fix(ops): страж повторной заливки перестал молча пропускаться

assert_not_cut_over защищает от --force-restore после cutover: такая заливка
дропает объекты и льёт заново из дампа, уничтожая всё, что приложения записали
после переключения, а сверка фазы 5 подтверждает это как успех — записей,
сделанных после cutover, в источнике никогда не было. Единственная защита —
не дать запуститься.

Страж состоит из двух проверок, и одна из них не работала. Путь считался как
${FORGEJO_DIR}/app.ini, но FORGEJO_DIR — это каталог со стеком: там
docker-compose.yml и раннеры. Конфиг живёт внутри тома данных. На боевом хосте
проверено: /home/gendesign/forgejo/data/forgejo монтируется в контейнер как
/data, то есть app.ini лежит в
/home/gendesign/forgejo/data/forgejo/gitea/conf/app.ini, а /home/gendesign/
forgejo/app.ini не существует вовсе.

Проверка написана как `[[ -r "$ini" ]] && grep ...`, поэтому несуществующий
файл читался как «признака cutover нет». Молча, без единого сообщения.

Теперь путь ищется по трём кандидатам и переопределяется через FORGEJO_APP_INI.
А если не нашёлся ни один — скрипт останавливается, а не продолжает. Ненайденный
конфиг это не «признака нет», это «проверить нечем»: именно здесь пропуск стоит
данных, записанных после переключения.

Заодно поправлены два места в раннбуке на выходе скрипта, которые печатали тот
же несуществующий путь как инструкцию человеку.

Проверено на боевом Beget: автоопределение находит
data/forgejo/gitea/conf/app.ini, строка HOST читается, признак cutover
корректно определяется как отсутствующий; старый путь подтверждённо не
существует.

Refs #3061, #3057

ops/split-infra-postgres.sh

@@ -58,6 +58,24 @@ DST_CONTAINER="${DST_CONTAINER:-gendesign-infra-postgres}"
 DATABASES="${DATABASES:-forgejo glitchtip}"
 DUMP_DIR="${DUMP_DIR:-/opt/gendesign/backups/migration-3061}"
 FORGEJO_DIR="${FORGEJO_DIR:-/home/gendesign/forgejo}"
+
+# Где на самом деле лежит app.ini. Раньше здесь подразумевалось
+# "${FORGEJO_DIR}/app.ini", и такого файла на хосте НЕТ: FORGEJO_DIR — каталог
+# со стеком (docker-compose.yml, раннеры), а конфиг живёт внутри тома данных,
+# который монтируется в контейнер как /data. Проверено на боевом хосте:
+#   /home/gendesign/forgejo/data/forgejo -> /data
+#   app.ini = /home/gendesign/forgejo/data/forgejo/gitea/conf/app.ini
+# Тихо это ломало страж assert_not_cut_over: он проверяет файл через
+# `[[ -r "$ini" ]]`, несуществующий путь читается как "признака нет", и
+# половина защиты от повторного --force-restore после cutover просто не
+# срабатывала — молча, без единого сообщения.
+FORGEJO_APP_INI="${FORGEJO_APP_INI:-}"
+if [[ -z "$FORGEJO_APP_INI" ]]; then
+    for candidate in         "${FORGEJO_DIR}/data/forgejo/gitea/conf/app.ini"         "${FORGEJO_DIR}/data/gitea/conf/app.ini"         "${FORGEJO_DIR}/app.ini"
+    do
+        [[ -r "$candidate" ]] && { FORGEJO_APP_INI="$candidate"; break; }
+    done
+fi
 # Писатели, которых надо погасить на время дампа. Порядок важен только тем, что
 # forgejo идёт первым: это git и CI, его простой заметнее всего.
 FORGEJO_CONTAINER="${FORGEJO_CONTAINER:-forgejo}"
@@ -125,8 +143,15 @@ fi
 # сравнивает источник с приёмником, и записей, сделанных после cutover, в
 # источнике никогда не было. Поэтому единственная защита — не дать запуститься.
 assert_not_cut_over() {
-    local ini="${FORGEJO_DIR}/app.ini" hit=""
-    if [[ -r "$ini" ]] && grep -Eq '^[[:space:]]*HOST[[:space:]]*=[[:space:]]*infra-postgres' "$ini"; then
+    local ini="$FORGEJO_APP_INI" hit=""
+    # Не нашли app.ini — это НЕ "признака нет". Раньше здесь молча пропускалась
+    # половина стража, и --force-restore после cutover залил бы устаревший дамп
+    # поверх живых данных, а сверка фазы 5 подтвердила бы это как успех.
+    # Лучше остановиться и заставить указать путь явно.
+    if [[ -z "$ini" || ! -r "$ini" ]]; then
+        die "не найден app.ini Forgejo — проверить, сделан ли уже cutover, нечем. Искал: ${FORGEJO_DIR}/data/forgejo/gitea/conf/app.ini, ${FORGEJO_DIR}/data/gitea/conf/app.ini, ${FORGEJO_DIR}/app.ini. Укажи путь через FORGEJO_APP_INI=... Пропускать эту проверку нельзя: именно она не даёт --force-restore залить устаревший дамп поверх данных, записанных после cutover."
+    fi
+    if grep -Eq '^[[:space:]]*HOST[[:space:]]*=[[:space:]]*infra-postgres' "$ini"; then
         hit+="${ini} (HOST = infra-postgres); "
     fi
     if [[ -r "$GENDESIGN_ENV" ]] && grep -Eq '^[[:space:]]*GLITCHTIP_DB_HOST[[:space:]]*=[[:space:]]*infra-postgres' "$GENDESIGN_ENV"; then
@@ -498,7 +523,7 @@ log "Сверка возражений не имеет."
 # ==========================================================================
 phase "ФАЗА 6: ручные шаги (скрипт их НЕ делает)"
 cat <<MANUAL
-  1. Forgejo: в ${FORGEJO_DIR}/app.ini заменить
+  1. Forgejo: в ${FORGEJO_APP_INI:-${FORGEJO_DIR}/data/forgejo/gitea/conf/app.ini} заменить
         HOST = postgres:5432   →   HOST = infra-postgres:5432
      (compose Forgejo лежит там же, вне этого репозитория).
   2. GlitchTip: в /opt/gendesign/.env выставить
@@ -521,7 +546,7 @@ cat <<MANUAL
      и ночной ops/backup-forgejo.sh — что он выбрал нужный контейнер.
 
 ОТКАТ (пока старые базы живы — то есть всегда до шага «удаление» ниже):
-  a. вернуть HOST = postgres:5432 в ${FORGEJO_DIR}/app.ini;
+  a. вернуть HOST = postgres:5432 в ${FORGEJO_APP_INI:-${FORGEJO_DIR}/data/forgejo/gitea/conf/app.ini};
   b. вернуть GLITCHTIP_DB_HOST=postgres (или убрать строку — дефолт postgres);
   c. вернуть PG_CONTAINER=gendesign-postgres-1 в конфиге бэкапа Forgejo;
   d. перезапустить оба приложения.