Medium wave 4: validated env numbers, Upstash backend and shutdown flush tests, deno check/lint in CI, reproducible pip step, docs for missing variables

.github/workflows/ci.yml

@@ -44,6 +44,13 @@ jobs:
 
       - run: deno test proxy/proxy_test.ts
 
+      # Типы и линт прокси: до этого в CI не проверялось ничего, кроме тестов,
+      # поэтому @ts-ignore на duplex:"half" и опечатки в proxy.ts проходили молча
+      # (аудит 26.09.2026). deno check ловит и типы, и неиспользуемые импорты.
+      - run: deno check proxy/proxy.ts
+
+      - run: deno lint proxy/proxy.ts
+
       # проверка requirements.txt на известные CVE в зафиксированных версиях —
       # requirements-dev.txt (pytest/pyflakes/pip-audit) не сканируем: это
       # dev-инструменты, не попадающие в рантайм-образ (см. Dockerfile/.dockerignore)

Dockerfile

@@ -7,8 +7,8 @@ FROM mwader/static-ffmpeg:9.0 AS ffmpeg
 
 # ОБНОВЛЕНО (аудит зависимостей, 16 августа 2026): 3.10 -> 3.13 — requirements.txt
 # и так уже требовали только "Python 3.10+" (не конкретно 3.10), все закреплённые
-# версии зависимостей (aiogram 3.30, google-genai 2.18, fastapi 0.141, uvicorn
-# 0.52 и т.д.) заявляют поддержку вплоть до 3.14 — полный прогон тестового сьюта
+# версии зависимостей (aiogram 3.31, google-genai 2.24, fastapi 0.141, uvicorn
+# 0.53 и т.д.) заявляют поддержку вплоть до 3.14 — полный прогон тестового сьюта
 # под новой версией прошёл без единого изменения кода.
 FROM python:3.13-slim
 
@@ -37,9 +37,11 @@ RUN apt-get update \
 COPY --from=ffmpeg /ffmpeg /usr/local/bin/ffmpeg
 COPY --from=ffmpeg /ffprobe /usr/local/bin/ffprobe
 
+# Без `pip install --upgrade pip`: версии инструмента не зафиксированы, а образ
+# пересобирается с нуля на каждом деплое — такой шаг делает сборку невоспроизводимой
+# ровно в том смысле, ради которого закреплён requirements.txt (аудит 26.09.2026).
 COPY requirements.txt /app/requirements.txt
-RUN pip install --upgrade pip \
-    && pip install -r /app/requirements.txt
+RUN pip install -r /app/requirements.txt
 
 COPY . /app
 

bot.py

@@ -235,6 +235,29 @@ def _tikwm_proxy_candidates() -> list[str]:
     return candidates
 
 BOT_USERNAME = os.getenv("BOT_USERNAME", "LumenAI_bot").strip().lstrip("@")
+
+def _env_number(name: str, default: float | int, *, cast: type = float, min_value: float | None = None) -> float | int:
+    """Число из переменной окружения с внятной диагностикой.
+
+    Раньше все таймауты и лимиты читались голым int()/float(): опечатка в HF
+    Variable (например ROUTE_MODEL_TIMEOUT_SEC=22s или пустое значение) давала
+    голый ValueError на старте — то есть crashloop с невнятным логом вместо
+    понятного сообщения. Теперь мусор и выход за нижнюю границу заменяются
+    дефолтом с WARNING (бот продолжает работать), а не падают (аудит 26.09.2026).
+    """
+    raw = os.getenv(name)
+    if raw is None or not str(raw).strip():
+        return cast(default)
+    try:
+        value = cast(str(raw).strip())
+    except (TypeError, ValueError):
+        log.warning("[setup] %s=%r is not a number — using default %s", name, raw, default)
+        return cast(default)
+    if min_value is not None and value < min_value:
+        log.warning("[setup] %s=%s is below the allowed minimum %s — using default %s", name, value, min_value, default)
+        return cast(default)
+    return value
+
 GEMINI_API_KEY = os.getenv("GEMINI_API_KEY", "").strip()
 OPENROUTER_API_KEY = (os.getenv("OPENROUTER_API_KEY") or os.getenv("OPENROUTER_KEY") or "").strip()
 # Referer пересчитываем в try_setup, если владелец не задал его явно: иначе t.me остался бы со заглушкой.
@@ -246,7 +269,7 @@ OPENROUTER_BASE_URL = "https://openrouter.ai/api/v1"
 GROQ_API_KEY = os.getenv("GROQ_API_KEY", "").strip()
 GROQ_BASE_URL = "https://api.groq.com/openai/v1"
 # Голосовые длиннее не транскрибируем (Whisper API всё равно режет 25 МБ) — такие идут прежним путём через Gemini-аудио.
-VOICE_TRANSCRIBE_MAX_BYTES = int(os.getenv("VOICE_TRANSCRIBE_MAX_BYTES", str(10 * 1024 * 1024)))
+VOICE_TRANSCRIBE_MAX_BYTES = _env_number("VOICE_TRANSCRIBE_MAX_BYTES", 10 * 1024 * 1024, cast=int, min_value=1024)
 # Раньше у OpenRouter был свой отдельный лимит истории (30), меньший, чем у Gemini
 # (100) — при переключении провайдера (/provider или /model) ощущалось резкое
 # "обнуление" контекста разговора. Теперь история ОБЩАЯ (см. state["history"] в
@@ -284,16 +307,16 @@ for env_name in ("OWNER_ID", "BOT_OWNER_ID", "ADMIN_ID", "TELEGRAM_OWNER_ID"):
         OWNER_ID = int(val)
         break
 
-TELEGRAM_REQUEST_TIMEOUT = float(os.getenv("TELEGRAM_REQUEST_TIMEOUT", "45"))
-TELEGRAM_AI_TIMEOUT = float(os.getenv("TELEGRAM_AI_TIMEOUT", "45"))
-TELEGRAM_MEDIA_TIMEOUT = float(os.getenv("TELEGRAM_MEDIA_TIMEOUT", "25"))
+TELEGRAM_REQUEST_TIMEOUT = _env_number("TELEGRAM_REQUEST_TIMEOUT", 45, min_value=1)
+TELEGRAM_AI_TIMEOUT = _env_number("TELEGRAM_AI_TIMEOUT", 45, min_value=1)
+TELEGRAM_MEDIA_TIMEOUT = _env_number("TELEGRAM_MEDIA_TIMEOUT", 25, min_value=1)
 # Раньше было захардкожено как 15.0 прямо внутри _download_telegram_file_bytes —
 # несогласованно с остальными таймаутами, которые все конфигурируются через env.
-TELEGRAM_GET_FILE_TIMEOUT = float(os.getenv("TELEGRAM_GET_FILE_TIMEOUT", "15"))
+TELEGRAM_GET_FILE_TIMEOUT = _env_number("TELEGRAM_GET_FILE_TIMEOUT", 15, min_value=1)
 # Cooldown после HTML-мусора от прокси вместо JSON: без него десятки вызовов/сек валят лавину WARNING (см. _tg_call).
-TELEGRAM_PROXY_COOLDOWN_SEC = float(os.getenv("TELEGRAM_PROXY_COOLDOWN_SEC", "20"))
+TELEGRAM_PROXY_COOLDOWN_SEC = _env_number("TELEGRAM_PROXY_COOLDOWN_SEC", 20, min_value=0)
 # Лимит ожидания следующего куска для любого провайдера: зависший стрим иначе держит лок чата бесконечно.
-STREAM_CHUNK_TIMEOUT_SEC = float(os.getenv("STREAM_CHUNK_TIMEOUT_SEC", "30"))
+STREAM_CHUNK_TIMEOUT_SEC = _env_number("STREAM_CHUNK_TIMEOUT_SEC", 30, min_value=1)
 # ── Паттерн "живой печати" при стриминге (см. lumen_typing_pace.py и
 # _run_streaming_reply ниже) ── Раньше во время стрима сообщение показывало РОВНО
 # то, что успело накопиться с последнего edit_text — если бэкенд (особенно у
@@ -310,9 +333,9 @@ STREAM_CHUNK_TIMEOUT_SEC = float(os.getenv("STREAM_CHUNK_TIMEOUT_SEC", "30"))
 # показан ещё не весь (см. catchup_reveal_steps) — произведение двух этих чисел
 # ограничивает МАКСИМАЛЬНУЮ добавленную задержку сверху реальной скорости ответа,
 # независимо от длины текста и точности оценки скорости.
-STREAM_EDIT_MIN_INTERVAL_SEC = float(os.getenv("STREAM_EDIT_MIN_INTERVAL_SEC", "1.2"))
-STREAM_TYPING_TICK_SEC = float(os.getenv("STREAM_TYPING_TICK_SEC", "0.5"))
-STREAM_TYPING_MAX_CATCHUP_TICKS = int(os.getenv("STREAM_TYPING_MAX_CATCHUP_TICKS", "6"))
+STREAM_EDIT_MIN_INTERVAL_SEC = _env_number("STREAM_EDIT_MIN_INTERVAL_SEC", 1.2, min_value=0)
+STREAM_TYPING_TICK_SEC = _env_number("STREAM_TYPING_TICK_SEC", 0.5, min_value=0)
+STREAM_TYPING_MAX_CATCHUP_TICKS = _env_number("STREAM_TYPING_MAX_CATCHUP_TICKS", 6, cast=int, min_value=0)
 # FIRST_CHUNK_TIMEOUT_SEC — пол ожидания первого куска стрима (см.
 # lumen_model_speed.first_chunk_limit_sec): обычно-быстрая модель, зависшая
 # разово, бросается рано (12–25с вместо полных 30). Честная оговорка: предел
@@ -320,7 +343,7 @@ STREAM_TYPING_MAX_CATCHUP_TICKS = int(os.getenv("STREAM_TYPING_MAX_CATCHUP_TICKS
 # стоит STREAM_CHUNK_TIMEOUT_SEC на каждый кусок, включая первый, и для
 # обычно-медленной модели первым сработает именно он. Итоговый предел первого
 # куска — всегда минимум из двух.
-FIRST_CHUNK_TIMEOUT_SEC = float(os.getenv("FIRST_CHUNK_TIMEOUT_SEC", "12"))
+FIRST_CHUNK_TIMEOUT_SEC = _env_number("FIRST_CHUNK_TIMEOUT_SEC", 12, min_value=1)
 # Анимация ожидания ("бегущие точки") в плейсхолдере, пока не пришёл первый
 # кусок стрима: первые полсекунды висит статичное "…" (дешевле, чем дёргать
 # API ради мгновенных ответов — их анимация вообще не касается), дальше —
@@ -338,16 +361,16 @@ _DOTS_FRAMES = (".", "..", "…")
 RICH_MESSAGES_ENABLED = os.getenv("RICH_MESSAGES_ENABLED", "1") == "1"
 # Лимит длины текста для /tts — без него пользователь мог отправить огромный
 # текст, что вызывало бы очень долгий прогон Gemini TTS + ffmpeg на один запрос.
-TTS_MAX_CHARS = int(os.getenv("TTS_MAX_CHARS", "800"))
+TTS_MAX_CHARS = _env_number("TTS_MAX_CHARS", 800, cast=int, min_value=1)
 # Потолок одного синтеза TTS. Раньше его не было вообще: синхронный вызов Gemini
 # уходил в поток без таймаута и без http_options у клиента, и зависший Google
 # держал лок чата бесконечно (аудит 26.09.2026).
-TTS_SYNTH_TIMEOUT_SEC = float(os.getenv("TTS_SYNTH_TIMEOUT_SEC", "60"))
+TTS_SYNTH_TIMEOUT_SEC = _env_number("TTS_SYNTH_TIMEOUT_SEC", 60, min_value=1)
 _PROCESS_START_MONOTONIC = time.monotonic()
 # ── Тайминги автоматического маршрутизатора моделей (см. секцию "автоматический
 # выбор модели" ниже) ──
 # Без ретраев одной модели: любая ошибка — сразу следующая в маршруте; общий бюджет ROUTE_TOTAL_BUDGET_SEC держит лок чата от минутного зависания.
-ROUTE_MODEL_TIMEOUT_SEC = float(os.getenv("ROUTE_MODEL_TIMEOUT_SEC", "22"))
+ROUTE_MODEL_TIMEOUT_SEC = _env_number("ROUTE_MODEL_TIMEOUT_SEC", 22, min_value=1)
 # ROUTE_TOTAL_BUDGET_SEC — общий бюджет времени на ВЕСЬ маршрут одного сообщения,
 # включая ОБА провайдера (Gemini и OpenRouter), если маршрут предполагает
 # резервный переход между ними. Без этого потолка каскадный сбой сразу у многих
@@ -355,22 +378,22 @@ ROUTE_MODEL_TIMEOUT_SEC = float(os.getenv("ROUTE_MODEL_TIMEOUT_SEC", "22"))
 # время удерживая лок чата (_chat_locks). При превышении бюджета дальнейшие
 # попытки прекращаются и пользователь получает честное "сейчас всё перегружено"
 # вместо тихого зависания.
-ROUTE_TOTAL_BUDGET_SEC = float(os.getenv("ROUTE_TOTAL_BUDGET_SEC", "40"))
+ROUTE_TOTAL_BUDGET_SEC = _env_number("ROUTE_TOTAL_BUDGET_SEC", 40, min_value=1)
 # HISTORY_SUMMARY_BUDGET_SEC — потолок саммаризации истории: без него два висящих
 # backend-вызова подряд (Groq + OpenRouter по ROUTE_MODEL_TIMEOUT_SEC каждый) держали бы
 # lock чата десятки секунд ПОСЛЕ готового ответа (найдено внешним аудитом).
-HISTORY_SUMMARY_BUDGET_SEC = float(os.getenv("HISTORY_SUMMARY_BUDGET_SEC", "30"))
+HISTORY_SUMMARY_BUDGET_SEC = _env_number("HISTORY_SUMMARY_BUDGET_SEC", 30, min_value=1)
 # Общий бюджет /draw 120с: иначе 5 моделей × 90с давали до 7.5 мин висящего "Генерирую" (ревью 28.08.2026).
-DRAW_TOTAL_BUDGET_SEC = float(os.getenv("DRAW_TOTAL_BUDGET_SEC", "120"))
+DRAW_TOTAL_BUDGET_SEC = _env_number("DRAW_TOTAL_BUDGET_SEC", 120, min_value=1)
 # CHAT_LOCK_TIMEOUT_SEC — сколько ждём лок чата, прежде чем ответить «занято».
 # Обязан быть ВЫШЕ самой долгой защищаемой работы: /draw держит лок до
 # DRAW_TOTAL_BUDGET_SEC, поэтому хардкод 45с отдавал «занято» посреди ещё идущей
 # отрисовки, а в pick-кнопках стояло ещё и третье значение — 10с (аудит 26.09.2026).
 # Одно имя на все три места, чтобы значения снова не разъехались.
-CHAT_LOCK_TIMEOUT_SEC = float(os.getenv("CHAT_LOCK_TIMEOUT_SEC", "150"))
+CHAT_LOCK_TIMEOUT_SEC = _env_number("CHAT_LOCK_TIMEOUT_SEC", 150, min_value=1)
 # INFLIGHT_TASKS_SHUTDOWN_TIMEOUT_SEC — сколько main() при остановке ждёт штатного
 # завершения fire-and-forget задач перед отменой остатка (Sentry LUMEN-2: event loop убивал их посреди сетевых вызовов при редеплое).
-INFLIGHT_TASKS_SHUTDOWN_TIMEOUT_SEC = float(os.getenv("INFLIGHT_TASKS_SHUTDOWN_TIMEOUT_SEC", "10"))
+INFLIGHT_TASKS_SHUTDOWN_TIMEOUT_SEC = _env_number("INFLIGHT_TASKS_SHUTDOWN_TIMEOUT_SEC", 10, min_value=0)
 TG_MAX_LEN = 4096
 # Upload-ботов Telegram режет 50 МБ — слишком большие варианты качества пропускаем до скачивания.
 TELEGRAM_BOT_API_UPLOAD_LIMIT_BYTES = 50 * 1024 * 1024
@@ -378,10 +401,10 @@ TELEGRAM_BOT_API_UPLOAD_LIMIT_BYTES = 50 * 1024 * 1024
 TIKTOK_SLIDESHOW_MAX_ITEMS = 35
 TELEGRAM_MEDIA_GROUP_CHUNK = 10
 # Лимит ffprobe/ffmpeg-процессов: без него слайдшоу кладёт CPU контейнера (ревью 28.08.2026).
-TIKTOK_VIDEO_SLIDE_PROBE_CONCURRENCY = int(os.getenv("TIKTOK_VIDEO_SLIDE_PROBE_CONCURRENCY", "4"))
+TIKTOK_VIDEO_SLIDE_PROBE_CONCURRENCY = _env_number("TIKTOK_VIDEO_SLIDE_PROBE_CONCURRENCY", 4, cast=int, min_value=1)
 _tiktok_probe_semaphore = asyncio.Semaphore(TIKTOK_VIDEO_SLIDE_PROBE_CONCURRENCY)
 # Лимит скачивания слайдов 8: 35 слайдов иначе занимают весь пул сессии (limit=40) и стопорят другие чаты (аудит 04.09.2026).
-TIKTOK_SLIDE_DOWNLOAD_CONCURRENCY = int(os.getenv("TIKTOK_SLIDE_DOWNLOAD_CONCURRENCY", "8"))
+TIKTOK_SLIDE_DOWNLOAD_CONCURRENCY = _env_number("TIKTOK_SLIDE_DOWNLOAD_CONCURRENCY", 8, cast=int, min_value=1)
 _tiktok_slide_download_semaphore = asyncio.Semaphore(TIKTOK_SLIDE_DOWNLOAD_CONCURRENCY)
 
 # Состояние/квоты/локи живут в lumen_chat_state.py (P2): здесь только реэкспорт
@@ -481,7 +504,7 @@ from lumen_telegram_transport import (
     IPv4AiohttpSession,
 )
 
-TELEGRAM_PROXY_TRIP_THRESHOLD = int(os.getenv("TELEGRAM_PROXY_TRIP_THRESHOLD", "3"))
+TELEGRAM_PROXY_TRIP_THRESHOLD = _env_number("TELEGRAM_PROXY_TRIP_THRESHOLD", 3, cast=int, min_value=1)
 _tg_proxy_breaker = _TelegramProxyCircuitBreaker(cooldown_sec=TELEGRAM_PROXY_COOLDOWN_SEC, trip_threshold=TELEGRAM_PROXY_TRIP_THRESHOLD)
 
 # конвертация markdown в html, утилиты json

docs/ENVIRONMENT.md

@@ -78,7 +78,10 @@ Before publishing, configure the same `LUMEN_PROXY_SECRET` on HF and every Deno
 | `HISTORY_SUMMARY_BUDGET_SEC` | `30s` | Cap for history summarization on overflow; beyond it the history is cut plainly instead of holding the chat lock. |
 | `RICH_MESSAGES_ENABLED` | `1` | Send final answers via `sendRichMessage` (Bot API 10.1+: real tables, headings, math). Any failure falls back to plain HTML automatically; streaming edits always use HTML. Set to `0` (plus restart) to force legacy HTML if rendering breaks on old clients. |
 | `PICK_BUTTONS_ENABLED` | `1` | Show clarifying buttons for short taste requests without details ("посоветуй фильм"). Set to `0` (plus restart) to answer such requests as plain text instead. |
-| `PICK_TTL_SEC` | `300s` | How long pick buttons stay valid. Expired or post-restart taps get a "buttons expired, write in text" notice instead of an answer. |
+| `PICK_TTL_SEC` | `300s` | How long pick buttons stay valid. Expired taps on a still-known request reissue the buttons once; anything older answers with a "buttons expired, write in text" notice. |
+| `MAX_PENDING_PICKS` | `500` | Cap on simultaneously stored pick-button questions; the oldest are dropped past it (memory only, they do not survive a restart). |
+| `MAX_RATE_LIMIT_KEYS` | `20000` | Cap on tracked per-user rate-limit keys; prevents unbounded growth of the in-memory tracker. |
+| `INFLIGHT_TASKS_SHUTDOWN_TIMEOUT_SEC` | `10s` | How long shutdown waits for in-flight update tasks before cancelling the rest. |
 
 ## TikTok downloader
 
@@ -106,6 +109,8 @@ Setup: create a free database at [upstash.com](https://upstash.com), grab the RE
 | `SENTRY_DSN` | — | Enables Sentry error tracking if set. Every event is scrubbed of known secrets (`BOT_TOKEN`, API keys, `WEBHOOK_SECRET`, etc.) before it's sent. |
 | `BOT_LOG_PATH` | `/app/bot.log` | Log file path. Mainly relevant for tests; leave it alone in production. |
 | `LOG_LEVEL` | `INFO` | Standard logging level (`DEBUG`/`INFO`/`WARNING`/...). |
+| `DIAG_TOTAL_BUDGET_SEC` | `25s` | Total budget for the `/diag` network check across all probed hosts, so a hanging host cannot hang the diagnostic. |
+| `ADMIN_SECRET_SEED` | — | Secret seed for deriving `WEBHOOK_SECRET` and `ADMIN_PANEL_KEY`. **Set it.** Without it both keys are derived from `BOT_TOKEN`, so a leaked token also exposes `/export_state` and `/webhook` (the bot logs a warning at startup). Any change here rotates both keys; `WEBHOOK_SECRET` re-registers itself, `ADMIN_PANEL_KEY` is retrieved with `GET /admin_keys` (Bearer `BOT_TOKEN`). |
 
 Sentry setup: create a free Python project at [sentry.io](https://sentry.io) (Developer tier: 5,000 events/month), copy the DSN from the project settings, and add it as a Space secret.
 

lumen_limits.py

@@ -7,14 +7,23 @@ lumen_limits.py — скользящее окно rate limit и очередь
 """
 from __future__ import annotations
 
-import os
 import time
 from typing import Any
 
-# Простой трекер для rate limiting
-RATE_LIMIT_MAX_REQUESTS = int(os.getenv("RATE_LIMIT_MAX_REQUESTS", "5"))
-RATE_LIMIT_WINDOW_SEC = float(os.getenv("RATE_LIMIT_WINDOW_SEC", "30"))
-MAX_RATE_LIMIT_KEYS = int(os.getenv("MAX_RATE_LIMIT_KEYS", "20000"))
+# Простой трекер для rate limiting.
+# Числа читаем через bot._env_number (импорт отложенный: bot импортирует этот
+# модуль) — опечатка в переменной окружения не должна ронять бот на старте
+# (аудит 26.09.2026).
+def _env_number(name: str, default: float | int, *, cast: type = float, min_value: float | None = None) -> float | int:
+    try:
+        import bot
+        return bot._env_number(name, default, cast=cast, min_value=min_value)
+    except Exception:
+        return cast(default)
+
+RATE_LIMIT_MAX_REQUESTS = _env_number("RATE_LIMIT_MAX_REQUESTS", 5, cast=int, min_value=1)
+RATE_LIMIT_WINDOW_SEC = _env_number("RATE_LIMIT_WINDOW_SEC", 30, min_value=1)
+MAX_RATE_LIMIT_KEYS = _env_number("MAX_RATE_LIMIT_KEYS", 20000, cast=int, min_value=100)
 user_rate_limits: dict[int, list[float]] = {}
 
 
@@ -53,8 +62,8 @@ def _check_and_register_rate_limit(user_id: int | None) -> bool:
     return False
 
 
-PICK_TTL_SEC = float(os.getenv("PICK_TTL_SEC", "300"))
-MAX_PENDING_PICKS = int(os.getenv("MAX_PENDING_PICKS", "500"))
+PICK_TTL_SEC = _env_number("PICK_TTL_SEC", 300, min_value=1)
+MAX_PENDING_PICKS = _env_number("MAX_PENDING_PICKS", 500, cast=int, min_value=1)
 # Только в памяти: после рестарта кнопки честно протухают, это штатно.
 _pending_picks: dict[str, dict[str, Any]] = {}
 

lumen_tiktok.py

@@ -249,7 +249,15 @@ def _write_mp3_tags(path: str, title: str, artist: str, cover: bytes | None) ->
 
 # ── ffmpeg и скачивание бинарных URL ──
 # Лимит размера (аудит 04.09.2026): слайды качаются до 35 параллельно — читаем потоково с капом.рвём свыше лимита.
-TIKTOK_DOWNLOAD_MAX_BYTES = int(os.getenv("TIKTOK_DOWNLOAD_MAX_BYTES", str(75 * 1024 * 1024)))
+# Число из окружения — через bot._env_number (мусор в переменной не должен ронять
+# старт; отложенный импорт, потому что bot.py импортирует этот модуль).
+def _env_number_or_default(name: str, default: int) -> int:
+    try:
+        import bot
+        return int(bot._env_number(name, default, cast=int, min_value=1024))
+    except Exception:
+        return default
+TIKTOK_DOWNLOAD_MAX_BYTES = _env_number_or_default("TIKTOK_DOWNLOAD_MAX_BYTES", 75 * 1024 * 1024)
 
 
 # ── SSRF-гард для _download_url_bin ──

tests/test_bot_state.py

@@ -264,6 +264,47 @@ def test_upstash_get_parses_result_field():
         bot.UPSTASH_REDIS_REST_TOKEN = ""
 
 
+def test_upstash_delete_hits_del_endpoint():
+    # Ветка use_upstash=True (_storage_delete_text) и _upstash_delete не были
+    # проверены ни одним тестом, хотя это весь прод-бэкенд (аудит 26.09.2026).
+    import lumen_state_storage as lss
+    calls = []
+    with patch.object(lss, "_upstash_request", side_effect=lambda url, token, path, **kw: calls.append((path, kw))):
+        lss._upstash_delete("https://fake", "tok", "lumen:chat:42")
+    assert calls == [("del/lumen%3Achat%3A42", {"method": "POST"})]
+
+
+def test_storage_write_read_delete_use_upstash_branch(tmp_path):
+    # Тот же пробел: ветки use_upstash=True в _storage_write_text/_storage_read_text/
+    # _storage_delete_text шли мимо тестов. Проверяем, что они реально дергают
+    # Upstash и НЕ трогают локальные файлы.
+    import lumen_state_storage as lss
+    cfg = lss.StorageConfig(
+        use_upstash=True, upstash_url="https://fake", upstash_token="tok", chats_dir=tmp_path,
+    )
+    seen = {}
+
+    def fake_set(url, token, key, value):
+        seen["set"] = (url, token, key, value)
+
+    def fake_get(url, token, key):
+        seen["get"] = (url, token, key)
+        return '{"history": []}'
+
+    def fake_delete(url, token, key):
+        seen["delete"] = (url, token, key)
+
+    path = tmp_path / "1.json"
+    with patch.object(lss, "_upstash_set", fake_set), patch.object(lss, "_upstash_get", fake_get), patch.object(lss, "_upstash_delete", fake_delete):
+        lss._storage_write_text(cfg, "lumen:chat:1", path, '{"a": 1}')
+        assert lss._storage_read_text(cfg, "lumen:chat:1", path) == '{"history": []}'
+        lss._storage_delete_text(cfg, "lumen:chat:1", path)
+    assert seen["set"] == ("https://fake", "tok", "lumen:chat:1", '{"a": 1}')
+    assert seen["get"] == ("https://fake", "tok", "lumen:chat:1")
+    assert seen["delete"] == ("https://fake", "tok", "lumen:chat:1")
+    assert not path.exists(), "Upstash-ветка не должна создавать локальные файлы"
+
+
 def test_save_chat_to_storage_returns_true_on_success(tmp_path):
     # Регрессия на найденный при код-ревью баг (см. test_flush_dirty_state_once_*
     # ниже): функция теперь ДОЛЖНА сигнализировать успех/неудачу вызывающему коду,
@@ -631,6 +672,66 @@ def test_process_media_group_buffers_holds_chat_lock():
         bot.chat_state.pop(chat_id, None)
 
 
+def test_env_number_falls_back_on_garbage_and_keeps_valid(monkeypatch, caplog):
+    # Регрессия (аудит 26.09.2026): опечатка в HF Variable (пустое значение или
+    # "22s") роняла бот на старте голым ValueError. Теперь — дефолт + WARNING.
+    import logging
+    monkeypatch.setenv("LUMEN_PROBE_NUM", "22s")
+    with caplog.at_level(logging.WARNING, logger="bot"):
+        assert bot._env_number("LUMEN_PROBE_NUM", 22, min_value=1) == 22
+    assert any("LUMEN_PROBE_NUM" in r.getMessage() for r in caplog.records)
+
+    monkeypatch.setenv("LUMEN_PROBE_NUM", "5")
+    assert bot._env_number("LUMEN_PROBE_NUM", 22, min_value=1) == 5
+
+    monkeypatch.setenv("LUMEN_PROBE_NUM", "  ")
+    assert bot._env_number("LUMEN_PROBE_NUM", 22, min_value=1) == 22
+
+    monkeypatch.setenv("LUMEN_PROBE_NUM", "-3")
+    assert bot._env_number("LUMEN_PROBE_NUM", 22, min_value=1) == 22
+
+    monkeypatch.delenv("LUMEN_PROBE_NUM", raising=False)
+    assert bot._env_number("LUMEN_PROBE_NUM", 22, min_value=1) == 22
+    assert bot._env_number("LUMEN_PROBE_NUM", 7, cast=int, min_value=1) == 7
+
+
+def test_flush_state_now_writes_everything_on_shutdown(tmp_path):
+    # _flush_state_now (финальный синхронный сброс при остановке) не был покрыт
+    # ни одним тестом: именно он спасает несохранённые изменения между последним
+    # тиком и остановкой контейнера (аудит 26.09.2026).
+    import lumen_chat_state as lcs
+    chat_id = 999701
+    original_chats_dir = lcs._CHATS_DIR
+    lcs._CHATS_DIR = tmp_path
+    written = []
+    original_write = bot._storage_write_text
+    original_save = bot._save_chat_to_storage
+    original_delete = bot._delete_chat_storage
+    bot._storage_write_text = lambda key, path, text: written.append((key, text)) or True
+    bot._save_chat_to_storage = lambda cid, state: written.append((f"chat:{cid}", "")) or True
+    bot._delete_chat_storage = lambda cid: written.append((f"delete:{cid}", "")) or True
+    lcs.chat_state[chat_id] = {"history": [{"role": "user", "content": "hi"}], "last_activity": 0.0}
+    lcs._dirty_chat_ids.add(chat_id)
+    lcs._pending_chat_deletions.add(999999)
+    lcs._index_dirty = True
+    try:
+        bot._flush_state_now()
+        keys = [k for k, _ in written]
+        assert f"chat:{chat_id}" in keys, "грязный чат должен сохраниться при остановке"
+        assert "delete:999999" in keys, "очередь удалений должна быть применена"
+        assert "lumen:chat_index" in keys or any("chat_index" in k for k in keys), "индекс должен сохраниться"
+        assert 999999 not in lcs._pending_chat_deletions
+        assert chat_id not in lcs._dirty_chat_ids
+    finally:
+        bot._storage_write_text = original_write
+        bot._save_chat_to_storage = original_save
+        bot._delete_chat_storage = original_delete
+        lcs._CHATS_DIR = original_chats_dir
+        lcs.chat_state.pop(chat_id, None)
+        lcs._pending_chat_deletions.discard(999999)
+        lcs._index_dirty = False
+
+
 def test_prune_old_chats_never_drops_a_chat_with_held_lock():
     # Регрессия (аудит 26.09.2026): чат с ЗАНЯТЫМ локом вытеснялся из памяти
     # вместе с локом — идущий маршрут писал в отвязанный state, а следующее