fix(smoke): отличать «ответа не было» от «код не тот» в смоуке периметра

Прогон perimeter-smoke-mera на голове main (a659b187) покраснел на двух
последних проверках с кодом `000`. `000` у curl — это не «пришёл неверный
код», а «ответа не было вовсе»: периметр был цел, те же пути вручную
отдавали 503 и 405 от приложения (server: uvicorn, не заглушка Caddy).

Замер причины (внешний IP, /trade-in/api/v1/me): серия без пауз — 5 обрывов
из 12, с паузой 0.5 c — 6 из 12, с паузой 2 c — 0 из 8; с самого хоста прода
— 0 из 10. Приложение отвечает, частую серию запросов с одного адреса
отбивает вход. Смоук шлёт 44 запроса подряд и попадает под тот же эффект,
поэтому падают последние проверки списка.

Что сделано (ожидания и список путей НЕ тронуты):
- один общий curl_try, через который идут все запросы смоука. Повтор
  только при «ответа не было» — признак берётся у самого curl (ненулевой
  код возврата), ответ с «не тем» кодом для curl успешен и не повторяется
  никогда, иначе ретрай маскировал бы настоящий регресс;
- отдельная формулировка FAIL (ответа нет) + итоговая строка «БЕЗ ОТВЕТА:
  N проверок» — чтобы читатель красного лога не искал регресс периметра
  там, где измерения не было;
- пауза 2 c между проверками. Наименьшая величина, у которой есть замер:
  0.5 c измеренно не помогает, промежуточные значения не мерил никто;
- timeout-minutes воркфлоу 5 → 10: обычный прогон 89 c → 160 c (замер), а
  неотвечающая проверка стоит до 3×15 c таймаута плюс паузы, и job убивали
  бы до печати FAIL-строк.

Побочно тем же сторожем закрыты места, где обрыв врал диагнозом: в
check_redirect_location он читался как «Location не тот», а обрыв на
загрузке лэндинга — как «сам лэндинг сломан».

Проверка правки: прогон до (89 c, 43/43 PASS) и после (160 c, 43/43 PASS);
подставной curl, роняющий каждый нечётный запрос, — 44 повтора, итог
зелёный; фальсификация с подменённым ожиданием (/me → 200) и неверным URL
(/oferta-net-takogo) — обе строки красные, повторов ноль, выход 1.

.forgejo/workflows/perimeter-smoke.yml

@@ -35,7 +35,14 @@ concurrency:
 jobs:
   smoke:
     runs-on: ubuntu-latest
-    timeout-minutes: 5
+    # 11.09.2026: было 5 минут — теперь мало. В скрипте появились пауза между
+    # проверками (2 c) и повтор запроса, если ответа не пришло вовсе: обычный
+    # прогон вырос с ~89 c до ~175 c, а ХУДШИЙ случай — гораздо больше, потому
+    # что каждая неотвечающая проверка стоит до 3×15 c таймаута плюс паузы
+    # (~53 c против обычных ~2 c). Трёх таких хватило бы, чтобы упереться в
+    # 5 минут и job был бы убит ДО того, как напечатает строки FAIL и итог —
+    # то есть ровно в тот момент, когда лог нужнее всего.
+    timeout-minutes: 10
 
     steps:
       - name: Checkout repo

scripts/smoke-mera-perimeter.sh

@@ -38,12 +38,93 @@ BASE_MERA="${SMOKE_MERA_BASE:-https://meraocenka.ru}"
 BASE_MAIN="${SMOKE_MAIN_BASE:-https://gendsgn.ru}"
 
 fail=0
+noresp=0
+
+# --- ТЕМП ЗАПРОСОВ И ПОВТОРЫ (11.09.2026) --------------------------------
+#
+# ЧТО СЛУЧИЛОСЬ. Прогон на голове main (a659b187) покраснел на двух последних
+# проверках списка с кодом `000`. `000` у curl — это НЕ «пришёл неверный код»,
+# а «ответа не было вовсе» (таймаут/обрыв). Периметр при этом был цел: те же
+# пути, запрошенные вручную, отдавали 503 и 405 от приложения.
+#
+# ЗАМЕР (внешний IP, https://gendsgn.ru/trade-in/api/v1/me):
+#   серия без пауз      — 5 обрывов из 12
+#   серия с паузой 0.5 c — 6 обрывов из 12
+#   серия с паузой 2 c   — 0 обрывов из 8
+#   с самого хоста прода — 0 обрывов из 10 (все 401)
+# То есть приложение отвечает, а частую серию запросов с одного внешнего
+# адреса отбивает ВХОД (на хосте активен fail2ban). Смоук шлёт ~43 запроса
+# подряд без пауз и попадает ровно под этот эффект — и падают именно
+# ПОСЛЕДНИЕ проверки, потому что к концу серии счётчик уже набран.
+#
+# ОТСЮДА ДВА МЕХАНИЗМА, И НИ ОДИН НЕ ТРОГАЕТ САМИ ОЖИДАНИЯ:
+#   1. Повтор ТОЛЬКО там, где ответа не было вовсе. Ответ с «не тем» кодом —
+#      это результат проверки, он не повторяется никогда: иначе ретрай
+#      маскировал бы настоящий регресс периметра, ради которого всё написано.
+#   2. Пауза между проверками, чтобы серия не выглядела флудом.
+#
+# ПОЧЕМУ ПАУЗА 2 c, А НЕ МЕНЬШЕ. Это наименьшая величина, у которой есть
+# замер: 0.5 c измеренно НЕ помогает (6 обрывов из 12 — не лучше, чем без
+# пауз), 2 c даёт ноль обрывов, промежуточные значения никто не мерил, и
+# взять их означало бы выдумать число. Цена ИЗМЕРЕНА, а не оценена: прогон
+# целиком занимал 89 c и стал занимать 160 c (оба замера 11.09 с локальной
+# машины, 43 проверки, все зелёные). Под это в воркфлоу периметра поднят
+# timeout-minutes — у неотвечающей проверки цена совсем другая (до 3×15 c
+# таймаута плюс паузы), и прежних 5 минут на худший случай не хватало.
+# Обе величины переопределяются из окружения — для отладки локально
+# (`SMOKE_PAUSE=0 bash scripts/smoke-mera-perimeter.sh` даёт прежний темп).
+SMOKE_PAUSE="${SMOKE_PAUSE:-2}"
+SMOKE_ATTEMPTS="${SMOKE_ATTEMPTS:-3}"
+
+# curl_try: запрос с повтором, если ответа не пришло ВООБЩЕ, и с паузой после.
+#
+# Признак «ответа не было» берём у самого curl — ненулевой код возврата (28
+# таймаут, 35/52/56 обрыв соединения и TLS, 6 DNS). Он строго эквивалентен
+# `%{http_code}` = 000, но доступен ВСЕМ проверкам, включая те, которые
+# http_code вообще не запрашивают: до этой правки обрыв в
+# check_redirect_location читался как «Location не тот», а обрыв при загрузке
+# лэндинга — как «сам лэндинг сломан». Один сторож в общей обёртке чинит все
+# места сразу, а не только те две проверки, что покраснели.
+#
+# Ответ, пришедший с «неправильным» кодом, для curl — успех (rc=0), повтора не
+# будет; проверка отработает ровно так же, как до правки.
+curl_try() {
+  local attempt=1 rc out
+  while :; do
+    out=$(curl "$@" 2>/dev/null)
+    rc=$?
+    { [ "$rc" -eq 0 ] || [ "$attempt" -ge "$SMOKE_ATTEMPTS" ]; } && break
+    # Пауза растёт: 2 c, затем 4 c — ниже 2 c смысла нет (см. замер выше).
+    echo "  RETRY: ответа нет (curl rc=$rc), попытка $((attempt + 1)) из $SMOKE_ATTEMPTS через $((attempt * 2)) c: $*" >&2
+    sleep "$((attempt * 2))"
+    attempt=$((attempt + 1))
+  done
+  [ "$SMOKE_PAUSE" = "0" ] || sleep "$SMOKE_PAUSE"
+  printf '%s' "$out"
+  return "$rc"
+}
+
+# no_response: отдельная формулировка для «ответа не было».
+#
+# Это FAIL (прогон обязан покраснеть — мы действительно не знаем, цел ли
+# периметр), но формулировка другая специально: читатель красного лога не
+# должен искать регресс периметра там, где измерения не было вовсе.
+no_response() {
+  local desc="$1" url="$2"
+  echo "FAIL (ответа нет): $desc ($url — вход не отдал ответ после $SMOKE_ATTEMPTS попыток;" \
+    "это НЕ измеренный код ответа, периметр этой проверкой НЕ проверен — повторите URL вручную)"
+  fail=1
+  noresp=$((noresp + 1))
+}
 
 check() {
   local desc="$1" url="$2" expected="$3"
-  local code
-  code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 15 "$url" 2>/dev/null)
-  if [ "$code" = "$expected" ]; then
+  local code rc
+  code=$(curl_try -s -o /dev/null -w '%{http_code}' --max-time 15 "$url")
+  rc=$?
+  if [ "$rc" -ne 0 ]; then
+    no_response "$desc" "$url"
+  elif [ "$code" = "$expected" ]; then
     echo "PASS: $desc ($url -> $code)"
   else
     echo "FAIL: $desc ($url -> got '${code:-<no response>}', expected $expected)"
@@ -63,8 +144,13 @@ check() {
 check_any() {
   local desc="$1" url="$2"
   shift 2
-  local code expected="$*"
-  code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 15 "$url" 2>/dev/null)
+  local code rc expected="$*"
+  code=$(curl_try -s -o /dev/null -w '%{http_code}' --max-time 15 "$url")
+  rc=$?
+  if [ "$rc" -ne 0 ]; then
+    no_response "$desc" "$url"
+    return
+  fi
   for want in "$@"; do
     if [ "$code" = "$want" ]; then
       echo "PASS: $desc ($url -> $code)"
@@ -77,11 +163,16 @@ check_any() {
 
 check_post() {
   local desc="$1" url="$2" body="$3" expected="$4" reject="${5:-}"
-  local out code head_and_body
+  local out code head_and_body rc
   # -i: заголовки попадают в вывод вместе с телом — по ним отличаем ответ
   # приложения от заглушки Caddy (см. $reject у вызова payments/notify).
-  out=$(curl -s -i -w '\n%{http_code}' --max-time 15 \
-    -X POST -H 'Content-Type: application/json' -d "$body" "$url" 2>/dev/null)
+  out=$(curl_try -s -i -w '\n%{http_code}' --max-time 15 \
+    -X POST -H 'Content-Type: application/json' -d "$body" "$url")
+  rc=$?
+  if [ "$rc" -ne 0 ]; then
+    no_response "$desc" "$url"
+    return
+  fi
   code=${out##*$'\n'}
   head_and_body=${out%$'\n'*}
   if [ "$code" != "$expected" ]; then
@@ -111,8 +202,17 @@ check_post() {
 # Ровно это и есть предмет проверки — что query дожила до цели.
 check_redirect_location() {
   local desc="$1" url="$2" expected_suffix="$3"
-  local location
-  location=$(curl -s -o /dev/null -D - --max-time 15 "$url" 2>/dev/null \
+  local location headers rc
+  # Заголовки сначала забираем целиком, и только потом разбираем: при обрыве
+  # соединения grep по пустому выводу дал бы «Location: <none>» — красную
+  # строку про подмену цели редиректа там, где ответа не было вовсе.
+  headers=$(curl_try -s -o /dev/null -D - --max-time 15 "$url")
+  rc=$?
+  if [ "$rc" -ne 0 ]; then
+    no_response "$desc" "$url"
+    return
+  fi
+  location=$(printf '%s' "$headers" \
     | grep -i '^location:' | tr -d '\r' | sed 's/^[Ll]ocation: *//')
   case "$location" in
     "$expected_suffix"|*"$expected_suffix")
@@ -133,8 +233,13 @@ check_redirect_location() {
 # смоук останется зелёным. Проверять надо ровно то, ради чего адрес открыт.
 check_content_type() {
   local desc="$1" url="$2" expected_prefix="$3"
-  local out code ctype
-  out=$(curl -s -o /dev/null -D - -w '%{http_code}' --max-time 15 "$url" 2>/dev/null)
+  local out code ctype rc
+  out=$(curl_try -s -o /dev/null -D - -w '%{http_code}' --max-time 15 "$url")
+  rc=$?
+  if [ "$rc" -ne 0 ]; then
+    no_response "$desc" "$url"
+    return
+  fi
   code=${out##*$'
 '}
   ctype=$(printf '%s' "$out" | grep -i '^content-type:' | tr -d '
@@ -240,8 +345,13 @@ check "meraocenka.ru/_next/image — must 404 (не открываем опти
 #     (замер на проде 02.09.2026: 9 байт).
 check_caddy_404() {
   local desc="$1" url="$2"
-  local out code size
-  out=$(curl -s -o /dev/null -w '%{http_code} %{size_download}' --max-time 15 "$url" 2>/dev/null)
+  local out code size rc
+  out=$(curl_try -s -o /dev/null -w '%{http_code} %{size_download}' --max-time 15 "$url")
+  rc=$?
+  if [ "$rc" -ne 0 ]; then
+    no_response "$desc" "$url"
+    return
+  fi
   code=${out%% *}
   size=${out##* }
   if [ "$code" = "404" ] && [ "$size" = "0" ]; then
@@ -262,15 +372,23 @@ check_caddy_404 "meraocenka.ru — чанки /team не раздаются" \
 # Обратная сторона того же матчера: статика САМОГО лэндинга обязана остаться
 # живой. Без этой строки «починка» вида «404 на весь chunks/app/» выглядела бы
 # успешной, а публичный сайт молча остался бы без JS.
-layout_chunk=$(curl -s --max-time 15 "$BASE_MERA/" 2>/dev/null \
-  | grep -o '/trade-in/_next/static/chunks/app/layout-[^"]*\.js' | head -1)
-if [ -z "$layout_chunk" ]; then
-  # Пустая строка вместо пути дала бы запрос к корню и зелёную проверку ни о
-  # чём — поэтому это FAIL, а не «пропустим».
-  echo "FAIL: не нашёл layout-чанк в HTML лэндинга (сам лэндинг сломан?)"
-  fail=1
+layout_html=$(curl_try -s --max-time 15 "$BASE_MERA/")
+layout_rc=$?
+if [ "$layout_rc" -ne 0 ]; then
+  # Обрыв на загрузке лэндинга раньше попадал в ветку «не нашёл чанк» и читался
+  # как «сам лэндинг сломан» — диагноз, которого никто не измерял.
+  no_response "HTML лэндинга (ищем в нём layout-чанк)" "$BASE_MERA/"
 else
-  check "meraocenka.ru — корневой layout-чанк лэндинга жив (200)" "$BASE_MERA$layout_chunk" 200
+  layout_chunk=$(printf '%s' "$layout_html" \
+    | grep -o '/trade-in/_next/static/chunks/app/layout-[^"]*\.js' | head -1)
+  if [ -z "$layout_chunk" ]; then
+    # Пустая строка вместо пути дала бы запрос к корню и зелёную проверку ни о
+    # чём — поэтому это FAIL, а не «пропустим».
+    echo "FAIL: не нашёл layout-чанк в HTML лэндинга (сам лэндинг сломан?)"
+    fail=1
+  else
+    check "meraocenka.ru — корневой layout-чанк лэндинга жив (200)" "$BASE_MERA$layout_chunk" 200
+  fi
 fi
 
 # 2d. Публичный API МЕРЫ (#2911). Ровно две ручки под /api/public/mera/*
@@ -411,6 +529,14 @@ check "trade-in payments/checkout — 401 anonymous (не публичный п
   "$BASE_MAIN/trade-in/api/v1/trade-in/payments/checkout" 401
 
 echo "========================================"
+if [ "$noresp" -gt 0 ]; then
+  # Отдельная строка в итоге, а не только у самой проверки: читатель красного
+  # лога должен сразу видеть, что часть проверок НЕ ИЗМЕРИЛАСЬ, и не искать
+  # регресс периметра там, где ответа просто не было.
+  echo "БЕЗ ОТВЕТА: $noresp проверок не получили ответа даже после $SMOKE_ATTEMPTS попыток."
+  echo "  Это не измеренный код ответа. Повторите эти URL вручную (и учтите, что"
+  echo "  вход отбивает частые серии запросов с одного адреса — см. шапку скрипта)."
+fi
 if [ "$fail" -eq 0 ]; then
   echo "ALL CHECKS PASSED"
 else