Факт подтверждён дословно: `crates/vibe-index/src/types/repomd.rs:42` — `#[serde(untagged)]`; `:44-50` — вариант `Directory` несёт `kind: DirectoryTag` и доккомментарий прямо объясняет, что тег стоит там намеренно; `:51-54` — вариант `File` тега не несёт. Разрешение фактически право.

Неполнота в трёх местах.

**Первое.** Отчёт сохранил слабый довод и выбросил сильный. Он тегирует ради «однозначности разбора» — а разбор и так однозначен, наборы ключей не пересекаются. Настоящая причина названа в файле 08 и **потеряна** при сведении: `RepomdFileEntry` — единственный тип каталога, который **молча глотает добавленные поля**. Это первый пункт из «четырёх мест, где старый читатель разберёт и поймёт неверно», которые тот же отчёт объявляет самой ценной находкой серии. Разрешение 5.1 и находка №1 стоят в одном документе и не разговаривают друг с другом.

**Второе, механическое и решающее.** Починка «поставить хотя бы `deny_unknown_fields` на плечи» (файл 08, §5.1) **невозможна**: `deny_unknown_fields` — атрибут контейнера, и serde не даёт его ни на `untagged`-перечислении, ни на отдельных его плечах. Значит, единственный способ прекратить молчаливое глотание — **перестать быть untagged**. Это делает рекомендацию №1 не вопросом вкуса, а единственным выходом.

**Третье.** Не назван побочный эффект: тест `repomd.rs:132` утверждает `assert!(!json.contains("kind"))` для файлового плеча. Переход на явный тег ломает его — мелочь, но она показывает, что «один атрибут» на деле «один атрибут плюс золотой тест плюс перезапись всех существующих `repomd.json`».

Своя перепись по `crates/vibe-index/src/types/`: 35 вхождений `skip_serializing_if`, гистограмма — `Option::is_none` ×14, `Vec::is_empty` ×12, `BTreeMap::is_empty` ×2, `<Тип>::is_empty` ×7. Значит:

Оба числа воспроизводятся, разрешение верно. **Но вывод «решение принимается по 21» неверен.** Решение принимается по **35**, потому что предложенное правило («отсутствие = не записано; известное пустое пишем явно») обязано что-то сказать про все 35 полей — а для 14 `Option`-полей оно сказать ничего не может, поскольку `null` в том же предложении отвергнут. Правило, которое покрывает 21 из 35 и объявляет себя единым, — не единое правило.

И ещё одна деталь, которой нет ни у кого: 4 поля-коллекции **уже сегодня** пишутся всегда, без пропуска-когда-пусто — `Repomd.files` (`repomd.rs:34`), `RequiresAnyEntry.one_of` (`relations.rs:59`), `PackageEntry.versions` (`aggregate.rs:32`), `NameEntry.packages` (`aggregate.rs:75`). То есть обе конвенции в формате уже сосуществуют, несогласованно, и никто этого не заметил.

Числа в отчёте связаны и сходятся только при пяти словарях:

Пятый — `BindingSite` в `crates/vibe-index/src/index/inverted.rs:89`. Кто считал только `types/`, получил 4; кто выкинул одновариантный `DirectoryTag` — 3. Разрешение «расхождение периметра, не факта» верно.

**Но оно похоронило живой дефект.** Именно пятый словарь — единственный, который записан **дважды по разные стороны границы публикатор/потребитель, с разными правилами сериализации и без теста на расхождение**:

Сегодня они совпадают **по случайности**: оба варианта — однословные (`Package`, `Subskill`), а для однословных kebab и lowercase дают одно и то же. Добавьте вариант из двух слов — писатель выдаст `boot-snippet`, клиент будет ждать `bootsnippet`, и разбор упадёт у потребителя, а не у нас. Паритет-тесты в дереве есть ровно для двух вещей: `content_hash` (`crates/vibe-index/tests/content_hash_parity.rs`) и `PackageKind` (`types/kinds.rs`, `types/mod.rs`). Для `BindingSite` — нет.

Отчёт использует расхождение словарей как **аргумент** за общий чекер (п. 8) и иллюстрирует его прозой («four kinds» при шести вариантах). Настоящая иллюстрация — вот эта, и она на проводе.

Это разрешение просили проверить строже всего. Проверила. Оно не выдерживает в трёх точках.

**(а) Это не две роли, а один целый `u32`.** Контракт, который отчёт сам цитирует (старшая — отказ, младшая — предупреждение, нет — считать первой), **уже совмещает обе роли в одном номере**: старшая часть — шлагбаум, младшая — декларация возможностей. Значит, «одним целым числом обе роли не сыграть» — верно, но это утверждение не про роли, а про **число компонент**. У нас `schema_version: u32` (`repomd.rs:21`, `entry/mod.rs:44`) — одна компонента, поэтому декларации некуда лечь. Настоящий вопрос:

**И этот выбор необратим ровно в том смысле, о котором вся глава 5.6:** `1` можно потом прочитать как `1.0`, а `2` уже нельзя превратить в `1.1`. То есть решение о числе компонент — механизм с закрывающимся окном, и его в списке механизмов нет. Никто не предложил разделить версию.

**(б) Фактическая посылка ложна, и опровержение лежит в нашем дереве.** Утверждение «crates.io добавляет поля **без** поднятия версии» неверно. В `refs/src/cargo/crates/cargo-util-schemas/src/index.rs:70-73` написано прямым текстом: `Version 2 schema adds the features2 field. Version 3 schema adds artifact, bindep_targes, and lib`. То есть версия у ближайшего двойника поднималась **именно ради добавленных полей** — дважды.

Почему? Потому что `features2` (там же, `:22-28`) отделён от `features` не для красоты: «versions older than 1.19 will fail to load due to not being able to parse the new syntax». Ничего существующего не изменилось — но читатель, который **проигнорирует** новое поле, разрешит фичи неправильно и молча.

Отсюда правило, которого нет ни у отчёта, ни у одного из воркеров:

Проверьте на наших случаях: добавить `homepage` — документ остаётся самодостаточным, не поднимаем. Добавить седьмой вид пакета — читатель, который его не знает, **не сможет даже категоризировать запись**, поднимаем. Разница операциональна, чего нельзя сказать ни про одну из двух формулировок в отчёте.

**(в) Есть третья роль, и это та, которую версия играет у нас сегодня.** Отчёт пишет: «версия — ярлык, а не переключатель: ни одного сравнения». Это занижено. Смотрим код:

Значит, поле не инертно — оно **перезаписывается**. Сегодня оно не описывает данные, оно описывает, **кто последним трогал файл**. Это третья, никем не названная роль: **версия как штамп писателя / провенанс**. Для полностью пересоздаваемого производного каталога это не дефект, а осмысленный режим — «этот каталог собран более старым мной, пересобери». Прежде чем менять роль, стоит понять, что нынешняя — не пустое место.

**(г) Рекомендация («шлагбаум на уровне записи») тем не менее правильная** — и у двойника она реализована буквально: `index.rs:87` — `pub v: Option<u32>`, доккомментарий `:66-68`: «If this is None, it defaults to version 1. **Entries with unknown versions are ignored**». Но там же названа цена, которой в отчёте нет: «This is honored as of 1.51, so unfortunately older versions will ignore it, and potentially **misinterpret** version 2 and newer entries». Первая версия шлагбаума не защищает никого — это надо написать в решении, а не узнать потом.

**Итог по 5.4:** вывод сохраняется, обоснование надо переписать целиком.

Посылка «схема и данные в одной истории git» действительно ложна, и это проверяемо: в дереве **нет ни одного** `repomd.json` (`find . -name repomd.json` — пусто вне `target/`), каталог живёт в отдельном репозитории (публикационная цель — `https://github.com/vibespecs`, `crates/vibe-core/src/manifest/project.rs:410`), а машинно-читаемой схемы для каталога нет вовсе: в `schemas/` лежат семь JTD-схем, и все семь — отчёты команд (`init_report`, `install_plan`, `install_report`, `list_report`, `registry_publish_report`, `registry_sync_report`, `uninstall_report`).

Но вместе с Avro выброшен единственный переносимый его остаток, который назвал файл 07: **сделать схему машинно-читаемым артефактом и опубликовать её рядом с данными**. Способность в доме есть и работает — `crates/vibe-cli/resources/package-tree.schema.v1.json` с золотым тестом `crates/vibe-cli/tests/tree_json.rs`. В предложении §6 такого пункта нет вообще. Разрешение верное, сведение потеряло вывод.

Второе несущее разрешение. Тест сформулирован правильно — «закрывается ли окно вместе с публикацией» — но список заполнен по интуиции, а не этим тестом. Применяю тест к каждой строке.

**Терпимый читатель стоит не в той колонке.** Ослабление читателя не ломает ни одних существующих данных и не требует ничьего согласия: его можно включить сегодня, через год, через пять лет. Он не механизм с окном — он самая обратимая вещь в списке. А поставлен он туда, где создаёт ощущение срочности, и именно на этом ощущении держится вся глава 6.

Симметрично, в колонке обязательств («потом») стоит «никогда не переименовывать» — а его несущий механизм, `#[serde(alias = "…")]`, тоже бесплатен в любой момент и в обоих форматах (файл 07, §6). В сведении он потерян целиком.

**Чего в колонке механизмов не хватает — четыре вещи, у которых окно действительно закрывается:**

Довод «из файла нельзя узнать, кто его написал» правилен и проверяем: единственный провенанс-маркер — `[origin]` (`crates/vibe-core/src/manifest/document.rs`, секция `origin`), и он про факт публикации, а не про намерение автора.

Оговорка первая, механическая: **правило нереализуемо в заявленной форме**. `deny_unknown_fields` и `#[serde(flatten)]` в serde несовместимы, а «заповедник» — это по сути flatten-ловушка. Значит, заповедник обязан быть **явным именованным полем** (`tool: BTreeMap<String, toml::Value>` или подобным), иначе `deny_unknown_fields` отвергнет `[tool.x]` до того, как до него дойдёт дело. Файл 09 это заметил для манифеста; при сведении оговорка потерялась, и в п. 7 предложения заповедник выглядит бесплатным.

Оговорка вторая, важнее: правило говорит «машинный файл → незнакомое поле **игнорировать**». Но наш машинный файл читают, **чтобы переписать**. Игнорировать ≠ сохранить. См. находку 2.1 — это и есть главный пропуск всей серии.

Самая дорогая находка. Пункт 3 предложения снимает `deny_unknown_fields` с типов каталога. Проверим, что произойдёт.

Каталог читается ради перезаписи. Пути (все, вне тестов):

Шесть. (Седьмой `write_to` — `init.rs:48` — только пишет, не читает; именно поэтому шесть, а не семь. Число из отчёта подтверждается, но **только с названным периметром**.)

Теперь механика. `Index::load_from` (`memory.rs:262`) читает `by-name/*.json` в типизированную память; `write_to` (`memory.rs:161`) выписывает всё заново из этой памяти. Сегодня незнакомое поле даёт **отказ разбора** — громко, заметно, без потери данных на диске. После пункта 3 незнакомое поле будет **прочитано, проигнорировано и не записано обратно**. То есть следующий же `vibe-index add` сотрёт всё, что дописал более новый писатель.

Отчёт называет молчаливую неправоту худшим видом отказа (это его вывод из разбора аварии Cloudflare и его же «самая ценная находка серии»). Пункт 3 **вводит именно такой отказ** — своим собственным лекарством.

Починка существует и стоит одного поля: терпимость обязана идти **в паре с захватом**, `#[serde(flatten)] extra: Map<String, Value>` на типах read-modify-write. И — важное следствие — из-за несовместимости flatten с `deny_unknown_fields` **выбирать приходится потипно**: нельзя быть строгим и захватывающим одновременно.

**Почему пропустили все.** Число «6 путей перезаписи» кочевало по всем девяти файлам как **усилитель тяжести** нынешней строгости («сервер не запустится»), и ни разу — как **ограничение на лекарство**.

`primary::read` (`index/primary.rs:75`) и `primary::parse` (`:84`) имеют **ноль вызовов** во всём дереве. `by-cap`/`by-purl` при каждой записи стираются подчистую (`memory.rs:176-178`, `inverted.rs:264`). Отсюда:

Следствия, которых нет ни у кого: (1) круг типов, которым нужна терпимость + захват, — три, а не двадцать три; (2) экспортные типы могут остаться строгими даром, потому что round-trip у них не бывает; (3) `deny_unknown_fields` на `VersionEntry` (`entry/mod.rs:38`) кусается **не потому, что `VersionEntry` — строка `primary.jsonl`**, а потому что он вложен в `by-name`. Все восемь считали каталог одним монолитом на 23 типа и оценивали работу соответственно.

Файл 06 (§4) написал: crates.io — «наш случай почти один-в-один… именно этот сосед должен был быть главным зеркалом», и честно добавил, что механику процитировать не может, доступа в сеть нет. Механика лежала на диске:

Четыре веб-исследования и четыре разбора по дереву — и первоисточник структурного двойника пролежал непрочитанным. Что он решает (всё цитируемо локально):

Отдельно отмечу строку про вид зависимости: файл 08 доказывал, что открытый словарь-строка «сдаёт exhaustiveness — наш главный козырь». Двойник — на Rust, на том же serde, с тем же компилятором — **выбрал строку**. Это не значит, что он прав, а мы нет; это значит, что довод «так никто не делает» неверен, и решать надо по существу.

`memory.rs:249` — при каждой записи `generated_at: Utc::now()`. При этом `primary.jsonl` сделан **намеренно байт-детерминированным**: `gzip_deterministic` с `mtime=0` (`primary.rs:61-65`) и два теста на это (`primary.rs:172`, `:200`). То есть на одном слое за побайтовую воспроизводимость боролись, а слоем выше её уничтожили — и никто из восьми этого не заметил.

Три следствия, ни одно не прослежено:

Пункт 5 предложения делает версию шлагбаумом. Нигде — ни в предложении, ни в спеке — не сказано, **когда писатель её увеличивает**. Шлагбаум без правила подъёма не опускается ни разу.

Заодно поправлю утверждение, которое отчёт принял от воркера без проверки: «спека противоречит и самой себе — два взаимоисключающих утверждения». Прочитала обе строки дословно:

Это **не взаимоисключающие** утверждения, если читать первое как режим аддитивного изменения при неизменной версии, а второе — как режим поднятой версии. Сложенные вместе, они дают ровно тот контракт-шлагбаум, к которому отчёт приходит в главе 6. Проблема не в противоречии, а в том, что **ни одна из строк не определяет, какое изменение обязывает поднять версию**, — поэтому спор между ними неразрешим, а детектор «higher schema» из второй строки не может сработать, так как сравнения нет нигде. Трещин две (спека↔код и мёртвое сравнение), а не три; зато настоящая дыра — отсутствие правила — не названа никем.

Правильная формулировка правила выведена выше из `features2` (см. 1.4(б)).

Отчёт (глава 4, п. 9) утверждает: единственный смертельный слом RPM за двадцать лет — **переопределение смысла существующего тега**. И после этого ни один из восьми не спросил, где такой тег есть у нас. Он есть, и не один:

Самое опасное — первое. Список исключений зашит константой:

Добавьте туда `dist` или `.venv` — и **каждый `content_hash` в мире изменит значение при том же имени, том же типе и той же версии схемы**. А спека объявляет `content_hash` **ключом связи каталога с локфайлом** (`PROP-005-package-index.xml:304`: «`content_hash` is the join key between the index and the lockfile»). Существующий паритет-тест (`crates/vibe-index/tests/content_hash_parity.rs`) сторожит **совпадение двух копий алгоритма между собой**, а не **стабильность алгоритма во времени** — это разные вещи, и вторую никто не сторожит.

Механизм с закрывающимся окном: идентичность алгоритма должна ехать в самой строке (`sha256:` → что-то вроде `sha256-v1:`) или в соседнем поле. Задним числом это не внедряется — старые строки уже без метки, и отличить «посчитано старым алгоритмом» от «посчитано новым» будет нельзя.

И общее правило, которого нет ни у кого: **для каждого производного поля должно быть написано, кто выигрывает при расхождении — записанное значение или пересчёт.** Сегодня не написано ни для одного, а терпимый читатель делает это хуже, а не лучше: он с радостью примет протухшее денормализованное значение.

Это молчаливая предпосылка всех девяти файлов и обеих несущих глав. Она непроверяема, и непроверяема **намеренно**.

Дефолтный реестр, засеваемый на каждой свежей машине, — публичная организация на GitHub плюс зеркало:

Статический файл в публичном гит-репозитории, отдаваемый по raw-URL, **не даёт телеметрии** — и отчёт сам этому радуется (глава 4, п. 12: версию в заголовке протокола отвергли, чтобы зеркала оставались тупым файловым сервером). Значит, честная формулировка не «потребителей ноль», а **«ноль потребителей, о которых мы бы когда-нибудь узнали»**. Цена ошибки при этом асимметрична: если предпосылка неверна, мы не узнаем об этом никогда, потому что отказ произойдёт молча и на чужой машине.

Справедливости ради — в пользу предпосылки: в этом репозитории **один** тег (`pre-cultural-refactor`), релизных тегов нет; свидетельств выпущенных бинарников на руках нет. И `repomd.json` в дереве отсутствует, то есть каталог здесь ещё не лежит. Так что предпосылка правдоподобна. Но план обязан назвать, **сколько стоит, если она ложна**, — и не называет.

Ещё одно, чего не сказал никто: в гите публикация **необратима**. «Мы ещё не опубликовались» перестаёт быть правдой в момент первого пуша в публичный `main`, и откатить это нельзя — история хранит каждое состояние вечно.

Спор «пусто против отсутствует» ведётся семантически: что означает отсутствие. Есть чисто механическое правило, которое решает вопрос вообще без семантики:

Что оно даёт: (а) вопрос «пусто или отсутствует» решается указом, в любую сторону, и перестаёт иметь значение; (б) вынуждает решить вопрос 2.4 (`generated_at`); (в) делает «пересобрал и сравнил» настоящей проверкой; (г) минимизирует шум в гите; (д) **машинно проверяется** — то есть это куда лучшее правило для чекера из п. 8, чем большинство предложенных.

Никто из восьми его не предложил, потому что все искали **смысл** отсутствия, а не **форму** записи.

Исходный вопрос владельца — описать формат схемами и генерировать код. Наш язык схем и его свойства зафиксированы в дереве: `crates/vibe-wire/src/lib.rs:17-45` — JTD, генератор `jtd-codegen 0.4.1`, и прямым текстом: **«the generator cannot emit it»** про `deny_unknown_fields`, плюс «JTD's own `additionalProperties` works the *opposite* way». Там же (`lib.rs:49-53`) — генератор переименовывает snake_case в camelCase и требует ручных `rename`.

Складываем с предложением:

То есть **принять п. 1 + п. 2 + курс на кодогенерацию одновременно означает отказаться от закрытых Rust-перечислений** — ровно от того, что файл 08 называет нашим главным козырем. Ни один из восьми не поставил эти пункты в одну комнату.

_(Свойства JTD я вывожу из заметок в нашем же `vibe-wire` плюс общих знаний; считать непроверенным до часового спайка против `jtd-codegen 0.4.1`.)_

`campaigns/packages-2026-09/harvest/a6-wire-format-census.md:35` утверждает, что у `VersionEntry` 13 полей с пропуском-когда-пусто. В коде их **18** (`types/entry/mod.rs`, строки 59, 67, 70, 72, 74, 76, 78, 84, 87, 90, 93, 96, 99, 102, 105, 108, 111, 114). Остальные числа того же документа сходятся. Это тот самый дрейф документации от кода, ради которого предлагается п. 8 — и он уже случился внутри самих материалов расследования.

**Поставлен неверно.** Правильный вопрос: **сколько компонент у нашей версии?** Ответ «шлагбаум или декларация» не выбирается — он вычисляется из числа компонент (1.4(а)).

**Рекомендация.** Оставить одну компоненту и сделать шлагбаум на уровне записи, как у двойника: нет версии → считать 1; выше понимаемой → **пропустить запись** с одним сообщением, остальное прочитать; ниже → читать. В том же абзаце написать правило подъёма: **поднимаем, когда документ перестаёт быть самодостаточным для читателя, отбрасывающего непонятое.**

Но решить это надо **сейчас и осознанно**, потому что `1` ещё можно потом прочитать как `1.0`, а `2` в `1.1` уже не превратить. Если есть хоть какая-то вероятность, что декларация возможностей понадобится, — заводить две компоненты надо до первой публикации, а не после.

И отдельно: перестать затирать прочитанную версию константой писателя. Пока `write_to` штампует своё, версия описывает писателя, а не данные.

**Поставлен на шаг позже, чем нужно.** Сначала: **является ли рукописный `vibe.toml` вообще внешней поверхностью чтения?**

Код говорит, что нет: `Manifest::read` / `Manifest::parse_str` (`crates/vibe-core/src/manifest/document.rs`) — единственные двери, и их зовёт тот же бинарник, что и писал; внешняя поверхность — каталог, и клиент уже читает его терпимо (`crates/vibe-registry/src/index_client/wire.rs:14-16`).

**Рекомендация.** Оставить каталог единственной внешней поверхностью и **записать это как решение** — сейчас это случайность реализации, а не выбор. Тогда вопрос «один формат или два» растворяется, и вместе с ним растворяются манифестные половины вопросов 1 и 3. Если же владелец хочет, чтобы чужой инструмент парсил именно `vibe.toml` пакета, — тогда честный ответ «два», и опубликованная копия должна быть **сгенерированной**, а не рукописной; но это отдельное проектное решение, и принимать его надо явно, а не через версию поля.

**Поставлен как вопрос о смысле; полезнее поставить как вопрос о форме.**

**Рекомендация — три уровня:**

Двойник, напомню, принимает эти решения **потипно** и не стесняется.

**Дата — не то, что здесь решается.**

**Рекомендация.** Определить публикацию не датой, а **наблюдаемым действием с именем**: первый пуш каталога в публичную ветку, на которую третья сторона может приколоться. И принять два честных следствия: (а) по этому определению часы могут пойти в день, когда дефолтный реестр наполнится, — то есть, возможно, раньше, чем кажется; (б) сигнала о появлении читателя **не будет никогда**, архитектура его не предусматривает (2.7).

Поэтому **не покупать аргумент про свободу по полной цене**. Обязательства (вечные псевдонимы, список отставленных имён) действительно можно отложить — их несущий механизм `#[serde(alias)]` бесплатен в любой момент. А четыре необратимые вещи надо сделать независимо от даты, потому что их закрывает само отсутствие: место под подпись и множество «обязан понять»; отметка об отзыве версии; идентичность алгоритма у `content_hash`; число компонент версии.