_23":24,"_154":-5,"_26":163},{"_41":145,"_31":146,"_29":147,"_148":-5,"_39":40,"_38":149,"_150":57,"_36":151,"_13":152,"_32":20,"_34":153,"_23":24,"_154":-5,"_26":155},"b8b8b0a7-aaf9-4b3f-a4f7-64bab2f78337","video.ts","c0b37f5a-8d9a-11f1-92fb-1607ee4eb77e","parentId",70,"latest",["D",1785599159836],2,"// Видео: постановка задачи, опрос и укладка готового файла в постоянное хранилище.\n//\n// Почему отдельно от картинок: генерация идёт минутами, в один HTTP-вызов не\n// укладывается и упирается в лимит времени вала. Поэтому режим двухтактный —\n// generate_video ставит задачу и сразу отдаёт номер, check_video опрашивает.\n// Состояние живёт на стороне провайдера, у нас хранится только соответствие\n// «номер задачи → постоянная ссылка», чтобы повторный опрос не качал файл заново.\n\nimport { baseOf, env, providerById } from \"./main.tsx\";\nimport { putFile, store } from \"./images.ts\";\nimport { forgetSpendCache, guardBudget, logSpend } from \"./spend.ts\";\n\nconst JOB_PREFIX = \"vid:\";\n\n// Цена за секунду. У sora-2 одно разрешение, у pro три — берётся по высоте кадра.\n// Проверено по тарифам OpenAI 01.08.2026. Восемь секунд sora-2 — 80 центов,\n// столько же у pro в 1080p — почти шесть долларов. Разница слишком велика,\n// чтобы выбирать модель молча.\nconst RATE: Record number> = {\n \"sora-2\": () => 0.1,\n \"sora-2-pro\": (h) => (h >= 1080 ? 0.7 : h >= 1024 ? 0.5 : 0.3),\n};\n\nconst VIDEO_MODELS: Record = { openai: \"sora-2\" };\n\n// Набор допустимых длительностей у OpenAI со временем менялся, поэтому своего\n// списка здесь нет: значение уходит как есть, а отказ провайдера сам назовёт\n// допустимые. Формат размера проверяем — из него считается цена.\nconst SIZE_RE = /^\\d{3,4}x\\d{3,4}$/;\n\nfunction rateOf(model: string, size: string): number | null {\n const f = RATE[model];\n if (!f) return null;\n const [w, h] = size.split(\"x\").map(Number);\n return f(Math.min(w, h) >= 1080 ? 1080 : Math.min(w, h));\n}\n\nexport function estimateCost(\n model: string,\n size: string,\n seconds: string,\n): string {\n const r = rateOf(model, size);\n if (r == null) return \"цена неизвестна\";\n return `около $${(r * Number(seconds)).toFixed(2)} за ролик ($${r.toFixed(2)} за секунду)`;\n}\n\ninterface StartArgs {\n prompt: string;\n seconds?: string;\n size?: string;\n model?: string;\n provider?: string;\n allow_paid?: boolean;\n}\n\nexport async function startVideo(a: StartArgs) {\n if (!a.prompt) throw new Error(\"Обязательный параметр: prompt\");\n if (!a.allow_paid) {\n throw new Error(\n \"Бесплатного видео нет ни у одного провайдера. Восемь секунд у sora-2 стоят около $0.80, \" +\n \"у sora-2-pro в 1080p — около $5.60. Передайте allow_paid: true, предварительно спросив \" +\n \"пользователя и назвав ему сумму.\",\n );\n }\n\n const id = a.provider || \"openai\";\n const p = providerById(id);\n if (!p) throw new Error(`Неизвестный провайдер ${id}`);\n const key = env(p.keyEnv);\n if (!key) throw new Error(`Нет ключа ${p.keyEnv} для провайдера ${id}`);\n\n const model = a.model || VIDEO_MODELS[id];\n if (!model) throw new Error(`${id} не умеет видео`);\n const size = a.size || \"1280x720\";\n const seconds = a.seconds || \"8\";\n if (!SIZE_RE.test(size))\n throw new Error(\n `size задаётся как ШИРИНАxВЫСОТА, например 1280x720. Получено: ${size}`,\n );\n if (model === \"sora-2\" && (size === \"1920x1080\" || size === \"1080x1920\")) {\n throw new Error(\n \"sora-2 умеет только 720p. Для 1080p нужен sora-2-pro, он в семь раз дороже.\",\n );\n }\n\n // Видео — самая дорогая единица в шлюзе, потолок проверяется до постановки.\n const usd = (rateOf(model, size) ?? 0.1) * Number(seconds);\n await guardBudget(usd);\n\n const res = await fetch(`${baseOf(p)}/videos`, {\n method: \"POST\",\n headers: {\n Authorization: `Bearer ${key}`,\n \"Content-Type\": \"application/json\",\n },\n body: JSON.stringify({ model, prompt: a.prompt, size, seconds }),\n });\n if (!res.ok) {\n throw new Error(\n `${id} не принял задачу, ${res.status}: ${(await res.text()).slice(0, 300)}`,\n );\n }\n const j: any = await res.json();\n if (!j?.id)\n throw new Error(\n `${id} не вернул номер задачи: ${JSON.stringify(j).slice(0, 300)}`,\n );\n\n // Расход пишем при принятой задаче: списание у провайдера происходит за\n // генерацию, а не за скачивание, и ждать готовности значило бы не записать\n // ничего, если за роликом так и не пришли.\n void logSpend({ provider: id, model, kind: \"video\", usd }).then(\n forgetSpendCache,\n );\n\n return {\n job_id: j.id,\n provider: id,\n model,\n size,\n seconds,\n status: j.status || \"queued\",\n cost: estimateCost(model, size, seconds),\n };\n}\n\n/** Помним готовую ссылку: повторный опрос не должен качать файл во второй раз. */\nasync function remembered(jobId: string): Promise {\n try {\n const s = await store();\n return (await (await s.get(JOB_PREFIX + jobId)).text()) || null;\n } catch {\n return null;\n }\n}\n\nasync function remember(jobId: string, url: string) {\n try {\n const s = await store();\n await s.set(JOB_PREFIX + jobId, new TextEncoder().encode(url));\n } catch {\n // Не запомнили — не беда: в худшем случае скачаем ещё раз.\n }\n}\n\nexport async function checkVideo(a: { job_id: string; provider?: string }) {\n if (!a.job_id) throw new Error(\"Обязательный параметр: job_id\");\n\n const done = await remembered(a.job_id);\n if (done) return { status: \"completed\", url: done, cached: true };\n\n const id = a.provider || \"openai\";\n const p = providerById(id);\n if (!p) throw new Error(`Неизвестный провайдер ${id}`);\n const key = env(p.keyEnv);\n if (!key) throw new Error(`Нет ключа ${p.keyEnv} для провайдера ${id}`);\n\n const res = await fetch(\n `${baseOf(p)}/videos/${encodeURIComponent(a.job_id)}`,\n {\n headers: { Authorization: `Bearer ${key}` },\n },\n );\n if (!res.ok) {\n throw new Error(\n `${id} не отдал состояние задачи, ${res.status}: ${(await res.text()).slice(0, 300)}`,\n );\n }\n const j: any = await res.json();\n const status = j?.status ?? \"unknown\";\n\n if (status !== \"completed\") {\n return {\n status,\n progress: typeof j?.progress === \"number\" ? j.progress : null,\n error: j?.error?.message ?? null,\n };\n }\n\n // Ссылка на готовый файл у OpenAI живёт около часа, поэтому забираем байты\n // сразу и кладём к себе — иначе клиент откроет ссылку и увидит отказ.\n const file = await fetch(\n `${baseOf(p)}/videos/${encodeURIComponent(a.job_id)}/content`,\n {\n headers: { Authorization: `Bearer ${key}` },\n },\n );\n if (!file.ok) {\n throw new Error(\n `${id}: файл готов, но не отдаётся, ${file.status}: ${(await file.text()).slice(0, 200)}`,\n );\n }\n const bytes = new Uint8Array(await file.arrayBuffer());\n\n const name = `${a.job_id.replace(/[^a-zA-Z0-9_-]/g, \"\")}.mp4`;\n const url = await putFile(name, bytes, \"video/mp4\");\n if (!url) {\n throw new Error(\n \"Видео готово, но класть его некуда: не настроены SUPABASE_URL и SUPABASE_SERVICE_KEY. \" +\n \"Блобы вала для видео не годятся — там 10 МБ на всё. Файл у провайдера живёт около часа.\",\n );\n }\n await remember(a.job_id, url);\n\n return { status: \"completed\", url, bytes: bytes.length, cached: false };\n}\n\n// Объявления и обработчики держим здесь же: main.tsx упирается в предел\n// Val Town в 80 000 символов, и каждая новая способность его приближает.\nexport const VIDEO_TOOLS = [\n {\n name: \"generate_video\",\n description:\n \"Поставить задачу на генерацию видео по описанию. Работа идёт минутами, поэтому инструмент \" +\n \"не ждёт результата: он возвращает номер задачи, а забирать готовое нужно инструментом \" +\n \"check_video. Бесплатных вариантов нет: восемь секунд у sora-2 стоят около $0.80, у \" +\n \"sora-2-pro в 1080p — около $5.60, поэтому обязателен флаг allow_paid, и перед ним назовите \" +\n \"пользователю сумму. Описание давайте как режиссёр: что в кадре, как движется камера, какой \" +\n \"свет и настроение. Готовый файл ложится в постоянное хранилище, ссылку можно отдавать как есть.\",\n inputSchema: {\n type: \"object\",\n properties: {\n prompt: {\n type: \"string\",\n description: \"Что снять: сюжет, движение камеры, свет, настроение.\",\n },\n seconds: {\n type: \"string\",\n description: \"Длительность в секундах строкой. По умолчанию 8.\",\n },\n size: {\n type: \"string\",\n description:\n \"ШИРИНАxВЫСОТА. По умолчанию 1280x720. Вертикальное — 720x1280.\",\n },\n model: {\n type: \"string\",\n description:\n \"По умолчанию sora-2. sora-2-pro даёт 1080p и стоит в семь раз дороже.\",\n },\n provider: {\n type: \"string\",\n enum: [\"openai\"],\n description: \"Пока только openai.\",\n },\n allow_paid: {\n type: \"boolean\",\n description: \"Согласие на расход. Без него задача не ставится.\",\n },\n },\n required: [\"prompt\"],\n },\n },\n {\n name: \"check_video\",\n description:\n \"Узнать состояние задачи на видео и забрать готовый файл. Пока идёт работа, возвращает статус \" +\n \"и процент готовности — опрашивайте раз в полминуты, а не подряд. Когда готово, шлюз сам \" +\n \"скачивает файл и кладёт его в постоянное хранилище: ссылка провайдера живёт около часа и \" +\n \"клиенту её давать нельзя. Повторный вызов после готовности отдаёт ту же ссылку, заново \" +\n \"ничего не качает и денег не стоит.\",\n inputSchema: {\n type: \"object\",\n properties: {\n job_id: {\n type: \"string\",\n description: \"Номер задачи из generate_video.\",\n },\n provider: {\n type: \"string\",\n enum: [\"openai\"],\n description: \"Тот же, что ставил задачу. По умолчанию openai.\",\n },\n },\n required: [\"job_id\"],\n },\n },\n];\n\n/** Возвращает ответ, если имя относится к видео, иначе null — тогда main разбирается сам. */\nexport async function handleVideo(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name === \"generate_video\") {\n const r = await startVideo(args ?? {});\n return text(\n `[${r.provider} / ${r.model} — ПЛАТНЫЙ, ${r.cost}. Сообщите пользователю о расходе.]\\n\\n` +\n `Задача поставлена: ${r.job_id}\\nКадр ${r.size}, длительность ${r.seconds} с, состояние «${r.status}».\\n\\n` +\n `Готовность проверяйте инструментом check_video с этим номером. Обычно занимает минуты, ` +\n `опрашивайте раз в полминуты. Пока идёт работа, можно заниматься другими делами.`,\n );\n }\n\n if (name === \"check_video\") {\n const r: any = await checkVideo(args ?? {});\n if (r.status !== \"completed\") {\n const pct = r.progress != null ? `, готово на ${r.progress}%` : \"\";\n const err = r.error ? `\\nПровайдер сообщает: ${r.error}` : \"\";\n return text(\n `Состояние задачи: «${r.status}»${pct}. Ещё не готово, подождите и спросите снова.${err}`,\n );\n }\n const again = r.cached\n ? \" Файл уже был забран раньше, повторно ничего не качалось.\"\n : \"\";\n const size = r.bytes\n ? `\\nРазмер: ${(r.bytes / 1024 / 1024).toFixed(1)} МБ.`\n : \"\";\n return text(\n `Видео готово.\\n\\nСсылка: ${r.url}${size}${again}\\nФайл сохранён постоянно.`,\n );\n }\n return null;\n}\n","label",[146],"4f5f12b2-eda9-40ea-aa48-1aaa61a04371","verify.ts","2a635c46-8da9-11f1-b098-1607ee4eb77e",113,["D",1785824288259],3,"// Перекрёстная проверка ответа.\n//\n// Одна модель уверенно ошибается и не подаёт вида — это уже ловилось на цифрах\n// по областям Казахстана и на задаче про наценку. Здесь тот же вопрос уходит\n// нескольким независимым провайдерам, а затем отдельная модель сравнивает ответы\n// и говорит, сходятся они или нет.\n//\n// Ключевая мысль: ценность не в вердикте судьи, а в самом факте расхождения.\n// Совпали три независимых ответа — можно опираться. Разошлись — задача сложнее,\n// чем выглядит, и решать её должен человек, а не четвёртая модель.\n\nimport { ask } from \"./main.tsx\";\n\n/** По умолчанию берём разные семейства: две модели одного вендора ошибаются одинаково. */\nconst DEFAULT_PANEL = [\"groq\", \"gemini\", \"mistral\"];\n\nexport const VERIFY_TOOLS = [\n {\n name: \"verify_answer\",\n description:\n \"Задать один и тот же вопрос нескольким независимым моделям и сверить ответы. \" +\n \"Для задач, где цена ошибки высока: цифры, расчёты, факты, юридические формулировки. \" +\n \"Возвращает ответы всех участников, вердикт судьи и, главное, прямое указание на \" +\n \"расхождения. Расхождение — это не сбой, а сигнал, что задачу нельзя закрывать \" +\n \"автоматически. По умолчанию участвуют бесплатные модели разных семейств, поэтому \" +\n \"проверка ничего не стоит; allow_paid добавляет к панели дешёвых платных.\\n\\n\" +\n \"ДЛЯ СВЕРКИ КОДА (замеры 01.08.2026, проверка запуском): панель \" +\n 'providers: [\"deepseek\", \"qwen\", \"gemini\"] и judge: \"openai\" — судья другого ' +\n \"вендора ловит то, что участники пропускают. Обязательно поднимите max_tokens \" +\n \"минимум до 8000, если проверяется код: рассуждающие модели тратят лимит на размышления, \" +\n \"и замер 3 августа показал, что на разборе модулей не хватает даже 3000; при 1500 \" +\n \"уже отдавали пустой ответ. Судью можно назвать явно платного (openai, anthropic) \" +\n \"без allow_paid — явное указание и есть согласие на расход, порядка цента за сверку.\",\n inputSchema: {\n type: \"object\",\n properties: {\n question: {\n type: \"string\",\n description: \"Вопрос или утверждение, которое надо проверить.\",\n },\n answer: {\n type: \"string\",\n description:\n \"Готовый ответ, который проверяем. Если передан, участники оценивают именно его, \" +\n \"а не отвечают заново.\",\n },\n providers: {\n type: \"array\",\n items: { type: \"string\" },\n description: \"Кого спрашивать. По умолчанию groq, gemini, mistral.\",\n },\n judge: {\n type: \"string\",\n description:\n \"Кто сравнивает ответы. По умолчанию первый доступный из панели. Для важного \" +\n \"укажите anthropic или openai — это платно.\",\n },\n allow_paid: {\n type: \"boolean\",\n description: \"Разрешить дешёвых платных участников.\",\n },\n max_tokens: {\n type: \"number\",\n description:\n \"Предел длины ответа каждого участника и судьи. По умолчанию 700 — этого \" +\n \"хватает на факты и цифры, но НЕ хватает на код: рассуждающие модели тратят \" +\n \"лимит на размышления и возвращают пустой ответ. Коротким вопросам хватает 2500, \" +\n \"разбору кода нужно от 8000 — проверено 3 августа.\",\n },\n },\n required: [\"question\"],\n },\n },\n];\n\nexport async function handleVerify(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name !== \"verify_answer\") return null;\n if (!args?.question) throw new Error(\"Обязательный параметр: question\");\n\n // Предел длины общий для участников и судьи: разные лимиты давали бы\n // несравнимые ответы, а на коде ещё и молчание рассуждающих моделей.\n const limit = Math.max(200, Number(args.max_tokens) || 700);\n\n const panel: string[] =\n Array.isArray(args.providers) && args.providers.length\n ? args.providers\n : DEFAULT_PANEL;\n\n const task = args.answer\n ? `Проверьте утверждение и ответ на него. Если ответ верен — так и скажите одним словом «верно» ` +\n `и коротко обоснуйте. Если неверен — скажите «неверно», укажите, что именно не так, и дайте ` +\n `правильный ответ.\\n\\nВопрос: ${args.question}\\n\\nПроверяемый ответ: ${args.answer}`\n : `${args.question}\\n\\nОтветьте по существу и коротко. Если данных недостаточно — так и скажите, ` +\n `не додумывайте.`;\n\n // Спрашиваем всех разом: последовательный опрос втрое дольше без всякой пользы.\n const results = await Promise.all(\n panel.map(async (id) => {\n try {\n const r = await ask({\n prompt: task,\n provider: id,\n temperature: 0,\n max_tokens: limit,\n allow_paid: args.allow_paid === true,\n // Номер задачи прокидываем явно: без него строки исполнителей падают\n // в журнале в группу «без задачи» и сверка не читается как одна работа.\n trace: (args as any).trace,\n } as any);\n return { id, text: r.text, model: r.model };\n } catch (e: any) {\n return { id, error: String(e?.message || e).slice(0, 200) };\n }\n }),\n );\n\n const answered = results.filter((r: any) => r.text);\n if (answered.length < 2) {\n return text(\n \"Перекрёстной проверки не вышло: ответили меньше двух участников.\\n\\n\" +\n results.map((r: any) => `${r.id}: ${r.error ?? \"пусто\"}`).join(\"\\n\") +\n \"\\n\\nСверять нечего — одиночный ответ проверкой не является.\",\n );\n }\n\n const judgeId = args.judge || answered[0].id;\n const table = answered\n .map(\n (r: any, i: number) =>\n `Участник ${i + 1} (${r.id} / ${r.model}):\\n${r.text}`,\n )\n .join(\"\\n\\n\");\n\n let verdict = \"\";\n try {\n const j = await ask({\n prompt:\n `Ниже ответы нескольких моделей на один вопрос. Сравните их по существу, а не по формулировкам.\\n\\n` +\n `Вопрос: ${args.question}\\n\\n${table}\\n\\n` +\n `Ответьте строго так: первой строкой «СОВПАДАЮТ» или «РАСХОДЯТСЯ». Второй строкой — итоговый ` +\n `ответ, если совпадают, либо перечень расхождений по пунктам, если расходятся. Не придумывайте ` +\n `свой ответ, если его нет ни у кого из участников.`,\n provider: judgeId,\n temperature: 0,\n max_tokens: limit,\n allow_paid: args.allow_paid === true,\n trace: (args as any).trace,\n } as any);\n verdict = j.text;\n } catch (e: any) {\n verdict = `Судья (${judgeId}) не ответил: ${String(e?.message || e).slice(0, 200)}`;\n }\n\n const failed = results.filter((r: any) => r.error);\n return text(\n `Опрошено участников: ${answered.length} из ${panel.length}.\\n\\n${table}\\n\\n` +\n `--- Сверка (судья ${judgeId}) ---\\n${verdict}\\n\\n` +\n (failed.length\n ? `Не ответили: ${failed.map((r: any) => `${r.id} (${r.error})`).join(\"; \")}\\n\\n`\n : \"\") +\n \"Если участники разошлись, решение принимает человек: это признак того, что задача сложнее, \" +\n \"чем кажется, а не повод спрашивать ещё одну модель.\",\n );\n}\n",[157],"e6c57c83-9fc1-433e-9353-dfa24755f193","tools.ts","5fa558ec-8dc1-11f1-be56-1607ee4eb77e",80,["D",1785604086915],1,"// Описания собственных инструментов MCP: чистые данные без логики. Вынесено из\n// main.tsx из-за предела в 80 000 символов. Инструменты модулей (видео, деньги,\n// память и т.д.) живут в своих файлах; здесь ядро и хвост, а собирает всё main.\n\nimport { PROVIDERS } from \"./providers.ts\";\n\nexport const CORE_TOOLS = [\n {\n name: \"ask_model\",\n description:\n \"Делегировать один запрос внешней нейросети вместо того, чтобы выполнять его самостоятельно. \" +\n \"Применяйте для механической работы: перевод, суммаризация, классификация, извлечение полей, \" +\n \"черновики, переформатирование. Не применяйте для задач, где нужны рассуждение, планирование или \" +\n \"финальное качество. Если провайдер не указан, выбирается автоматически среди БЕСПЛАТНЫХ с переходом \" +\n \"к следующему при отказе. Дешёвые платные (deepseek, xai) подключаются флагом allow_paid. \" +\n \"Премиальные (openai, anthropic, moonshot) — только явным указанием provider и никогда \" +\n \"автоматически. Любой платный вызов означает списание реальных денег пользователя.\",\n inputSchema: {\n type: \"object\",\n properties: {\n prompt: { type: \"string\", description: \"Текст запроса к модели.\" },\n system: {\n type: \"string\",\n description:\n \"Системная инструкция (роль, формат ответа, ограничения).\",\n },\n provider: {\n type: \"string\",\n enum: PROVIDERS.map((p) => p.id),\n description:\n \"Конкретный провайдер. Опустите для автоподбора среди бесплатных. Указание платного \" +\n \"трактуется как согласие на оплату. Премиальные доступны только этим способом.\",\n },\n allow_paid: {\n type: \"boolean\",\n description:\n \"Разрешить автоподбору использовать ДЕШЁВЫХ платных провайдеров (deepseek, xai), если \" +\n \"бесплатные исчерпаны или отказали. Премиальных не затрагивает. По умолчанию false. \" +\n \"Включать только после согласия пользователя на расход.\",\n },\n model: {\n type: \"string\",\n description: \"Конкретный ID модели. Опустите — будет выбран по tier.\",\n },\n tier: {\n type: \"string\",\n enum: [\"fast\", \"smart\", \"long\"],\n description:\n \"fast — дёшево и быстро; smart — качественнее; long — длинный контекст. По умолчанию smart.\",\n },\n max_tokens: {\n type: \"number\",\n description: \"Ограничение длины ответа.\",\n },\n note: {\n type: \"string\",\n description:\n \"Зачем этот вызов, человеческими словами: «перевод карточек товара для клиента X». \" +\n \"Попадёт в журнал и в панель — без пометки лента превращается в нечитаемый список.\",\n },\n trace: {\n type: \"string\",\n description:\n \"Номер задачи. Передайте один и тот же в серии связанных вызовов, чтобы они \" +\n \"читались вместе. Опустите — шлюз выдаст новый.\",\n },\n project: {\n type: \"string\",\n description:\n \"Проект, клиент или чат, к которому относится работа: «Байтерек — посты», \" +\n \"«шлюз», «аудит рутин». Одно и то же имя во всех вызовах темы — тогда в панели \" +\n \"появится карточка проекта с историей и раскладкой по исполнителям.\",\n },\n temperature: {\n type: \"number\",\n description: \"0 для детерминированного извлечения данных.\",\n },\n extra: {\n type: \"object\",\n description:\n \"Дополнительные поля тела запроса для конкретного провайдера. Примеры: \" +\n '{\"enable_thinking\": false} отключает рассуждения у гибридных моделей Qwen и режет расход ' +\n 'в разы; {\"translation_options\": {\"source_lang\": \"Russian\", \"target_lang\": \"Kazakh\"}} ' +\n \"нужен переводческим моделям qwen-mt-*, которые не принимают системную инструкцию.\",\n },\n },\n required: [\"prompt\"],\n },\n },\n {\n name: \"ask_model_batch\",\n description:\n \"Обработать пачку однотипных запросов параллельно через внешние модели. Это основной способ экономии \" +\n \"токенов: отправляйте сюда массовую работу (много документов, строк, товаров), а сами получайте только \" +\n \"агрегированный результат. Каждый элемент обрабатывается независимо; отказ одного не ломает остальные.\",\n inputSchema: {\n type: \"object\",\n properties: {\n items: {\n type: \"array\",\n description:\n \"Список задач. id нужен, чтобы сопоставить ответы с входными данными.\",\n items: {\n type: \"object\",\n properties: {\n id: { type: \"string\", description: \"Идентификатор элемента.\" },\n prompt: {\n type: \"string\",\n description: \"Запрос для этого элемента.\",\n },\n },\n required: [\"id\", \"prompt\"],\n },\n },\n system: {\n type: \"string\",\n description:\n \"Общая системная инструкция для всех элементов. Выносите сюда всё повторяющееся: у провайдеров \" +\n \"с кэшированием префикса это резко удешевляет пачку.\",\n },\n provider: { type: \"string\", enum: PROVIDERS.map((p) => p.id) },\n allow_paid: {\n type: \"boolean\",\n description:\n \"Разрешить дешёвых платных провайдеров. По умолчанию false. Помните, что пачка умножает \" +\n \"стоимость на число элементов — на премиальных моделях это самый быстрый способ потратить много.\",\n },\n model: { type: \"string\" },\n tier: { type: \"string\", enum: [\"fast\", \"smart\", \"long\"] },\n max_tokens: { type: \"number\" },\n note: {\n type: \"string\",\n description:\n \"Зачем этот вызов, человеческими словами: «перевод карточек товара для клиента X». \" +\n \"Попадёт в журнал и в панель — без пометки лента превращается в нечитаемый список.\",\n },\n trace: {\n type: \"string\",\n description:\n \"Номер задачи. Передайте один и тот же в серии связанных вызовов, чтобы они \" +\n \"читались вместе. Опустите — шлюз выдаст новый.\",\n },\n project: {\n type: \"string\",\n description:\n \"Проект, клиент или чат, к которому относится работа: «Байтерек — посты», \" +\n \"«шлюз», «аудит рутин». Одно и то же имя во всех вызовах темы — тогда в панели \" +\n \"появится карточка проекта с историей и раскладкой по исполнителям.\",\n },\n temperature: { type: \"number\" },\n extra: {\n type: \"object\",\n description: \"Дополнительные поля тела запроса, как в ask_model.\",\n },\n concurrency: {\n type: \"number\",\n description: \"Параллельных запросов, 1–16. По умолчанию 4.\",\n },\n },\n required: [\"items\"],\n },\n },\n {\n name: \"compare_models\",\n description:\n \"Прогнать ОДИН запрос через несколько моделей одновременно и получить ответы рядом, с временем \" +\n \"и расходом токенов по каждой. Два применения. Первое — подобрать модель под тип работы: вместо \" +\n \"того чтобы верить обзорам, замерить на своей реальной задаче. Второе — перекрёстная проверка, \" +\n \"когда цена ошибки высока: расхождение ответов само по себе сигнал, что задача сложнее, чем кажется. \" +\n \"Не применять на массовых пачках — это умножает расход на число моделей.\",\n inputSchema: {\n type: \"object\",\n properties: {\n prompt: {\n type: \"string\",\n description: \"Один и тот же запрос для всех моделей.\",\n },\n targets: {\n type: \"array\",\n description: \"Что с чем сравниваем. От 2 до 6 позиций.\",\n items: {\n type: \"object\",\n properties: {\n provider: { type: \"string\", enum: PROVIDERS.map((p) => p.id) },\n model: {\n type: \"string\",\n description: \"Конкретная модель. Опустите — возьмётся по tier.\",\n },\n tier: { type: \"string\", enum: [\"fast\", \"smart\", \"long\"] },\n },\n required: [\"provider\"],\n },\n },\n system: {\n type: \"string\",\n description:\n \"Общая системная инструкция для всех участников сравнения.\",\n },\n max_tokens: { type: \"number\" },\n note: {\n type: \"string\",\n description:\n \"Зачем это сравнение, человеческими словами. Передавайте здесь, на верхнем \" +\n \"уровне, а не в extra: extra уходит провайдерам в тело запроса и роняет вызов.\",\n },\n project: {\n type: \"string\",\n description: \"Проект или тема, к которой относится сравнение.\",\n },\n trace: {\n type: \"string\",\n description: \"Номер задачи для связывания серии вызовов в журнале.\",\n },\n temperature: {\n type: \"number\",\n description: \"0 делает сравнение воспроизводимым.\",\n },\n extra: {\n type: \"object\",\n description: \"Дополнительные поля тела запроса, как в ask_model.\",\n },\n },\n required: [\"prompt\", \"targets\"],\n },\n },\n {\n name: \"list_models\",\n description:\n \"Показать, какие провайдеры настроены, платные они или бесплатные, и получить живой список доступных \" +\n \"моделей. Каталоги и идентификаторы моделей меняются часто — вызывайте этот инструмент перед тем, \" +\n \"как жёстко указывать ID модели, и перед тем, как обещать пользователю конкретную стоимость.\",\n inputSchema: {\n type: \"object\",\n properties: {\n provider: {\n type: \"string\",\n enum: PROVIDERS.map((p) => p.id),\n description: \"Опустите — покажет все настроенные.\",\n },\n free_only: {\n type: \"boolean\",\n description: \"Только бесплатные модели (актуально для OpenRouter).\",\n },\n },\n },\n },\n {\n name: \"get_gateway_source\",\n description:\n \"Прочитать исходник шлюза с Val Town вместе с хэшем SHA-256. Файл большой, целиком его тянуть незачем: hash_only даёт только хэш, grep — строки с совпадениями и их номера, around — кусок вокруг найденного текста, from и to — диапазон строк. Порядок такой: сначала grep, чтобы найти место, потом around или from/to, чтобы взять точный образец для правки. Делайте это перед \" +\n \"правкой: хэш нужен, чтобы убедиться, что ваш локальный файл и то, что развёрнуто, — одно и то же.\",\n inputSchema: {\n type: \"object\",\n properties: {\n path: { type: \"string\", description: \"По умолчанию main.tsx.\" },\n hash_only: {\n type: \"boolean\",\n description: \"Только хэш и размер, без текста. Самый дешёвый способ.\",\n },\n grep: { type: \"string\", description: \"Регулярное выражение. Вернёт строки с совпадениями и их номера.\" },\n around: { type: \"string\", description: \"Показать кусок вокруг этого текста. Удобно, чтобы взять образец для edits.\" },\n context: { type: \"number\", description: \"Сколько строк по обе стороны от around. По умолчанию 20.\" },\n from: { type: \"number\", description: \"Первая строка диапазона.\" },\n to: { type: \"number\", description: \"Последняя строка. По умолчанию from + 80.\" },\n },\n },\n },\n {\n name: \"deploy_gateway\",\n description:\n \"Изменить код самого шлюза. Обычный способ — передать edits: список точечных замен, каждый \" +\n \"образец должен встречаться в файле ровно один раз, иначе не записывается ничего. Передавать \" +\n \"весь файл через content можно, но дорого. ОБЯЗАТЕЛЬНО указывайте expect_sha256 — хэш того, что \" +\n \"должно получиться, посчитанный у себя: это единственная защита от расхождения версий. \" +\n \"После записи шлюз стучится в собственный health и, если новая версия не отвечает, сам \" +\n \"возвращает прежнюю. Правьте только проверенный тестами код: пока идёт откат, шлюз недоступен.\",\n inputSchema: {\n type: \"object\",\n properties: {\n edits: {\n type: \"array\",\n description:\n \"Замены по порядку. Образец должен быть уникальным в файле.\",\n items: {\n type: \"object\",\n properties: {\n find: {\n type: \"string\",\n description: \"Точный фрагмент существующего кода.\",\n },\n replace: {\n type: \"string\",\n description: \"Чем заменить. Пустая строка — удаление.\",\n },\n },\n required: [\"find\", \"replace\"],\n },\n },\n content: {\n type: \"string\",\n description: \"Файл целиком. Только если правок слишком много.\",\n },\n expect_sha256: {\n type: \"string\",\n description:\n \"SHA-256 ожидаемого результата. Настоятельно рекомендуется.\",\n },\n path: { type: \"string\", description: \"По умолчанию main.tsx.\" },\n },\n },\n },\n {\n name: \"generate_image\",\n description:\n \"Нарисовать картинку по описанию. Бесплатных вариантов не осталось: у Google Imagen закрыт для новых аккаунтов, а квота на картиночные чат-модели нулевая. Оба рабочих пути платные, поэтому нужен флаг allow_paid — спросите пользователя, прежде чем его ставить. xAI дешевле, около двух центов за картинку, и берётся по умолчанию. OpenAI gpt-image-2 в полтора-шесть раз дороже, но отдаёт файл на порядок крупнее — для печати и больших макетов берите его. Надписи кириллицей проверены 01.08.2026 на двух сюжетах, включая трёхстрочный баннер с адресом и телефоном: оба провайдера воспроизвели текст дословно, так что переплачивать ради надписей незачем. \" +\n \"Файл кладётся в хранилище шлюза, в ответ приходит прямая ссылка. \" +\n \"Описание давайте подробное: сюжет, стиль, ракурс, свет. \" +\n \"Файл лежит в корзине постоянно, ссылку \" +\n \"можно давать пользователю как есть.\",\n inputSchema: {\n type: \"object\",\n properties: {\n prompt: { type: \"string\", description: \"Что нарисовать. Чем подробнее, тем ближе к задуманному.\" },\n provider: { type: \"string\", enum: [\"gemini\", \"xai\", \"openai\"], description: \"Опустите — возьмёт xai. openai дороже, но лучше рисует текст. Явный провайдер обходит проверку allow_paid.\" },\n model: { type: \"string\", description: \"По умолчанию grok-imagine-image, у openai — gpt-image-2.\" },\n allow_paid: { type: \"boolean\", description: \"Согласие на расход. Без него генерации не будет.\" },\n preview: { type: \"boolean\", description: \"Показать картинку в ответе. По умолчанию да.\" },\n },\n required: [\"prompt\"],\n },\n },\n];\n\nexport const TAIL_TOOLS = [\n {\n name: \"transcribe_audio\",\n description:\n \"Расшифровать аудио или видео в текст. Бесплатно: идёт через Whisper у Groq, при отказе через \" +\n \"Voxtral у Mistral. Годится для созвонов, интервью, брифов, роликов конкурентов. Файл берётся \" +\n \"по прямой ссылке — именно на файл, а не на страницу с плеером. Предел 24 МБ, длинную запись \" +\n \"нужно резать на части. Язык лучше указывать явно: на смеси русского и казахского автоопределение \" +\n \"ошибается.\",\n inputSchema: {\n type: \"object\",\n properties: {\n url: { type: \"string\", description: \"Прямая ссылка на файл записи.\" },\n base64: {\n type: \"string\",\n description:\n \"Файл содержимым, если ссылки нет. Только для коротких фрагментов.\",\n },\n language: {\n type: \"string\",\n description: \"Код языка: ru, kk, en. Указывайте, если знаете.\",\n },\n prompt: {\n type: \"string\",\n description:\n \"Имена, термины, названия брендов — помогает не переврать их.\",\n },\n provider: {\n type: \"string\",\n enum: [\"groq\", \"mistral\"],\n description: \"Опустите для автоподбора.\",\n },\n model: { type: \"string\" },\n },\n required: [],\n },\n },\n {\n name: \"read_document\",\n description:\n \"Распознать текст в PDF или картинке: сканы договоров, счетов, презентаций, фотографии документов. \" +\n \"Возвращает разметку Markdown с сохранением структуры и таблиц. Бесплатно, через Mistral OCR. \" +\n \"Нужна прямая ссылка на файл. Это распознавание, а не понимание: осмыслить результат — отдельный \" +\n \"шаг, для него отправьте полученный текст в ask_model.\",\n inputSchema: {\n type: \"object\",\n properties: {\n url: {\n type: \"string\",\n description: \"Прямая ссылка на PDF или изображение.\",\n },\n model: {\n type: \"string\",\n description: \"По умолчанию mistral-ocr-latest.\",\n },\n },\n required: [\"url\"],\n },\n },\n {\n name: \"rank_by_meaning\",\n description:\n \"Отсортировать список текстов по смысловой близости к запросу. Не по словам: «просрочка оплаты» \" +\n \"найдёт «клиент до сих пор не перевёл деньги». Бесплатно, через эмбеддинги Gemini или Mistral. \" +\n \"Применяйте, когда документов, писем или отзывов больше, чем разумно прочитать целиком: сначала \" +\n \"отранжируйте, потом читайте верхушку. Векторы наружу не отдаются намеренно — они забили бы \" +\n \"контекст, а пользы без хранилища не дают; возвращается только порядок и близость.\",\n inputSchema: {\n type: \"object\",\n properties: {\n query: { type: \"string\", description: \"Что ищем, обычным языком.\" },\n items: {\n type: \"array\",\n description:\n \"До 200 позиций. Текст лучше давать осмысленным куском, а не одним словом.\",\n items: {\n type: \"object\",\n properties: { id: { type: \"string\" }, text: { type: \"string\" } },\n required: [\"id\", \"text\"],\n },\n },\n top: {\n type: \"number\",\n description: \"Сколько вернуть. По умолчанию 20.\",\n },\n provider: { type: \"string\", enum: [\"gemini\", \"mistral\"] },\n model: { type: \"string\" },\n },\n required: [\"query\", \"items\"],\n },\n },\n {\n name: \"check_budgets\",\n description:\n \"Проверить, живы ли все подключённые провайдеры и не кончились ли у них деньги. По каждому \" +\n \"возвращает вердикт: работает, кончились деньги, ключ не принят, упёрлись в лимит частоты или \" +\n \"не отвечает. Где провайдер отдаёт остаток счёта — показывает сумму. Отличает исчерпанный счёт \" +\n \"от слетевшего ключа и от временного лимита: это разные беды и чинятся по-разному. Проверка \" +\n \"делает по одному минимальному вызову на провайдера, поэтому стоит доли цента, но запускать её \" +\n \"чаще раза в час незачем. Применяйте по расписанию для сигнализации и всякий раз, когда \" +\n \"провайдер неожиданно отказал в работе.\",\n inputSchema: { type: \"object\", properties: {} },\n },\n {\n name: \"web_search\",\n description:\n \"Найти в вебе или в X свежие факты и получить ответ со ссылками на источники. Поиск выполняет Grok \" +\n \"на стороне xAI — модель сама решает, что и сколько раз искать, поэтому запрос формулируйте как \" +\n \"вопрос, а не как поисковую строку. Применяйте, когда нужны данные новее вашего среза знаний или \" +\n \"проверка факта по первоисточнику. ЭТО САМЫЙ ДОРОГОЙ ИНСТРУМЕНТ ШЛЮЗА. Замер 31.07.2026: один \" +\n \"вопрос про курс валюты обошёлся в двенадцать поисковых обращений и 71 тысячу входных токенов — \" +\n \"по счётчику xAI это в тысячу с лишним раз дороже обычного короткого вызова ask_model. Модель \" +\n \"сама решает, сколько раз искать, и остановить её нельзя. Поэтому: только по одному вопросу за \" +\n \"раз, никогда в пачках, и только когда факт действительно нужен свежим и из первоисточника. \" +\n \"Всё, что можно взять из уже проверенных данных, берите через ask_model.\",\n inputSchema: {\n type: \"object\",\n properties: {\n query: {\n type: \"string\",\n description: \"Вопрос целиком, обычным языком.\",\n },\n sources: {\n type: \"array\",\n items: { type: \"string\", enum: [\"web\", \"x\"] },\n description:\n \"Где искать. По умолчанию только web. Добавьте x для постов в соцсети.\",\n },\n model: {\n type: \"string\",\n description: \"По умолчанию grok-4.5. Сверяйтесь через list_models.\",\n },\n system: { type: \"string\", description: \"Требования к формату ответа.\" },\n max_tokens: {\n type: \"number\",\n description: \"Ограничение длины ответа.\",\n },\n },\n required: [\"query\"],\n },\n },\n];\n",[165],"528cfa99-5457-4772-8e93-11678a12bb6c","telegram.ts","00b0705a-a2da-11f1-ac42-1607ee4eb77e",159,["D",1788265278984],8,"// Вход в сеть через Telegram.\n//\n// Зачем. Половина рабочих просьб рождается не за компьютером: голосовая заметка\n// из машины, вопрос между объектами. Приложение Claude закрывает это лишь отчасти,\n// а чужой агентский каркас ради одного входа тащил бы вторую вселенную правил\n// (разбор Hermes, 23 августа). Здесь вход живёт прямо в шлюзе: те же исполнители,\n// тот же журнал, та же панель, ноль новых серверов.\n//\n// Устройство. Telegram шлёт каждое сообщение вебхуком на /tg/hook. Подлинность\n// проверяется секретом в заголовке (Telegram повторяет его в каждом запросе;\n// секрет выводится из токена бота, отдельной переменной не нужно). Отвечаем\n// только владельцу: TG_OWNER_CHAT_ID.\n//\n// Бот у входа СВОЙ, отдельный: TG_AI_BOT_TOKEN. Бот из TELEGRAM_BOT_TOKEN\n// обслуживает клиента (мост отчётов Битрикса) и трогать его нельзя — вебхук\n// на нём отключил бы getUpdates, которым мост привязывает сотрудников.\n// Разные боты — разные вебхуки, никто никому не мешает.\n//\n// Чужим бот не отвечает вовсе: молчание дешевле, чем объяснять незнакомцам,\n// что здесь закрыто.\n//\n// Токен бота в журнал и в ответы не попадает. Ссылки на файлы Telegram содержат\n// токен в пути — поэтому файл скачивается здесь и уходит в расшифровку байтами,\n// а не ссылкой.\n\nimport { ask, env } from \"./main.tsx\";\nimport { transcribe } from \"./modal.ts\";\nimport { handleMemory } from \"./memory.ts\";\nimport { logCall, newTrace } from \"./log.ts\";\n\nconst API = \"https://api.telegram.org\";\n/** Предел скачивания файлов у Bot API — 20 МБ; оставляем запас. */\nconst MAX_FILE = 19 * 1024 * 1024;\n\nfunction json(body: unknown, status = 200) {\n return new Response(JSON.stringify(body), {\n status,\n headers: { \"Content-Type\": \"application/json\" },\n });\n}\n\n/** Секрет вебхука: производная от токена бота, наружу не показывается. */\nasync function hookSecret(botToken: string): Promise {\n const d = await crypto.subtle.digest(\n \"SHA-256\",\n new TextEncoder().encode(\"tg-hook:\" + botToken),\n );\n return [...new Uint8Array(d)].slice(0, 16)\n .map((b) => b.toString(16).padStart(2, \"0\")).join(\"\");\n}\n\nasync function tgApi(botToken: string, method: string, body: unknown) {\n const r = await fetch(`${API}/bot${botToken}/${method}`, {\n method: \"POST\",\n headers: { \"Content-Type\": \"application/json\" },\n body: JSON.stringify(body),\n });\n const j: any = await r.json().catch(() => ({}));\n if (!j.ok) {\n throw new Error(`Telegram ${method}: ${String(j.description ?? r.status).slice(0, 200)}`);\n }\n return j.result;\n}\n\n/** Ответ владельцу, длинное — частями: предел Telegram 4096 знаков. */\nasync function say(botToken: string, chatId: string, text: string) {\n const t = text.trim() || \"(пусто)\";\n for (let i = 0; i < t.length; i += 3800) {\n await tgApi(botToken, \"sendMessage\", {\n chat_id: chatId,\n text: t.slice(i, i + 3800),\n });\n }\n}\n\nfunction b64(bytes: Uint8Array): string {\n let s = \"\";\n for (let i = 0; i < bytes.length; i += 0x8000) {\n s += String.fromCharCode(...bytes.subarray(i, i + 0x8000));\n }\n return btoa(s);\n}\n\n/**\n * Токен бота, очищенный от типичного мусора вставки: пробелы и переводы строк,\n * кавычки и обратные кавычки по краям, случайная приставка bot. Замер\n * 23 августа: живой токен, скопированный из BotFather, не принимался —\n * Telegram отвечает «Not Found» на любой лишний символ в токене.\n */\nfunction cleanBotToken(): string {\n return String(env(\"TG_AI_BOT_TOKEN\") ?? \"\").trim()\n .replace(/^['\"`]+|['\"`]+$/g, \"\").replace(/^bot(?=\\d)/i, \"\");\n}\n\n// ---------------------------------------------------------------------------\n// Поручения и входящие файлы.\n//\n// Смысл: бот — приёмная, а не исполнитель. Всё, что требует настоящей работы,\n// складывается в таблицу tg_inbox (файлы — в закрытую корзину tg-inbox), и\n// сессии Claude разбирают это инструментом tg_inbox по расписанию или по\n// просьбе, отвечая владельцу инструментом tg_answer. Так поручение, данное\n// с телефона в дороге, не требует ни включённого компьютера, ни открытого чата.\n// ---------------------------------------------------------------------------\n\nconst INBOX_TABLE = \"tg_inbox\";\nconst INBOX_BUCKET = \"tg-inbox\";\n\nfunction sb() {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) throw new Error(\"нет SUPABASE_URL или SUPABASE_SERVICE_KEY\");\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\nfunction sbHeaders(key: string, extra: Record = {}) {\n return { apikey: key, Authorization: `Bearer ${key}`, \"Content-Type\": \"application/json\", ...extra };\n}\n\nasync function inboxAdd(row: { kind: string; text?: string; file_path?: string; mime?: string }): Promise {\n const { url, key } = sb();\n const r = await fetch(`${url}/rest/v1/${INBOX_TABLE}`, {\n method: \"POST\",\n headers: sbHeaders(key, { Prefer: \"return=representation\" }),\n body: JSON.stringify(row),\n });\n if (!r.ok) throw new Error(`очередь поручений: ${r.status} ${(await r.text()).slice(0, 200)}`);\n return (await r.json())[0]?.id;\n}\n\nasync function storagePut(path: string, bytes: Uint8Array, mime: string) {\n const { url, key } = sb();\n const r = await fetch(`${url}/storage/v1/object/${INBOX_BUCKET}/${path}`, {\n method: \"POST\",\n headers: { Authorization: `Bearer ${key}`, \"Content-Type\": mime || \"application/octet-stream\", \"x-upsert\": \"true\" },\n body: bytes,\n });\n if (!r.ok) throw new Error(`хранилище: ${r.status} ${(await r.text()).slice(0, 200)}`);\n}\n\nasync function signedUrl(path: string, seconds = 3600): Promise {\n const { url, key } = sb();\n const r = await fetch(`${url}/storage/v1/object/sign/${INBOX_BUCKET}/${path}`, {\n method: \"POST\",\n headers: sbHeaders(key),\n body: JSON.stringify({ expiresIn: seconds }),\n });\n if (!r.ok) throw new Error(`подпись ссылки: ${r.status}`);\n return url + \"/storage/v1\" + (await r.json()).signedURL;\n}\n\n/**\n * Слова, с которых начинается поручение для Claude, а не вопрос дежурной\n * модели. «Передай Клоду …» добавлено 1 сентября: владелец формулирует\n * поручения именно так, а бот их не узнавал — и очередь оставалась пустой.\n * Формы «клоду/клода/клот» — потому что Whisper склоняет и коверкает имя.\n */\nconst TASK_RE = /^((передай|скажи)[:,]?\\s+)?(задача|поручение|сделай|кло[дт][ауе]?|claude)[:,\\s]/i;\n\nconst QUEUED_REPLY = (id: number) =>\n `Принял, поручение №${id}. Разберу в ближайший обход — отвечу сюда же.`;\n\n/**\n * Список открытого в очереди — ответ на «очередь»/«статус». Появился после\n * жалобы 1 сентября «не обнаруживает заданий»: владельцу нужен способ увидеть\n * своими глазами, что бот записал, не дожидаясь обхода.\n */\nasync function inboxList(): Promise {\n const { url, key } = sb();\n const r = await fetch(`${url}/rest/v1/${INBOX_TABLE}?status=eq.new&order=at.asc&limit=30`, { headers: sbHeaders(key) });\n if (!r.ok) throw new Error(`очередь поручений: ${r.status}`);\n const rows: any[] = await r.json();\n if (!rows.length) return \"Очередь пуста: открытых поручений и материалов нет.\";\n const lines = rows.map((row) =>\n `№${row.id} · ${row.kind} · ${String(row.text ?? row.file_path ?? \"\").replace(/\\s+/g, \" \").slice(0, 90)}`\n );\n return `Открыто: ${rows.length}. Поручения Claude выполнит в ближайший обход; материалы и файлы он просто видит.\\n\\n` +\n lines.join(\"\\n\");\n}\n\nexport const TG_TOOLS = [\n {\n name: \"tg_inbox\",\n description:\n \"Входящие из Telegram: поручения и файлы, которые владелец прислал боту сети. \" +\n \"Вызывайте в начале обхода и когда владелец говорит «посмотри, что я кидал в телеграм». \" +\n \"Возвращает записи со статусом new: текст поручения, для файлов — подписанную ссылку \" +\n \"на час (её можно отдать read_document для распознавания) и картинки прямо в ответе. \" +\n \"Виды записей: «задача» и «голос-задача» — явные поручения, их надо выполнить и закрыть \" +\n \"через tg_answer с номером. «файл» и «материал» (пересланные сообщения и голосовые) — \" +\n \"хранилище и контекст: без явного поручения их НЕ выполнять и не отвечать по каждому; \" +\n \"используйте как материал к задачам и закрывайте вместе с задачей, к которой они \" +\n \"относятся, иначе оставляйте открытыми.\",\n inputSchema: {\n type: \"object\",\n properties: {\n status: { type: \"string\", enum: [\"new\", \"done\"], description: \"По умолчанию new.\" },\n limit: { type: \"number\", description: \"Сколько записей вернуть. По умолчанию 20.\" },\n },\n },\n },\n {\n name: \"tg_answer\",\n description:\n \"Ответить владельцу в Telegram от имени бота сети и, если указан id, закрыть \" +\n \"поручение из tg_inbox. Пишите по-русски и по делу: это личный чат владельца. \" +\n \"Для поручений с необратимыми последствиями (деньги, удаление, отправка клиентам) \" +\n \"не выполняйте молча — ответьте вопросом и оставьте поручение открытым.\",\n inputSchema: {\n type: \"object\",\n properties: {\n reply: { type: \"string\", description: \"Текст ответа владельцу.\" },\n id: { type: \"number\", description: \"Номер поручения, которое этот ответ закрывает.\" },\n },\n required: [\"reply\"],\n },\n },\n];\n\nexport async function handleTgTools(name: string, args: any, text: (s: string) => any) {\n if (name === \"tg_inbox\") {\n const { url, key } = sb();\n const status = args?.status === \"done\" ? \"done\" : \"new\";\n const limit = Math.min(Number(args?.limit ?? 20), 50);\n const r = await fetch(\n `${url}/rest/v1/${INBOX_TABLE}?status=eq.${status}&order=at.asc&limit=${limit}`,\n { headers: sbHeaders(key) },\n );\n if (!r.ok) throw new Error(`очередь поручений: ${r.status}`);\n const rows: any[] = await r.json();\n if (!rows.length) return text(`Входящих со статусом «${status}» нет.`);\n\n const parts: any[] = [];\n const lines: string[] = [];\n for (const row of rows) {\n let line = `№${row.id} · ${String(row.at).slice(0, 16).replace(\"T\", \" \")} · ${row.kind}`;\n if (row.text) line += `\\n${row.text}`;\n if (row.file_path) {\n const u = await signedUrl(row.file_path);\n line += `\\nфайл (${row.mime ?? \"?\"}), ссылка на час: ${u}`;\n if (/^image\\//.test(row.mime ?? \"\")) {\n try {\n const img = await fetch(u);\n const bytes = new Uint8Array(await img.arrayBuffer());\n if (bytes.length <= 3 * 1024 * 1024) {\n parts.push({ type: \"image\", data: b64(bytes), mimeType: row.mime });\n }\n } catch { /* картинка не открылась — останется ссылка */ }\n }\n }\n lines.push(line);\n }\n return {\n content: [\n {\n type: \"text\",\n text: `Входящих: ${rows.length}. Разобранное закрывайте через tg_answer с номером.\\n\\n` +\n lines.join(\"\\n\\n\"),\n },\n ...parts,\n ],\n };\n }\n\n if (name !== \"tg_answer\") return null;\n if (!args?.reply) throw new Error(\"Обязательный параметр: reply\");\n const botToken = cleanBotToken();\n const owner = env(\"TG_OWNER_CHAT_ID\");\n if (!botToken || !owner) throw new Error(\"Не заданы TG_AI_BOT_TOKEN или TG_OWNER_CHAT_ID\");\n await say(botToken, String(owner), String(args.reply));\n if (args.id != null) {\n const { url, key } = sb();\n await fetch(`${url}/rest/v1/${INBOX_TABLE}?id=eq.${encodeURIComponent(String(args.id))}`, {\n method: \"PATCH\",\n headers: sbHeaders(key),\n body: JSON.stringify({ status: \"done\", reply: String(args.reply).slice(0, 2000), done_at: new Date().toISOString() }),\n });\n }\n return text(\n args.id != null\n ? `Отправлено владельцу, поручение №${args.id} закрыто.`\n : \"Отправлено владельцу.\",\n );\n}\n\nconst HELP = `Это вход в агентскую сеть UM Group.\n\nПоручение для Claude — начните со слов «передай Клоду …», «сделай …»\nили «задача: …», текстом или голосом. Он выполнит в ближайший обход\nи ответит сюда же. Слово «очередь» — покажу, что записано и ещё\nне разобрано.\n\nВсё остальное — хранилище для Claude: пересланные сообщения\nи голосовые, документы и фото сохраняю во входящие, он видит их\nиз любой сессии. Сам с ними ничего не делаю, пока не поручите.\n\n«запомни: …» / «вспомни …» — долговременная память сети.\nСвой вопрос текстом или голосом — быстрый ответ дежурной бесплатной\nмодели. Аудиофайл — верну расшифровку (для казахского — слово\n«казахский» в подписи).`;\n\n/** «запомни …» / «вспомни …» — обращение к памяти сети. null — не про память. */\nasync function memoryCmd(text: string, trace: string, started: number): Promise {\n const mem = text.match(/^(запомни|вспомни)[:,]?\\s+(.+)/is);\n if (!mem) return null;\n const kind = mem[1].toLowerCase();\n const wrap = (s: string) => ({ content: [{ type: \"text\", text: s }] });\n const res: any = kind === \"запомни\"\n ? await handleMemory(\"remember\", { text: mem[2] }, wrap)\n : await handleMemory(\"recall\", { query: mem[2], top: 5 }, wrap);\n void logCall({ trace, tool: \"tg:\" + (kind === \"запомни\" ? \"remember\" : \"recall\"), ms: Date.now() - started, note: text.slice(0, 80), project: \"Телеграм\" });\n // Подпись про инструмент rules в чужом интерфейсе только путает — срезаем.\n return String(res.content[0].text).split(\"\\n\\n—\\n\")[0];\n}\n\n/** Разбор одного сообщения. Ошибки уходят владельцу текстом, не в пустоту. */\nasync function handleMessage(botToken: string, msg: any) {\n const chatId = String(msg.chat.id);\n const trace = newTrace();\n const started = Date.now();\n\n const media = msg.voice ?? msg.audio ?? msg.video_note ??\n (msg.document && /^audio\\//.test(msg.document.mime_type ?? \"\") ? msg.document : null);\n\n try {\n if (media) {\n if ((media.file_size ?? 0) > MAX_FILE) {\n await say(botToken, chatId, `Файл ${(media.file_size / 1048576).toFixed(1)} МБ, а Telegram отдаёт ботам до 20. Положите запись в папку «Записи на расшифровку» на Диске.`);\n return;\n }\n const info = await tgApi(botToken, \"getFile\", { file_id: media.file_id });\n const raw = await fetch(`${API}/file/bot${botToken}/${info.file_path}`);\n if (!raw.ok) throw new Error(`не скачался файл: ${raw.status}`);\n const bytes = new Uint8Array(await raw.arrayBuffer());\n const kk = /казах/i.test(msg.caption ?? \"\");\n const r = await transcribe({ base64: b64(bytes), language: kk ? \"kk\" : \"ru\" });\n void logCall({ trace, tool: \"tg:расшифровка\", provider: r.provider, ms: Date.now() - started, note: \"голосовое из Telegram\", project: \"Телеграм\" });\n const spoken = r.text.trim();\n\n // Пересланное чужое голосовое — материал для Claude, а не разговор с ботом:\n // владелец скидывает переписку, чтобы Claude её видел (замер 1 сентября —\n // бот вместо этого возвращал транскрипты и болтал, очередь оставалась\n // пустой). Расшифровка кладётся в очередь, в ответ — короткое подтверждение.\n const forwarded = !!(msg.forward_origin || msg.forward_from || msg.forward_sender_name || msg.forward_date);\n if (forwarded) {\n const id = await inboxAdd({ kind: \"материал\", text: \"Пересланное голосовое, расшифровка:\\n\" + spoken });\n await say(botToken, chatId, `Сохранил, №${id}. Расшифровка: «${spoken.slice(0, 400)}${spoken.length > 400 ? \"…\" : \"\"}»`);\n return;\n }\n\n // Своё голосовое — сказанная вслух команда, а не заказ на транскрипт.\n // Транскрипт как ответ остаётся аудиофайлам — их присылают ради текста.\n const isOwnSpeech = !!(msg.voice || msg.video_note);\n\n const memAns = await memoryCmd(spoken, trace, started);\n if (memAns !== null) {\n await say(botToken, chatId, memAns);\n return;\n }\n if (TASK_RE.test(spoken)) {\n const id = await inboxAdd({ kind: \"голос-задача\", text: spoken });\n await say(botToken, chatId, `Понял так: «${spoken.slice(0, 300)}»\\n\\n` + QUEUED_REPLY(id));\n return;\n }\n if (/^(очередь|статус)\\s*[?.!]*$/i.test(spoken)) {\n await say(botToken, chatId, await inboxList());\n return;\n }\n if (isOwnSpeech) {\n const ans = await ask({\n prompt: spoken,\n system: \"Ты — вход в рабочую сеть UM Group (Караганда). Вопрос надиктован голосом, в расшифровке возможны огрехи — понимай по смыслу. Отвечай по-русски, коротко и по делу: ответ уходит в Telegram.\",\n max_tokens: 1200,\n note: \"голосовой вопрос из Telegram: \" + spoken.slice(0, 60),\n project: \"Телеграм\",\n trace,\n } as any);\n await say(botToken, chatId, ans.text);\n return;\n }\n await say(botToken, chatId, r.text);\n return;\n }\n\n // Документ или фото — во входящие: закрытая корзина + строка в очереди.\n const doc = msg.document && !/^audio\\//.test(msg.document.mime_type ?? \"\") ? msg.document : null;\n const photo = Array.isArray(msg.photo) && msg.photo.length ? msg.photo[msg.photo.length - 1] : null;\n const incoming = doc ?? photo;\n if (incoming) {\n if ((incoming.file_size ?? 0) > MAX_FILE) {\n await say(botToken, chatId, \"Файл больше 20 МБ — Telegram не отдаёт такие ботам. Положите его в папку на Диске.\");\n return;\n }\n const info = await tgApi(botToken, \"getFile\", { file_id: incoming.file_id });\n const raw = await fetch(`${API}/file/bot${botToken}/${info.file_path}`);\n if (!raw.ok) throw new Error(`не скачался файл: ${raw.status}`);\n const bytes = new Uint8Array(await raw.arrayBuffer());\n const mime = doc?.mime_type ?? \"image/jpeg\";\n const orig = String(doc?.file_name ?? \"photo.jpg\").replace(/[^A-Za-z0-9а-яА-ЯёЁ._-]/g, \"_\").slice(-60);\n const path = `${Date.now()}-${orig}`;\n await storagePut(path, bytes, mime);\n const id = await inboxAdd({ kind: \"файл\", text: (msg.caption ?? \"\").trim() || undefined, file_path: path, mime });\n void logCall({ trace, tool: \"tg:файл\", ms: Date.now() - started, note: orig, project: \"Телеграм\" });\n await say(botToken, chatId, `Файл принял, №${id}` + (msg.caption ? \" (подпись сохранил)\" : \"\") + \". Посмотрю в ближайший обход.\");\n return;\n }\n\n const text = String(msg.text ?? \"\").trim();\n if (!text) return;\n\n // Пересланный чужой текст — материал для Claude, не вопрос боту: отвечать\n // моделью на реплики из чужой переписки бессмысленно (замер 1 сентября).\n const fwd = !!(msg.forward_origin || msg.forward_from || msg.forward_sender_name || msg.forward_date);\n if (fwd) {\n const id = await inboxAdd({ kind: \"материал\", text });\n void logCall({ trace, tool: \"tg:материал\", ms: Date.now() - started, note: text.slice(0, 80), project: \"Телеграм\" });\n await say(botToken, chatId, `Сохранил, №${id}.`);\n return;\n }\n\n if (/^\\/(start|help)/.test(text) || /^помощь$/i.test(text)) {\n await say(botToken, chatId, HELP);\n return;\n }\n\n if (/^(очередь|статус)\\s*[?.!]*$/i.test(text)) {\n await say(botToken, chatId, await inboxList());\n return;\n }\n\n const memAnswer = await memoryCmd(text, trace, started);\n if (memAnswer !== null) {\n await say(botToken, chatId, memAnswer);\n return;\n }\n\n if (TASK_RE.test(text)) {\n const id = await inboxAdd({ kind: \"задача\", text });\n void logCall({ trace, tool: \"tg:задача\", ms: Date.now() - started, note: text.slice(0, 80), project: \"Телеграм\" });\n await say(botToken, chatId, QUEUED_REPLY(id));\n return;\n }\n\n const r = await ask({\n prompt: text,\n system: \"Ты — вход в рабочую сеть UM Group (Караганда). Отвечай по-русски, коротко и по делу: ответ уходит в Telegram.\",\n max_tokens: 1200,\n note: \"вопрос из Telegram: \" + text.slice(0, 60),\n project: \"Телеграм\",\n trace,\n } as any);\n await say(botToken, chatId, r.text);\n } catch (e: any) {\n const masked = String(e?.message || e).replace(/bot\\d+:[\\w-]+/g, \"bot<скрыто>\");\n void logCall({ trace, tool: \"tg:сбой\", status: \"error\", ms: Date.now() - started, error: masked.slice(0, 300), project: \"Телеграм\" });\n await say(botToken, chatId, \"Не получилось: \" + masked.slice(0, 500)).catch(() => {});\n }\n}\n\nexport async function handleTelegram(req: Request, url: URL): Promise {\n if (!url.pathname.startsWith(\"/tg/\")) return null;\n const botToken = cleanBotToken();\n if (!botToken) {\n return json({ error: \"Не задана переменная TG_AI_BOT_TOKEN в вале — нужен отдельный бот для сети, клиентского из TELEGRAM_BOT_TOKEN не трогаем\" }, 503);\n }\n\n // Разовая настройка: прописать вебхук у Telegram. Защищено токеном шлюза —\n // тем же способом, каким защищена панель.\n if (url.pathname === \"/tg/setup\") {\n if (url.searchParams.get(\"key\") !== env(\"GATEWAY_TOKEN\")) {\n return json({ error: \"нужен ?key=GATEWAY_TOKEN\" }, 403);\n }\n // Если Telegram не признал токен, отдать диагностику ФОРМЫ значения,\n // не показывая само значение: этого хватает, чтобы найти мусор вставки.\n let me: any;\n try {\n me = await tgApi(botToken, \"getMe\", {});\n } catch (e: any) {\n return json({\n error: \"Telegram не принял токен: \" + String(e?.message || e),\n shape: {\n length: botToken.length,\n colon: botToken.includes(\":\"),\n starts_with_digits: /^\\d+:/.test(botToken),\n has_whitespace_inside: /\\s/.test(botToken),\n looks_like_token: /^\\d{5,}:[A-Za-z0-9_-]{25,}$/.test(botToken),\n },\n hint: \"Сотрите значение TG_AI_BOT_TOKEN в вале и впечатайте заново: только цифры, двоеточие и хвост, без кавычек, пробелов и приставки bot.\",\n }, 502);\n }\n await tgApi(botToken, \"setWebhook\", {\n url: `${url.origin}/tg/hook`,\n secret_token: await hookSecret(botToken),\n allowed_updates: [\"message\"],\n drop_pending_updates: true,\n });\n const owner = env(\"TG_OWNER_CHAT_ID\");\n return json({\n ok: true,\n bot: \"@\" + me.username,\n webhook: `${url.origin}/tg/hook`,\n owner: owner ? \"задан\" : \"НЕ задан: напишите боту, он сообщит ваш chat id (переменная TG_OWNER_CHAT_ID)\",\n });\n }\n\n if (url.pathname === \"/tg/hook\" && req.method === \"POST\") {\n const got = req.headers.get(\"X-Telegram-Bot-Api-Secret-Token\") ?? \"\";\n if (got !== await hookSecret(botToken)) return json({ error: \"чужой\" }, 403);\n\n const update: any = await req.json().catch(() => null);\n const msg = update?.message;\n // Всегда 200: иначе Telegram будет бесконечно повторять то, что нам не нужно.\n if (!msg?.chat) return json({ ok: true });\n\n const chatId = String(msg.chat.id);\n // Группы не обслуживаем: бот сидит в группе отчётов Битрикса, и каждое\n // сообщение там долетает сюда. Молча пропускаем, в журнал не пишем —\n // иначе журнал утонет в чужих репликах.\n if (msg.chat.type !== \"private\") return json({ ok: true });\n\n const owner = env(\"TG_OWNER_CHAT_ID\");\n if (!owner) {\n await say(botToken, chatId, `Ваш chat id: ${chatId}\\nДобавьте его в переменные вала как TG_OWNER_CHAT_ID — после этого бот будет отвечать только вам.`);\n return json({ ok: true });\n }\n if (chatId !== String(owner)) {\n void logCall({ trace: \"tg\", tool: \"tg:чужой\", status: \"error\", error: \"личное сообщение с чужого chat id\", project: \"Телеграм\" });\n return json({ ok: true });\n }\n await handleMessage(botToken, msg);\n return json({ ok: true });\n }\n\n return json({ error: \"нет такого адреса\" }, 404);\n}\n",[173],"96ae0a44-78c3-4014-84c4-bb3545021bd1","summary-cron.ts","c945022e-9cae-11f1-9886-1607ee4eb77e",132,["D",1787250984196],5,"// Утренняя сводка отчётов ФБСМ за предыдущий рабочий день.\n// Расписание: 04:00 UTC = 9:00 по Алматы, Пн–Пт. В понедельник приходит за пятницу.\n// Повторный вызов в тот же день безопасен: мост сам отсекает дубли.\nconst SELF = \"https://umgroupkzcommits--bfdf35328cce11f180cf1607ee4eb77e.web.val.run\";\nexport default async function () {\n const key = Deno.env.get(\"TG_HOOK_KEY\") ?? \"\";\n if (!key) throw new Error(\"не задан TG_HOOK_KEY\");\n const res = await fetch(\n SELF + \"/tg/summary?day=prev&key=\" + encodeURIComponent(key),\n );\n const text = await res.text();\n console.log(\"сводка:\", res.status, text);\n}\n",[181],"d11f598e-1897-402b-9f51-e4857bbb5868","spend.ts","2ba0c89c-8da8-11f1-89cf-1607ee4eb77e",82,["D",1785604867047],"// Учёт расходов и потолок трат.\n//\n// Раньше расход было видно только в консолях девяти провайдеров по отдельности,\n// то есть на практике не видно вовсе. Теперь каждый платный вызов пишется строкой\n// в таблицу gateway_spend, а перед платным вызовом проверяется дневной потолок.\n//\n// Оценка стоимости именно оценка: провайдеры не возвращают сумму, только токены,\n// поэтому считаем по тарифу. Кэш, батч-скидки и длинный контекст здесь не учтены —\n// реальный счёт может отличаться в меньшую сторону у DeepSeek и в большую у OpenAI\n// на длинном контексте. Для контроля порядка величин этого достаточно, для сверки\n// с выставленным счётом — нет.\n\nimport { env } from \"./main.tsx\";\n\nconst TABLE = \"gateway_spend\";\n\n/** Доллары за миллион токенов: вход и выход. Проверено 01.08.2026. */\nconst RATES: Record = {\n groq: { in: 0, out: 0 },\n gemini: { in: 0, out: 0 },\n mistral: { in: 0, out: 0 },\n openrouter: { in: 0, out: 0 },\n qwen: { in: 0, out: 0 },\n cerebras: { in: 0, out: 0 },\n deepseek: { in: 0.14, out: 0.28 },\n xai: { in: 0.2, out: 0.5 },\n moonshot: { in: 3, out: 15 },\n anthropic: { in: 2, out: 10 },\n openai: { in: 2, out: 12 },\n};\n\n/** Модели дороже базовой ставки провайдера — иначе счёт занижается в разы. */\nconst MODEL_RATES: Record = {\n \"gpt-5.6-sol\": { in: 5, out: 30 },\n \"gpt-5.6-luna\": { in: 0.2, out: 1.2 },\n \"claude-sonnet-5\": { in: 2, out: 10 },\n \"claude-haiku-4-5\": { in: 1, out: 5 },\n \"deepseek-reasoner\": { in: 0.435, out: 0.87 },\n \"grok-4.5\": { in: 2, out: 6 },\n};\n\nexport function estimateUsd(\n provider: string,\n model: string,\n inTokens: number,\n outTokens: number,\n): number {\n const r = MODEL_RATES[model] ?? RATES[provider] ?? { in: 0, out: 0 };\n return (inTokens * r.in + outTokens * r.out) / 1_000_000;\n}\n\nfunction db(): { url: string; key: string } | null {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) return null;\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\nfunction headers(sb: { key: string }, extra: Record = {}) {\n return {\n apikey: sb.key,\n Authorization: `Bearer ${sb.key}`,\n \"Content-Type\": \"application/json\",\n ...extra,\n };\n}\n\nexport interface SpendRow {\n provider: string;\n model: string;\n kind?: string;\n in_tokens?: number;\n out_tokens?: number;\n usd?: number;\n note?: string;\n}\n\n/**\n * Запись расхода. Намеренно не роняет вызов: если учёт недоступен, работа\n * важнее статистики. Но и молчать нельзя — поэтому возвращаем признак,\n * записалось ли, чтобы вызывающий мог упомянуть это в ответе.\n */\nexport async function logSpend(row: SpendRow): Promise {\n const sb = db();\n if (!sb) return false;\n const usd =\n row.usd ??\n estimateUsd(\n row.provider,\n row.model,\n row.in_tokens ?? 0,\n row.out_tokens ?? 0,\n );\n if (usd <= 0) return false;\n try {\n const r = await fetch(`${sb.url}/rest/v1/${TABLE}`, {\n method: \"POST\",\n headers: headers(sb, { Prefer: \"return=minimal\" }),\n body: JSON.stringify({ ...row, kind: row.kind ?? \"chat\", usd }),\n });\n return r.ok;\n } catch {\n return false;\n }\n}\n\nasync function rowsSince(iso: string): Promise {\n const sb = db();\n if (!sb) return [];\n const url =\n `${sb.url}/rest/v1/${TABLE}` +\n `?select=provider,model,kind,in_tokens,out_tokens,usd&at=gte.${iso}&limit=10000`;\n const r = await fetch(url, { headers: headers(sb) });\n if (!r.ok)\n throw new Error(\n `Supabase не отдал расходы, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n return await r.json();\n}\n\n/** Начало суток по Алматы (UTC+5), выраженное в UTC: считать надо по рабочему дню. */\nfunction startOfDayIso(now: Date): string {\n const almaty = new Date(now.getTime() + 5 * 3600 * 1000);\n const y = almaty.getUTCFullYear();\n const m = String(almaty.getUTCMonth() + 1).padStart(2, \"0\");\n const d = String(almaty.getUTCDate()).padStart(2, \"0\");\n return new Date(`${y}-${m}-${d}T00:00:00+05:00`).toISOString();\n}\n\n// Потолок проверяется перед каждым платным вызовом, поэтому ходить в базу\n// каждый раз накладно: держим сумму в памяти минуту. За минуту перебрать\n// лимит можно разве что огромной пачкой, а её стоимость и так оценивается заранее.\nlet cache: { at: number; usd: number } | null = null;\nconst CACHE_MS = 60_000;\n\nexport async function spentToday(now = new Date()): Promise {\n if (cache && now.getTime() - cache.at < CACHE_MS) return cache.usd;\n const rows = await rowsSince(startOfDayIso(now));\n const usd = rows.reduce((s, r) => s + Number(r.usd ?? 0), 0);\n cache = { at: now.getTime(), usd };\n return usd;\n}\n\n/** Сбрасывает кэш: после записи расхода сумма изменилась. */\nexport function forgetSpendCache() {\n cache = null;\n}\n\n/**\n * Дневной потолок. Без переменной SPEND_LIMIT_USD не ограничивает ничего —\n * молча выключенная защита хуже отсутствующей, поэтому её состояние видно\n * в отчёте инструмента spending.\n */\nexport async function guardBudget(estimate = 0): Promise {\n const limit = Number(env(\"SPEND_LIMIT_USD\") ?? \"\");\n if (!limit || !isFinite(limit) || limit <= 0) return;\n const spent = await spentToday().catch(() => 0);\n if (spent + estimate > limit) {\n throw new Error(\n `Дневной потолок трат исчерпан: за сегодня ${spent.toFixed(2)} из ${limit.toFixed(2)} долларов. ` +\n \"Вызов не выполнен. Поднимите SPEND_LIMIT_USD в переменных вала или дождитесь следующих суток \" +\n \"по Алматы. Сообщите об этом пользователю — это не сбой провайдера.\",\n );\n }\n}\n\nexport const SPEND_TOOLS = [\n {\n name: \"spending\",\n description:\n \"Показать, сколько денег ушло на платных провайдеров. Считается по строкам, которые шлюз \" +\n \"пишет при каждом платном вызове, с разбивкой по провайдерам и видам работы. Суммы — оценка \" +\n \"по тарифу, а не выставленный счёт: кэш, батч-скидки и длинный контекст здесь не учтены. \" +\n \"Здесь же видно, включён ли дневной потолок трат и сколько от него осталось.\",\n inputSchema: {\n type: \"object\",\n properties: {\n days: {\n type: \"number\",\n description: \"За сколько последних суток считать. По умолчанию 7.\",\n },\n },\n },\n },\n];\n\nexport async function handleSpend(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name !== \"spending\") return null;\n\n const days = Math.max(1, Number(args?.days ?? 7));\n const since = new Date(Date.now() - days * 24 * 3600 * 1000).toISOString();\n const rows = await rowsSince(since);\n\n const byProvider: Record = {};\n const byKind: Record = {};\n let total = 0;\n for (const r of rows) {\n const usd = Number(r.usd ?? 0);\n total += usd;\n const p = (byProvider[r.provider] ??= { usd: 0, calls: 0 });\n p.usd += usd;\n p.calls += 1;\n byKind[r.kind ?? \"chat\"] = (byKind[r.kind ?? \"chat\"] ?? 0) + usd;\n }\n\n const limit = Number(env(\"SPEND_LIMIT_USD\") ?? \"\");\n const today = await spentToday().catch(() => 0);\n const cap =\n limit && isFinite(limit) && limit > 0\n ? `Дневной потолок ${limit.toFixed(2)}, сегодня истрачено ${today.toFixed(2)}, осталось ${(limit - today).toFixed(2)}.`\n : \"Дневной потолок не задан: переменная SPEND_LIMIT_USD пуста, расход ничем не ограничен.\";\n\n // Состояние CHEAP_AUTO показываем тут же: снаружи его больше нигде не видно,\n // а молча действующий (или молча выключенный) режим — источник недоразумений.\n const cheapAuto = env(\"CHEAP_AUTO\") === \"1\" && !!Number(env(\"SPEND_LIMIT_USD\") ?? \"\");\n const auto = cheapAuto\n ? \"Автоподхват дешёвых платных ВКЛЮЧЁН (CHEAP_AUTO=1): когда бесплатные отказали, задачу без флага подхватят deepseek или xai.\"\n : env(\"CHEAP_AUTO\") === \"1\"\n ? \"CHEAP_AUTO=1 задан, но НЕ действует: нет дневного потолка SPEND_LIMIT_USD.\"\n : \"Автоподхват дешёвых платных выключен: без флага allow_paid работают только бесплатные.\";\n\n if (!rows.length) {\n return text(`За последние ${days} сут. платных вызовов не было.\\n\\n${cap}\\n${auto}`);\n }\n\n const lines = Object.entries(byProvider)\n .sort((a, b) => b[1].usd - a[1].usd)\n .map(([id, v]) => `${id}: $${v.usd.toFixed(4)} за ${v.calls} вызовов`);\n const kinds = Object.entries(byKind)\n .sort((a, b) => b[1] - a[1])\n .map(([k, v]) => `${k}: $${v.toFixed(4)}`);\n\n return text(\n `Расход за последние ${days} сут. — примерно $${total.toFixed(4)} на ${rows.length} вызовов.\\n\\n` +\n `По провайдерам:\\n${lines.join(\"\\n\")}\\n\\nПо видам работы:\\n${kinds.join(\"\\n\")}\\n\\n${cap}\\n${auto}\\n\\n` +\n \"Суммы посчитаны по тарифу и не заменяют счёт провайдера.\",\n );\n}\n",[189],"d7eef034-b203-4e49-8418-f75a83d04385","source.ts","fe35e5fc-8d9f-11f1-b6fa-1607ee4eb77e",44,["D",1785585372937],"// Чтение собственного исходника кусками.\n//\n// Файл целиком — это десятки тысяч символов в контекст читающего, а нужен\n// обычно один фрагмент. Отсюда три способа взять кусок: по номерам строк,\n// вокруг найденного текста и списком строк с совпадениями. Номера строк\n// печатаются всегда: без них найденное некуда приложить.\n//\n// Живёт отдельным файлом по той же причине, что видео и картинки: main.tsx\n// упирается в предел Val Town в 80 000 символов.\n\ninterface Args {\n path: string;\n size: number;\n sha: string;\n grep?: string;\n around?: string;\n context?: number;\n from?: number;\n to?: number;\n}\n\nconst MAX_HITS = 200;\n\nexport function sourceFragment(src: string, a: Args): string {\n const lines = src.split(\"\\n\");\n const head = (note: string) =>\n `[${a.path}, ${a.size} байт, ${lines.length} строк, sha256 ${a.sha}${note}]`;\n const numbered = (from: number, to: number) =>\n lines\n .slice(from - 1, to)\n .map((t, i) => `${from + i}: ${t}`)\n .join(\"\\n\");\n\n if (a.grep) {\n const re = new RegExp(String(a.grep), \"u\");\n const hits = lines\n .map((t, i) => ({ n: i + 1, t }))\n .filter((x) => re.test(x.t))\n .slice(0, MAX_HITS);\n if (!hits.length)\n return `${head(\", совпадений нет\")}\\n\\nНичего не найдено.`;\n const cut = hits.length === MAX_HITS ? `, показаны первые ${MAX_HITS}` : \"\";\n return (\n `${head(`, совпадений ${hits.length}${cut}`)}\\n\\n` +\n hits.map((x) => `${x.n}: ${x.t}`).join(\"\\n\")\n );\n }\n\n if (a.around) {\n const at = src.indexOf(String(a.around));\n if (at < 0) {\n throw new Error(\n `Фрагмент «${String(a.around).slice(0, 60)}» в файле не найден. ` +\n \"Поищите через grep: форматирование на Val Town может отличаться от локальной копии.\",\n );\n }\n const line = src.slice(0, at).split(\"\\n\").length;\n const pad = Number(a.context ?? 20);\n const from = Math.max(1, line - pad);\n const to = Math.min(lines.length, line + pad);\n return `${head(`, строки ${from}–${to}`)}\\n\\n${numbered(from, to)}`;\n }\n\n // Именно !== undefined: from: 0 — это ноль, а не «не просили».\n if (a.from !== undefined || a.to !== undefined) {\n const from = Math.max(1, Number(a.from ?? 1));\n const to = Math.min(lines.length, Number(a.to ?? from + 80));\n return `${head(`, строки ${from}–${to}`)}\\n\\n${numbered(from, to)}`;\n }\n\n return `${head(\"\")}\\n\\n${src}`;\n}\n",[196],"f3b9114f-94bb-4408-a8a4-7b00274a0399",["D",1788422784123],[27],"4dcfdae9-6784-4294-9973-452cc8c2c89d","providers.ts","2f7a3f2a-8dc1-11f1-b2a9-1607ee4eb77e",88,["D",1785615018595],"// Каталог провайдеров и доступ к окружению. Вынесено из main.tsx: файл упёрся\n// в предел Val Town 80 000 символов. Модуль намеренно ни от чего не зависит —\n// его импортируют все, и любой импорт отсюда безопасен от циклов.\n\n// ---------------------------------------------------------------------------\n// Окружение (портируемо между Deno и Node)\n// ---------------------------------------------------------------------------\n\ndeclare const Deno: { env: { get(k: string): string | undefined } } | undefined;\n\nexport function env(key: string): string | undefined {\n const d = (globalThis as any).Deno;\n if (d?.env?.get) return d.env.get(key) || undefined;\n const p = (globalThis as any).process;\n if (p?.env) return p.env[key] || undefined;\n return undefined;\n}\n\n// ---------------------------------------------------------------------------\n// Провайдеры — все говорят на OpenAI-совместимом /chat/completions\n//\n// Cerebras удалён 1 августа 2026: ключ отозван, на кодовом экзамене провайдер\n// не отвечал вовсе. Держать в каталоге мёртвую запись хуже, чем её отсутствие —\n// автоподбор тратил бы на неё попытку, а панель рисовала бы несуществующего\n// исполнителя.\n// ---------------------------------------------------------------------------\n\nexport interface Provider {\n id: string;\n label: string;\n base: string;\n keyEnv: string;\n /**\n * free — бесплатный тариф, участвует в автоподборе;\n * cheap — платный, но дешёвый: подключается флагом allow_paid;\n * premium — топовые модели, дорого: только по явному указанию provider.\n */\n cost: \"free\" | \"cheap\" | \"premium\";\n /** Ориентир стоимости за 1M токенов вход/выход. Для free — описание лимита. */\n price: string;\n /** Подсказки по моделям. Реальный список всегда берите через list_models. */\n tiers: { fast: string; smart: string; long?: string };\n notes: string;\n}\n\nexport const PROVIDERS: Provider[] = [\n {\n id: \"groq\",\n label: \"Groq\",\n base: \"https://api.groq.com/openai/v1\",\n keyEnv: \"GROQ_API_KEY\",\n cost: \"free\",\n price: \"бесплатно, около 14 400 запросов в сутки\",\n tiers: { fast: \"llama-3.1-8b-instant\", smart: \"llama-3.3-70b-versatile\" },\n notes:\n \"Самая быстрая генерация. Щедрый лимит по запросам, узкое место — токены в минуту.\",\n },\n {\n id: \"gemini\",\n label: \"Google Gemini\",\n base: \"https://generativelanguage.googleapis.com/v1beta/openai\",\n keyEnv: \"GEMINI_API_KEY\",\n cost: \"free\",\n price: \"бесплатно в пределах суточной квоты\",\n tiers: {\n fast: \"gemini-flash-lite-latest\",\n smart: \"gemini-flash-lite-latest\",\n long: \"gemini-flash-lite-latest\",\n },\n notes:\n \"Роль — длинный контекст. Все три уровня намеренно ведут на flash-lite: проверено, что старшие \" +\n \"модели на бесплатном тарифе подмешивают собственные размышления в текст ответа и упираются \" +\n \"в суточную квоту. Окно у flash-lite такое же большое, поэтому для больших документов потери нет. \" +\n \"Старшие модели вызывать только явным model и с запасом max_tokens в несколько сотен, иначе \" +\n \"весь лимит уйдёт на размышления и ответ придёт пустым.\",\n },\n {\n id: \"mistral\",\n label: \"Mistral\",\n base: \"https://api.mistral.ai/v1\",\n keyEnv: \"MISTRAL_API_KEY\",\n cost: \"free\",\n price: \"бесплатный тариф разработчика\",\n tiers: { fast: \"mistral-small-latest\", smart: \"mistral-medium-latest\" },\n notes: \"Стабильный каталог. Хорош для европейских языков.\",\n },\n {\n id: \"openrouter\",\n label: \"OpenRouter\",\n base: \"https://openrouter.ai/api/v1\",\n keyEnv: \"OPENROUTER_API_KEY\",\n cost: \"free\",\n price: \"модели с суффиксом :free бесплатны, суточный лимит\",\n tiers: {\n fast: \"openrouter/free\",\n smart: \"nvidia/nemotron-3-ultra-550b-a55b:free\",\n long: \"openrouter/free\",\n },\n notes:\n \"Роль — подстраховка, когда остальные бесплатные упрутся в суточные лимиты. Каталог :free-моделей \" +\n \"здесь обновляется целиком и часто: имена, работавшие месяц назад, просто исчезают. Поэтому \" +\n \"умолчания намеренно ведут на авто-роутер openrouter/free, который сам выбирает доступную модель \" +\n \"и не устаревает. Конкретное имя указывать только сразу после сверки через list_models. \" +\n \"Платные модели вызываются явным model и считаются платными, несмотря на бесплатный уровень провайдера.\",\n },\n {\n id: \"qwen\",\n label: \"Qwen / DashScope\",\n base: \"https://dashscope.aliyuncs.com/compatible-mode/v1\",\n keyEnv: \"QWEN_API_KEY\",\n cost: \"free\",\n price:\n \"около 70 млн бесплатных токенов при регистрации, разово; дальше по прайсу\",\n tiers: {\n fast: \"qwen3.7-flash\",\n smart: \"qwen3.7-plus\",\n long: \"qwen3.7-plus\",\n },\n notes:\n \"Самый щедрый стартовый лимит из всех: бесплатных токенов хватает надолго, но они выдаются один раз \" +\n \"и не возобновляются. Доступ к конкретным моделям зависит от уровня аккаунта — перед крупной пачкой \" +\n \"сверяйтесь через list_models. Сильные позиции в коде и в китайском языке.\",\n },\n\n // --- Платные, но дешёвые: подключаются флагом allow_paid ------------------\n\n {\n id: \"deepseek\",\n label: \"DeepSeek\",\n base: \"https://api.deepseek.com/v1\",\n keyEnv: \"DEEPSEEK_API_KEY\",\n cost: \"cheap\",\n price:\n \"$0.14 вход / $0.28 выход за 1M; попадание в кэш примерно в 50 раз дешевле\",\n tiers: {\n fast: \"deepseek-chat\",\n smart: \"deepseek-reasoner\",\n long: \"deepseek-chat\",\n },\n notes:\n \"Лучшее соотношение цены и качества для массовой работы. Автоматически кэширует общий префикс \" +\n \"промпта — выносите общую инструкцию и глоссарий в начало, тогда повторный ввод считается по цене \" +\n \"кэша. Допускает до 2500 одновременных запросов, поэтому хорошо переносит крупные пачки. \" +\n \"Имена: в каталоге видны deepseek-v4-flash и deepseek-v4-pro, но псевдонимы deepseek-chat \" +\n \"(тот же flash без рассуждений) и deepseek-reasoner (flash с рассуждениями) работают и удобнее. \" +\n \"ГЛАВНОЕ: у рассуждающих моделей размышления списываются из того же max_tokens и приходят \" +\n \"отдельным полем. Замер 01.08.2026 на задаче про наценку: deepseek-reasoner дал верный ответ, \" +\n \"потратив 697 токенов, v4-pro — тоже верный за 965 и вдвое дольше, а нерассуждающий \" +\n \"deepseek-chat уложился в 209 токенов, но ответил НЕВЕРНО. Отсюда правило: считать и \" +\n \"рассуждать — только reasoner и не меньше 1500 max_tokens; deepseek-chat — для механики, \" +\n \"где думать не надо.\",\n },\n {\n id: \"xai\",\n label: \"xAI / Grok\",\n base: \"https://api.x.ai/v1\",\n keyEnv: \"XAI_API_KEY\",\n cost: \"cheap\",\n price: \"около $0.20 вход / $0.50 выход за 1M при контексте 2M токенов\",\n tiers: {\n fast: \"grok-4.20-0309-non-reasoning\",\n smart: \"grok-4.5\",\n long: \"grok-4.20-0309-non-reasoning\",\n },\n notes:\n \"Лучший вариант для длинного контекста по деньгам: 2M токенов по цене, сопоставимой с DeepSeek, \" +\n \"и заметно дешевле Kimi. Поддерживает кэширование промпта. ВАЖНО про расход: почти все модели Grok \" +\n \"рассуждающие и тратят сотни токенов на размышления даже ради односложного ответа — замер 31.07.2026 \" +\n \"показал 378 токенов мыслей на 1 полезный. Поэтому уровень fast намеренно ведёт на \" +\n \"grok-4.20-0309-non-reasoning: тот же ответ обходится ровно в десять раз дешевле. Для механической \" +\n \"работы брать только его. Веб-поиск у Grok есть, но живёт на отдельном эндпоинте /responses, а не \" +\n \"в /chat/completions — для него отдельный инструмент web_search.\",\n },\n\n // --- Премиальные: только по явному указанию provider ----------------------\n\n {\n id: \"moonshot\",\n label: \"Moonshot / Kimi\",\n base: \"https://api.moonshot.ai/v1\",\n keyEnv: \"MOONSHOT_API_KEY\",\n cost: \"premium\",\n price: \"Kimi K3 — около $3 вход / $15 выход за 1M\",\n tiers: { fast: \"kimi-k3\", smart: \"kimi-k3\", long: \"kimi-k3\" },\n notes:\n \"Контекст более 1M токенов. Учтите: xAI даёт 2M контекста примерно в пятнадцать раз дешевле, \" +\n \"а Gemini Pro — сопоставимый объём дешевле по выходу. Брать Kimi осмысленно только под конкретное \" +\n \"качество на длинном тексте, а не просто ради размера окна.\",\n },\n {\n id: \"openai\",\n label: \"OpenAI\",\n base: \"https://api.openai.com/v1\",\n keyEnv: \"OPENAI_API_KEY\",\n cost: \"premium\",\n price:\n \"luna — $0.20 вход / $1.20 выход за 1M; terra — $2 / $12; sol — $5 / $30. Бесплатного тарифа нет\",\n tiers: {\n fast: \"gpt-5.6-luna\",\n smart: \"gpt-5.6-sol\",\n long: \"gpt-5.6-terra\",\n },\n notes:\n \"Подписка ChatGPT доступа к API не даёт — это отдельная система оплаты. Проверено 01.08.2026: в семействе три модели с окном 1.05M токенов каждая, различаются ценой и силой — luna для объёма, terra как середина, sol для сложных рассуждений и кода. На длинном контексте тариф ровно вдвое выше короткого, поэтому большой документ здесь дороже, чем кажется по таблице; порог, с которого включается длинный тариф, OpenAI на странице цен не указывает. Повторный ввод кэшируется со скидкой 90%, но кэш надо греть: запись в него стоит дороже обычного входа. Идентификаторы моделей \" +\n \"меняются часто — перед серьёзной задачей сверяйтесь через list_models. Два подвоха, проверенных живьём. Первый: каталог моделей у OpenAI неполный — gpt-5.6-terra в нём отсутствует, но прекрасно работает, так что отсутствие модели в списке здесь ничего не доказывает. Второй: модели рассуждают по умолчанию и списывают размышления из того же лимита длины, поэтому ставить его впритык нельзя — на односложный ответ terra потратила 17 токенов размышлений. Само поле длины у OpenAI называется max_completion_tokens, шлюз подменяет его сам, от вас по-прежнему max_tokens.\",\n },\n {\n id: \"anthropic\",\n label: \"Anthropic / Claude\",\n base: \"https://api.anthropic.com/v1\",\n keyEnv: \"ANTHROPIC_API_KEY\",\n cost: \"premium\",\n price:\n \"Haiku 4.5 — $1 вход / $5 выход за 1M; Sonnet 5 — $2 / $10 по вводной цене до 31.08.2026, дальше $3 / $15\",\n tiers: {\n fast: \"claude-haiku-4-5\",\n smart: \"claude-sonnet-5\",\n long: \"claude-sonnet-5\",\n },\n notes:\n \"Оплата API не связана с подпиской — это отдельный счёт, что как раз позволяет снять нагрузку \" +\n \"с лимита подписки. Обращение идёт через OpenAI-совместимый слой Anthropic, и у него есть цена: \" +\n \"кэширование промпта через него НЕ работает (в отличие от DeepSeek, где это главный рычаг \" +\n \"экономии), несколько системных сообщений склеиваются в одно, temperature выше 1 обрезается \" +\n \"до 1, а поля response_format, seed, logit_bias, presence_penalty и подобные молча игнорируются. \" +\n \"Сам Anthropic называет этот слой пригодным для проверки, а не для постоянной работы. Поэтому \" +\n \"здесь уместны единичные задачи на качество и перекрёстная сверка, а не массовые пачки. \" +\n \"Вводная цена Sonnet 5 кончается 31 августа 2026 — после этой даты вход и выход дорожают \" +\n \"в полтора раза, проверить перед тем, как обещать смету. Если совместимый слой не отвечает, \" +\n \"те же модели доступны через OpenRouter с префиксом anthropic/.\",\n },\n];\n\n/** Автоподбор идёт только по бесплатным провайдерам. */\nexport const FALLBACK_ORDER = [\n \"groq\",\n \"qwen\",\n \"gemini\",\n \"mistral\",\n \"openrouter\",\n];\n\n/** Дешёвые платные по возрастанию цены — подключаются флагом allow_paid. */\nexport const PAID_ORDER = [\"deepseek\", \"xai\"];\n\n/** Премиальные — никогда не подбираются автоматически, только явным provider. */\nexport const PREMIUM_ONLY = [\"moonshot\", \"openai\", \"anthropic\"];\n\nexport function providerById(id: string): Provider | undefined {\n return PROVIDERS.find((p) => p.id === id);\n}\n\n/**\n * Адрес API провайдера. Переопределяется секретом _BASE_URL —\n * нужно для аккаунтов с региональным или рабочим-пространственным эндпоинтом\n * (например, международный Alibaba Model Studio выдаёт адрес своего workspace).\n */\nexport function baseOf(p: Provider): string {\n const override = env(p.id.toUpperCase() + \"_BASE_URL\");\n return (override || p.base).replace(/\\/+$/, \"\");\n}\n\nexport function availableProviders(): Provider[] {\n return PROVIDERS.filter((p) => !!env(p.keyEnv));\n}\n",[206],"a8d2948c-d8b0-405c-b57e-a2cb02446bf5","panel.ts","f434c9dc-8daf-11f1-8541-1607ee4eb77e",89,["D",1785615037797],6,"// Панель наблюдения: одна страница на самом шлюзе.\n//\n// Открывается по адресу /panel/ТОКЕН тем же токеном, что и MCP. Это осознанный\n// выбор простоты: ссылку можно сохранить в закладки и открыть с телефона без\n// входа. Обратная сторона — кто знает ссылку, видит расходы и задачи, поэтому\n// пересылать её нельзя. Токен в адресе, а не в параметре запроса, чтобы он не\n// оседал в чужих логах переходов.\n//\n// Данные страница берёт у самого шлюза, а не у Supabase напрямую: ключ базы\n// в браузер отдавать нельзя ни при каких удобствах.\n\nimport { env, PROVIDERS } from \"./main.tsx\";\nimport { PANEL_PAGE } from \"./panel-page.ts\";\n\nfunction db(): { url: string; key: string } | null {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) return null;\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\n/**\n * Короткая роль для карточки на схеме. Бесплатные роли назначены по экзамену\n * 01.08.2026: восемь типовых задач агентства через compare_models, победители\n * по качеству и скорости, а не по обзорам.\n */\nconst ROLES: Record = {\n groq: \"конвейер: классификация, извлечение, расчёты\",\n // cerebras удалён из каталога 1 августа 2026 — строка роли больше не нужна.\n qwen: \"казахский и глубокие тексты — фоном, медленный\",\n gemini: \"рабочая лошадь: тексты, вычитка, казахский, быстрый код\",\n mistral: \"вторая линия: вычитка, заголовки, сканы, SQL\",\n openrouter: \"резерв, нестабилен\",\n deepseek: \"пачки, расчёты, ревью кода\",\n xai: \"веб-поиск, картинки, видео\",\n openai: \"codex — точный код и сверка, видео sora\",\n anthropic: \"сверка качества\",\n moonshot: \"длинный текст, дорого\",\n};\n\nasync function q(path: string): Promise {\n const sb = db();\n if (!sb) return [];\n try {\n const r = await fetch(`${sb.url}/rest/v1/${path}`, {\n headers: { apikey: sb.key, Authorization: `Bearer ${sb.key}` },\n });\n if (!r.ok) return [];\n return await r.json();\n } catch {\n return [];\n }\n}\n\n/** Собирает всё, что показывает панель, одним ответом: меньше запросов — меньше мигания. */\nasync function collect(hours: number) {\n const since = new Date(Date.now() - hours * 3600 * 1000).toISOString();\n const weekAgo = new Date(Date.now() - 7 * 24 * 3600 * 1000).toISOString();\n const dayAgo = new Date(Date.now() - 24 * 3600 * 1000).toISOString();\n\n const [log, spendWeek, spendDay, jobs, memory] = await Promise.all([\n q(`gateway_log?select=*&at=gte.${since}&order=at.desc&limit=400`),\n q(`gateway_spend?select=provider,usd&at=gte.${weekAgo}&limit=5000`),\n q(`gateway_spend?select=usd&at=gte.${dayAgo}&limit=5000`),\n q(\n `gateway_jobs?select=id,status,total,done,updated_at&order=updated_at.desc&limit=10`,\n ),\n q(`gateway_memory?select=id,at,kind,text,tags&order=at.desc&limit=10`),\n ]);\n\n const byProvider: Record = {};\n for (const r of spendWeek) {\n byProvider[r.provider] = (byProvider[r.provider] ?? 0) + Number(r.usd ?? 0);\n }\n\n // Роль показываем короткой строкой: полное примечание провайдера — это абзац,\n // в карточку он не влезает и читать его там незачем.\n const providers_list = PROVIDERS.map((p: any) => ({\n id: p.id,\n label: p.label,\n cost: p.cost,\n role: ROLES[p.id] ?? \"\",\n }));\n\n return {\n now: new Date().toISOString(),\n hours,\n providers_list,\n log,\n spend: {\n day: spendDay.reduce((s, r) => s + Number(r.usd ?? 0), 0),\n week: spendWeek.reduce((s, r) => s + Number(r.usd ?? 0), 0),\n byProvider,\n limit: Number(env(\"SPEND_LIMIT_USD\") ?? \"\") || null,\n },\n jobs,\n memory,\n };\n}\n\n/**\n * Токен панели — производный от главного: первые 32 знака SHA-256. Панель только\n * читает, а главный токен через deploy_gateway позволяет переписать код шлюза,\n * то есть равен всем ключам сразу. Держать его в закладке ради «посмотреть\n * расходы» — несоразмерный риск. Хэш необратим: из панельного токена главный\n * не восстанавливается, а отдельный секрет заводить не пришлось.\n */\nasync function panelToken(token: string): Promise {\n const d = await crypto.subtle.digest(\n \"SHA-256\",\n new TextEncoder().encode(token),\n );\n return [...new Uint8Array(d)]\n .slice(0, 16)\n .map((b) => b.toString(16).padStart(2, \"0\"))\n .join(\"\");\n}\n\n/**\n * Обслуживает /panel/ТОКЕН и /panel/ТОКЕН/data. Возвращает null, если адрес не наш,\n * чтобы вызывающий продолжил обычную обработку.\n */\nexport async function handlePanel(\n url: URL,\n token: string,\n): Promise {\n const m = url.pathname.match(/^\\/panel\\/([^/]+)(\\/data)?\\/?$/);\n if (!m) return null;\n\n // Адрес приходит закодированным, поэтому сравнивать надо расшифрованное:\n // иначе токен с любым неанглийским символом никогда не совпадёт.\n let given = m[1];\n try {\n given = decodeURIComponent(m[1]);\n } catch {\n // Битую кодировку оставляем как есть — всё равно не совпадёт.\n }\n if (!token) return new Response(\"Неверный токен\", { status: 401 });\n\n // Старая ссылка с главным токеном не обслуживается, но и не бросает человека\n // у закрытой двери: раз токен предъявлен верный, показываем новую ссылку.\n if (given === token) {\n const fresh = `/panel/${await panelToken(token)}`;\n return new Response(\n `` +\n `` +\n `` +\n `

Ссылка панели изменилась

` +\n `

Старый адрес содержал главный токен шлюза, и держать его в закладке опасно. ` +\n `Новый адрес открывает панель только на чтение:

` +\n `

${url.origin}${fresh}

` +\n `

Сохраните его в закладки вместо этой страницы. Сейчас перейдём сами.

`,\n { headers: { \"Content-Type\": \"text/html; charset=utf-8\", \"Cache-Control\": \"no-store\" } },\n );\n }\n\n if (given !== (await panelToken(token))) {\n return new Response(\"Неверный токен\", { status: 401 });\n }\n\n if (m[2]) {\n const hours = Math.min(\n 720,\n Math.max(1, Number(url.searchParams.get(\"hours\") ?? 24)),\n );\n const data = await collect(hours);\n return new Response(JSON.stringify(data), {\n headers: {\n \"Content-Type\": \"application/json; charset=utf-8\",\n \"Cache-Control\": \"no-store\",\n },\n });\n }\n\n return new Response(PANEL_PAGE, {\n headers: {\n \"Content-Type\": \"text/html; charset=utf-8\",\n \"Cache-Control\": \"no-store\",\n },\n });\n}\n",[213],"beba0773-67c1-4cc5-b677-27a4bdf27205","panel-page.ts","88584514-8db3-11f1-a6cc-1607ee4eb77e",100,["D",1785755714688],"// Разметка панели вынесена отдельным файлом: страница разрослась до пяти видов,\n// а main.tsx и без неё упирается в предел Val Town в 80 000 символов.\n//\n// Пять видов отвечают на пять разных вопросов, и смешивать их в один экран нельзя:\n// «нужно ли вмешаться» (пульт), «кто чем занят прямо сейчас» (бригада), «что у меня\n// есть» (схема), «как идут проекты» (проекты), «почему это заняло столько» (разбор\n// задачи). Пульт стоит первым намеренно: внимание дорого, и когда всё хорошо, экран\n// пуст. Бригада — наоборот, экран для наблюдения за идущей работой, и смотреть в неё\n// имеет смысл только пока работа идёт.\n\nexport const PANEL_PAGE = String.raw`\n\n\n\nАгентская сеть\n

Агентская сеть

Загружаю…

\n\n

Пульт

Бригада

Исполнители

Проекты

Схема

Лента

\n\n

\n \n \n

\n\n

Идёт сейчас

\n\n

Данные из журнала шлюза: инструмент, исполнитель, длительность, токены, стоимость\nи пометка «зачем». Тексты запросов и ответов не хранятся намеренно — в них рабочие данные клиентов.

\n`;\n",[221],"b8069f8d-7cd6-494e-8af4-54b6f098fd66","modal.ts","6dcb7274-8d9b-11f1-bb02-1607ee4eb77e",155,["D",1787921995132],4,"// Не только текст: расшифровка речи, распознавание документов, поиск по смыслу.\n//\n// Всё это живёт на других эндпоинтах, а не в /chat/completions, поэтому через\n// callProvider не проходит. Ключи те же самые — доступ был всё время, просто\n// шлюз умел разговаривать только одним способом.\n//\n// Вынесено из main.tsx: Val Town не принимает файл длиннее 80 000 символов.\n\nimport { baseOf, env, providerById } from \"./main.tsx\";\n\n// Предел берём ровно такой, как у Groq на бесплатном тарифе — 25 МБ. Запас\n// «для надёжности» здесь вредит: 17 августа пятидесятиминутная запись на 24,5 МБ\n// получила отказ на нашей же проверке, хотя Groq её бы взял.\nconst MAX_FILE_BYTES = 25 * 1024 * 1024;\n\n/**\n * Расширение по первым байтам файла. Нужно для base64-загрузок: у них нет имени,\n * а Groq судит о формате по расширению и на «upload.bin» отвечает отказом, не\n * глядя в содержимое. Замер 28 августа: голосовое из Telegram (OGG/Opus) из-за\n * этого уходило мимо Whisper на вторую линию. Не узнали формат — пусть будет\n * mp3: до этой правки так работало всё, хуже не станет.\n */\nfunction sniffExt(u: Uint8Array): string {\n const head = String.fromCharCode(...u.slice(0, 12));\n if (head.startsWith(\"OggS\")) return \"ogg\";\n if (head.startsWith(\"RIFF\")) return \"wav\";\n if (head.startsWith(\"fLaC\")) return \"flac\";\n if (head.startsWith(\"ID3\") || (u[0] === 0xff && (u[1] & 0xe0) === 0xe0)) return \"mp3\";\n if (head.slice(4, 8) === \"ftyp\") return \"m4a\";\n if (u[0] === 0x1a && u[1] === 0x45 && u[2] === 0xdf && u[3] === 0xa3) return \"webm\";\n return \"mp3\";\n}\n\n/** Забирает файл по ссылке или из base64 и отдаёт байтами с ограничением размера. */\nasync function fetchBinary(a: { url?: string; base64?: string }): Promise<{ bytes: Uint8Array; name: string }> {\n if (a.base64) {\n const clean = a.base64.replace(/^data:[^;]+;base64,/, \"\");\n const bin = atob(clean);\n const u = new Uint8Array(bin.length);\n for (let i = 0; i < bin.length; i++) u[i] = bin.charCodeAt(i);\n if (u.length > MAX_FILE_BYTES) throw new Error(`Файл больше ${MAX_FILE_BYTES / 1024 / 1024} МБ`);\n return { bytes: u, name: \"upload.\" + sniffExt(u) };\n }\n if (!a.url) throw new Error(\"Нужен либо url, либо base64\");\n const r = await fetch(a.url);\n if (!r.ok) throw new Error(`Не удалось скачать файл: ${r.status}`);\n const buf = new Uint8Array(await r.arrayBuffer());\n if (buf.length > MAX_FILE_BYTES) {\n throw new Error(\n `Файл ${(buf.length / 1024 / 1024).toFixed(1)} МБ, а предел ${MAX_FILE_BYTES / 1024 / 1024} МБ. ` +\n \"Длинную запись нужно резать на части.\",\n );\n }\n const name = (a.url.split(\"?\")[0].split(\"/\").pop() || \"audio\").slice(0, 80);\n return { bytes: buf, name: name.includes(\".\") ? name : name + \".mp3\" };\n}\n\n// Вторая линия расшифровки должна быть НЕ realtime-моделью. Замер 17 августа:\n// все шесть попыток запаса за август упирались в один и тот же отказ Mistral —\n// «voxtral-mini-transcribe-realtime-2602 only supports realtime transcription».\n// То есть запаса не было вовсе: когда groq не брал файл, падало всё.\nconst TRANSCRIBE_MODELS: Record = {\n groq: \"whisper-large-v3-turbo\",\n mistral: \"voxtral-mini-latest\",\n};\n\nexport async function transcribe(a: {\n url?: string; base64?: string; provider?: string; model?: string; language?: string; prompt?: string;\n}): Promise<{ text: string; provider: string; model: string; bytes: number }> {\n const order = a.provider ? [a.provider] : [\"groq\", \"mistral\"];\n const errors: string[] = [];\n const file = await fetchBinary(a);\n\n for (const id of order) {\n const p = providerById(id);\n if (!p) { errors.push(`неизвестный провайдер ${id}`); continue; }\n const key = env(p.keyEnv);\n if (!key) { errors.push(`${id}: нет ключа ${p.keyEnv}`); continue; }\n const model = a.model || TRANSCRIBE_MODELS[id];\n if (!model) { errors.push(`${id}: не умеет расшифровку`); continue; }\n\n const form = new FormData();\n form.append(\"file\", new Blob([file.bytes]), file.name);\n form.append(\"model\", model);\n form.append(\"response_format\", \"json\");\n if (a.language) form.append(\"language\", a.language);\n if (a.prompt) form.append(\"prompt\", a.prompt);\n\n try {\n const res = await fetch(`${baseOf(p)}/audio/transcriptions`, {\n method: \"POST\",\n headers: { Authorization: `Bearer ${key}` },\n body: form,\n });\n if (!res.ok) throw new Error(`${id} вернул ${res.status}: ${(await res.text()).slice(0, 300)}`);\n const j: any = await res.json();\n const text = j?.text ?? \"\";\n if (!text) throw new Error(`${id} вернул пустую расшифровку`);\n return { text, provider: id, model, bytes: file.bytes.length };\n } catch (e: any) {\n errors.push(String(e?.message || e));\n }\n }\n throw new Error(`Расшифровка не удалась:\\n- ${errors.join(\"\\n- \")}`);\n}\n\nexport async function readDocument(a: { url: string; model?: string }): Promise<{ text: string; pages: number }> {\n const p = providerById(\"mistral\");\n const key = p && env(p.keyEnv);\n if (!p || !key) throw new Error(\"Распознавание документов идёт через Mistral: нет ключа MISTRAL_API_KEY\");\n\n const isImage = /\\.(png|jpe?g|webp|gif|bmp|tiff?)($|\\?)/i.test(a.url);\n const res = await fetch(`${baseOf(p)}/ocr`, {\n method: \"POST\",\n headers: { Authorization: `Bearer ${key}`, \"Content-Type\": \"application/json\" },\n body: JSON.stringify({\n model: a.model || \"mistral-ocr-latest\",\n document: isImage\n ? { type: \"image_url\", image_url: a.url }\n : { type: \"document_url\", document_url: a.url },\n table_format: \"html\",\n }),\n });\n if (!res.ok) throw new Error(`mistral /ocr вернул ${res.status}: ${(await res.text()).slice(0, 400)}`);\n const j: any = await res.json();\n const pages = Array.isArray(j?.pages) ? j.pages : [];\n const text = pages.map((x: any) => x?.markdown ?? \"\").join(\"\\n\\n---\\n\\n\").trim();\n if (!text) throw new Error(`mistral вернул пустой текст: ${JSON.stringify(j).slice(0, 300)}`);\n return { text, pages: pages.length };\n}\n\nexport const EMBED_MODELS: Record = {\n gemini: \"gemini-embedding-2\",\n mistral: \"mistral-embed\",\n};\n\nexport async function embed(id: string, model: string, input: string[]): Promise {\n const p = providerById(id)!;\n const key = env(p.keyEnv)!;\n const res = await fetch(`${baseOf(p)}/embeddings`, {\n method: \"POST\",\n headers: { Authorization: `Bearer ${key}`, \"Content-Type\": \"application/json\" },\n body: JSON.stringify({ model, input }),\n });\n if (!res.ok) throw new Error(`${id} вернул ${res.status}: ${(await res.text()).slice(0, 300)}`);\n const j: any = await res.json();\n const rows = (j?.data ?? []).map((d: any) => d?.embedding).filter(Array.isArray);\n if (rows.length !== input.length) throw new Error(`${id} вернул ${rows.length} векторов вместо ${input.length}`);\n return rows;\n}\n\nfunction cosine(a: number[], b: number[]): number {\n let dot = 0, na = 0, nb = 0;\n for (let i = 0; i < a.length; i++) { dot += a[i] * b[i]; na += a[i] * a[i]; nb += b[i] * b[i]; }\n const d = Math.sqrt(na) * Math.sqrt(nb);\n return d === 0 ? 0 : dot / d;\n}\n\n/**\n * Векторы наружу не отдаём намеренно: сотня документов это сотни тысяч чисел,\n * они забьют контекст и не дадут ничего полезного. Сравнение делаем здесь,\n * возвращаем только порядок и близость.\n */\nexport async function rankByMeaning(a: {\n query: string; items: Array<{ id: string; text: string }>; provider?: string; model?: string; top?: number;\n}): Promise<{ provider: string; model: string; ranked: Array<{ id: string; score: number; preview: string }> }> {\n const order = a.provider ? [a.provider] : [\"gemini\", \"mistral\"];\n const errors: string[] = [];\n\n for (const id of order) {\n const p = providerById(id);\n if (!p || !env(p.keyEnv)) { errors.push(`${id}: не настроен`); continue; }\n const model = a.model || EMBED_MODELS[id];\n if (!model) { errors.push(`${id}: не умеет эмбеддинги`); continue; }\n try {\n const vecs = await embed(id, model, [a.query, ...a.items.map((x) => x.text)]);\n const q = vecs[0];\n const ranked = a.items\n .map((it, i) => ({\n id: it.id,\n score: Number(cosine(q, vecs[i + 1]).toFixed(4)),\n preview: it.text.replace(/\\s+/g, \" \").slice(0, 120),\n }))\n .sort((x, y) => y.score - x.score)\n .slice(0, a.top ?? 20);\n return { provider: id, model, ranked };\n } catch (e: any) {\n errors.push(String(e?.message || e));\n }\n }\n throw new Error(`Поиск по смыслу не удался:\\n- ${errors.join(\"\\n- \")}`);\n}\n",[228],"fd90d3ae-a804-43c7-99b1-b78307be7938","memory.ts","73c3f8f8-8dab-11f1-80bc-1607ee4eb77e",104,["D",1785770151730],"// Долговременная память: решения, факты, договорённости.\n//\n// Встроенная память Claude для этой организации отключена, поэтому знание о том,\n// что уже решено и почему, держалось в файлах и карточках вручную. Здесь оно\n// становится инструментом: записать и найти по смыслу с любого устройства.\n//\n// Два решения, принятых осознанно и отличающих это от готовых библиотек памяти.\n//\n// Первое: не пишем стенограмму. Дословная запись каждой реплики — это гора шума,\n// в которой тонет главное, и лишний риск с чувствительными данными. Пишем то,\n// к чему потом возвращаются: решения, проверенные факты, договорённости,\n// предпочтения. Отбор делает тот, кто записывает, и это правильное место для отбора.\n//\n// Второе: ничего не переводим. Эмбеддинги у нас многоязычные, русский и казахский\n// ложатся в тот же индекс, что английский. Перевод по дороге в память — потеря\n// смысла на каждом шаге, особенно на казахском.\n//\n// Сравнение векторов делает Postgres, а не шлюз: наружу уходит только результат,\n// а не сотни тысяч чисел, и не надо тянуть таблицу в память вала.\n\nimport { env } from \"./main.tsx\";\nimport { embed, EMBED_MODELS } from \"./modal.ts\";\nimport { CANON } from \"./canon.ts\";\n\n/** Подпись под ответом recall: дорога к своду правил из любой сессии. */\nconst CANON_HINT =\n \"\\n\\n—\\nДействующий свод правил сети: инструмент `rules`. Если его нет в списке\" +\n \" инструментов, значит сессия открыта раньше, чем он появился, — тогда вызовите\" +\n \" recall с запросом «правила сети», и свод придёт целиком.\";\n\nconst TABLE = \"gateway_memory\";\nconst KINDS = [\"решение\", \"факт\", \"договорённость\", \"предпочтение\", \"контакт\"];\n\nfunction db(): { url: string; key: string } {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) {\n throw new Error(\n \"Память живёт в Supabase, а переменные SUPABASE_URL и SUPABASE_SERVICE_KEY не заданы.\",\n );\n }\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\nfunction headers(key: string, extra: Record = {}) {\n return {\n apikey: key,\n Authorization: `Bearer ${key}`,\n \"Content-Type\": \"application/json\",\n ...extra,\n };\n}\n\n/**\n * Вектор для текста и модель, которой он посчитан. Порядок тот же, что у поиска\n * по смыслу: сначала Gemini, при отказе Mistral. Оба бесплатны и многоязычны.\n *\n * Модель возвращается вместе с вектором и хранится рядом с записью. Это не\n * формальность: у разных моделей разные пространства и разная длина вектора,\n * и сравнение записи от Gemini с запросом от Mistral даёт правдоподобный,\n * но бессмысленный результат. Поэтому поиск всегда идёт внутри одной модели.\n */\nasync function vectorFor(\n text: string,\n): Promise<{ vec: number[]; model: string }> {\n const errors: string[] = [];\n for (const id of [\"gemini\", \"mistral\"]) {\n const model = EMBED_MODELS[id];\n if (!model) continue;\n try {\n const [v] = await embed(id, model, [text]);\n if (!Array.isArray(v) || !v.length) throw new Error(\"пустой вектор\");\n return { vec: v, model: `${id}/${model}` };\n } catch (e: any) {\n errors.push(`${id}: ${String(e?.message || e).slice(0, 200)}`);\n }\n }\n throw new Error(`Не удалось получить вектор:\\n- ${errors.join(\"\\n- \")}`);\n}\n\nexport const MEMORY_TOOLS = [\n {\n name: \"remember\",\n description:\n \"Записать в долговременную память то, к чему потом возвращаются: принятое решение \" +\n \"и его причину, проверенный факт, договорённость с клиентом или подрядчиком, \" +\n \"предпочтение пользователя. Память общая для всех задач и доступна с любого устройства. \" +\n \"НЕ записывайте сюда стенограмму разговора, черновики и промежуточные рассуждения — \" +\n \"шум делает поиск бесполезным. Не записывайте пароли, ключи и токены. Формулируйте \" +\n \"так, чтобы через полгода было понятно без контекста: не «договорились как обсуждали», \" +\n \"а «клиент X платит помесячно, счёт выставляем пятого числа». Язык любой: русский, \" +\n \"казахский и английский ложатся в один индекс без перевода.\",\n inputSchema: {\n type: \"object\",\n properties: {\n text: {\n type: \"string\",\n description:\n \"Что запомнить. Одна мысль на запись, самодостаточная формулировка.\",\n },\n kind: {\n type: \"string\",\n enum: KINDS,\n description: \"Вид записи. По умолчанию «факт».\",\n },\n tags: {\n type: \"array\",\n items: { type: \"string\" },\n description:\n \"Метки для отбора: имя клиента, проект, услуга. По ним можно сузить поиск.\",\n },\n source: {\n type: \"string\",\n description: \"Откуда это известно: письмо, звонок, документ, замер.\",\n },\n project: {\n type: \"string\",\n description:\n \"Проект или клиент, к работе над которым относится вызов. Заполняйте: \" +\n \"по этому полю панель собирает карточку проекта, и без него работа \" +\n \"с памятью не видна в отчётах — выглядит так, будто сети не пользовались.\",\n },\n },\n required: [\"text\"],\n },\n },\n {\n name: \"recall\",\n description:\n \"Найти в долговременной памяти по смыслу, а не по точным словам: запрос «как платит \" +\n \"такой-то клиент» найдёт запись про помесячные счета, даже если слова другие. \" +\n \"Вызывайте в начале работы над темой, которая уже обсуждалась раньше, и всякий раз, \" +\n \"когда пользователь ссылается на прошлые договорённости. Возвращает записи с оценкой \" +\n \"близости: чем ближе к единице, тем вернее попадание. Если ничего похожего нет, \" +\n \"так и скажет — выдумывать содержимое памяти нельзя.\",\n inputSchema: {\n type: \"object\",\n properties: {\n query: { type: \"string\", description: \"О чём вспоминаем.\" },\n top: {\n type: \"number\",\n description: \"Сколько записей вернуть. По умолчанию 8.\",\n },\n kind: {\n type: \"string\",\n enum: KINDS,\n description: \"Ограничить видом записи.\",\n },\n tag: { type: \"string\", description: \"Ограничить одной меткой.\" },\n project: {\n type: \"string\",\n description:\n \"Проект или клиент, к работе над которым относится вызов. Заполняйте: \" +\n \"по этому полю панель собирает карточку проекта, и без него работа \" +\n \"с памятью не видна в отчётах — выглядит так, будто сети не пользовались.\",\n },\n },\n required: [\"query\"],\n },\n },\n {\n name: \"forget\",\n description:\n \"Удалить запись из памяти по её номеру. Нужно, когда договорённость отменена или \" +\n \"факт оказался неверным: устаревшая запись хуже отсутствующей, потому что ей верят. \" +\n \"Номер берётся из выдачи recall.\",\n inputSchema: {\n type: \"object\",\n properties: {\n id: { type: \"number\", description: \"Номер записи из recall.\" },\n },\n required: [\"id\"],\n },\n },\n];\n\nexport async function handleMemory(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name === \"remember\") {\n if (!args?.text) throw new Error(\"Обязательный параметр: text\");\n const sb = db();\n const { vec, model } = await vectorFor(args.text);\n const row = {\n text: args.text,\n kind: args.kind && KINDS.includes(args.kind) ? args.kind : \"факт\",\n tags: Array.isArray(args.tags) ? args.tags : [],\n source: args.source ?? null,\n embed_model: model,\n embedding: vec,\n };\n const r = await fetch(`${sb.url}/rest/v1/${TABLE}`, {\n method: \"POST\",\n headers: headers(sb.key, { Prefer: \"return=representation\" }),\n body: JSON.stringify(row),\n });\n if (!r.ok) {\n throw new Error(\n `Supabase не принял запись, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n }\n const saved = (await r.json())[0];\n return text(\n `Запомнено под номером ${saved?.id}: «${row.text}»\\nВид: ${row.kind}` +\n (row.tags.length ? `, метки: ${row.tags.join(\", \")}` : \"\") +\n (row.source ? `\\nИсточник: ${row.source}` : \"\"),\n );\n }\n\n if (name === \"recall\") {\n if (!args?.query) throw new Error(\"Обязательный параметр: query\");\n\n // Свод правил достаётся и отсюда — намеренно, это запасной вход.\n // Новый инструмент в уже открытой сессии не появляется: список инструментов\n // клиент запрашивает один раз при подключении, поэтому `rules`, добавленный\n // позже, чужим и старым сессиям невиден. Recall же есть у всех давно, и свод\n // через него достижим везде. Отсюда же подпись в конце любого ответа: она\n // показывает дорогу к правилам тому, кто о них не знал.\n const wantsCanon = /правил|свод|канон|регламент|\\brules\\b/i.test(String(args.query));\n\n const sb = db();\n const { vec, model } = await vectorFor(args.query);\n const r = await fetch(`${sb.url}/rest/v1/rpc/recall_memory`, {\n method: \"POST\",\n headers: headers(sb.key),\n body: JSON.stringify({\n query_embedding: vec,\n query_model: model,\n match_count: Number(args.top ?? 8),\n filter_kind: args.kind ?? null,\n filter_tag: args.tag ?? null,\n }),\n });\n if (!r.ok) {\n throw new Error(\n `Supabase не выполнил поиск, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n }\n const rows: any[] = await r.json();\n if (!rows.length) {\n return text(\n (wantsCanon ? CANON + \"\\n\\n---\\n\\n\" : \"\") +\n \"В памяти ничего похожего нет.\" +\n \" Учтите: поиск идёт только по записям, посчитанным той же моделью эмбеддингов\" +\n ` (сейчас ${model}).` +\n (args.kind || args.tag\n ? \" Возможно, мешает ограничение по виду или метке.\"\n : \"\") +\n \" Не додумывайте содержимое памяти: пустой ответ означает именно пустоту.\" +\n CANON_HINT,\n );\n }\n const lines = rows.map(\n (m) =>\n `[${m.id}] ${Number(m.score).toFixed(3)} · ${m.kind}` +\n (m.tags?.length ? ` · ${m.tags.join(\", \")}` : \"\") +\n `\\n${m.text}` +\n (m.source ? `\\nисточник: ${m.source}` : \"\") +\n `\\nзаписано: ${String(m.at).slice(0, 10)}`,\n );\n return text(\n (wantsCanon ? CANON + \"\\n\\n---\\n\\n\" : \"\") +\n `Найдено записей: ${rows.length}. Чем ближе оценка к единице, тем вернее попадание.\\n\\n` +\n lines.join(\"\\n\\n\") +\n CANON_HINT,\n );\n }\n\n if (name !== \"forget\") return null;\n if (args?.id == null) throw new Error(\"Обязательный параметр: id\");\n const sb = db();\n const r = await fetch(\n `${sb.url}/rest/v1/${TABLE}?id=eq.${encodeURIComponent(String(args.id))}`,\n {\n method: \"DELETE\",\n headers: headers(sb.key, { Prefer: \"return=representation\" }),\n },\n );\n if (!r.ok) {\n throw new Error(\n `Supabase не удалил запись, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n }\n const gone = await r.json();\n if (!gone.length) {\n return text(`Записи с номером ${args.id} нет — возможно, её уже удалили.`);\n }\n return text(`Удалено: «${gone[0].text}»`);\n}\n",[236],"ebb719f2-5983-4eb9-bb6b-a9e86115906b","main.tsx",161,["D",1788422687543],77,"http","/**\n * AI Gateway — удалённый MCP-сервер для делегирования задач внешним нейросетям.\n *\n * Деплой: Val Town (HTTP val). Работает на любом рантайме с fetch/Response.\n * Транспорт: MCP Streamable HTTP (JSON-RPC 2.0 поверх POST).\n *\n * Секреты (Val Town → Settings → Secrets):\n * GATEWAY_TOKEN — обязательный. Любая длинная случайная строка. Защищает эндпоинт.\n * OPENROUTER_API_KEY — опционально\n * GROQ_API_KEY — опционально\n * CEREBRAS_API_KEY — опционально\n * GEMINI_API_KEY — опционально\n * MISTRAL_API_KEY — опционально\n * Достаточно хотя бы одного ключа провайдера.\n *\n * Подключение в Claude: claude.ai → Settings → Connectors → Add custom connector\n * URL: https://<ваш-val>.val.run/mcp/\n */\n\nimport type { Provider } from \"./providers.ts\";\nimport {\n availableProviders,\n baseOf,\n env,\n FALLBACK_ORDER,\n PAID_ORDER,\n PREMIUM_ONLY,\n providerById,\n PROVIDERS,\n} from \"./providers.ts\";\nimport { CORE_TOOLS, TAIL_TOOLS } from \"./tools.ts\";\nexport { baseOf, env, providerById, PROVIDERS };\n\n// ---------------------------------------------------------------------------\n// Вызов модели\n// ---------------------------------------------------------------------------\n\ninterface AskArgs {\n prompt: string;\n system?: string;\n provider?: string;\n model?: string;\n tier?: \"fast\" | \"smart\" | \"long\";\n max_tokens?: number;\n temperature?: number;\n /** Разрешить платных провайдеров при автоподборе. По умолчанию false. */\n allow_paid?: boolean;\n /** Дополнительные поля тела запроса, специфичные для провайдера. */\n extra?: Record;\n}\n\ninterface AskResult {\n text: string;\n provider: string;\n model: string;\n usage?: Record;\n /** Заполнено, если названного провайдера подменили: текст для человека. */\n substituted?: string;\n}\n\nconst TIMEOUT_MS = 120_000;\nconst MAX_ATTEMPTS = 3;\n\n/** Ошибка, которую нельзя лечить повтором: тот же запрос даст тот же отказ. */\nfunction noRetry(msg: string): Error {\n const e: any = new Error(msg);\n e.noRetry = true;\n return e;\n}\n\n/**\n * Текст из ответа эндпоинта /responses. Берём ПОСЛЕДНЕЕ сообщение, а не склейку:\n * модель пишет промежуточные реплики, и склейка выдала бы пользователю ход\n * рассуждений вместо ответа.\n */\nfunction responsesText(json: any): string {\n let text = \"\";\n if (Array.isArray(json?.output)) {\n const said: string[] = [];\n for (const item of json.output) {\n if (item?.type && item.type !== \"message\") continue;\n const content = item?.content;\n if (!Array.isArray(content)) continue;\n const parts: string[] = [];\n for (const c of content) {\n if (typeof c?.text === \"string\" && c.text) parts.push(c.text);\n }\n if (parts.length) said.push(parts.join(\"\\n\"));\n }\n text = (said.at(-1) || \"\").trim();\n }\n if (!text && typeof json?.output_text === \"string\") {\n text = json.output_text.trim();\n }\n return text;\n}\n\n/**\n * Вызов модели на /responses с приведением ответа к форме /chat/completions.\n *\n * Линейка codex и часть новых моделей OpenAI на /chat/completions отвечают 404\n * и прямо пишут, куда идти. Приведение к привычной форме сделано намеренно:\n * так журнал, учёт расходов и разбор ответа выше по коду не знают о различии\n * протоколов и не обрастают ветвлениями.\n *\n * temperature сюда НЕ передаётся: рассуждающие модели принимают только значение\n * по умолчанию и на 0 отвечают отказом, а тише промолчать и выдать ответ здесь\n * полезнее, чем воспроизвести детерминизм ценой сбоя.\n */\nasync function viaResponses(\n p: Provider,\n model: string,\n a: AskArgs,\n key: string,\n): Promise {\n const input: Array<{ role: string; content: string }> = [];\n if (a.system) input.push({ role: \"system\", content: a.system });\n input.push({ role: \"user\", content: a.prompt });\n\n const body: Record = { model, input };\n if (a.max_tokens != null) body.max_output_tokens = a.max_tokens;\n if (a.extra && typeof a.extra === \"object\") Object.assign(body, a.extra);\n\n const r = await fetch(`${baseOf(p)}/responses`, {\n method: \"POST\",\n headers: {\n \"Content-Type\": \"application/json\",\n Authorization: `Bearer ${key}`,\n },\n body: JSON.stringify(body),\n });\n if (!r.ok) {\n throw noRetry(\n `${p.id}/${model} на /responses вернул ${r.status}: ${\n (await r.text()).slice(0, 400)\n }`,\n );\n }\n const j: any = await r.json();\n const u: any = j?.usage ?? {};\n return {\n choices: [{\n message: { content: responsesText(j) },\n finish_reason: j?.status,\n }],\n usage: {\n prompt_tokens: Number(u.input_tokens ?? 0),\n completion_tokens: Number(u.output_tokens ?? 0),\n },\n };\n}\n\nasync function callProvider(\n p: Provider,\n model: string,\n a: AskArgs,\n): Promise {\n const key = env(p.keyEnv);\n if (!key) throw new Error(`Нет ключа ${p.keyEnv} для провайдера ${p.id}`);\n\n const messages: Array<{ role: string; content: string }> = [];\n if (a.system) messages.push({ role: \"system\", content: a.system });\n messages.push({ role: \"user\", content: a.prompt });\n\n // Потолок проверяется до запроса: списание происходит у провайдера,\n // отменить его после ответа уже нельзя.\n if (p.cost !== \"free\") await guardBudget();\n\n const callStarted = Date.now();\n\n const body: Record = { model, messages };\n // OpenAI выбросил max_tokens из своего же API: новые модели принимают только\n // max_completion_tokens и на старое имя отвечают 400. У остальных провайдеров\n // совместимый слой понимает именно max_tokens, поэтому подменяем адресно.\n if (a.max_tokens != null) {\n if (p.id === \"openai\") body.max_completion_tokens = a.max_tokens;\n else body.max_tokens = a.max_tokens;\n }\n // temperature принимают не все. Рассуждающие модели отвечают на неё 400 и,\n // что хуже, ошибка выглядит как отказ провайдера целиком — на замере 3 августа\n // так молча выпал claude-opus-4-8 («`temperature` is deprecated for this model»).\n // Дешевле не отправлять её тем, кто заведомо откажет, чем ловить отказ.\n const noTemp = /opus|reasoner|thinking|^o[1-9]|gpt-5/i.test(String(model));\n if (a.temperature != null && !noTemp) body.temperature = a.temperature;\n // Провайдер-специфичные поля: translation_options у переводческих моделей Qwen,\n // enable_thinking для отключения рассуждений у гибридных моделей и подобное.\n if (a.extra && typeof a.extra === \"object\") Object.assign(body, a.extra);\n\n let lastErr = \"\";\n for (let attempt = 1; attempt <= MAX_ATTEMPTS; attempt++) {\n const ac = new AbortController();\n const timer = setTimeout(() => ac.abort(), TIMEOUT_MS);\n try {\n const res = await fetch(`${baseOf(p)}/chat/completions`, {\n method: \"POST\",\n headers: {\n \"Content-Type\": \"application/json\",\n Authorization: `Bearer ${key}`,\n // OpenRouter просит атрибуцию; для остальных заголовки безвредны.\n \"HTTP-Referer\": \"https://claude.ai\",\n \"X-Title\": \"Claude AI Gateway\",\n },\n body: JSON.stringify(body),\n signal: ac.signal,\n });\n\n if (res.status === 429 || res.status >= 500) {\n lastErr = `${p.id} вернул ${res.status}: ${\n (await res.text()).slice(0, 300)\n }`;\n if (attempt < MAX_ATTEMPTS) {\n await new Promise((r) => setTimeout(r, 800 * 2 ** (attempt - 1)));\n continue;\n }\n throw new Error(lastErr);\n }\n\n let json: any;\n if (!res.ok) {\n const errText = (await res.text()).slice(0, 500);\n // Модель обслуживается другим протоколом — это не ошибка запроса.\n // Повторяем на /responses и приводим ответ к общей форме.\n if (p.id === \"openai\" && errText.includes(\"v1/responses\")) {\n json = await viaResponses(p, model, a, key);\n } else {\n // 4xx повторять бессмысленно: неверное имя модели или параметра не\n // исправится само, а платный повтор оплачивается заново.\n throw noRetry(`${p.id} вернул ${res.status}: ${errText}`);\n }\n } else {\n json = await res.json();\n }\n const choice = json?.choices?.[0];\n const text = choice?.message?.content ?? \"\";\n if (!text) {\n // Рассуждающие модели DeepSeek кладут размышления в отдельное поле reasoning_content\n // и списывают их из того же max_tokens. Если лимит кончился раньше, чем модель перешла\n // к ответу, content приходит пустой — без этой ветки пользователь видел бы свалку JSON.\n const rc = choice?.message?.reasoning_content;\n if (typeof rc === \"string\" && rc.length > 0) {\n throw noRetry(\n `${p.id}/${model}: лимит max_tokens израсходован на размышления, до ответа модель не дошла ` +\n `(finish_reason=${choice?.finish_reason}, потрачено ${json?.usage?.completion_tokens} токенов). ` +\n `Поднимите max_tokens: коротким вопросам хватает 2500, разбору кода — от 8000 ` +\n `(на ревью 3 августа не хватило и 3000 — модель потратила весь лимит на размышления). ` +\n `Либо возьмите нерассуждающую deepseek-chat, либо разбейте текст на части: ` +\n `на длинном вводе рассуждения растут быстрее ответа.`,\n );\n }\n throw noRetry(\n `${p.id} вернул пустой ответ: ${JSON.stringify(json).slice(0, 300)}`,\n );\n }\n // В журнал пишем всех исполнителей, включая бесплатных: без них картина\n // работы неполная. В учёт расходов — только платных, там другой смысл.\n const usage: any = json?.usage ?? {};\n void logCall({\n trace: (a as any).trace,\n tool: \"chat\",\n provider: p.id,\n model,\n tier: a.tier,\n ms: Date.now() - callStarted,\n in_tokens: Number(usage.prompt_tokens ?? 0),\n out_tokens: Number(usage.completion_tokens ?? 0),\n usd:\n p.cost === \"free\"\n ? 0\n : estimateUsd(\n p.id,\n model,\n Number(usage.prompt_tokens ?? 0),\n Number(usage.completion_tokens ?? 0),\n ),\n note: (a as any).note,\n project: (a as any).project,\n });\n // Расход пишем здесь, а не у вызывающего: так учтётся любой путь —\n // одиночный запрос, пачка, сравнение моделей. Бесплатные отсеются по тарифу.\n if (p.cost !== \"free\") {\n const u: any = json?.usage ?? {};\n void logSpend({\n provider: p.id,\n model,\n kind: \"chat\",\n in_tokens: Number(u.prompt_tokens ?? 0),\n out_tokens: Number(u.completion_tokens ?? 0),\n }).then(forgetSpendCache);\n }\n return { text, provider: p.id, model, usage: json?.usage };\n } catch (e: any) {\n lastErr = e?.name === \"AbortError\"\n ? `${p.id}: таймаут ${TIMEOUT_MS} мс`\n : String(e?.message || e);\n // Повторяем только то, что могло пройти со второго раза: сеть, таймаут,\n // 429/5xx. Ошибки с признаком noRetry уходят наверх сразу — повтор платного\n // вызова с тем же исходом означал бы платить трижды за один отказ.\n if (e?.noRetry || attempt >= MAX_ATTEMPTS) throw new Error(lastErr);\n await new Promise((r) => setTimeout(r, 800 * 2 ** (attempt - 1)));\n } finally {\n clearTimeout(timer);\n }\n }\n throw new Error(lastErr || \"неизвестная ошибка\");\n}\n\n/**\n * Отказ по частоте запросов, а не по существу. Слова у провайдеров разные:\n * Google пишет RESOURCE_EXHAUSTED и «exceeded your current quota», остальные —\n * rate limit. Код 429 надёжнее слов, но в текст ошибки он попадает не всегда.\n */\nfunction isRateLimit(msg: string): boolean {\n return /\\b429\\b|rate.?limit|RESOURCE_EXHAUSTED|quota/i.test(msg);\n}\n\n/** Выбирает провайдера/модель и вызывает, при неудаче переходит к следующему провайдеру. */\nexport async function ask(a: AskArgs): Promise {\n const tier = a.tier || \"smart\";\n const errors: string[] = [];\n\n let candidates: Provider[];\n /** Названный бесплатный провайдер: подменяем только его и только на 429. */\n let pinnedFree: string | null = null;\n if (a.provider) {\n // Явное указание провайдера = осознанное согласие, в том числе на платного.\n const p = providerById(a.provider);\n if (!p) {\n throw new Error(\n `Неизвестный провайдер \"${a.provider}\". Доступны: ${\n PROVIDERS.map((x) => x.id).join(\", \")\n }`,\n );\n }\n if (!env(p.keyEnv)) {\n throw new Error(`Провайдер ${p.id} не настроен: нет секрета ${p.keyEnv}`);\n }\n candidates = [p];\n // Упор в лимит бесплатного провайдера — не повод возвращать отказ.\n // Замер 13 августа: восемь однотипных вызовов, все с явным provider \"gemini\",\n // ушли одновременно и все восемь получили 429 — не исчерпание квоты, а\n // минутный лимит. Повторы внутри callProvider занимают около 2,4 секунды\n // и в это окно не укладываются, а запасных кандидатов у названного\n // провайдера не было. Теперь есть: у бесплатного за спиной остальные\n // бесплатные, и подмена называется в ответе.\n //\n // Только для бесплатных и только на 429. Названный платный провайдер —\n // это решение человека о деньгах и качестве; молча увести работу другому\n // значит отменить его решение. И только на лимит: неверная модель или\n // неверный параметр у соседа дадут ту же ошибку, лишь позже.\n if (p.cost === \"free\") {\n pinnedFree = p.id;\n candidates = [\n p,\n ...FALLBACK_ORDER.map(providerById).filter((x): x is Provider =>\n !!x && x.id !== p.id && !!env(x.keyEnv)\n ),\n ];\n }\n } else {\n // CHEAP_AUTO=1 пускает дешёвых платных в автоподбор без флага allow_paid.\n // Согласие даётся конфигурацией и действует только при заданном дневном\n // потолке: разрешать неограниченный расход молча нельзя. Бесплатные всё\n // равно идут первыми — платные подхватывают, когда бесплатные отказали.\n const cheapAuto = env(\"CHEAP_AUTO\") === \"1\" &&\n !!Number(env(\"SPEND_LIMIT_USD\") ?? \"\");\n const order = a.allow_paid || cheapAuto\n ? [...FALLBACK_ORDER, ...PAID_ORDER]\n : FALLBACK_ORDER;\n candidates = order.map(providerById).filter((p): p is Provider =>\n !!p && !!env(p.keyEnv)\n );\n }\n\n if (candidates.length === 0) {\n const paidConfigured = [...PAID_ORDER, ...PREMIUM_ONLY]\n .map(providerById)\n .filter((p): p is Provider => !!p && !!env(p.keyEnv));\n if (paidConfigured.length > 0) {\n throw new Error(\n \"Ни один бесплатный провайдер не настроен. Настроены только платные (\" +\n paidConfigured.map((p) => `${p.id} — ${p.cost}`).join(\", \") +\n \"). Дешёвые платные включаются флагом allow_paid: true, премиальные — только явным указанием \" +\n \"provider. И то, и другое означает списание реальных денег, поэтому требует согласия пользователя.\",\n );\n }\n throw new Error(\n \"Не настроен ни один провайдер. Добавьте в секреты хотя бы один из: \" +\n PROVIDERS.map((p) => p.keyEnv).join(\", \"),\n );\n }\n\n for (const p of candidates) {\n const model = a.model || p.tiers[tier] || p.tiers.smart;\n // Через бесплатный Qwen доступны чужие модели — Kimi, GLM, DeepSeek.\n // Покрывает ли их разовый грант, Alibaba не документирует, а полная цена\n // Kimi около $0.57 вход и $3 выход за 1M. Пока не выяснено — считаем платным.\n if (\n p.id === \"qwen\" &&\n /^(kimi|moonshot|glm|deepseek|zhipu)/i.test(model) &&\n !a.allow_paid\n ) {\n errors.push(\n `${p.id}/${model}: чужая модель внутри аккаунта Qwen, бесплатность не подтверждена. ` +\n \"Нужен allow_paid и согласие пользователя.\",\n );\n continue;\n }\n try {\n const r = await callProvider(p, model, a);\n if (pinnedFree && p.id !== pinnedFree) {\n r.substituted = `Вы просили ${pinnedFree}, но он упёрся в лимит запросов ` +\n `(429). Ответ дал ${p.id}/${model} — бесплатный, как и запрошенный. ` +\n `Если ответ важно получить именно от ${pinnedFree}, повторите позже ` +\n `или разнесите вызовы во времени; десяток однотипных вопросов лучше ` +\n `отправлять одним ask_model_batch, а не веером параллельных вызовов.`;\n }\n return r;\n } catch (e: any) {\n const msg = String(e?.message || e);\n errors.push(msg);\n // Названный провайдер отказал не по лимиту — идти к соседям незачем:\n // человек выбрал исполнителя, а причина отказа у соседа повторится.\n if (pinnedFree && p.id === pinnedFree && !isRateLimit(msg)) break;\n }\n }\n throw new Error(`Все провайдеры отказали:\\n- ${errors.join(\"\\n- \")}`);\n}\n\n// ---------------------------------------------------------------------------\n// Веб-поиск через xAI. Отдельный эндпоинт /responses: у него другое тело\n// (input вместо messages) и серверные инструменты, поэтому в callProvider\n// он не укладывается.\n// ---------------------------------------------------------------------------\n\ninterface SearchArgs {\n query: string;\n model?: string;\n sources?: string[];\n system?: string;\n max_tokens?: number;\n}\n\ninterface SearchResult {\n text: string;\n model: string;\n citations: string[];\n usage?: Record;\n}\n\nasync function webSearch(a: SearchArgs): Promise {\n const p = providerById(\"xai\");\n if (!p) throw new Error(\"Провайдер xai не описан\");\n const key = env(p.keyEnv);\n if (!key) {\n throw new Error(\n \"Веб-поиск работает через xAI, но ключа XAI_API_KEY нет. Это платный провайдер: \" +\n p.price,\n );\n }\n\n const model = a.model || \"grok-4.5\";\n const srcs = Array.isArray(a.sources) && a.sources.length\n ? a.sources\n : [\"web\"];\n const tools = [...new Set(srcs)].map((s) => ({\n type: s === \"x\" ? \"x_search\" : \"web_search\",\n }));\n\n const input: Array<{ role: string; content: string }> = [];\n if (a.system) input.push({ role: \"system\", content: a.system });\n input.push({ role: \"user\", content: a.query });\n\n const body: Record = { model, input, tools };\n if (a.max_tokens != null) body.max_output_tokens = a.max_tokens;\n\n const ac = new AbortController();\n const timer = setTimeout(() => ac.abort(), TIMEOUT_MS);\n try {\n const res = await fetch(`${baseOf(p)}/responses`, {\n method: \"POST\",\n headers: {\n \"Content-Type\": \"application/json\",\n Authorization: `Bearer ${key}`,\n },\n body: JSON.stringify(body),\n signal: ac.signal,\n });\n if (!res.ok) {\n throw new Error(\n `xai /responses вернул ${res.status}: ${\n (await res.text()).slice(0, 500)\n }`,\n );\n }\n const json: any = await res.json();\n\n // Разбор общий с обычными вызовами на /responses: между поисками модель\n // пишет промежуточные реплики, поэтому берётся последнее сообщение.\n const text = responsesText(json);\n if (!text) {\n throw new Error(\n `xai вернул пустой ответ: ${JSON.stringify(json).slice(0, 400)}`,\n );\n }\n\n const raw = Array.isArray(json?.citations) ? json.citations : [];\n const citations = raw\n .map((c: any) => (typeof c === \"string\" ? c : c?.url))\n .filter((u: any): u is string => typeof u === \"string\");\n\n return { text, model, citations, usage: json?.usage };\n } catch (e: any) {\n if (e?.name === \"AbortError\") {\n throw new Error(`xai: таймаут ${TIMEOUT_MS} мс`);\n }\n throw e;\n } finally {\n clearTimeout(timer);\n }\n}\n\n// ---------------------------------------------------------------------------\n// Шлюз правит сам себя.\n//\n// У песочницы Claude нет выхода в сеть, и раньше каждая правка шла через браузер\n// пользователя — медленно и с риском попасть не туда. У самого вала сеть есть,\n// поэтому он может переписать себя через API Val Town.\n//\n// Опасность очевидна: сломанный код убьёт инструмент, которым его чинят. Поэтому\n// порядок такой — сверить хэш ДО записи, сохранить прежнюю версию, записать,\n// постучаться в собственный health, и при неудаче вернуть прежнюю. Дверь не должна\n// захлопываться изнутри.\n// ---------------------------------------------------------------------------\n\nconst VAL_ID_DEFAULT = \"f04cc041-3bf4-4db7-a7ca-6638165c8d3d\";\n\n/** Собственный адрес, взятый из входящего запроса: по нему проверяем себя после записи. */\nlet SELF_ORIGIN = \"\";\n\nasync function sha256(s: string): Promise {\n const buf = await crypto.subtle.digest(\n \"SHA-256\",\n new TextEncoder().encode(s),\n );\n return [...new Uint8Array(buf)].map((b) => b.toString(16).padStart(2, \"0\"))\n .join(\"\");\n}\n\nfunction valApi(path: string): string {\n return \"https://api.val.town\" + path;\n}\n\nasync function readSource(path: string): Promise {\n const token = env(\"VALTOWN_TOKEN\");\n if (!token) throw new Error(\"Нет VALTOWN_TOKEN в переменных окружения вала\");\n const id = env(\"VALTOWN_VAL_ID\") || VAL_ID_DEFAULT;\n // Val Town отдаёт содержимое из кэша, поэтому обязателен меняющийся параметр.\n const r = await fetch(\n valApi(\n `/v2/vals/${id}/files/content?path=${\n encodeURIComponent(path)\n }&cb=${Date.now()}`,\n ),\n { headers: { Authorization: `Bearer ${token}` } },\n );\n if (!r.ok) {\n throw new Error(\n `Не удалось прочитать исходник: ${r.status} ${\n (await r.text()).slice(0, 200)\n }`,\n );\n }\n return await r.text();\n}\n\nasync function writeSource(\n path: string,\n content: string,\n): Promise {\n const token = env(\"VALTOWN_TOKEN\")!;\n const id = env(\"VALTOWN_VAL_ID\") || VAL_ID_DEFAULT;\n const u = valApi(`/v2/vals/${id}/files?path=${encodeURIComponent(path)}`);\n const o = (m: string) => ({\n method: m,\n headers: { Authorization: `Bearer ${token}`, \"Content-Type\": \"application/json\" },\n body: JSON.stringify({ content }),\n });\n // Нового файла ещё нет — PUT отвечает 404, создаём его через POST.\n let r = await fetch(u, o(\"PUT\"));\n if (r.status === 404) {\n r = await fetch(u, { ...o(\"POST\"), body: JSON.stringify({ content, type: \"file\" }) });\n }\n const t = await r.text();\n if (!r.ok) {\n throw new Error(`Запись не прошла: ${r.status} ${t.slice(0, 200)}`);\n }\n const m = t.match(/\"version\":(\\d+)/);\n return m ? Number(m[1]) : null;\n}\n\n/** Стучится в собственный health. Живой шлюз обязан вернуть ok и своё имя. */\nasync function selfCheck(\n origin: string,\n): Promise<{ alive: boolean; detail: string }> {\n try {\n const r = await fetch(`${origin}/?deploycheck=${Date.now()}`);\n const t = await r.text();\n if (!r.ok) {\n return {\n alive: false,\n detail: `health вернул ${r.status}: ${t.slice(0, 200)}`,\n };\n }\n const j = JSON.parse(t);\n if (j?.ok !== true || j?.server !== \"ai-gateway\") {\n return { alive: false, detail: `неожиданный ответ: ${t.slice(0, 200)}` };\n }\n return {\n alive: true,\n detail: `провайдеров: ${(j.configured_providers ?? []).length}`,\n };\n } catch (e: any) {\n return {\n alive: false,\n detail: `health недоступен: ${String(e?.message || e).slice(0, 200)}`,\n };\n }\n}\n\ninterface DeployArgs {\n edits?: Array<{ find: string; replace: string }>;\n content?: string;\n expect_sha256?: string;\n path?: string;\n origin: string;\n}\n\nasync function deployGateway(a: DeployArgs) {\n const path = a.path || \"main.tsx\";\n let before = await readSource(path).catch((e) => { if (a.content == null) throw e; return \"\"; });\n\n let next: string;\n const applied: string[] = [];\n if (a.content != null) {\n next = a.content;\n applied.push(\"замена целиком\");\n } else {\n if (!Array.isArray(a.edits) || a.edits.length === 0) {\n throw new Error(\"Нужны либо edits, либо content\");\n }\n next = before;\n for (const [i, ed] of a.edits.entries()) {\n if (typeof ed?.find !== \"string\" || typeof ed?.replace !== \"string\") {\n throw new Error(`Правка ${i + 1}: нужны строки find и replace`);\n }\n const hits = next.split(ed.find).length - 1;\n if (hits !== 1) {\n throw new Error(\n `Правка ${\n i + 1\n } не применена: образец встречается ${hits} раз, а должен ровно один. ` +\n `Ничего не записано. Начало образца: ${ed.find.slice(0, 80)}`,\n );\n }\n const at = next.indexOf(ed.find);\n // Через slice, а не replace: в replace знак доллара имеет спецсмысл и молча съедает символы.\n next = next.slice(0, at) + ed.replace + next.slice(at + ed.find.length);\n applied.push(`правка ${i + 1}`);\n }\n }\n\n if (next === before) {\n throw new Error(\"После правок ничего не изменилось. Записывать нечего.\");\n }\n if (\n path === \"main.tsx\" &&\n (!next.includes('serverInfo: { name: \"ai-gateway\"') || next.length < 10000)\n ) {\n throw new Error(\n \"Результат не похож на исходник шлюза: нет опознавательных признаков или слишком короткий. Не записано.\",\n );\n }\n\n const got = await sha256(next);\n if (a.expect_sha256 && a.expect_sha256.toLowerCase() !== got) {\n throw new Error(\n `Хэш не совпал. Ожидался ${a.expect_sha256}, получился ${got}. Ничего не записано — ` +\n \"значит, ваш локальный файл и то, что на Val Town, разошлись.\",\n );\n }\n\n const version = await writeSource(path, next);\n // Небольшая пауза: свежий код должен успеть подхватиться.\n await new Promise((r) => setTimeout(r, 1500));\n const health = await selfCheck(a.origin);\n\n if (!health.alive) {\n let rolledBack = false;\n let rollbackNote = \"\";\n try {\n await writeSource(path, before);\n await new Promise((r) => setTimeout(r, 1500));\n const again = await selfCheck(a.origin);\n rolledBack = again.alive;\n rollbackNote = again.detail;\n } catch (e: any) {\n rollbackNote = String(e?.message || e);\n }\n throw new Error(\n `Новая версия не отвечает: ${health.detail}. ` +\n (rolledBack\n ? \"Прежняя версия возвращена, шлюз жив.\"\n : `ОТКАТ НЕ УДАЛСЯ: ${rollbackNote}. Чинить через браузер, страница api.val.town.`),\n );\n }\n\n return {\n path,\n version,\n bytes: new TextEncoder().encode(next).length,\n sha256: got,\n applied,\n health: health.detail,\n was_bytes: new TextEncoder().encode(before).length,\n };\n}\n\nimport { generateImage, IMG_KEEP, IMG_PREFIX, store } from \"./images.ts\";\nimport { handleVideo, VIDEO_TOOLS } from \"./video.ts\";\nimport { sourceFragment } from \"./source.ts\";\nimport { rankByMeaning, readDocument, transcribe } from \"./modal.ts\";\nimport { CATALOG_TOOLS, handleCatalog } from \"./catalog.ts\";\nimport { handleVerify, VERIFY_TOOLS } from \"./verify.ts\";\nimport { handleJobs, JOB_TOOLS } from \"./jobs.ts\";\nimport { handleMemory, MEMORY_TOOLS } from \"./memory.ts\";\nimport { handleLog, LOG_TOOLS, logCall, newTrace } from \"./log.ts\";\nimport { CANON_TOOLS, handleCanon, handleRulesHttp } from \"./canon.ts\";\nimport { handleTelegram, handleTgTools, TG_TOOLS } from \"./telegram.ts\";\nimport { handlePanel } from \"./panel.ts\";\nimport {\n estimateUsd,\n forgetSpendCache,\n guardBudget,\n handleSpend,\n logSpend,\n SPEND_TOOLS,\n} from \"./spend.ts\";\n\n// ---------------------------------------------------------------------------\n// Сигнализация: живы ли провайдеры и не кончились ли деньги.\n//\n// Остатка баланса почти никто не отдаёт — из наших только DeepSeek. У остальных\n// единственный честный способ узнать, что деньги кончились, — попробовать вызвать\n// и разобрать отказ. Поэтому проверка стоит несколько токенов на провайдера.\n// ---------------------------------------------------------------------------\n\ntype Verdict = \"ok\" | \"no_money\" | \"bad_key\" | \"rate_limited\" | \"unavailable\";\n\n/** Отличает «кончились деньги» от «слетел ключ» и от «частим». */\nfunction classify(status: number, body: string): Verdict {\n const b = body.toLowerCase();\n const moneyWords =\n /insufficient|credit|quota|billing|payment required|exceeded your current|balance|arrears|欠费|余额不足/;\n if (status === 402) return \"no_money\";\n if (moneyWords.test(b)) {\n // 429 с упоминанием квоты у бесплатных тарифов — это исчерпанный дневной лимит,\n // а не счёт. Для пользователя разница есть: одно чинится деньгами, другое ожиданием.\n if (status === 429 && /rate|per minute|per second|tpm|rpm/.test(b)) {\n return \"rate_limited\";\n }\n return \"no_money\";\n }\n if (status === 401 || status === 403) return \"bad_key\";\n if (status === 429) return \"rate_limited\";\n return \"unavailable\";\n}\n\nconst VERDICT_RU: Record = {\n ok: \"работает\",\n no_money: \"КОНЧИЛИСЬ ДЕНЬГИ\",\n bad_key: \"ключ не принят\",\n rate_limited: \"упёрлись в лимит частоты или суточную квоту\",\n unavailable: \"не отвечает\",\n};\n\n/** Реальный остаток там, где провайдер его отдаёт. Пока это только DeepSeek. */\nasync function balanceOf(\n p: Provider,\n key: string,\n): Promise<{ usd?: number; ok?: boolean } | null> {\n if (p.id !== \"deepseek\") return null;\n try {\n const r = await fetch(`${baseOf(p).replace(/\\/v1$/, \"\")}/user/balance`, {\n headers: { Authorization: `Bearer ${key}` },\n });\n if (!r.ok) return null;\n const j: any = await r.json();\n const usd = (j?.balance_infos ?? []).find((x: any) =>\n x?.currency === \"USD\"\n );\n return {\n usd: usd ? Number(usd.total_balance) : undefined,\n ok: j?.is_available,\n };\n } catch {\n return null;\n }\n}\n\ninterface ProviderStatus {\n provider: string;\n cost: string;\n verdict: Verdict;\n say: string;\n ms: number;\n balance_usd?: number;\n detail?: string;\n}\n\nasync function checkProviders(): Promise<{\n checked_at: string;\n alarm: boolean;\n problems: ProviderStatus[];\n all: ProviderStatus[];\n}> {\n const list = availableProviders();\n const all = await Promise.all(list.map(async (p): Promise => {\n const key = env(p.keyEnv)!;\n const t0 = Date.now();\n const bal = await balanceOf(p, key);\n\n let verdict: Verdict = \"ok\";\n let detail: string | undefined;\n try {\n // Дёшево, но не впритык: с max_tokens=1 рассуждающие модели упираются в лимит\n // раньше первого слова и отдают пустой ответ — проверка ловила бы саму себя.\n //\n // Шестнадцати хватает не всем. Рассуждающие модели тратят лимит на размышления\n // и возвращают 400 «max_tokens reached», не дойдя до ответа: еженедельная ревизия\n // 3 августа поймала на этом ложную тревогу по openai — монитор кричал об отказе,\n // хотя реальные задачи в тот же день проходили. Монитор, который врёт, хуже\n // отсутствующего: на третий раз его перестают читать и пропускают настоящий отказ.\n // Поэтому таким провайдерам пробник берёт запас, а не минимум.\n const reasoning = /opus|reasoner|thinking|^o[1-9]|gpt-5/i.test(String(p.tiers.fast));\n await callProvider(p, p.tiers.fast, {\n prompt: \"Ответь одним словом: да\",\n max_tokens: reasoning ? 2500 : 16,\n });\n } catch (e: any) {\n const msg = String(e?.message || e);\n const m = msg.match(/вернул (\\d{3}):?([\\s\\S]*)/);\n // Пустой текст при успешном HTTP — вопрос качества ответа, а не доступа и не денег.\n // Для сигнализации это «жив»: ключ приняли, счёт не пуст.\n verdict = msg.includes(\"пустой ответ\")\n ? \"ok\"\n : m\n ? classify(Number(m[1]), m[2] || \"\")\n : \"unavailable\";\n if (verdict !== \"ok\") detail = msg.slice(0, 200);\n }\n\n // Баланс может сказать о беде раньше, чем откажет вызов.\n if (bal && bal.ok === false) verdict = \"no_money\";\n\n return {\n provider: p.id,\n cost: p.cost,\n verdict,\n say: VERDICT_RU[verdict],\n ms: Date.now() - t0,\n ...(bal?.usd != null ? { balance_usd: bal.usd } : {}),\n ...(detail ? { detail } : {}),\n };\n }));\n\n const problems = all.filter((s) =>\n s.verdict !== \"ok\" || (s.balance_usd != null && s.balance_usd < 1)\n );\n return {\n checked_at: new Date().toISOString(),\n alarm: problems.length > 0,\n problems,\n all,\n };\n}\n\n/** Параллельная обработка пачки с ограничением конкурентности. */\nasync function askBatch(\n items: Array<{ id: string; prompt: string }>,\n common: Omit,\n concurrency: number,\n): Promise<\n Array<\n {\n id: string;\n text?: string;\n error?: string;\n provider?: string;\n model?: string;\n }\n >\n> {\n const out: Array<\n {\n id: string;\n text?: string;\n error?: string;\n provider?: string;\n model?: string;\n }\n > = new Array(items.length);\n let cursor = 0;\n\n async function worker() {\n while (true) {\n const i = cursor++;\n if (i >= items.length) return;\n const it = items[i];\n try {\n const r = await ask({ ...common, prompt: it.prompt });\n out[i] = {\n id: it.id,\n text: r.text,\n provider: r.provider,\n model: r.model,\n };\n } catch (e: any) {\n out[i] = { id: it.id, error: String(e?.message || e) };\n }\n }\n }\n\n const n = Math.max(1, Math.min(concurrency || 4, 16));\n await Promise.all(Array.from({ length: n }, worker));\n return out;\n}\n\n/**\n * Прогоняет один запрос через несколько моделей и возвращает ответы рядом.\n * Нужен для двух задач: выбрать лучшую модель под конкретный тип работы\n * и перекрёстно проверить ответ, когда цена ошибки высока.\n */\nasync function compare(\n prompt: string,\n targets: Array<\n { provider: string; model?: string; tier?: \"fast\" | \"smart\" | \"long\" }\n >,\n common: Omit,\n) {\n const started = targets.map(() => 0);\n const out = await Promise.all(targets.map(async (t, i) => {\n const p = providerById(t.provider);\n if (!p) return { provider: t.provider, error: \"неизвестный провайдер\" };\n const t0 = Date.now();\n started[i] = t0;\n try {\n const r = await ask({\n ...common,\n prompt,\n provider: t.provider,\n model: t.model,\n tier: t.tier,\n });\n return {\n provider: r.provider,\n model: r.model,\n cost: p.cost,\n ms: Date.now() - t0,\n out_tokens: (r.usage as any)?.completion_tokens ?? null,\n text: r.text,\n };\n } catch (e: any) {\n return {\n provider: t.provider,\n model: t.model,\n cost: p.cost,\n ms: Date.now() - t0,\n error: String(e?.message || e),\n };\n }\n }));\n return out;\n}\n\n/** Живой список моделей у провайдера (каталоги бесплатных тарифов меняются часто). */\nasync function listModels(providerId?: string, freeOnly = false) {\n const targets = providerId\n ? [providerById(providerId)].filter((p): p is Provider => !!p)\n : availableProviders();\n\n const result: any[] = [];\n for (const p of targets) {\n const key = env(p.keyEnv);\n if (!key) {\n result.push({\n provider: p.id,\n label: p.label,\n cost: p.cost,\n price: p.price,\n configured: false,\n note: `нет секрета ${p.keyEnv}`,\n });\n continue;\n }\n try {\n const res = await fetch(`${baseOf(p)}/models`, {\n headers: { Authorization: `Bearer ${key}` },\n });\n if (!res.ok) throw new Error(`${res.status}`);\n const json: any = await res.json();\n let models: any[] = json?.data ?? json?.models ?? [];\n let ids = models.map((m: any) => m?.id ?? m?.name).filter(Boolean);\n if (freeOnly && p.id === \"openrouter\") {\n const freeSet = new Set(\n models\n .filter((m: any) => {\n const pr = m?.pricing || {};\n return String(m?.id || \"\").endsWith(\":free\") ||\n (Number(pr.prompt) === 0 && Number(pr.completion) === 0);\n })\n .map((m: any) => m.id),\n );\n ids = ids.filter((id: string) => freeSet.has(id));\n }\n result.push({\n provider: p.id,\n label: p.label,\n cost: p.cost,\n price: p.price,\n configured: true,\n notes: p.notes,\n recommended: p.tiers,\n model_count: ids.length,\n models: ids.slice(0, 120),\n });\n } catch (e: any) {\n result.push({\n provider: p.id,\n label: p.label,\n cost: p.cost,\n price: p.price,\n configured: true,\n error: `не удалось получить список: ${String(e?.message || e)}`,\n recommended: p.tiers,\n });\n }\n }\n return result;\n}\n\n// ---------------------------------------------------------------------------\n// Описания инструментов MCP\n// ---------------------------------------------------------------------------\n\n/**\n * Инструменты, которым пометки не нужны: они про саму сеть, а не про чью-то\n * работу. Приписывать им клиента — засорять карточку проекта служебным шумом.\n */\nconst NO_MARKS = new Set([\n \"tg_inbox\",\n \"tg_answer\",\n \"list_models\",\n \"check_catalog\",\n \"check_budgets\",\n \"spending\",\n \"activity\",\n \"get_gateway_source\",\n \"deploy_gateway\",\n \"rules\",\n]);\n\n/**\n * Пометки note и project приписываются к схемам централизованно, а не руками\n * в каждом файле. Причина в найденном: из двадцати четырёх инструментов поле\n * project было только у семи, поэтому работа, сделанная через verify_answer,\n * пачки, распознавание или картинки, попадала в журнал безымянной — и человек\n * видел в панели пустоту там, где сеть на самом деле работала. Ставить одно\n * и то же поле в дюжину схем вручную значит однажды забыть его в тринадцатой.\n */\nconst MARKS = {\n note: {\n type: \"string\",\n description:\n \"Зачем этот вызов, человеческими словами. Попадает в журнал и в панель: \" +\n \"без него запись читается как «что-то делали».\",\n },\n project: {\n type: \"string\",\n description:\n \"Проект, клиент или чат, к которому относится работа. Имя человеческое, \" +\n \"узнаваемое: «Битрикс Астана», а не «извлечение полей». По этому полю \" +\n \"панель собирает карточку проекта; без него работа не видна в отчётах.\",\n },\n} as const;\n\nfunction withMarks(t: any) {\n if (NO_MARKS.has(t.name)) return t;\n const props = t.inputSchema?.properties;\n if (!props) return t;\n return {\n ...t,\n inputSchema: {\n ...t.inputSchema,\n properties: { ...MARKS, ...props },\n },\n };\n}\n\nconst TOOLS = [\n ...CORE_TOOLS,\n ...VIDEO_TOOLS,\n ...SPEND_TOOLS,\n ...CATALOG_TOOLS,\n ...VERIFY_TOOLS,\n ...JOB_TOOLS,\n ...MEMORY_TOOLS,\n ...LOG_TOOLS,\n ...CANON_TOOLS,\n ...TG_TOOLS,\n ...TAIL_TOOLS,\n].map(withMarks);\n\n// ---------------------------------------------------------------------------\n// Обработка вызова инструмента\n// ---------------------------------------------------------------------------\n\nfunction textContent(s: string) {\n return { content: [{ type: \"text\", text: s }] };\n}\n\nasync function handleToolCall(name: string, args: any) {\n if (name === \"ask_model\") {\n if (!args?.prompt) throw new Error(\"Обязательный параметр: prompt\");\n const r = await ask(args as AskArgs);\n const p = providerById(r.provider);\n const paidMark = p && p.cost !== \"free\"\n ? ` — ${p.cost === \"premium\" ? \"ПРЕМИАЛЬНЫЙ\" : \"ПЛАТНЫЙ\"}, ${p.price}`\n : \"\";\n return textContent(\n (r.substituted ? `⚠ Подмена исполнителя. ${r.substituted}\\n\\n` : \"\") +\n `[${r.provider} / ${r.model}${paidMark}]\\n\\n${r.text}` +\n (r.usage ? `\\n\\n---\\nusage: ${JSON.stringify(r.usage)}` : \"\"),\n );\n }\n\n if (name === \"ask_model_batch\") {\n const items = args?.items;\n if (!Array.isArray(items) || items.length === 0) {\n throw new Error(\"Обязательный параметр: items (непустой массив)\");\n }\n if (items.length > 500) throw new Error(\"Не более 500 элементов за вызов\");\n const { items: _drop, concurrency, ...common } = args;\n const results = await askBatch(items, common, concurrency ?? 4);\n const ok = results.filter((r) => r.text != null).length;\n const used = [\n ...new Set(results.map((r) => r.provider).filter(Boolean)),\n ] as string[];\n const paidUsed = used.filter((id) => providerById(id)?.cost !== \"free\");\n const costLine = paidUsed.length\n ? `\\nИспользованы ПЛАТНЫЕ провайдеры: ${\n paidUsed.map((id) => `${id} (${providerById(id)?.price})`).join(\", \")\n }. Сообщите пользователю о расходе.`\n : \"\";\n return textContent(\n `Обработано ${results.length}, успешно ${ok}, с ошибкой ${\n results.length - ok\n }.${costLine}\\n\\n` +\n JSON.stringify(results, null, 2),\n );\n }\n\n if (name === \"compare_models\") {\n const { prompt, targets, ...common } = args ?? {};\n if (!prompt) throw new Error(\"Обязательный параметр: prompt\");\n if (!Array.isArray(targets) || targets.length < 2) {\n throw new Error(\"targets: нужно минимум две позиции\");\n }\n if (targets.length > 6) throw new Error(\"targets: не больше шести за раз\");\n const res = await compare(prompt, targets, common);\n const paid = res.filter((r: any) => r.cost && r.cost !== \"free\")\n .map((r: any) =>\n r.provider + \" (\" + providerById(r.provider)?.price + \")\"\n );\n const head = \"Сравнение по \" + res.length + \" моделям.\" +\n (paid.length\n ? \"\\nЗАДЕЙСТВОВАНЫ ПЛАТНЫЕ: \" + [...new Set(paid)].join(\"; \") +\n \". Сообщите пользователю о расходе.\"\n : \"\");\n return textContent(head + \"\\n\\n\" + JSON.stringify(res, null, 2));\n }\n\n if (name === \"list_models\") {\n const r = await listModels(args?.provider, !!args?.free_only);\n return textContent(JSON.stringify(r, null, 2));\n }\n\n if (name === \"get_gateway_source\") {\n const path = args?.path || \"main.tsx\";\n const src = await readSource(path);\n const h = await sha256(src);\n const size = new TextEncoder().encode(src).length;\n if (args?.hash_only) {\n return textContent(\n JSON.stringify({ path, bytes: size, sha256: h }, null, 2),\n );\n }\n return textContent(\n sourceFragment(src, { path, size, sha: h, ...(args ?? {}) }),\n );\n }\n\n if (name === \"deploy_gateway\") {\n if (!SELF_ORIGIN) {\n throw new Error(\n \"Не удалось определить собственный адрес — деплой отменён\",\n );\n }\n const r = await deployGateway({ ...args, origin: SELF_ORIGIN });\n return textContent(\n `Развёрнуто. Версия ${r.version}, было ${r.was_bytes} байт, стало ${r.bytes}. ` +\n `Применено: ${\n r.applied.join(\", \")\n }. Проверка после записи: жив, ${r.health}.\\n` +\n `sha256 ${r.sha256}`,\n );\n }\n\n if (name === \"generate_image\") {\n if (!args?.prompt) throw new Error(\"Обязательный параметр: prompt\");\n if (!SELF_ORIGIN) throw new Error(\"Не удалось определить собственный адрес — некуда положить файл\");\n const r = await generateImage({ ...args, origin: SELF_ORIGIN });\n // Если корзина Supabase настроена, файл лежит там навсегда; иначе он во\n // временных блобах вала, откуда его вытеснит девятая картинка.\n const where = r.permanent\n ? \"Файл сохранён постоянно.\"\n : `Временное хранилище: остаются последние ${IMG_KEEP} картинок, нужное сохраните сразу.`;\n const paid = r.cost !== \"free\" ? ` — ПЛАТНЫЙ, ${r.price}. Сообщите пользователю о расходе.` : \" — бесплатно\";\n const head = `[${r.provider} / ${r.model}${paid}]\\n\\nСсылка на файл: ${r.url}\\nРазмер: ${\n (r.bytes / 1024).toFixed(0)\n } КБ. ${where}`;\n // Показываем картинку в ответе, чтобы оценить и переделать без лишнего\n // круга через пользователя. Отключается параметром preview.\n if (args?.preview === false) return textContent(head);\n return {\n content: [\n { type: \"text\", text: head },\n { type: \"image\", data: r.b64, mimeType: \"image/png\" },\n ],\n };\n }\n\n // Видео живёт в своём файле целиком — и объявления, и обработчики.\n const vid = await handleVideo(name, args ?? {}, textContent);\n if (vid) return vid;\n\n const sp = await handleSpend(name, args ?? {}, textContent);\n if (sp) return sp;\n\n const cat = await handleCatalog(name, args ?? {}, textContent);\n if (cat) return cat;\n\n const ver = await handleVerify(name, args ?? {}, textContent);\n if (ver) return ver;\n\n const job = await handleJobs(name, args ?? {}, textContent);\n if (job) return job;\n\n const mem = await handleMemory(name, args ?? {}, textContent);\n if (mem) return mem;\n\n const lg = await handleLog(name, args ?? {}, textContent);\n if (lg) return lg;\n\n const canon = await handleCanon(name, args ?? {}, textContent);\n if (canon) return canon;\n\n const tg = await handleTgTools(name, args ?? {}, textContent);\n if (tg) return tg;\n\n if (name === \"transcribe_audio\") {\n if (!args?.url && !args?.base64) {\n throw new Error(\"Нужен либо url, либо base64\");\n }\n const r = await transcribe(args);\n return textContent(\n `[расшифровка через ${r.provider} / ${r.model}, файл ${\n (r.bytes / 1024 / 1024).toFixed(1)\n } МБ — бесплатно]\\n\\n` +\n r.text,\n );\n }\n\n if (name === \"read_document\") {\n if (!args?.url) throw new Error(\"Обязательный параметр: url\");\n const r = await readDocument(args);\n return textContent(\n `[распознано через mistral, страниц: ${r.pages} — бесплатно]\\n\\n${r.text}`,\n );\n }\n\n if (name === \"rank_by_meaning\") {\n if (!args?.query) throw new Error(\"Обязательный параметр: query\");\n if (!Array.isArray(args?.items) || args.items.length === 0) {\n throw new Error(\"Обязательный параметр: items\");\n }\n if (args.items.length > 200) {\n throw new Error(\"Не более 200 позиций за вызов\");\n }\n const r = await rankByMeaning(args);\n return textContent(\n `[поиск по смыслу через ${r.provider} / ${r.model} — бесплатно]\\n\\n` +\n JSON.stringify(r.ranked, null, 2),\n );\n }\n\n if (name === \"check_budgets\") {\n const r = await checkProviders();\n const head = r.alarm\n ? `ТРЕВОГА. Проблемных провайдеров: ${r.problems.length}.\\n` +\n r.problems.map((s) =>\n `- ${s.provider} (${s.cost}): ${s.say}` +\n (s.balance_usd != null ? `, остаток $${s.balance_usd}` : \"\")\n ).join(\"\\n\")\n : \"Все провайдеры в порядке.\";\n return textContent(head + \"\\n\\n\" + JSON.stringify(r, null, 2));\n }\n\n if (name === \"web_search\") {\n if (!args?.query) throw new Error(\"Обязательный параметр: query\");\n // Самый дорогой инструмент шлюза обязан проходить потолок и учёт, как все.\n await guardBudget(0.05);\n const r = await webSearch(args as SearchArgs);\n const u: any = r.usage ?? {};\n void logSpend({\n provider: \"xai\",\n model: r.model,\n kind: \"search\",\n in_tokens: Number(u.input_tokens ?? u.prompt_tokens ?? 0),\n out_tokens: Number(u.output_tokens ?? u.completion_tokens ?? 0),\n }).then(forgetSpendCache);\n const p = providerById(\"xai\");\n const src = r.citations.length\n ? \"\\n\\nИсточники:\\n\" +\n r.citations.slice(0, 20).map((u, i) => `${i + 1}. ${u}`).join(\"\\n\")\n : \"\";\n return textContent(\n `[веб-поиск через xai / ${r.model} — ПЛАТНЫЙ, ${p?.price}. Сообщите пользователю о расходе.]\\n\\n` +\n r.text + src +\n (r.usage ? `\\n\\n---\\nusage: ${JSON.stringify(r.usage)}` : \"\"),\n );\n }\n\n throw new Error(`Неизвестный инструмент: ${name}`);\n}\n\n// ---------------------------------------------------------------------------\n// MCP: JSON-RPC поверх HTTP\n// ---------------------------------------------------------------------------\n\nconst PROTOCOL_VERSION = \"2025-06-18\";\n\nfunction rpcResult(id: any, result: any) {\n return { jsonrpc: \"2.0\", id, result };\n}\nfunction rpcError(id: any, code: number, message: string) {\n return { jsonrpc: \"2.0\", id, error: { code, message } };\n}\n\nasync function handleRpc(msg: any): Promise {\n const { id, method, params } = msg ?? {};\n\n switch (method) {\n case \"initialize\":\n return rpcResult(id, {\n protocolVersion: typeof params?.protocolVersion === \"string\"\n ? params.protocolVersion\n : PROTOCOL_VERSION,\n capabilities: { tools: { listChanged: false } },\n serverInfo: { name: \"ai-gateway\", version: \"1.1.0\" },\n // Единственный текст, который доходит до КАЖДОЙ среды сам, без установки:\n // клиент читает его при подключении коннектора. Поэтому здесь лежит\n // рабочее ядро правил, а не рекламное описание. Полный свод остаётся\n // в инструменте rules: держать его целиком тут — платить контекстом\n // в каждом чате, даже там, где нужен один перевод.\n instructions:\n \"Шлюз к внешним нейросетям и свод правил сети UM Group.\\n\\n\" +\n \"Прежде всего: в начале содержательной задачи вызовите инструмент `rules` — он отдаёт \" +\n \"действующий свод целиком (роли моделей по замерам, пороги, деньги, проверки). Ниже — \" +\n \"только то, что нужно знать до первого вызова.\\n\\n\" +\n \"ДЕЛЕГИРОВАНИЕ. Массовую механическую работу не делать собственным контекстом: от десяти \" +\n \"однотипных единиц — ask_model_batch, от сотни — start_batch и затем check_batch. \" +\n \"Повторяющееся выносить в system: у провайдеров с кэшем префикса это кратно дешевле.\\n\\n\" +\n \"ИСПОЛНИТЕЛИ по замерам: gemini — тексты, вычитка, казахский, быстрый первый проход по коду; \" +\n \"openai/gpt-5.3-codex — код, где нужна точность; groq — классификация и извлечение полей, \" +\n \"но код и русскую вычитку ему не давать; deepseek-reasoner — ревью и разбор багов, \" +\n \"обязательно max_tokens от 2500, иначе ответ придёт пустым; mistral — SQL и вторая линия.\\n\\n\" +\n \"ПОМЕТКИ. В каждом вызове заполнять note (зачем, человеческими словами) и project (имя \" +\n \"клиента или портала, узнаваемое человеком). Передавать на верхнем уровне аргументов, \" +\n \"НЕ через extra: оттуда они уходят провайдеру в тело запроса и роняют вызов с ошибкой 400. \" +\n \"Если переделываете чужой результат, note начинается с «переделка за ИМЯ:».\\n\\n\" +\n \"ДЕНЬГИ. Автовыбор ходит по бесплатным; дешёвые платные — флагом allow_paid; премиальные — \" +\n \"только явным указанием провайдера. Веб-поиск самый дорогой: по одному вопросу за раз.\\n\\n\" +\n \"ОТЧЁТ. Если в задаче участвовали внешние исполнители, ответ человеку заканчивается одной \" +\n \"строкой: кто, что сделал, сколько занял, сколько стоил.\",\n });\n\n case \"notifications/initialized\":\n case \"notifications/cancelled\":\n return null; // уведомления без ответа\n\n case \"ping\":\n return rpcResult(id, {});\n\n case \"tools/list\":\n return rpcResult(id, { tools: TOOLS });\n\n case \"tools/call\": {\n // Журналируем здесь, в одной точке: так в журнал попадает любой инструмент,\n // включая бесплатные и служебные, и ни один не забудется при добавлении нового.\n const callArgs = params?.arguments ?? {};\n const trace =\n typeof callArgs.trace === \"string\" && callArgs.trace\n ? callArgs.trace\n : newTrace();\n callArgs.trace = trace;\n const startedAt = Date.now();\n try {\n const out = await handleToolCall(params?.name, callArgs);\n void logCall({\n trace,\n tool: params?.name ?? \"?\",\n status: out?.isError ? \"error\" : \"ok\",\n ms: Date.now() - startedAt,\n note: typeof callArgs.note === \"string\" ? callArgs.note : undefined,\n project:\n typeof callArgs.project === \"string\" ? callArgs.project : undefined,\n });\n return rpcResult(id, out);\n } catch (e: any) {\n void logCall({\n trace,\n tool: params?.name ?? \"?\",\n status: \"error\",\n ms: Date.now() - startedAt,\n note: typeof callArgs.note === \"string\" ? callArgs.note : undefined,\n project:\n typeof callArgs.project === \"string\" ? callArgs.project : undefined,\n error: String(e?.message || e),\n });\n // Ошибки инструмента возвращаем как isError, а не как protocol error\n return rpcResult(id, {\n content: [{\n type: \"text\",\n text: `Ошибка: ${String(e?.message || e)}`,\n }],\n isError: true,\n });\n }\n }\n\n case \"resources/list\":\n return rpcResult(id, { resources: [] });\n case \"prompts/list\":\n return rpcResult(id, { prompts: [] });\n\n default:\n if (id === undefined) return null;\n return rpcError(id, -32601, `Метод не поддерживается: ${method}`);\n }\n}\n\nconst JSON_HEADERS = { \"Content-Type\": \"application/json; charset=utf-8\" };\n\n// ---------------------------------------------------------------------------\n// Мост Битрикс24 → Telegram: ежедневные отчёты сотрудников\n//\n// Робот «Исходящий Вебхук» в Битриксе умеет только дёрнуть адрес и подставляет\n// значения полей без кодирования: пробел в адресе Telegram молча отбивает.\n// Поэтому робот присылает сюда лишь числовой id карточки, а текст собираем мы,\n// прочитав карточку через входящий вебхук портала.\n//\n// Секреты (Val Town → Settings → Secrets):\n// TELEGRAM_BOT_TOKEN — токен бота от @BotFather\n// TELEGRAM_CHAT_ID — id группы, куда падают отчёты\n// B24_WEBHOOK — входящий вебхук портала: https://<портал>/rest//<код>/\n// TG_HOOK_KEY — произвольная строка, ею подписан адрес в роботе\n// ---------------------------------------------------------------------------\n\nconst B24_ENTITY_TYPE = 1054; // смарт-процесс «Ежедневный отчет»\nconst B24_CATEGORY = 21; // воронка внутри него\nconst B24_STAGE_DONE = \"DT1054_21:SUCCESS\"; // стадия «Заполнен»\nconst B24_STAGE_NEW = \"DT1054_21:NEW\"; // стадия «Заполнить»\nconst B24_F_DONE = \"ufCrm13_1784808565087\"; // Что сделано за день\nconst B24_F_PLANS = \"ufCrm13_1784808618697\"; // Планы на завтра\nconst B24_F_ISSUES = \"ufCrm13_1784808646329\"; // Проблемы / нужна помощь\n\n/** Портал живёт по Алматы: и «сегодня», и сводка считаются по местному дню. */\nfunction almatyToday(): string {\n return new Date(Date.now() + 5 * 60 * 60 * 1000).toISOString().slice(0, 10);\n}\n\n/** Предыдущий рабочий день по Алматы: в понедельник это пятница. */\nfunction almatyPrevWorkday(): string {\n const d = new Date(Date.now() + 5 * 60 * 60 * 1000);\n do {\n d.setUTCDate(d.getUTCDate() - 1);\n } while (d.getUTCDay() === 0 || d.getUTCDay() === 6);\n return d.toISOString().slice(0, 10);\n}\n\n/**\n * Какому дню принадлежит карточка — по её собственной дате создания, а не по текущему\n * моменту. Робот закрывает карточки в 23:55 по Москве — это уже следующие сутки\n * по Алматы, и без этой поправки вчерашний отчёт подписывался завтрашним числом.\n */\nfunction almatyDayOf(iso: unknown): string {\n const t = Date.parse(String(iso ?? \"\"));\n if (Number.isNaN(t)) return almatyToday();\n return new Date(t + 5 * 60 * 60 * 1000).toISOString().slice(0, 10);\n}\n\nfunction ddmm(day: string): string {\n const [, m, d] = day.split(\"-\");\n return `${d}.${m}`;\n}\n\n// Вебхук портала мог быть заведён раньше и под другим именем — берём первое найденное,\n// чтобы не заставлять человека копировать одно и то же значение дважды.\nconst B24_HOOK_VARS = [\n \"B24_WEBHOOK\",\n \"B24_HOOK_FBSM\",\n \"B24_HOOK\",\n \"BITRIX_WEBHOOK\",\n \"B24_REST_HOOK\",\n];\n\nfunction b24HookVar(): string | null {\n for (const name of B24_HOOK_VARS) {\n if ((env(name) ?? \"\").trim()) return name;\n }\n return null;\n}\n\nasync function b24(\n method: string,\n params: Record = {},\n): Promise {\n const found = b24HookVar();\n const hook = found ? (env(found) ?? \"\").trim() : \"\";\n if (!hook) {\n throw new Error(\n `не задан вебхук портала ни в одной из переменных: ${B24_HOOK_VARS.join(\", \")}`,\n );\n }\n const base = hook.endsWith(\"/\") ? hook : hook + \"/\";\n const res = await fetch(base + method, {\n method: \"POST\",\n headers: JSON_HEADERS,\n body: JSON.stringify(params),\n });\n const data = await res.json().catch(() => ({} as any));\n if (data?.error) {\n throw new Error(\n `Битрикс ${method}: ${data.error_description ?? data.error}`,\n );\n }\n return data?.result;\n}\n\nasync function tgSend(text: string, chatIdOverride?: string): Promise {\n const token = env(\"TELEGRAM_BOT_TOKEN\");\n const chatId = chatIdOverride ?? env(\"TELEGRAM_CHAT_ID\");\n if (!token || !chatId) {\n throw new Error(\"не заданы TELEGRAM_BOT_TOKEN и TELEGRAM_CHAT_ID\");\n }\n const res = await fetch(`https://api.telegram.org/bot${token}/sendMessage`, {\n method: \"POST\",\n headers: JSON_HEADERS,\n body: JSON.stringify({\n chat_id: chatId,\n text,\n parse_mode: \"HTML\",\n disable_web_page_preview: true,\n }),\n });\n const data = await res.json().catch(() => ({} as any));\n if (!data?.ok) throw new Error(`Telegram: ${data?.description ?? res.status}`);\n}\n\n/**\n * Кому из сотрудников можно писать в личку: TG_USER_MAP вида\n * {\"\": \"\"}. Пусто — личных копий нет.\n * Бот не может написать первым — человек сначала сам жмёт Start.\n */\nconst TG_MAP_BLOB = \"tg-user-map\";\n\n/**\n * Связки «сотрудник → его личный чат». Основа — хранилище (его можно\n * пополнять через /tg/link), секрет TG_USER_MAP — запасной источник.\n */\nasync function tgUserMap(): Promise> {\n let fromEnv: Record = {};\n const raw = (env(\"TG_USER_MAP\") ?? \"\").trim();\n if (raw) {\n try {\n fromEnv = JSON.parse(raw);\n } catch {\n console.log(\"TG_USER_MAP: не разобрать JSON\");\n }\n }\n try {\n const s = await store();\n const res = await s.get(TG_MAP_BLOB);\n const saved = JSON.parse(await res.text());\n return { ...fromEnv, ...saved };\n } catch {\n return fromEnv; // в хранилище ещё ничего не ложили\n }\n}\n\nasync function tgUserChat(bitrixId: number): Promise {\n const map = await tgUserMap();\n const found = map[String(bitrixId)];\n return found === undefined ? null : String(found);\n}\n\n/**\n * Личная копия сотруднику. Молча пропускаем, если он не писал боту:\n * главное — чтобы из-за этого не сорвалась отправка в общий чат.\n */\nasync function tgSendPersonal(\n bitrixId: number,\n text: string,\n): Promise {\n const chat = await tgUserChat(bitrixId);\n if (!chat) return false;\n try {\n await tgSend(text, chat);\n return true;\n } catch (e) {\n console.log(`личное сообщение сотруднику ${bitrixId} не ушло: ${e}`);\n return false;\n }\n}\n\n/** В HTML-разметке Telegram опасны только эти три символа. */\nfunction tgEscape(v: unknown): string {\n return String(v ?? \"\").replace(/&/g, \"&\").replace(//g, \">\");\n}\n\nconst b24NameCache = new Map();\nasync function b24UserName(id: number): Promise {\n if (!id) return \"без ответственного\";\n const cached = b24NameCache.get(id);\n if (cached) return cached;\n const list = await b24(\"user.get\", { ID: id });\n const u = Array.isArray(list) ? list[0] : null;\n const name = [u?.NAME, u?.LAST_NAME].filter(Boolean).join(\" \").trim() ||\n `сотрудник #${id}`;\n b24NameCache.set(id, name);\n return name;\n}\n\n/** Одна карточка — сразу после того, как сотрудник её заполнил. */\nasync function tgReport(id: number): Promise> {\n if (!id) throw new Error(\"не передан id карточки\");\n const item = (await b24(\"crm.item.get\", {\n entityTypeId: B24_ENTITY_TYPE,\n id,\n }))?.item;\n if (!item) throw new Error(`карточка ${id} не найдена`);\n const who = await b24UserName(Number(item.assignedById));\n const done = String(item[B24_F_DONE] ?? \"\").trim();\n const plans = String(item[B24_F_PLANS] ?? \"\").trim();\n const issues = String(item[B24_F_ISSUES] ?? \"\").trim();\n const day = ddmm(almatyDayOf(item.createdTime));\n const parts = [`📝 Отчёт за ${day} — ${tgEscape(who)}`];\n if (done) parts.push(`\\nСделано:\\n${tgEscape(done)}`);\n if (plans) parts.push(`\\nПланы на завтра:\\n${tgEscape(plans)}`);\n if (issues) parts.push(`\\nПроблемы:\\n${tgEscape(issues)}`);\n await tgSend(parts.join(\"\\n\"));\n // Сотруднику — подтверждение с тем же текстом, что увидело руководство.\n const personal = await tgSendPersonal(\n Number(item.assignedById),\n `✅ Ваш отчёт за ${day} принят.\\n` +\n `Такое же сообщение ушло руководству в общий чат.\\n` +\n parts.slice(1).join(\"\\n\"),\n );\n return { sent: true, id, who, personal };\n}\n\n/** Адрес портала — берём из вебхука, чтобы не зашивать домен в код. */\nfunction b24Origin(): string {\n const found = b24HookVar();\n try {\n return new URL((env(found ?? \"\") ?? \"\").trim()).origin;\n } catch {\n return \"https://fbsm.bitrix24.kz\";\n }\n}\n\n/**\n * Напоминание сотруднику: пора заполнить отчёт, вот ссылка на карточку.\n * Ходит одновременно с уведомлением внутри Битрикса, в общий чат ничего не шлёт.\n */\nasync function tgRemind(id: number): Promise> {\n if (!id) throw new Error(\"не передан id карточки\");\n const item = (await b24(\"crm.item.get\", {\n entityTypeId: B24_ENTITY_TYPE,\n id,\n }))?.item;\n if (!item) throw new Error(`карточка ${id} не найдена`);\n const who = await b24UserName(Number(item.assignedById));\n const day = ddmm(almatyDayOf(item.createdTime));\n const link =\n `${b24Origin()}/page/otchety/ezhednevnyy_otchet/type/${B24_ENTITY_TYPE}/details/${id}/`;\n const personal = await tgSendPersonal(\n Number(item.assignedById),\n `📝 Пора заполнить отчёт за ${day}\\n` +\n `Открыть карточку в Битриксе`,\n );\n if (!personal) {\n console.log(`напоминание по ${id}: ${who} не привязан к боту`);\n }\n return { sent: personal, id, who, day, personal };\n}\n\n/**\n * Напомнить всем, кто ещё не сдал отчёт за сегодня. Ходит по cron в 17:45.\n * Сделано расписанием, а не роботом Битрикса: в дизайнере роботов точное время\n * выбирается только с шагом в полчаса, а порядок роботов не меняется без мыши.\n */\nasync function tgRemindAll(): Promise> {\n const day = almatyToday();\n const items: any[] = (await b24(\"crm.item.list\", {\n entityTypeId: B24_ENTITY_TYPE,\n filter: {\n categoryId: B24_CATEGORY,\n stageId: B24_STAGE_NEW,\n \">=createdTime\": `${day}T00:00:00+05:00`,\n \"<=createdTime\": `${day}T23:59:59+05:00`,\n },\n select: [\"id\", \"assignedById\"],\n }))?.items ?? [];\n const sent: string[] = [];\n const skipped: string[] = [];\n for (const it of items) {\n const res = await tgRemind(Number(it.id));\n (res.personal ? sent : skipped).push(String(res.who));\n }\n return { day, напомнили: sent, без_связки: skipped };\n}\n\n/**\n * Отчёт не сдан: пишем ТОЛЬКО лично сотруднику.\n * В общий чат поштучные алерты не слём сознательно: руководству достаточно\n * утренней сводки, иначе чат заваливается одинаковыми сообщениями.\n */\nasync function tgAlert(id: number): Promise> {\n if (!id) throw new Error(\"не передан id карточки\");\n const item = (await b24(\"crm.item.get\", {\n entityTypeId: B24_ENTITY_TYPE,\n id,\n }))?.item;\n if (!item) throw new Error(`карточка ${id} не найдена`);\n const who = await b24UserName(Number(item.assignedById));\n const day = ddmm(almatyDayOf(item.createdTime));\n const personal = await tgSendPersonal(\n Number(item.assignedById),\n `⚠️ Вы не заполнили отчёт за ${day}.\\n` +\n `Руководство увидит это в утренней сводке.`,\n );\n if (!personal) {\n console.log(`алерт по карточке ${id}: сотрудник ${who} не привязан к боту`);\n }\n return { sent: personal, id, who, day, personal };\n}\n\n/**\n * Сводка за день: кто сдал отчёт, а кто нет.\n * dayArg: \"prev\" — предыдущий рабочий день (так ходит утренний cron),\n * явная дата YYYY-MM-DD — за неё, пусто — за сегодня.\n */\nasync function tgSummary(\n force: boolean,\n dayArg = \"\",\n): Promise> {\n const day = dayArg === \"prev\"\n ? almatyPrevWorkday()\n : /^\\d{4}-\\d{2}-\\d{2}$/.test(dayArg)\n ? dayArg\n : almatyToday();\n const mark = `tg-summary-${day}`;\n const s = await store();\n if (!force) {\n // Робот сработает у каждого сотрудника, а сводка нужна одна за день.\n try {\n await s.get(mark);\n return { skipped: `сводка за ${day} уже отправлена` };\n } catch { /* метки нет — значит сегодня ещё не отправляли */ }\n }\n const items: any[] = (await b24(\"crm.item.list\", {\n entityTypeId: B24_ENTITY_TYPE,\n filter: {\n categoryId: B24_CATEGORY,\n \">=createdTime\": `${day}T00:00:00+05:00`,\n \"<=createdTime\": `${day}T23:59:59+05:00`,\n },\n select: [\"id\", \"stageId\", \"assignedById\"],\n }))?.items ?? [];\n const done: string[] = [];\n const missing: string[] = [];\n for (const it of items) {\n const who = await b24UserName(Number(it.assignedById));\n (it.stageId === B24_STAGE_DONE ? done : missing).push(who);\n }\n const lines = [\n `📊 Отчёты за ${ddmm(day)}`,\n `\\n✅ Сдали (${done.length})`,\n done.length ? done.map((n) => `• ${tgEscape(n)}`).join(\"\\n\") : \"• никто\",\n `\\n❌ Не сдали (${missing.length})`,\n missing.length\n ? missing.map((n) => `• ${tgEscape(n)}`).join(\"\\n\")\n : \"• таких нет\",\n ];\n await tgSend(lines.join(\"\\n\"));\n await s.set(mark, new TextEncoder().encode(\"1\"));\n return { sent: true, done: done.length, missing: missing.length };\n}\n\nexport default async function (req: Request): Promise {\n const url = new URL(req.url);\n SELF_ORIGIN = url.origin;\n const token = env(\"GATEWAY_TOKEN\");\n\n // Health check без токена\n if (\n req.method === \"GET\" && (url.pathname === \"/\" || url.pathname === \"/health\")\n ) {\n return new Response(\n JSON.stringify(\n {\n ok: true,\n server: \"ai-gateway\",\n version: \"1.1.0\",\n deployed_at: \"2026-08-01\",\n configured_providers: availableProviders().map((p) => p.id),\n free: availableProviders().filter((p) => p.cost === \"free\").map((p) =>\n p.id\n ),\n cheap: availableProviders().filter((p) => p.cost === \"cheap\").map((\n p,\n ) => p.id),\n premium: availableProviders().filter((p) => p.cost === \"premium\").map(\n (p) => p.id\n ),\n token_set: !!token,\n mcp_path: \"/mcp/\",\n },\n null,\n 2,\n ),\n { headers: JSON_HEADERS },\n );\n }\n\n // Что из настроек моста уже на месте. Значений не показываем — только факт наличия.\n if (url.pathname === \"/tg/status\") {\n const gw = env(\"GATEWAY_TOKEN\");\n if (!gw || url.searchParams.get(\"token\") !== gw) {\n return new Response(JSON.stringify({ error: \"нет доступа\" }), {\n status: 403,\n headers: JSON_HEADERS,\n });\n }\n return new Response(\n JSON.stringify({\n telegram_bot_token: !!env(\"TELEGRAM_BOT_TOKEN\"),\n telegram_chat_id: !!env(\"TELEGRAM_CHAT_ID\"),\n tg_hook_key: !!env(\"TG_HOOK_KEY\"),\n bitrix_hook_var: b24HookVar(),\n personal_chats: Object.keys(await tgUserMap()),\n }),\n { headers: JSON_HEADERS },\n );\n }\n\n // Привязать сотрудника к его личному чату: ?bitrix=&chat=.\n // Пустой chat убирает связку — так отключают ушедшего сотрудника.\n if (url.pathname === \"/tg/link\") {\n const gw = env(\"GATEWAY_TOKEN\");\n if (!gw || url.searchParams.get(\"token\") !== gw) {\n return new Response(JSON.stringify({ error: \"нет доступа\" }), {\n status: 403,\n headers: JSON_HEADERS,\n });\n }\n try {\n const bitrix = (url.searchParams.get(\"bitrix\") ?? \"\").trim();\n if (!/^\\d+$/.test(bitrix)) throw new Error(\"нужен bitrix=\");\n const chat = (url.searchParams.get(\"chat\") ?? \"\").trim();\n const map = await tgUserMap();\n if (chat) map[bitrix] = chat;\n else delete map[bitrix];\n const s = await store();\n await s.set(TG_MAP_BLOB, new TextEncoder().encode(JSON.stringify(map)));\n return new Response(\n JSON.stringify({ saved: true, linked: Object.keys(map) }),\n { headers: JSON_HEADERS },\n );\n } catch (e) {\n return new Response(JSON.stringify({ error: String(e) }), {\n status: 500,\n headers: JSON_HEADERS,\n });\n }\n }\n\n // Кто из людей написал боту в личку — нужно, чтобы связать сотрудников с их чатами.\n // Отдаёт только личные чаты и без токена бота — чтобы секрет не ходил по рукам.\n if (url.pathname === \"/tg/updates\") {\n const gw = env(\"GATEWAY_TOKEN\");\n if (!gw || url.searchParams.get(\"token\") !== gw) {\n return new Response(JSON.stringify({ error: \"нет доступа\" }), {\n status: 403,\n headers: JSON_HEADERS,\n });\n }\n try {\n const botToken = env(\"TELEGRAM_BOT_TOKEN\");\n if (!botToken) throw new Error(\"не задан TELEGRAM_BOT_TOKEN\");\n const r = await fetch(\n `https://api.telegram.org/bot${botToken}/getUpdates`,\n );\n const data = await r.json().catch(() => ({} as any));\n const seen = new Map>();\n for (const u of (data?.result ?? []) as any[]) {\n const chat = u?.message?.chat;\n if (!chat || chat.type !== \"private\") continue;\n seen.set(String(chat.id), {\n chat_id: String(chat.id),\n name: [chat.first_name, chat.last_name].filter(Boolean).join(\" \"),\n username: chat.username ?? null,\n });\n }\n return new Response(\n JSON.stringify({ private_chats: [...seen.values()] }),\n { headers: JSON_HEADERS },\n );\n } catch (e) {\n return new Response(JSON.stringify({ error: String(e) }), {\n status: 500,\n headers: JSON_HEADERS,\n });\n }\n }\n\n // Отчёты из Битрикса. Робот портала о GATEWAY_TOKEN не знает, поэтому адрес\n // подписан отдельным ключом TG_HOOK_KEY.\n if (\n url.pathname === \"/tg/report\" || url.pathname === \"/tg/summary\" ||\n url.pathname === \"/tg/alert\" || url.pathname === \"/tg/remind\" ||\n url.pathname === \"/tg/remind-all\"\n ) {\n const hookKey = env(\"TG_HOOK_KEY\");\n if (!hookKey || url.searchParams.get(\"key\") !== hookKey) {\n return new Response(JSON.stringify({ error: \"не тот ключ\" }), {\n status: 403,\n headers: JSON_HEADERS,\n });\n }\n try {\n const out = url.pathname === \"/tg/report\"\n ? await tgReport(Number(url.searchParams.get(\"id\") ?? 0))\n : url.pathname === \"/tg/alert\"\n ? await tgAlert(Number(url.searchParams.get(\"id\") ?? 0))\n : url.pathname === \"/tg/remind\"\n ? await tgRemind(Number(url.searchParams.get(\"id\") ?? 0))\n : url.pathname === \"/tg/remind-all\"\n ? await tgRemindAll()\n : await tgSummary(\n url.searchParams.get(\"force\") === \"1\",\n url.searchParams.get(\"day\") ?? \"\",\n );\n return new Response(JSON.stringify(out), { headers: JSON_HEADERS });\n } catch (e) {\n // Робот Битрикса ответа не читает — ошибку видно только отсюда.\n return new Response(JSON.stringify({ error: String(e) }), {\n status: 500,\n headers: JSON_HEADERS,\n });\n }\n }\n\n // Картинки отдаём без токена: ссылку открывает человек, а не программа.\n if (req.method === \"GET\" && url.pathname.startsWith(\"/f/\")) {\n // Битая %-кодировка в адресе — это 404, а не необработанное исключение.\n let name = url.pathname.slice(3);\n try {\n name = decodeURIComponent(name);\n } catch { /* оставляем как есть — регулярка ниже отбросит */ }\n if (!/^[a-f0-9]{32}\\.png$/.test(name)) {\n return new Response(JSON.stringify({ error: \"Не тот адрес\" }), { status: 404, headers: JSON_HEADERS });\n }\n try {\n const s = await store();\n const res = await s.get(IMG_PREFIX + name);\n return new Response(await res.arrayBuffer(), {\n headers: {\n \"Content-Type\": \"image/png\",\n \"Cache-Control\": \"public, max-age=86400\",\n // Чтобы ссылка сохраняла файл, а не открывала его во вкладке.\n \"Content-Disposition\": `attachment; filename=\"${name}\"`,\n },\n });\n } catch {\n return new Response(\n JSON.stringify({ error: \"Файла нет. Скорее всего, вытеснен новыми — храним последние \" + IMG_KEEP }),\n { status: 404, headers: JSON_HEADERS },\n );\n }\n }\n\n // Клиент MCP сначала щупает OAuth: /.well-known/... и /register. Раньше мы отвечали\n // на них 401 — а 401 для клиента означает «здесь нужен OAuth», и он уходит\n // регистрироваться в сервисе, которого у нас нет. Честный ответ — 404: OAuth тут не\n // поддерживается, авторизация идёт токеном в пути. Тогда клиент не пытается и подключается.\n if (\n url.pathname.startsWith(\"/.well-known/\") || url.pathname === \"/register\"\n ) {\n return new Response(\n JSON.stringify({\n error:\n \"OAuth не поддерживается. Токен передаётся в пути: /mcp/\",\n }),\n { status: 404, headers: JSON_HEADERS },\n );\n }\n\n // Авторизация: токен в пути или в заголовке Authorization\n if (!token) {\n return new Response(\n JSON.stringify({ error: \"GATEWAY_TOKEN не задан в секретах\" }),\n {\n status: 500,\n headers: JSON_HEADERS,\n },\n );\n }\n\n // Браузер просит значок на каждой странице панели. Без этого ответа он\n // получает 401 и сыплет ошибку в консоль на ровном месте.\n if (url.pathname === \"/favicon.ico\") return new Response(null, { status: 204 });\n\n // Свод правил по открытому адресу — до проверки токена намеренно: его читает\n // хук SessionStart в Claude Code, которому токен давать нельзя. Секретов в своде\n // нет, клиентских данных тоже.\n const rulesResponse = handleRulesHttp(url);\n if (rulesResponse) return rulesResponse;\n\n // Вход через Telegram: вебхук и разовая настройка. До проверки токена, потому\n // что Telegram наш токен не знает; подлинность вебхука проверяется внутри.\n const tgResponse = await handleTelegram(req, url);\n if (tgResponse) return tgResponse;\n\n // Панель наблюдения разбирает адрес и проверяет токен сама: её ссылка выглядит\n // как /panel/ТОКЕН, а не как /mcp/ТОКЕН, и общий разбор её не узнаёт.\n const panelResponse = await handlePanel(url, token ?? \"\");\n if (panelResponse) return panelResponse;\n\n let pathToken: string | null = null;\n try {\n pathToken = url.pathname.startsWith(\"/mcp/\")\n ? decodeURIComponent(url.pathname.slice(5))\n : url.pathname.startsWith(\"/status/\")\n ? decodeURIComponent(url.pathname.slice(8))\n : null;\n } catch {\n // Битая кодировка совпасть с токеном не может — идём дальше как без токена.\n }\n const headerToken =\n (req.headers.get(\"authorization\") || \"\").replace(/^Bearer\\s+/i, \"\")\n .trim() || null;\n const authorized = (pathToken !== null && pathToken === token) ||\n (headerToken !== null && headerToken === token);\n\n if (!authorized) {\n return new Response(JSON.stringify({ error: \"Неверный токен\" }), {\n status: 401,\n headers: JSON_HEADERS,\n });\n }\n\n // Сигнализация. Стоит денег (дёргает всех живым вызовом), поэтому за токеном.\n if (url.pathname === \"/status\" || url.pathname.startsWith(\"/status/\")) {\n const r = await checkProviders();\n return new Response(JSON.stringify(r, null, 2), {\n status: r.alarm ? 503 : 200,\n headers: JSON_HEADERS,\n });\n }\n\n // Streamable HTTP: GET открывает SSE-поток. Серверных пушей у нас нет.\n if (req.method === \"GET\") {\n return new Response(null, { status: 405, headers: { Allow: \"POST\" } });\n }\n if (req.method === \"DELETE\") {\n return new Response(null, { status: 204 });\n }\n if (req.method !== \"POST\") {\n return new Response(null, { status: 405, headers: { Allow: \"POST\" } });\n }\n\n let payload: any;\n try {\n payload = await req.json();\n } catch {\n return new Response(\n JSON.stringify(rpcError(null, -32700, \"Некорректный JSON\")),\n {\n status: 400,\n headers: JSON_HEADERS,\n },\n );\n }\n\n // Батч или одиночное сообщение\n if (Array.isArray(payload)) {\n const responses = (await Promise.all(payload.map(handleRpc))).filter((r) =>\n r !== null\n );\n if (responses.length === 0) return new Response(null, { status: 202 });\n return new Response(JSON.stringify(responses), { headers: JSON_HEADERS });\n }\n\n const response = await handleRpc(payload);\n if (response === null) return new Response(null, { status: 202 });\n return new Response(JSON.stringify(response), { headers: JSON_HEADERS });\n}",[243],"e251b244-282f-4eab-b36b-c38f52abaeda","log.ts","8a3e9c20-8dae-11f1-b6ca-1607ee4eb77e",67,["D",1785593843199],"// Журнал вызовов: кому что ушло, сколько заняло, чем кончилось.\n//\n// Расход мы уже видели, но по расходу не понять работу: бесплатные вызовы в нём\n// не видны вовсе, а серия связанных обращений выглядит россыпью строк. Здесь\n// пишется каждый вызов инструмента, а поле trace связывает их в одну задачу.\n//\n// Содержимое намеренно не пишется. Ни текст запроса, ни текст ответа: в них\n// рабочие данные клиентов, и превращать журнал в их хранилище — плохая сделка\n// ради удобства разбора. Пишется факт и обстоятельства: инструмент, исполнитель,\n// длительность, токены, статус и короткая пометка «зачем», которую задаёт\n// вызывающий. Пометка — единственное место, где смысл задачи попадает в журнал,\n// поэтому формулировать её надо человеческими словами.\n\nimport { env } from \"./main.tsx\";\n\nconst TABLE = \"gateway_log\";\n\nexport interface LogRow {\n trace?: string;\n project?: string;\n tool: string;\n provider?: string;\n model?: string;\n tier?: string;\n status?: string;\n ms?: number;\n in_tokens?: number;\n out_tokens?: number;\n usd?: number;\n note?: string;\n error?: string;\n}\n\nfunction db(): { url: string; key: string } | null {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) return null;\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\nfunction headers(key: string, extra: Record = {}) {\n return {\n apikey: key,\n Authorization: `Bearer ${key}`,\n \"Content-Type\": \"application/json\",\n ...extra,\n };\n}\n\n/**\n * Запись в журнал. Как и учёт расходов, не роняет работу: если журнал недоступен,\n * задача важнее записи о ней. Ошибку глотаем осознанно и молча — иначе сбой\n * наблюдения превратился бы в сбой работы, что ровно наоборот тому, зачем он нужен.\n */\nexport async function logCall(row: LogRow): Promise {\n const sb = db();\n if (!sb) return;\n try {\n await fetch(`${sb.url}/rest/v1/${TABLE}`, {\n method: \"POST\",\n headers: headers(sb.key, { Prefer: \"return=minimal\" }),\n body: JSON.stringify({\n ...row,\n status: row.status ?? \"ok\",\n error: row.error ? String(row.error).slice(0, 500) : null,\n note: row.note ? String(row.note).slice(0, 300) : null,\n project: row.project ? String(row.project).slice(0, 120) : null,\n }),\n });\n } catch {\n // Молчим намеренно, см. комментарий выше.\n }\n}\n\n/** Номер задачи. Один на серию вызовов, чтобы они читались вместе. */\nexport function newTrace(): string {\n const u = new Uint8Array(4);\n crypto.getRandomValues(u);\n return [...u].map((b) => b.toString(16).padStart(2, \"0\")).join(\"\");\n}\n\nexport const LOG_TOOLS = [\n {\n name: \"activity\",\n description:\n \"Показать, что происходило в сети: какие инструменты вызывались, кто исполнял, \" +\n \"сколько заняло, чем кончилось. Записывается факт вызова, а не содержимое — \" +\n \"тексты запросов и ответов в журнал не попадают намеренно. Вызовы одной задачи \" +\n \"связаны общим номером, поэтому серия читается вместе, а не россыпью. \" +\n \"Полезно, когда нужно понять, куда ушло время и деньги, и почему что-то не сделалось.\",\n inputSchema: {\n type: \"object\",\n properties: {\n hours: {\n type: \"number\",\n description: \"За сколько последних часов смотреть. По умолчанию 24.\",\n },\n project: {\n type: \"string\",\n description: \"Показать только вызовы одного проекта.\",\n },\n task: {\n type: \"string\",\n description:\n \"Показать только вызовы одной задачи по её номеру. Параметр называется task, \" +\n \"а не trace, намеренно: trace шлюз подставляет в каждый вызов сам, и совпадение \" +\n \"имён превращало фильтр в вечно пустой.\",\n },\n only_errors: {\n type: \"boolean\",\n description: \"Только неудачные вызовы.\",\n },\n limit: {\n type: \"number\",\n description: \"Сколько строк вернуть. По умолчанию 50.\",\n },\n },\n },\n },\n];\n\nexport async function handleLog(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name !== \"activity\") return null;\n const sb = db();\n if (!sb)\n throw new Error(\n \"Журнал живёт в Supabase: не заданы SUPABASE_URL и SUPABASE_SERVICE_KEY\",\n );\n\n const hours = Math.max(1, Number(args?.hours ?? 24));\n const since = new Date(Date.now() - hours * 3600 * 1000).toISOString();\n const limit = Math.min(500, Math.max(1, Number(args?.limit ?? 50)));\n\n let url =\n `${sb.url}/rest/v1/${TABLE}?select=*&order=at.desc&limit=${limit}` +\n `&at=gte.${since}`;\n if (args?.task) url += `&trace=eq.${encodeURIComponent(args.task)}`;\n if (args?.project) url += `&project=eq.${encodeURIComponent(args.project)}`;\n if (args?.only_errors) url += `&status=neq.ok`;\n\n const r = await fetch(url, { headers: headers(sb.key) });\n if (!r.ok) {\n throw new Error(\n `Supabase не отдал журнал, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n }\n const rows: any[] = await r.json();\n if (!rows.length) {\n return text(\n `За последние ${hours} ч. записей нет` +\n (args?.task ? ` для задачи ${args.task}` : \"\") +\n (args?.only_errors ? \" (искали только неудачные)\" : \"\") +\n \".\",\n );\n }\n\n // Группируем по задаче: серия вызовов должна читаться как работа, а не как лог.\n const byTrace = new Map();\n for (const row of rows) {\n const key = row.trace ?? \"—\";\n if (!byTrace.has(key)) byTrace.set(key, []);\n byTrace.get(key)!.push(row);\n }\n\n const blocks: string[] = [];\n for (const [trace, list] of byTrace) {\n const usd = list.reduce((s, x) => s + Number(x.usd ?? 0), 0);\n const bad = list.filter((x) => x.status !== \"ok\").length;\n const head =\n `Задача ${trace} · вызовов ${list.length}` +\n (usd > 0 ? ` · $${usd.toFixed(4)}` : \" · бесплатно\") +\n (bad ? ` · неудачных ${bad}` : \"\");\n const lines = list\n .slice()\n .reverse()\n .map((x) => {\n const who = [x.provider, x.model].filter(Boolean).join(\"/\");\n const time = String(x.at).slice(11, 19);\n const dur = x.ms != null ? `${x.ms} мс` : \"\";\n const toks =\n x.out_tokens != null\n ? `${x.in_tokens ?? 0}→${x.out_tokens} ток.`\n : \"\";\n const tail = [dur, toks].filter(Boolean).join(\", \");\n return (\n ` ${time} ${x.tool}${who ? ` → ${who}` : \"\"}` +\n (x.status !== \"ok\" ? ` [${x.status}]` : \"\") +\n (tail ? ` (${tail})` : \"\") +\n (x.note ? `\\n зачем: ${x.note}` : \"\") +\n (x.error ? `\\n ошибка: ${x.error}` : \"\")\n );\n });\n blocks.push(`${head}\\n${lines.join(\"\\n\")}`);\n }\n\n const total = rows.reduce((s, x) => s + Number(x.usd ?? 0), 0);\n return text(\n `За последние ${hours} ч.: вызовов ${rows.length}, задач ${byTrace.size}, ` +\n `расход примерно $${total.toFixed(4)}.\\n\\n${blocks.join(\"\\n\\n\")}`,\n );\n}\n",[251],"243bd258-e251-44b9-9888-1b32e2806f0e","jobs.ts","d34a5f4e-8da9-11f1-8d0a-1607ee4eb77e",90,["D",1785615234930],"// Фоновые пачки: работа порциями вместо одного долгого вызова.\n//\n// У обычного ask_model_batch есть потолок не по числу элементов, а по времени:\n// вал обрывает запрос, и пачка на тысячу документов до конца не доходит. Здесь\n// работа разложена во времени — состояние лежит в Supabase, а каждое обращение\n// check_batch обрабатывает очередную порцию и возвращает управление.\n//\n// Пачку двигают двое: тот, кто пришёл за результатом, и часовая задача по\n// расписанию, которая доталкивает незавершённые. Отсюда требование: два\n// одновременных обращения к одной пачке не должны взять одну порцию дважды —\n// этим занимается claim() ниже.\n\nimport { ask } from \"./main.tsx\";\nimport { env } from \"./main.tsx\";\n\nconst TABLE = \"gateway_jobs\";\n// Сколько работаем за один заход. Лимит по времени важнее лимита по числу:\n// один длинный документ может съесть всю порцию.\nconst CHUNK = 40;\nconst BUDGET_MS = 20_000;\nconst CONCURRENCY = 8;\nconst INLINE_LIMIT = 20_000;\n\nfunction db(): { url: string; key: string } | null {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) return null;\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\nfunction headers(key: string, extra: Record = {}) {\n return {\n apikey: key,\n Authorization: `Bearer ${key}`,\n \"Content-Type\": \"application/json\",\n ...extra,\n };\n}\n\nfunction need() {\n const sb = db();\n if (!sb) {\n throw new Error(\n \"Фоновые пачки хранят состояние в Supabase, а переменные SUPABASE_URL и \" +\n \"SUPABASE_SERVICE_KEY не заданы. Без них пачку негде держать между вызовами.\",\n );\n }\n return sb;\n}\n\nfunction jobId(): string {\n const u = new Uint8Array(8);\n crypto.getRandomValues(u);\n return \"batch_\" + [...u].map((b) => b.toString(16).padStart(2, \"0\")).join(\"\");\n}\n\nasync function loadJob(id: string): Promise {\n const sb = need();\n const r = await fetch(\n `${sb.url}/rest/v1/${TABLE}?id=eq.${encodeURIComponent(id)}&select=*`,\n {\n headers: headers(sb.key),\n },\n );\n if (!r.ok) throw new Error(`Supabase не отдал задачу, ${r.status}`);\n const rows = await r.json();\n return rows[0] ?? null;\n}\n\nasync function saveJob(\n id: string,\n patch: Record,\n): Promise {\n const sb = need();\n const r = await fetch(\n `${sb.url}/rest/v1/${TABLE}?id=eq.${encodeURIComponent(id)}`,\n {\n method: \"PATCH\",\n headers: headers(sb.key, { Prefer: \"return=minimal\" }),\n body: JSON.stringify({ ...patch, updated_at: new Date().toISOString() }),\n },\n );\n if (!r.ok)\n throw new Error(\n `Supabase не записал задачу, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n}\n\n/**\n * Захват пачки под себя перед обработкой. Два одновременных check_batch по одной\n * пачке брали одну и ту же порцию: платили провайдеру дважды и затирали результаты\n * друг друга — выигрывал тот, кто записал последним. Ролью версии строки работает\n * updated_at: обновляем строку только если она не изменилась с момента чтения.\n * Не изменилась — пачка наша; изменилась — её уже двигает кто-то другой.\n */\nasync function claim(id: string, seen: string | null): Promise {\n // У старых строк отметки времени может не быть — тогда захватывать нечем,\n // работаем как раньше: лучше обработать, чем встать намертво.\n if (!seen) return true;\n const sb = need();\n const r = await fetch(\n `${sb.url}/rest/v1/${TABLE}?id=eq.${encodeURIComponent(id)}` +\n `&updated_at=eq.${encodeURIComponent(seen)}`,\n {\n method: \"PATCH\",\n headers: headers(sb.key, { Prefer: \"return=representation\" }),\n body: JSON.stringify({\n status: \"running\",\n updated_at: new Date().toISOString(),\n }),\n },\n );\n if (!r.ok) return false;\n const rows = await r.json();\n return Array.isArray(rows) && rows.length === 1;\n}\n\nexport const JOB_TOOLS = [\n {\n name: \"start_batch\",\n description:\n \"Поставить большую пачку однотипных запросов в очередь. В отличие от ask_model_batch, \" +\n \"который выполняется целиком за один вызов и на тысячах элементов упирается в лимит \" +\n \"времени, здесь работа идёт порциями: инструмент возвращает номер задачи сразу, а сама \" +\n \"обработка происходит при каждом обращении check_batch. Пачку можно двигать вручную, \" +\n \"вызывая check_batch до конца, а можно оставить: раз в час её доталкивает задача \" +\n \"по расписанию. Годится для перевода, классификации, извлечения полей на сотнях \" +\n \"и тысячах элементов.\",\n inputSchema: {\n type: \"object\",\n properties: {\n items: {\n type: \"array\",\n description: \"Элементы работы. У каждого id и prompt.\",\n items: {\n type: \"object\",\n properties: {\n id: { type: \"string\" },\n prompt: { type: \"string\" },\n },\n required: [\"id\", \"prompt\"],\n },\n },\n system: {\n type: \"string\",\n description:\n \"Общая инструкция для всех элементов. Выносите сюда всё повторяющееся: \" +\n \"у провайдеров с кэшем префикса это резко удешевляет пачку.\",\n },\n tier: { type: \"string\", enum: [\"fast\", \"smart\", \"long\"] },\n provider: { type: \"string\" },\n model: { type: \"string\" },\n max_tokens: { type: \"number\" },\n temperature: { type: \"number\" },\n allow_paid: { type: \"boolean\" },\n },\n required: [\"items\"],\n },\n },\n {\n name: \"check_batch\",\n description:\n \"Продвинуть фоновую пачку и узнать её состояние. Каждый вызов обрабатывает очередную \" +\n \"порцию и возвращает, сколько сделано из скольких. Когда всё готово, отдаёт результат \" +\n \"страницами: если он не поместился, шлюз сам назовёт offset для следующей. Повторный \" +\n \"вызов после завершения ничего не пересчитывает и денег не стоит.\",\n inputSchema: {\n type: \"object\",\n properties: {\n job_id: { type: \"string\", description: \"Номер задачи из start_batch.\" },\n offset: {\n type: \"number\",\n description:\n \"С какого элемента показывать готовый результат. Нужен, когда результат \" +\n \"не поместился в один ответ: следующее значение шлюз называет сам.\",\n },\n },\n required: [\"job_id\"],\n },\n },\n];\n\nexport async function handleJobs(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name === \"start_batch\") {\n const items = Array.isArray(args?.items) ? args.items : [];\n if (!items.length)\n throw new Error(\"Обязательный параметр: items (непустой массив)\");\n const bad = items.find((x: any) => !x?.id || !x?.prompt);\n if (bad) throw new Error(\"У каждого элемента должны быть id и prompt\");\n\n const sb = need();\n const id = jobId();\n const opts = {\n system: args.system,\n tier: args.tier,\n provider: args.provider,\n model: args.model,\n max_tokens: args.max_tokens,\n temperature: args.temperature,\n allow_paid: args.allow_paid === true,\n // Номер задачи запоминаем при постановке: обработка идёт в других вызовах,\n // а в журнале вся пачка должна читаться одной работой.\n trace: args.trace,\n };\n const r = await fetch(`${sb.url}/rest/v1/${TABLE}`, {\n method: \"POST\",\n headers: headers(sb.key, { Prefer: \"return=minimal\" }),\n body: JSON.stringify({\n id,\n status: \"queued\",\n total: items.length,\n done: 0,\n opts,\n items,\n results: [],\n // Отметку времени ставим сразу: она работает версией строки при захвате,\n // а без неё первая же проверка новой пачки шла бы без защиты от гонки.\n updated_at: new Date().toISOString(),\n }),\n });\n if (!r.ok)\n throw new Error(\n `Supabase не принял задачу, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n\n return text(\n `Пачка поставлена: ${id}\\nЭлементов: ${items.length}, обработано 0.\\n\\n` +\n `За один заход обрабатывается до ${CHUNK} элементов. Можно двигать вручную, ` +\n `вызывая check_batch с этим номером, а можно оставить: раз в час пачку ` +\n `доталкивает задача по расписанию.` +\n (opts.allow_paid\n ? \"\\n\\nРазрешены дешёвые платные провайдеры: пачка может стоить денег.\"\n : \"\"),\n );\n }\n\n if (name !== \"check_batch\") return null;\n if (!args?.job_id) throw new Error(\"Обязательный параметр: job_id\");\n\n const job = await loadJob(args.job_id);\n if (!job)\n throw new Error(\n `Задача ${args.job_id} не найдена. Номер выдаёт start_batch.`,\n );\n\n const items: any[] = job.items ?? [];\n const results: any[] = job.results ?? [];\n\n if (job.status === \"done\" || results.length >= items.length) {\n return await finish(job.id, items, results, text, Number(args.offset) || 0);\n }\n\n if (!(await claim(job.id, job.updated_at ?? null))) {\n return text(\n `Пачку ${job.id} прямо сейчас двигает другой вызов — обработано ${results.length} ` +\n `из ${items.length}. Это не ошибка: так две одновременные проверки не берут ` +\n `одну порцию дважды. Повторите через несколько секунд.`,\n );\n }\n\n // За один заход берём не больше порции и не дольше бюджета времени: что\n // успели — то записали. Остальное подхватит следующий вызов.\n const startCount = results.length;\n const started = Date.now();\n const opts = job.opts ?? {};\n\n while (\n results.length < items.length &&\n results.length - startCount < CHUNK &&\n Date.now() - started < BUDGET_MS\n ) {\n const slice = items.slice(\n results.length,\n Math.min(results.length + CONCURRENCY, items.length),\n );\n const done = await Promise.all(\n slice.map(async (it: any) => {\n try {\n const r = await ask({\n prompt: it.prompt,\n system: opts.system,\n tier: opts.tier,\n provider: opts.provider,\n model: opts.model,\n max_tokens: opts.max_tokens,\n temperature: opts.temperature,\n allow_paid: opts.allow_paid === true,\n trace: opts.trace,\n } as any);\n return {\n id: it.id,\n text: r.text,\n provider: r.provider,\n model: r.model,\n };\n } catch (e: any) {\n return { id: it.id, error: String(e?.message || e).slice(0, 300) };\n }\n }),\n );\n results.push(...done);\n }\n\n const finished = results.length >= items.length;\n await saveJob(job.id, {\n results,\n done: results.length,\n status: finished ? \"done\" : \"running\",\n });\n\n if (!finished) {\n const failed = results.filter((r) => r.error).length;\n return text(\n `Пачка ${job.id}: обработано ${results.length} из ${items.length}` +\n (failed ? `, из них с ошибкой ${failed}` : \"\") +\n `.\\n\\nВызовите check_batch ещё раз, чтобы продвинуть дальше.`,\n );\n }\n return await finish(job.id, items, results, text, Number(args.offset) || 0);\n}\n\n/**\n * Готовый результат отдаётся страницами. Раньше объёмный результат уезжал файлом\n * в публичную корзину — ссылка вечная и открыта любому, кто её знает, а внутри\n * рабочие данные клиентов. Журнал такие данные принципиально не хранит, и складывать\n * их в открытый доступ ради удобства выдачи — та же ошибка с другой стороны.\n */\nasync function finish(\n id: string,\n items: any[],\n results: any[],\n text: (s: string) => any,\n offset = 0,\n) {\n const okCount = results.filter((r) => !r.error).length;\n const head =\n `Пачка ${id} завершена. Элементов ${items.length}, успешно ${okCount}, ` +\n `с ошибкой ${results.length - okCount}.`;\n\n const from = Math.max(0, Math.min(offset, results.length));\n const page: any[] = [];\n let size = 0;\n let i = from;\n for (; i < results.length; i++) {\n const chunk = JSON.stringify(results[i], null, 2);\n // Хотя бы один элемент отдаём всегда, иначе гигантский элемент встал бы стеной.\n if (page.length && size + chunk.length > INLINE_LIMIT) break;\n page.push(results[i]);\n size += chunk.length;\n }\n\n const more = i < results.length;\n return text(\n `${head}\\n\\nПоказаны ${from + 1}–${i} из ${results.length}.` +\n (more ? ` Дальше — check_batch с тем же номером и offset: ${i}.` : \"\") +\n `\\n\\n${JSON.stringify(page, null, 2)}`,\n );\n}\n",[258],"3549fa2c-f84a-46d8-9009-195670b4f33a","images.ts","4911a186-8d89-11f1-90bb-1607ee4eb77e",69,["D",1785599108556],7,"// Картинки: генерация, хранение и выдача файла.\n// Вынесено из main.tsx: Val Town не принимает файл длиннее 80 000 символов,\n// и главный файл упёрся в этот предел.\n\nimport { baseOf, env, providerById } from \"./main.tsx\";\nimport { forgetSpendCache, guardBudget, logSpend } from \"./spend.ts\";\n\n// Места мало — 10 МБ на аккаунт при картинке около мегабайта, поэтому перед\n// записью вычищаем старое, оставляя последние KEEP.\nconst IMG_PREFIX = \"img:\";\nexport const IMG_KEEP = 8;\n\ninterface BlobStore {\n set(key: string, value: any): Promise;\n get(key: string): Promise;\n list(\n prefix?: string,\n ): Promise>;\n delete(key: string): Promise;\n}\n\n/** В тестах хранилища нет — подменяем памятью. */\nconst memoryBlobs = new Map();\nconst memoryStore: BlobStore = {\n async set(k, v) {\n memoryBlobs.set(k, v instanceof Uint8Array ? v : new Uint8Array(0));\n },\n async get(k) {\n const v = memoryBlobs.get(k);\n if (!v) throw new Error(\"ValTownBlobNotFoundError\");\n return new Response(v);\n },\n async list(prefix = \"\") {\n return [...memoryBlobs.keys()]\n .filter((k) => k.startsWith(prefix))\n .map((k) => ({\n key: k,\n size: memoryBlobs.get(k)!.length,\n lastModified: new Date().toISOString(),\n }));\n },\n async delete(k) {\n memoryBlobs.delete(k);\n },\n};\n\nlet blobCache: BlobStore | null = null;\nexport async function store(): Promise {\n if (blobCache) return blobCache;\n try {\n const mod: any = await import(\"https://esm.town/v/std/blob/main.ts\");\n blobCache = mod.blob as BlobStore;\n } catch {\n blobCache = memoryStore;\n }\n return blobCache;\n}\n\n/** Оставляет последние KEEP картинок: место кончается быстро. */\nasync function prune(s: BlobStore) {\n try {\n const all = await s.list(IMG_PREFIX);\n if (all.length <= IMG_KEEP) return;\n const old = all\n .sort((a, b) =>\n String(b.lastModified).localeCompare(String(a.lastModified)),\n )\n .slice(IMG_KEEP);\n for (const it of old) await s.delete(it.key);\n } catch {\n // Уборка второстепенна: не вышло — и ладно.\n }\n}\n\n// Постоянное хранилище: корзина в Supabase. Блобы Val Town остаются запасным\n// вариантом — 10 МБ на аккаунт, файлы вытесняются, поэтому там жить нельзя.\n// Ключ service_role лежит в переменных вала, в коде его нет.\nconst BUCKET = \"ai-gateway\";\n\nfunction supabase(): { url: string; key: string } | null {\n const url = env(\"SUPABASE_URL\");\n const key = env(\"SUPABASE_SERVICE_KEY\");\n if (!url || !key) return null;\n return { url: url.replace(/\\/+$/, \"\"), key };\n}\n\n/** Кладёт файл в Supabase. Возвращает публичную ссылку или null, если корзина не настроена. */\nexport async function putFile(\n name: string,\n bytes: Uint8Array,\n mime: string,\n): Promise {\n const sb = supabase();\n if (!sb) return null;\n // Ключ идёт в двух заголовках намеренно. Новые ключи вида sb_secret_ Supabase\n // принимает только в apikey (в Authorization он пытается разобрать их как JWT\n // и отвечает «Invalid Compact JWS»), а старые service_role — наоборот, в\n // Authorization. Одинаковое значение в обоих заголовках разрешено и покрывает оба.\n const r = await fetch(`${sb.url}/storage/v1/object/${BUCKET}/${name}`, {\n method: \"POST\",\n headers: {\n apikey: sb.key,\n Authorization: `Bearer ${sb.key}`,\n \"Content-Type\": mime,\n \"x-upsert\": \"true\",\n },\n body: bytes,\n });\n if (!r.ok) {\n throw new Error(\n `Supabase не принял файл, ${r.status}: ${(await r.text()).slice(0, 200)}`,\n );\n }\n return `${sb.url}/storage/v1/object/public/${BUCKET}/${name}`;\n}\n\nfunction randomId(): string {\n const u = new Uint8Array(16);\n crypto.getRandomValues(u);\n return [...u].map((b) => b.toString(16).padStart(2, \"0\")).join(\"\");\n}\n\n// Бесплатной генерации картинок нет ни у кого из наших. Проверено 01.08.2026:\n// у Google все модели Imagen закрыты для новых аккаунтов, а чат-модели с картинками\n// (gemini-3-pro-image, 2.5-flash-image, 3.1-flash-image) на бесплатном тарифе дают\n// 429 «quota exceeded» — квота там нулевая. В бесплатном каталоге OpenRouter моделей\n// для картинок нет вовсе. Поэтому единственный рабочий путь платный, и мы не тратим\n// вызов на заведомо мёртвого провайдера, а сразу говорим об этом.\nconst IMAGE_MODELS: Record = {\n gemini: \"gemini-3-pro-image\",\n xai: \"grok-imagine-image\",\n openai: \"gpt-image-2\",\n};\n\n// Картинки тарифицируются не по токенам чат-моделей, поэтому цену берём отдельно:\n// иначе в ответ уходила бы цена за миллион токенов и вводила в заблуждение.\nconst IMAGE_PRICE: Record = {\n xai: \"около $0.02 за картинку\",\n openai: \"около $0.03 за картинку среднего качества, до $0.12 за высокое\",\n};\n\n// Числовая оценка для учёта и дневного потолка. Для OpenAI берётся середина\n// вилки: точная цена зависит от качества, а занижать учёт хуже, чем завышать.\nconst IMAGE_USD: Record = { xai: 0.02, openai: 0.07 };\n\n// OpenAI свой же параметр response_format в картиночном API не принимает: gpt-image\n// всегда отдаёт base64 и на лишнее поле отвечает отказом. У остальных, наоборот,\n// без него приходит ссылка, которая через несколько минут протухает.\nfunction imageBody(id: string, model: string, prompt: string) {\n const body: Record = { model, prompt, n: 1 };\n if (id !== \"openai\") body.response_format = \"b64_json\";\n return body;\n}\n\ninterface ImageArgs {\n prompt: string;\n provider?: string;\n model?: string;\n allow_paid?: boolean;\n origin: string;\n}\n\nexport async function generateImage(a: ImageArgs) {\n if (!a.provider && !a.allow_paid) {\n throw new Error(\n \"Бесплатной генерации картинок сейчас нет: у Google квота на изображения нулевая, \" +\n \"в бесплатном каталоге OpenRouter таких моделей нет. Платных варианта два — xAI \" +\n \"(дешевле) и OpenAI (лучше держит надписи). Передайте allow_paid: true, \" +\n \"предварительно спросив пользователя.\",\n );\n }\n const order = a.provider ? [a.provider] : [\"xai\"];\n const errors: string[] = [];\n\n for (const id of order) {\n const p = providerById(id);\n if (!p) {\n errors.push(`неизвестный провайдер ${id}`);\n continue;\n }\n const key = env(p.keyEnv);\n if (!key) {\n errors.push(`${id}: нет ключа ${p.keyEnv}`);\n continue;\n }\n const model = a.model || IMAGE_MODELS[id];\n if (!model) {\n errors.push(`${id}: не умеет картинки`);\n continue;\n }\n\n // Потолок проверяется до запроса и вне try: отказ по бюджету — это ответ\n // пользователю, а не повод молча перебрать следующего платного провайдера.\n if (p.cost !== \"free\") await guardBudget(IMAGE_USD[id] ?? 0.02);\n\n try {\n const res = await fetch(`${baseOf(p)}/images/generations`, {\n method: \"POST\",\n headers: {\n Authorization: `Bearer ${key}`,\n \"Content-Type\": \"application/json\",\n },\n body: JSON.stringify(imageBody(id, model, a.prompt)),\n });\n if (!res.ok)\n throw new Error(\n `${id} вернул ${res.status}: ${(await res.text()).slice(0, 300)}`,\n );\n const j: any = await res.json();\n const item = (j?.data ?? [])[0];\n let b64: string | undefined = item?.b64_json;\n\n // Часть провайдеров отдаёт ссылку вместо байтов. Забираем сами: чужая\n // ссылка протухнет раньше, чем пользователь успеет её открыть.\n if (!b64 && item?.url) {\n const im = await fetch(item.url);\n if (!im.ok)\n throw new Error(`${id}: картинка по ссылке недоступна, ${im.status}`);\n const buf = new Uint8Array(await im.arrayBuffer());\n let s = \"\";\n for (let i = 0; i < buf.length; i++) s += String.fromCharCode(buf[i]);\n b64 = btoa(s);\n }\n if (!b64)\n throw new Error(\n `${id} не вернул картинку: ${JSON.stringify(j).slice(0, 300)}`,\n );\n\n const bin = atob(b64);\n const bytes = new Uint8Array(bin.length);\n for (let i = 0; i < bin.length; i++) bytes[i] = bin.charCodeAt(i);\n\n const name = `${randomId()}.png`;\n const remote = await putFile(name, bytes, \"image/png\");\n if (!remote) {\n const s = await store();\n await prune(s);\n await s.set(IMG_PREFIX + name, bytes);\n }\n\n // Картинки тарифицируются поштучно, токенов у них нет — пишем оценку сразу.\n if (p.cost !== \"free\") {\n void logSpend({\n provider: id,\n model,\n kind: \"image\",\n usd: IMAGE_USD[id] ?? 0.02,\n }).then(forgetSpendCache);\n }\n\n return {\n url: remote || `${a.origin}/f/${name}`,\n permanent: !!remote,\n provider: id,\n model,\n bytes: bytes.length,\n b64,\n cost: p.cost,\n price: IMAGE_PRICE[id] ?? p.price,\n };\n } catch (e: any) {\n errors.push(String(e?.message || e));\n }\n }\n throw new Error(`Картинка не получилась:\\n- ${errors.join(\"\\n- \")}`);\n}\n\nexport { IMG_PREFIX };\n",[265],"064e972f-6d7f-40d4-a7ad-d64fdad05919","catalog.ts","b0fcb870-8da8-11f1-966d-1607ee4eb77e",52,["D",1785589108848],"// Слежение за каталогами моделей.\n//\n// Имена моделей у провайдеров живут своей жизнью: за один день выяснилось, что\n// у xAI прежние идентификаторы исчезли из каталога, у OpenRouter обновился весь\n// бесплатный список, а у DeepSeek удобные псевдонимы в каталоге не значатся вовсе.\n// Ломается это молча — очередной вызов просто отвечает «модель не найдена».\n//\n// Поэтому храним снимок каталога и сравниваем с ним. Снимок лежит в блобе вала,\n// а не в Supabase: это техническая мелочь на пару килобайт, ей там не место.\n\nimport { baseOf, env, providerById, PROVIDERS } from \"./main.tsx\";\nimport { store } from \"./images.ts\";\n\nconst KEY = \"catalog:snapshot\";\n\ntype Snapshot = { at: string; models: Record };\n\nasync function readSnapshot(): Promise {\n try {\n const s = await store();\n const txt = await (await s.get(KEY)).text();\n return JSON.parse(txt) as Snapshot;\n } catch {\n return null;\n }\n}\n\nasync function writeSnapshot(snap: Snapshot): Promise {\n const s = await store();\n await s.set(KEY, new TextEncoder().encode(JSON.stringify(snap)));\n}\n\n/** Живой список моделей у одного провайдера. Пустой массив означает «не отдал». */\nasync function listOf(id: string): Promise {\n const p = providerById(id);\n const key = p && env(p.keyEnv);\n if (!p || !key) return [];\n try {\n const r = await fetch(`${baseOf(p)}/models`, {\n headers: { Authorization: `Bearer ${key}` },\n });\n if (!r.ok) return [];\n const j: any = await r.json();\n const rows = j?.data ?? j?.models ?? [];\n return rows\n .map((m: any) => String(m?.id ?? m?.name ?? \"\"))\n .filter(Boolean)\n .sort();\n } catch {\n return [];\n }\n}\n\nexport const CATALOG_TOOLS = [\n {\n name: \"check_catalog\",\n description:\n \"Сверить живые каталоги моделей со снимком и показать, что появилось и что исчезло. \" +\n \"Нужно потому, что провайдеры меняют имена моделей молча, а узнаётся это в момент отказа \" +\n \"вызова. Запускать по расписанию раз в сутки и всякий раз, когда модель вдруг перестала \" +\n \"находиться. Первый запуск снимка не имеет и просто его создаёт. Провайдеры, которые не \" +\n \"отдают каталог по ключу, перечисляются отдельно — это не поломка, у Anthropic так и есть.\",\n inputSchema: {\n type: \"object\",\n properties: {\n save: {\n type: \"boolean\",\n description:\n \"Записать новый снимок после сверки. По умолчанию да. Передайте false, чтобы \" +\n \"посмотреть расхождения, не сбрасывая точку отсчёта.\",\n },\n },\n },\n },\n];\n\nexport async function handleCatalog(\n name: string,\n args: any,\n text: (s: string) => any,\n) {\n if (name !== \"check_catalog\") return null;\n\n const configured = PROVIDERS.filter((p: any) => !!env(p.keyEnv)).map(\n (p: any) => p.id,\n );\n const now: Record = {};\n const silent: string[] = [];\n for (const id of configured) {\n const models = await listOf(id);\n if (models.length) now[id] = models;\n else silent.push(id);\n }\n\n const prev = await readSnapshot();\n const save = args?.save !== false;\n const snap: Snapshot = { at: new Date().toISOString(), models: now };\n\n if (!prev) {\n if (save) await writeSnapshot(snap);\n const counts = Object.entries(now)\n .map(([id, m]) => `${id}: ${m.length}`)\n .join(\", \");\n return text(\n `Снимка не было — создан первый. Учтено провайдеров: ${Object.keys(now).length} (${counts}).` +\n (silent.length ? `\\nКаталог не отдают: ${silent.join(\", \")}.` : \"\") +\n \"\\n\\nСравнивать будет со следующего запуска.\",\n );\n }\n\n const lines: string[] = [];\n for (const id of Object.keys(now)) {\n const before = new Set(prev.models[id] ?? []);\n const after = new Set(now[id]);\n if (!prev.models[id]) {\n lines.push(\n `${id}: каталога в прошлом снимке не было, теперь ${after.size} моделей`,\n );\n continue;\n }\n const gone = [...before].filter((m) => !after.has(m));\n const added = [...after].filter((m) => !before.has(m));\n if (!gone.length && !added.length) continue;\n const parts: string[] = [];\n // Исчезнувшие важнее появившихся: именно они ломают то, что уже работает.\n if (gone.length)\n parts.push(`ИСЧЕЗЛИ (${gone.length}): ${gone.slice(0, 15).join(\", \")}`);\n if (added.length)\n parts.push(\n `появились (${added.length}): ${added.slice(0, 15).join(\", \")}`,\n );\n lines.push(`${id} — ${parts.join(\"; \")}`);\n }\n\n // Провайдер, который раньше отдавал каталог, а теперь молчит, — тоже событие:\n // так выглядит слетевший ключ или отозванный доступ.\n const wentSilent = silent.filter((id) => (prev.models[id] ?? []).length > 0);\n\n if (save) await writeSnapshot(snap);\n\n if (!lines.length && !wentSilent.length) {\n return text(\n `Каталоги не изменились с ${prev.at}. Проверено провайдеров: ${Object.keys(now).length}.` +\n (silent.length\n ? `\\nКаталог не отдают (как и раньше): ${silent.join(\", \")}.`\n : \"\"),\n );\n }\n\n return text(\n `Изменения в каталогах с ${prev.at}:\\n\\n${lines.join(\"\\n\")}` +\n (wentSilent.length\n ? `\\n\\nПерестали отдавать каталог: ${wentSilent.join(\", \")}. Проверьте ключ — так выглядит отозванный доступ.`\n : \"\") +\n \"\\n\\nЕсли исчезли модели, на которые шлюз ссылается по умолчанию, поправьте tiers в main.tsx.\",\n );\n}\n",[273],"20c2c77f-a4b3-4bfd-8116-b30b3d568054","canon.ts","a4a5c946-8de3-11f1-bdfb-1607ee4eb77e",134,["D",1787462187916],19,"// Свод правил сети — единственный источник истины, читаемый по требованию.\n//\n// Зачем отдельный инструмент, если правила уже лежат в плагине и в CLAUDE.md.\n// Те файлы читаются один раз при запуске сессии: правка доходит до уже открытых\n// чатов только после переустановки и перезапуска, а до чужих сред — никогда.\n// Здесь наоборот: текст живёт на шлюзе и отдаётся в момент вызова, поэтому\n// изменение правил доходит до всех сред сразу — до Cowork, до чатов claude.ai\n// и до Claude Code, — без переустановки и без перезапуска.\n//\n// Разделение обязанностей такое. Статические файлы держат ОДНУ строку: «в начале\n// задачи спроси правила у шлюза». Она почти не меняется, поэтому перезапуски\n// становятся редкими. Всё, что меняется часто — роли, пороги, договорённости, —\n// живёт здесь и правится одним развёртыванием.\n\nimport { logCall } from \"./log.ts\";\n\nexport const CANON_UPDATED = \"2 августа 2026\";\n\nexport const CANON = `# Правила агентской сети UM Group\n\nСвод от ${CANON_UPDATED}. Прочитан с шлюза, значит он актуален: файлы в плагине\nи в CLAUDE.md могли устареть, этот текст — нет.\n\n## 1. Делегирование\n\nМассовую механическую работу не делать собственным контекстом. От десяти\nоднотипных единиц — ask_model_batch, от сотни — start_batch и затем check_batch.\nВсё повторяющееся выносить в system: у провайдеров с кэшем префикса это кратно\nдешевле.\n\n### Как отдать наружу то, что лежит файлом\n\nask_model принимает строку, а не путь: чтобы передать документ, его надо сперва\nпрочитать, то есть занять им свой контекст — и экономия пропадает. read_document\nтут не помогает, он распознаёт по прямой ссылке, а не читает файл с диска.\n\nОбход есть, и он не хитрый: шлюз — обычный HTTP-эндпоинт с JSON-RPC. Скрипт\nчитает файл, режет на куски и отправляет их сам; модель при этом не видит ни\nодного абзаца, ей достаётся только сводка. Так и надо делать для вычитки,\nперевода и разметки больших текстов. Адрес и токен скрипт берёт из настройки\nMCP (claude mcp list), в код их не вписывать и на экран не печатать.\n\nПока такого скрипта нет — честнее сказать «иначе не умею», чем «не стоит того»:\nэто разные вещи, и человек по ответу должен понимать, какая именно.\n\n### Расшифровка записей: как файл попадает в шлюз\n\nШлюз берёт звук только по ссылке, а песочница Cowork наружу почти не ходит:\nзамер 17 августа — доступны pypi, npm и github, а Groq, Google и Supabase\nзакрыты. Значит файл, приложенный к чату, переслать шлюзу нельзя, и единственная\nплощадка, до которой достают обе стороны, — Google Drive владельца.\n\nПорядок: запись лежит в папке «Записи на расшифровку» (доступ по ссылке включён\nна папке один раз, файлы наследуют его). Ссылка для шлюза строится как\ndrive.usercontent.google.com/download?id=ИДЕНТИФИКАТОР&export=download — проверено\n17 августа на живой записи. После расшифровки текст кладётся в папку\n«Расшифровано», и туда же переносится сама запись: папка закрыта, и перенос\nснимает наследованный публичный доступ. Оставлять клиентские разговоры в открытой\nпапке после расшифровки нельзя.\n\nПредел одного вызова — 25 МБ, ровно как у Groq. Пятьдесят минут разговора в\n16 кГц моно — это около 12 МБ, то есть один вызов без нарезки; резать нужно\nтолько то, что не влезло и после сжатия.\n\n### Веер параллельных вызовов — не пачка\n\nЗамер 13 августа: восемь однотипных черновиков ушли восемью одновременными\nask_model, у каждого был явно указан provider gemini. Все восемь вернулись\nотказом 429. Квота при этом была цела — проверка провайдеров в тот же день\nпоказала gemini рабочим за 616 мс. Упор был в частоту, а не в исчерпание.\n\nОтсюда два правила. Однотипные единицы от десяти штук идут одним\nask_model_batch: он держит конкурентность сам, и минутный лимит бесплатного\nпровайдера не выбирается залпом. И провайдера в таких вызовах лучше не называть\nвовсе: автовыбор обойдёт бесплатных по кругу, а названный — это отказ от\nзапасных.\n\nСо стороны шлюза дыру закрыли 13 августа: названный БЕСПЛАТНЫЙ провайдер,\nупёршийся в 429, подменяется другим бесплатным, и подмена называется в ответе\nстрокой «Подмена исполнителя». Названного платного не подменяют — выбор платного\nисполнителя это решение человека о деньгах. Отказ не по лимиту (неверная модель,\nневерный параметр) к соседям тоже не уходит: у них будет та же ошибка, позже.\n\n## 2. Кто что делает (по замерам 1 августа, код проверялся запуском)\n\n- gemini — рабочая лошадь: тексты, вычитка, казахский, быстрый первый проход по\n коду. Бесплатно, около секунды.\n- openai/gpt-5.3-codex — код, где нужна точность. Около трёх секунд, порядка\n цента за задачу.\n- groq — конвейер структурного: классификация, извлечение полей, расчёты за\n полсекунды. Код, русскую вычитку и казахский ему не давать.\n- deepseek-reasoner — ревью и разбор багов. Обязательно max_tokens от 2500,\n а на разборе кода от 8000: замер 3 августа — на модуле объединения кампаний\n не хватило и 3000, весь лимит ушёл на размышления, ответ пришёл пустым.\n- mistral — вторая линия и чистый SQL.\n- qwen3-coder-next — бесплатный дублёр по коду.\n- openrouter — резерв, нестабилен.\n- Слабое место бесплатного контура — казахский язык: клиентский казахский\n контент сверять платной моделью.\n\n### Чего стоит внешнее ревью кода\n\nЗамер 3 августа, модуль объединения кампаний: из трёх находок внешней модели\nверной оказалась одна, а одна была прямо вредной — совет, который вернул бы\nкритический дефект. Причина простая и неустранимая: модель по ту сторону шлюза\nчитает код, но не может его запустить. Отсюда правило: находки внешнего ревью —\nэто гипотезы, а не вердикты. Каждую проверять запуском, прежде чем править.\nЦенность такого ревью в том, что оно дёшево порождает подозрения; цену находке\nзадаёт проверка, а не уверенность формулировки.\n\nИ отдельно: панель из нескольких моделей, которая не уложилась в время и свелась\nк одной модели, — это не панель. Весь её смысл в расхождении между участниками;\nодин участник расхождений не даёт. Если панель не отработала, честно сказать\n«сверка не состоялась», а не выдавать ответ единственной модели за сверку.\n\n## 3. Уровень модели по цене ошибки\n\nМеханика без суждения — младшая модель или наружу через шлюз. Обычное задание —\nсредняя. Неочевидный выбор и отладка — средняя с рассуждением. Архитектура,\nденьги, доступы, миграции — старшая, занижать нельзя. Модель текущей сессии\nClaude сменить не может: это делает человек. Модель субагентов и tier\nделегирования Claude выбирает сам и молча.\n\n## 4. Раздача задач плана\n\nУ каждой задачи плана сначала появляется исполнитель, и по умолчанию это не\nClaude-субагент. Критерий: поймает ли ошибку автоматическая проверка. Поймает —\nмеханика, в шлюз. Не поймает — суждение, оставить Claude: архитектура, схема\nданных, доступы и деньги, дизайн тестовых случаев, финальное ревью. Код из шлюза\nзапускается, а не читается: на замере модели уверенно возвращали функции,\nпроходившие два теста из шести.\n\nУстановленные плагины-специалисты подбираются автоматически, по их описанию: человек\nне обязан их помнить и не должен звать по имени. Когда задача отнесена к суждению,\nсначала проверьте, есть ли профильный агент — безопасность, TypeScript, схема данных, —\nи отдайте ему; общий субагент берётся, только если профильного нет. Слэш-команды таких\nплагинов — сокращение для человека, а не условие работы. Обратная сторона автоматики:\nсписок агентов сам занимает контекст и размывает выбор, поэтому плагинов держим единицы,\nа не десятки — см. раздел 11.\n\n### Как дать внешней модели то, чего она не видит\n\nВнешняя модель не видит репозиторий. Упаковщик repomix (npx repomix) сводит проект\nв один файл и считает токены заранее — это полезно для оценки стоимости и как карта\nструктуры. Но своду со сжатием (--compress) верить нельзя: он оставляет сигнатуры без\nтел, и модель начинает додумывать. Замер 1 августа на нашем же коде: по сжатому своду\nмодель не нашла ни одной из пяти известных проблем и выдала три несуществующих, прямо\nпротиворечащих комментариям в том же тексте. Для ревью отдавать полный текст нужных\nфайлов, а не свод; свод — для механики по всей базе и для оценки объёма.\n\n## 5. Пометки\n\nВ каждом вызове шлюза заполнять note (зачем, человеческими словами) и project\n(проект, клиент или чат). Передавать на верхнем уровне аргументов, НЕ через\nextra: оттуда они уходят провайдеру в тело запроса и роняют вызов с ошибкой 400.\n\n## 6. Деньги\n\nАвтовыбор ходит по бесплатным. Дешёвые платные — флагом allow_paid либо\nавтоматически, если задан CHEAP_AUTO=1 вместе с дневным потолком. Премиальные —\nтолько явным указанием провайдера, и это уже согласие на расход. Дневной потолок\nSPEND_LIMIT_USD проверяется до запроса и покрывает всё платное, включая картинки,\nвидео и веб-поиск. Веб-поиск — самый дорогой инструмент, только по одному вопросу\nза раз и никогда пачками.\n\n## 7. Проверка перед словом «готово»\n\nНе называть работу законченной, не выполнив действия, которое могло бы показать,\nчто она сломана. Перечитывание собственного результата таким действием не\nявляется. Изменив что-либо в системе — сразу обновить панель, схему архитектуры,\nREADME и инструкции: расхождение между работающим и нарисованным опаснее\nотсутствия схемы.\n\n### Правка живого кода: сначала карта влияния, потом правка\n\nДобавление функции в работающую программу ломает соседнее не случайно, а по\nодной и той же причине: правка делается в том месте, куда смотрят, а зависит от\nнего то, куда не смотрят. Поэтому порядок такой, и он не про аккуратность,\nа про действия.\n\nПервое. До правки — найти всех, кто пользуется тем, что меняется, и перечислить\nих в ответе списком. Поиском по имени функции, поля, ключа, эндпоинта, а не\nпо памяти. В список входят: вызывающие функции, тесты, схема данных и миграции,\nвнешний контракт (адреса API, формат ответа, имена полей в базе), обработчики\nошибок, и всё, что читает тот же файл или ту же настройку. Правка без такого\nсписка не начинается: «я посмотрел» — это не действие с независимым исходом.\n\nВторое. До правки — прогнать весь набор тестов и запомнить, что было зелёным.\nИначе после правки красный тест невозможно отнести: свой он или чужой. Замер\n17 августа в проекте автоматизации Google Ads: набор из 184 тестов, один тест\nуже красный. Без исходного замера он списывался бы на любую следующую правку —\nили, наоборот, прикрывал бы настоящую поломку.\n\nТретье. После правки — весь набор целиком, а не только новый тест. Новый тест\nпроверяет добавленное; ломается же соседнее.\n\nЧетвёртое. Красный тест — это не «готово». Если падение не связано с правкой,\nэто говорится человеку отдельной строкой, а не замалчивается. Заглушить тест,\nпометить пропуском или ослабить проверку вместо починки — запрещено: так теряется\nединственный сторож, который был.\n\nИ главное: правило само себя не выполняет. Решение «работа закончена» принимается\nчерез десятки ходов после того, как правило прочитано, и к этому моменту его\nв контексте уже нет. Поэтому там, где набор тестов запускается одной командой,\nставятся ворота на событие Stop: они прогоняют набор сами и возвращают ход\nобратно, если появились новые падения. В проекте автоматизации Google Ads такие\nворота стоят с 17 августа (scripts/hooks/tests-gate.ps1, журнал срабатываний\nрядом; ставятся одним запуском включить-ворота-тестов.bat). Заводится это в любом проекте, где есть чем проверять; если проверять\nнечем — это и есть первая задача, а не повод обойтись вниманием.\n\n## 8. Память\n\nВ начале темы вызывать recall, прежде чем спрашивать то, что уже обсуждали.\nИтог, к которому будут возвращаться, класть обратно через remember: одна\nсамодостаточная мысль на запись, без стенограмм и без секретов.\n\n## 9. Автономность\n\nДелать максимально всё самому. У человека просить только разрешение или то, что\nфизически недоступно. Не диктовать команды в консоль: если шаг всё же за ним,\nсвести его к одному клику — готовый скрипт, кнопка, файл. Называть границу\nдоступа прямо, а не изображать, что её нет.\n\n### Три уровня инициативы\n\nВнутри поставленной задачи — делать, не спрашивая: выбор исполнителя, порядок\nшагов, промежуточные файлы, тесты, откат неудачной попытки. Вопрос «продолжать?»\nпосреди понятной работы — это перекладывание решения на человека.\n\nНеобратимое — только спросив: деньги сверх бесплатного контура, удаление данных,\nчужие системы, доступы, отправка чего-либо клиенту. Здесь автономность кончается,\nи это называется прямо.\n\nСверх задачи — предлагать, но не делать. Увидели, что рядом с задачей напрашивается\nдоработка, удобство, чистка — в конце ответа отдельным коротким списком: «могу ещё:\nраз, два, три», по строке на пункт, с ценой в работе. Без команды человека эти\nпункты не делаются и не начинаются «пока ждём». Сделанное без спроса сверх задачи —\nне подарок, а навязанная работа по проверке.\n\n### Начало работы в проекте\n\nПервое действие содержательной задачи — сверить, что из сети здесь применимо,\nи сказать об этом одной строкой, а не абзацем: какой это проект (человеческое имя\nдля поля project), подключён ли шлюз, есть ли профильные навыки, чего не хватает.\nОтсутствующее называется с готовым путём: в Claude Code — «шлюза нет, подключается\nкомандой claude mcp add», в Cowork — «коннектор AiConcert не включён в этой беседе,\nвключите через + → Connectors». Молча работать без сети, когда она должна быть, —\nошибка того же сорта, что молча работать без тестов.\n\nПравила из свода применяются по месту: в проекте с тестами действуют ворота и\nкарта влияния, в проекте с чужим продуктом — раздел 14, в переписке без кода —\nтолько делегирование и отчётность. Свод один, но не всё в нём про каждую задачу;\nчто применимо здесь — решение исполнителя, и оно называется, а не угадывается\nчеловеком.\n\n## 10. Сдержанность в коде\n\nПравила против переусложнения. Собраны по разбору типичных ошибок языковых моделей\nв коде и приведены к нашей практике.\n\n**Думать до кода.** Скрытое предположение опаснее неверного: неверное видно сразу,\nскрытое всплывает через неделю. Поэтому допущение проговаривается вслух — но именно\nпроговаривается, а не превращается в вопрос. Спрашивать человека только там, где\nошибка необратима: деньги, доступы, чужие системы, удаление. В остальном назвать\nдопущение и работать дальше.\n\n**Проще — лучше.** Минимум кода, решающий поставленную задачу. Никаких «на будущее»:\nабстракций под воображаемые случаи, настроек под один сценарий, обёрток ради одного\nвызова. Функция, вызываемая единожды, обычно не нужна.\n\n**Точечные правки.** Каждая изменённая строка должна относиться к запросу. Не\nпереписывать соседний код, не чинить попутно чужое, не удалять непонятный код на том\nосновании, что он выглядит мёртвым, не наводить порядок в стиле файла. Существующий\nстиль сохраняется, даже если он не нравится: правка, которую нельзя прочитать одним\nвзглядом, дороже той пользы, ради которой её сделали.\n\n**Критерий готовности — до начала.** Сформулировать, что именно будет считаться\nсделанным и чем это проверяется, прежде чем писать. Иначе «готово» превращается\nв мнение, а проверять становится нечего.\n\n## 11. Стоимость контекста\n\nКаждый подключённый инструмент занимает место в окне ещё до первого слова задачи.\nВ Cowork описания подтягиваются по требованию, поэтому десяток коннекторов там почти\nничего не стоит. В Claude Code иначе: серверы из .mcp.json читаются при старте целиком,\nи подключённое «на всякий случай» отнимает контекст всю сессию. Чужой замер, который мы\nне перепроверяли (авторы everything-claude-code): при включении всех серверов сразу\nрабочее окно сжимается примерно с 200k до 70k. Отсюда правило: в проекте держать только\nто, чем проект пользуется. Шлюз — везде, он один и заменяет набор. Остальное подключать\nв конкретном проекте, а не в общем файле. Если инструментов стало заметно больше, а\nзадачи прежние — это повод убрать, а не оставить.\n\n## 12. Секреты\n\nКлючи, GATEWAY_TOKEN, VALTOWN_TOKEN и ключ Supabase живут только в переменных\nокружения вала. Не в репозитории, не в чате, не в журнале, не в памяти. Любой\nскрипт, вывод которого пойдёт в переписку, обязан маскировать секреты до печати:\nclaude mcp list, например, печатает токен в составе адреса.\n\n**В чужих проектах — то же правило и три ловушки.** Ключи не хардкодятся никогда,\nвключая «временно» и примеры в комментариях. Первая ловушка — переменные с префиксами\nNEXT_PUBLIC_, VITE_, REACT_APP_: при сборке они вшиваются в клиентский бандл и\nстановятся публичными. Туда кладётся только спроектированное публичным — anon-ключ\nSupabase, ключ pk_ у Stripe. Ключи sk_, service-role, ключи моделей и AWS живут на\nсервере; нужен такой API фронтенду — делается серверный прокси. Вторая ловушка — git:\nдо первого коммита .env в .gitignore, а перед коммитом diff проверяется на sk_, AKIA,\neyJ, Bearer, password=, apikey. Третья — история: если секрет уже в коммите, ротации\nмало, ключ надо ОТОЗВАТЬ, и сказать об этом человеку прямо, а не тихо заменить.\n\n## 14. Чужой продукт: доступ, данные, интерфейс\n\nПравила для кода, который увидят клиенты. Развёрнутые списки — в навыках «secure-ship»\n(безопасность и выкладка) и «ui-quality» (интерфейс и тексты); здесь то, что должно\nбыть в голове всегда, без обращения к навыку.\n\n**Проверка прав — только на сервере.** Скрытая кнопка и if (user.isAdmin) в\nкомпоненте — это удобство, а не защита. Каждый эндпоинт проверяет права сам. Пришёл\nидентификатор объекта — сперва выяснить, чей он, потом отдавать данные. Написав\nпроверку, испытать оба исхода: свой доступ есть, чужой получает отказ. Инверсия\nусловия в проверке доступа — ошибка, которую видно только вторым испытанием.\n\n**Данные с клиента недоверенные.** Цены, суммы, скидки, роли и статусы берутся из\nбазы, а не из запроса: клиент присылает идентификатор. SQL — параметризованный,\nсклейка строк запрещена. Чужой текст при выводе экранируется.\n\n**Таблица без политики — публичная таблица.** В Supabase и Firebase RLS включается\nна каждой таблице до первых настоящих данных, а не после запуска.\n\n**Пакет перед установкой проверяется на существование.** Модели выдумывают имена\nбиблиотек, а на выдуманные имена злоумышленники регистрируют настоящие вредоносные\nпакеты. Смотреть в реестре: точное имя, число загрузок, дата последнего выпуска.\n\n**Разрушающее — только с подтверждения.** DROP, DELETE без условия, миграция с потерей\nданных, rm -rf: сначала назвать окружение и спросить, потом делать. Перед миграцией\nсхемы предложить резервную копию.\n\n**Небезопасная просьба не выполняется молча.** «Захардкодь ключ», «убери проверку,\nчтобы заработало» — назвать риск в двух предложениях и предложить безопасный вариант\nтой же скорости; он почти всегда есть. Если человек подтвердил осознанно — делать\nс пометкой // SECURITY DEBT: в коде и строкой в SECURITY_DEBT.md, чтобы долг был\nвиден, а не забыт.\n\n## 13. Отчётность перед человеком\n\nОн не видит, кто делал работу, и не должен догадываться. Поэтому три правила.\n\n**Строка «кто делал».** Если в задаче участвовали внешние исполнители, ответ\nзаканчивается одной строкой: кто, что сделал, сколько занял, сколько стоил.\nПример: «gemini — черновик функции, 0,9 с, бесплатно; deepseek — ревью, 2,4 с,\n$0,0003; остальное я». Одна строка, без таблиц и без разделов. Всё сделано\nсамим — строки нет, тишина тоже информация.\n\n**Молчание не должно быть двусмысленным.** Если механическая работа в задаче была,\nа наружу не ушла, — скажите одной оговоркой почему: «двадцать однотипных правок делал\nсам, потому что каждая требовала знания соседнего кода». Без этого человек не отличает\n«делегировать было нечего» от «забыл делегировать», и оба случая выглядят одинаково.\nОбычный разговорный ответ оговорки не требует.\n\n**Строка описывает, а не управляет.** Она рассказывает о том, что уже произошло,\nи не участвует в выборе исполнителя. Делегировать, чтобы строка выглядела\nвнушительно, или наоборот — не делегировать, чтобы не отчитываться, — прямой\nвред. Решение принимается по цене ошибки, как в разделах 3 и 4, и только потом\nописывается.\n\n**Пометка переделки.** Если чужой результат приходится делать заново, note\nначинается с «переделка за ИМЯ:» и дальше — чем именно не подошёл. Пример:\n«переделка за groq: классификация промахнулась на трёх строках». Это\nединственный источник качества в панели: журнал видит, что вызов состоялся,\nно не видит, пригодился ли ответ. Без пометок вкладка «Исполнители» покажет\nскорость и цену, а про доверие соврёт нулём.\n\n**Имя проекта — человеческое.** В project идёт то, что человек узнает: имя\nклиента или портала, а не техническое описание работы. «Битрикс Астана», а не\n«извлечение полей».\n\n**Строка «чем работал».** Кроме внешних исполнителей называйте и своё оснащение:\nкакие навыки и плагины сработали, какие профильные агенты запускались. Человек\nустановил их и платит за них вниманием — он вправе знать, что они не лежат\nмёртвым грузом. Формат тот же: одна строка, человеческими словами.\nПример: «навыки: osint-kz (правовые основания и реестры), reviews-radar\n(отзывы 2ГИС); субагент по безопасности — проверка доступов».\n\nЕсли по теме навык есть, но не подошёл, — это тоже стоит одной оговорки: «скилл\nX не брал, он про SaaS-воронку, а тут портал Битрикса». Молчание здесь читается\nкак «навыки не работают», и человек начинает подозревать, что установка была\nнапрасной.`;\n\nexport const CANON_TOOLS = [\n {\n name: \"rules\",\n description:\n \"Получить действующий свод правил агентской сети: кто из моделей что делает по \" +\n \"результатам замеров, как выбирать уровень модели, как раздавать задачи плана, \" +\n \"как считаются деньги, что проверять перед словом «готово». Вызывайте в начале \" +\n \"работы — особенно если сессия открыта давно или это чужая среда: правила в \" +\n \"плагине и в CLAUDE.md читаются один раз при запуске и могли устареть, а этот \" +\n \"инструмент отдаёт текущую версию с шлюза. Ничего не стоит и не тратит токенов \" +\n \"провайдеров.\",\n inputSchema: {\n type: \"object\",\n properties: {\n project: {\n type: \"string\",\n description:\n \"Проект или клиент, в работе над которым читается свод. Заполняйте: \" +\n \"иначе чтение правил не попадёт в карточку проекта на панели.\",\n },\n },\n },\n },\n];\n\n/**\n * Свод по HTTP, без токена. Нужен для хука SessionStart в Claude Code: хук —\n * это команда в консоли, и класть в неё токен шлюза нельзя, а токен панели даёт\n * доступ к расходам и памяти, где лежат клиентские договорённости. Сам свод\n * секретов не содержит — это проверяется тестом, — поэтому открытый адрес здесь\n * дешевле любого из двух токенов.\n *\n * /rules — текст для человека и для curl.\n * /rules/hook — уже готовый ответ хука, чтобы в команде не было ни склейки,\n * ни jq, ни экранирования кавычек в cmd.exe.\n */\nexport function handleRulesHttp(url: URL): Response | null {\n const p = url.pathname.replace(/\\/+$/, \"\");\n\n // Срабатывания хуков пишем в журнал. Иначе проверить, что хук установился\n // и действительно работает, можно только заглянув в чужой settings.json —\n // а туда доступа нет. Теперь это видно в activity: «hook:свод» приходит раз\n // на сессию, «hook:субагент» — на каждый запуск субагента, и по их числу\n // сразу понятно, сколько работы ушло Claude-субагентам мимо шлюза.\n // Запись фоновая: хук не должен ждать базу, и её отказ не должен его ронять.\n const hookTool = p === \"/rules/hook\"\n ? \"hook:свод\"\n : p === \"/rules/agent-hook\"\n ? \"hook:субагент\"\n : null;\n if (hookTool) {\n void logCall({\n trace: \"hook\",\n tool: hookTool,\n status: \"ok\",\n note: hookTool === \"hook:свод\"\n ? \"старт сессии Claude Code — свод правил ушёл в контекст\"\n : \"Claude Code поднимает субагента — напоминание о раздаче задач\",\n }).catch(() => {});\n }\n if (p === \"/rules\") {\n return new Response(CANON, {\n headers: {\n \"Content-Type\": \"text/plain; charset=utf-8\",\n \"Cache-Control\": \"no-store\",\n },\n });\n }\n // Напоминание в момент, когда Claude Code собирается поднять субагента.\n // Свод, прочитанный на старте сессии, до этой точки не доживает: решение\n // «кому отдать задачу» принимается через десятки ходов, и рядом с ним\n // действует местный образец — «на следующую задачу поднимаем субагента».\n // Замер 3 августа: шестнадцать заходов исполнителей и семнадцать ревью, все\n // Claude-субагентами, из них около 300 тысяч токенов на чистой механике,\n // которую бесплатная модель сделала бы за секунду. Текст держать коротким:\n // он приходит на КАЖДЫЙ запуск субагента.\n if (p === \"/rules/agent-hook\") {\n return new Response(\n JSON.stringify({\n hookSpecificOutput: {\n hookEventName: \"PreToolUse\",\n permissionDecision: \"allow\",\n additionalContext:\n \"Раздача задач (свод, раздел 4). Прежде чем поднимать субагента, ответьте себе: \" +\n \"поймает ли ошибку этой задачи автоматическая проверка? Поймает — это механика \" +\n \"(перенос кода из плана, шаблонная правка, фикстуры, конвертация, разметка), \" +\n \"и она идёт в шлюз ai-gateway через ask_model или ask_model_batch, а не субагенту: \" +\n \"снаружи это доли цента, субагент тратит токены подписки. Не поймает — суждение, \" +\n \"субагент уместен: архитектура, схема данных, доступы и деньги, дизайн тестовых \" +\n \"случаев. Ревью кода — verify_answer с судьёй другого вендора и max_tokens от 8000, \" +\n \"а не рецензент того же вендора с тем же взглядом. В вызовах шлюза заполнять note \" +\n \"и project.\",\n },\n }),\n {\n headers: {\n \"Content-Type\": \"application/json; charset=utf-8\",\n \"Cache-Control\": \"no-store\",\n },\n },\n );\n }\n\n if (p === \"/rules/hook\") {\n return new Response(\n JSON.stringify({\n hookSpecificOutput: {\n hookEventName: \"SessionStart\",\n additionalContext: CANON,\n },\n }),\n {\n headers: {\n \"Content-Type\": \"application/json; charset=utf-8\",\n \"Cache-Control\": \"no-store\",\n },\n },\n );\n }\n return null;\n}\n\nexport async function handleCanon(\n name: string,\n _args: any,\n text: (s: string) => any,\n) {\n if (name !== \"rules\") return null;\n return text(CANON);\n}\n",[280],"pulls","branches","forks","envVars",{"_294":296,"_297":61},"connections",{"_294":61,"_295":61},"count","unfilledCount",24,"emptyCount",{"_41":279,"_31":280,"_29":281,"_148":-5,"_39":40,"_38":282,"_150":24,"_36":372,"_13":284,"_32":20,"_34":285,"_23":24,"_154":-5,"_318":373,"_26":374},{"_41":272,"_31":273,"_29":274,"_148":-5,"_39":40,"_38":275,"_150":24,"_36":369,"_13":61,"_32":20,"_34":277,"_23":24,"_154":-5,"_318":370,"_26":371},{"_41":264,"_31":265,"_29":266,"_148":-5,"_39":40,"_38":267,"_150":57,"_36":366,"_13":269,"_32":20,"_34":270,"_23":24,"_154":-5,"_318":367,"_26":368},{"_41":257,"_31":258,"_29":259,"_148":-5,"_39":40,"_38":260,"_150":57,"_36":363,"_13":152,"_32":20,"_34":262,"_23":24,"_154":-5,"_318":364,"_26":365},{"_41":250,"_31":251,"_29":252,"_148":-5,"_39":40,"_38":253,"_150":57,"_36":360,"_13":169,"_32":20,"_34":255,"_23":24,"_154":-5,"_318":361,"_26":362},{"_41":242,"_31":243,"_29":55,"_148":-5,"_39":40,"_38":244,"_150":24,"_36":357,"_13":246,"_32":247,"_34":248,"_23":24,"_154":-5,"_318":358,"_26":359},{"_41":235,"_31":236,"_29":237,"_148":-5,"_39":40,"_38":238,"_150":57,"_36":354,"_13":152,"_32":20,"_34":240,"_23":24,"_154":-5,"_318":355,"_26":356},{"_41":227,"_31":228,"_29":229,"_148":-5,"_39":40,"_38":230,"_150":57,"_36":351,"_13":232,"_32":20,"_34":233,"_23":24,"_154":-5,"_318":352,"_26":353},{"_41":220,"_31":221,"_29":222,"_148":-5,"_39":40,"_38":223,"_150":57,"_36":348,"_13":152,"_32":20,"_34":225,"_23":24,"_154":-5,"_318":349,"_26":350},{"_41":212,"_31":213,"_29":214,"_148":-5,"_39":40,"_38":215,"_150":57,"_36":345,"_13":217,"_32":20,"_34":218,"_23":24,"_154":-5,"_318":346,"_26":347},{"_41":205,"_31":206,"_29":207,"_148":-5,"_39":40,"_38":208,"_150":24,"_36":342,"_13":169,"_32":20,"_34":210,"_23":24,"_154":-5,"_318":343,"_26":344},{"_41":202,"_31":27,"_29":30,"_148":-5,"_39":40,"_38":14,"_150":57,"_36":339,"_13":61,"_32":33,"_34":35,"_23":24,"_154":-5,"_318":340,"_26":341},{"_41":195,"_31":196,"_29":197,"_148":-5,"_39":40,"_38":198,"_150":57,"_36":336,"_13":61,"_32":20,"_34":200,"_23":24,"_154":-5,"_318":337,"_26":338},{"_41":188,"_31":189,"_29":190,"_148":-5,"_39":40,"_38":191,"_150":57,"_36":333,"_13":169,"_32":20,"_34":193,"_23":24,"_154":-5,"_318":334,"_26":335},{"_41":180,"_31":181,"_29":182,"_148":-5,"_39":40,"_38":183,"_150":57,"_36":330,"_13":185,"_32":33,"_34":186,"_23":24,"_154":-5,"_318":331,"_26":332},{"_41":172,"_31":173,"_29":174,"_148":-5,"_39":40,"_38":175,"_150":24,"_36":327,"_13":177,"_32":20,"_34":178,"_23":24,"_154":-5,"_318":328,"_26":329},{"_41":164,"_31":165,"_29":166,"_148":-5,"_39":40,"_38":167,"_150":24,"_36":324,"_13":169,"_32":20,"_34":170,"_23":24,"_154":-5,"_318":325,"_26":326},{"_41":156,"_31":157,"_29":158,"_148":-5,"_39":40,"_38":159,"_150":57,"_36":321,"_13":161,"_32":20,"_34":162,"_23":24,"_154":-5,"_318":322,"_26":323},{"_41":145,"_31":146,"_29":147,"_148":-5,"_39":40,"_38":149,"_150":57,"_36":317,"_13":152,"_32":20,"_34":153,"_23":24,"_154":-5,"_318":319,"_26":320},["D",1785599159836],"children",[],[146],["D",1785824288259],[],[157],["D",1785604086915],[],[165],["D",1788265278984],[],[173],["D",1787250984196],[],[181],["D",1785604867047],[],[189],["D",1785585372937],[],[196],["D",1788422784123],[],[27],["D",1785615018595],[],[206],["D",1785615037797],[],[213],["D",1785755714688],[],[221],["D",1787921995132],[],[228],["D",1785770151730],[],[236],["D",1788422687543],[],[243],["D",1785593843199],[],[251],["D",1785615234930],[],[258],["D",1785599108556],[],[265],["D",1785589108848],[],[273],["D",1787462187916],[],[280],["D",1785495035570],{"_95":94,"_103":99},{"_95":94,"_96":97,"_98":99,"_18":53,"_100":101,"_102":24},{"_13":84,"_31":85,"_41":40,"_86":42,"_87":-5,"_88":-5,"_89":-5,"_90":-5,"_91":-5,"_92":43,"_93":94},"ctx",{"_77":-5,"_123":412,"_413":414,"_415":416,"_417":24,"_418":24,"_419":24,"_420":57,"_421":-5,"_422":-7,"_423":-7,"_424":61,"_425":24,"_426":24,"_427":-5,"_428":24,"_429":24,"_430":24,"_431":-5},"ENV",{"_383":384,"_385":386,"_387":85,"_388":389,"_390":391,"_392":393,"_394":395,"_396":397,"_398":399,"_400":401,"_402":403,"_404":405,"_406":407,"_408":409,"_410":411},"REACT_APP_SENTRY_DSN","https://586020d86f05489db63a554690acf1e9@o1398359.ingest.sentry.io/6724499","RENDER_GIT_COMMIT","811aa22498c9b0b5a47e8d778de579cdb990f332","RENDER_GIT_BRANCH","POSTHOG_API_TOKEN","phc_nmoyuAkStEZuUp69rYlg1DZgrIt19Gx0Y4Hwf8tGgJP","POSTHOG_API_HOST","https://wart.val.town","WEB_API_TEMPLATE","https://{val}.web.val.run","APP_URL","https://www.val.town","MODULE_URL","https://esm.town","VANITY_WEB_API_TEMPLATE","https://{label}.val.run/","DENOLS_URL","https://lsp.val.town","NODE_ENV","production","CLOUDFLARE_TURNSTILE_SITE_KEY","0x4AAAAAACtaIZJH7s9rBMZ6","GOOGLE_CLIENT_ID","875989696899-jtsqkhlbdv5jrlsk8631p7ipjg3c6o62.apps.googleusercontent.com","STRIPE_PUBLISHABLE_KEY","pk_live_51N2zvWEpZTTLipIkVEwXrUG9AT0yeOOEYxszarZT1jpsZV58Ly6wlg3SltZpHN26CUalOBmUSY7adQRQiSkCZz2500qSXNkf8Y","API_URL","https://api.val.town",[],"preferencesKeybindings","default","preferencesTheme","light","preferencesFixers","preferencesCopilot","preferencesSelectionAi","preferencesCloseBrackets","preferencesChatPanelState","preferencesDprint","preferencesDenofmt","notificationCount","flagDenols","isBusinessOrgMember","businessOrgHandle","isBusinessOrgAdmin","isHigherTownieTier","navCollapsed","currentOrgId"]

Diff · v162