Finish audit leftovers: speed_key dedup, truncate in formatting, honest mime suffixes, filename sanitize, tiger boundary, dead image data, deterministic timing tests, HEALTHCHECK, dependabot (AUD-B-003, AUD-E-005, AUD-E-006, AUD-K-001, AUD-M-001, AUD-M-004)

.dockerignore

@@ -31,5 +31,6 @@ chat_state.json
 chat_state.tmp
 global_quota.json
 global_quota.tmp
+export_state.json
 
 .DS_Store

.github/dependabot.yml

@@ -0,0 +1,13 @@
+version: 2
+updates:
+  # CI-гейт автодеплоит в прод ("зелёный CI = прод"), а экшены закреплены
+  # мажор-тегами (v6/v7) — Dependabot открывает PR на новые релизы экшенов,
+  # чтобы дрейф версий был видимым решением, а не тихим (AUD-M-001).
+  - package-ecosystem: "github-actions"
+    directory: "/"
+    schedule:
+      interval: "weekly"
+  - package-ecosystem: "pip"
+    directory: "/"
+    schedule:
+      interval: "weekly"

Dockerfile

@@ -45,4 +45,9 @@ COPY . /app
 
 EXPOSE 7860
 
+# Дешёвая проба живости — in-memory "/" без сетевых вызовов (см. healthcheck в
+# bot.py). Отдельного curl в образе нет — хватает stdlib-urllib.
+HEALTHCHECK --interval=60s --timeout=5s --start-period=60s --retries=3 \
+  CMD python -c "import urllib.request; urllib.request.urlopen('http://127.0.0.1:7860/', timeout=4)"
+
 CMD ["python", "-u", "bot.py"]

bot.py

@@ -648,7 +648,7 @@ async def _close_sessions() -> None:
 # именно ради старых тестов на `bot.X`, но с переездом тестов на прямой импорт
 # модуля этот ре-экспорт стал мёртвым (см. аудит техдолга, 26 августа 2026) и
 # убран вместе с соответствующим `__all__`.
-from lumen_formatting import _md_to_html, _md_to_rich_html, _split_text_chunks, _strip_markdown
+from lumen_formatting import _md_to_html, _md_to_rich_html, _split_text_chunks, _strip_markdown, _truncate_html_to_fit
 
 _PRUNE_SENTINEL = object()
 
@@ -789,23 +789,6 @@ def is_guest_message(message: Message | dict) -> bool:
         return bool(message.get("guest_query_id"))
     return bool(getattr(message, "guest_query_id", None))
 
-def _truncate_html_to_fit(md_text: str, limit: int) -> str:
-    """HTML по границе исходника, а не по границе тегов: резать готовый HTML
-    по codepoint можно угодить в середину <b>/ссылки — Telegram ответит
-    "can't parse entities" (AUD-J-002). Бинарным поиском ищем самый длинный
-    префикс исходника, чей HTML влезает в лимит."""
-    full = _md_to_html(md_text)
-    if len(full) <= limit:
-        return full
-    lo, hi = 0, len(md_text)
-    while lo < hi:
-        mid = (lo + hi + 1) // 2
-        if len(_md_to_html(md_text[:mid])) <= limit - 1:
-            lo = mid
-        else:
-            hi = mid - 1
-    return _md_to_html(md_text[:lo])[:limit - 1] + "…"
-
 async def _answer_guest_text(message: Message, text: str) -> None:
     qid = getattr(message, "guest_query_id", None)
     if not qid:
@@ -2633,9 +2616,12 @@ async def _send_tiktok_music(session, media_data: dict, message: Message, author
          except Exception as tag_err:
               log.warning("[tiktok] failed to write embedded tags to MP3: %s", tag_err)
 
+         # Слэш и управляющие из чужого названия — в "_" (AUD-E-005),
+         # иначе multipart-имя файла битое.
+         safe_title = re.sub(r'[\\/:*?"<>|\x00-\x1f]', "_", cleaned_title[:60]).strip() or "track"
          await bot.send_audio(
-              chat_id=message.chat.id,
-              audio=BufferedInputFile(tagged_music_bytes, filename=f"{cleaned_title[:60]}.mp3"),
+               chat_id=message.chat.id,
+               audio=BufferedInputFile(tagged_music_bytes, filename=f"{safe_title}.mp3"),
               title=cleaned_title, 
               performer=performer_name,
               thumbnail=thumbnail_file,

lumen_formatting.py

@@ -609,3 +609,22 @@ def _split_text_chunks(text: str, max_len: int = 4096) -> list[str]:
         chunks.append(remaining)
     return chunks
 
+
+def _truncate_html_to_fit(md_text: str, limit: int) -> str:
+    """HTML по границе исходника, а не по границе тегов: резать готовый HTML
+    по codepoint можно угодить в середину <b>/ссылки — Telegram ответит
+    "can't parse entities" (AUD-J-002). Бинарным поиском ищем самый длинный
+    префикс исходника, чей HTML влезает в лимит. Вынесено из bot.py (гостевые
+    ответы — одиночный InlineQueryResultArticle без фолбэка на plain-текст)."""
+    full = _md_to_html(md_text)
+    if len(full) <= limit:
+        return full
+    lo, hi = 0, len(md_text)
+    while lo < hi:
+        mid = (lo + hi + 1) // 2
+        if len(_md_to_html(md_text[:mid])) <= limit - 1:
+            lo = mid
+        else:
+            hi = mid - 1
+    return _md_to_html(md_text[:lo])[:limit - 1] + "…"
+

lumen_images.py

@@ -40,26 +40,11 @@ import aiohttp
 DEFAULT_POLLINATIONS_IMAGE_MODEL = os.getenv("POLLINATIONS_IMAGE_MODEL", "flux").strip()
 
 POLLINATIONS_IMAGE_MODELS: dict[str, dict[str, Any]] = {
-    "flux": {
-        "name": "FLUX Pro",
-        "desc": "Высококачественный FLUX. Фотореализм, точное следование промпту, богатая детализация.",
-    },
-    "flux-realism": {
-        "name": "FLUX Realism",
-        "desc": "FLUX с акцентом на гиперреализм — детализированные текстуры, естественное освещение, кинематографичность.",
-    },
-    "flux-anime": {
-        "name": "FLUX Anime",
-        "desc": "FLUX для аниме и иллюстраций — характерные пропорции, яркие цвета, стилизация под японскую графику.",
-    },
-    "turbo": {
-        "name": "Turbo",
-        "desc": "Быстрая дистиллированная модель. Результат за несколько секунд — для черновиков и быстрых итераций.",
-    },
-    "dreamshaper": {
-        "name": "DreamShaper",
-        "desc": "Художественная модель для фэнтези, концепт-арта и стилизованных иллюстраций.",
-    },
+    "flux": {"name": "FLUX Pro"},
+    "flux-realism": {"name": "FLUX Realism"},
+    "flux-anime": {"name": "FLUX Anime"},
+    "turbo": {"name": "Turbo"},
+    "dreamshaper": {"name": "DreamShaper"},
 }
 
 # ── Автоматический выбор модели генерации по содержимому промпта ──
@@ -135,8 +120,3 @@ async def _pollinations_text_to_image(session: aiohttp.ClientSession, model_id:
     if model_id not in POLLINATIONS_IMAGE_MODELS:
         raise ValueError(f"Неизвестная модель генерации изображений: {model_id}")
     return await _pollinations_generate(session, model_id, prompt)
-
-
-def _image_model_label(model_id: str) -> str:
-    meta = POLLINATIONS_IMAGE_MODELS.get(model_id, {})
-    return meta.get("name", model_id)

lumen_media.py

@@ -139,10 +139,21 @@ def _mime_suffix(mime: str, filename: str = "") -> str:
     if m.startswith("image/"):
         sub = m.split("/", 1)[1]
         return {"jpeg": ".jpg", "jpg": ".jpg", "png": ".png", "gif": ".gif", "webp": ".webp"}.get(sub, f".{sub}")
+    # Честная карта вместо ".mp3 для любого audio" (AUD-E-005): расширение врёт
+    # редко, но метка временному файлу должна соответствовать содержимому.
     if m.startswith("audio/"):
-        return ".mp3"
+        sub = m.split("/", 1)[1].split(";")[0].strip()
+        return {
+            "mpeg": ".mp3", "mp3": ".mp3", "ogg": ".ogg", "wav": ".wav",
+            "x-wav": ".wav", "webm": ".webm", "mp4": ".m4a", "x-m4a": ".m4a",
+            "aac": ".aac", "flac": ".flac", "opus": ".opus",
+        }.get(sub, f".{sub}")
     if m.startswith("video/"):
-        return ".mp4"
+        sub = m.split("/", 1)[1].split(";")[0].strip()
+        return {
+            "mp4": ".mp4", "quicktime": ".mov", "x-msvideo": ".avi",
+            "x-matroska": ".mkv", "webm": ".webm", "mpeg": ".mpg",
+        }.get(sub, f".{sub}")
     return ".bin"
 
 def _msg_media_source(message: Any) -> Any | None:

lumen_message_parse.py

@@ -274,12 +274,13 @@ def match_pick_request(text_lower: str) -> str | None:
         return None
     for topic, scenario in _PICK_TOPICS.items():
         # Латиницу — строго по границам слов ("notebook" — не книги,
-        # "shower" — не сериалы); кириллицу — подстрокой, как раньше
-        # (там префиксные корни вида "музык"/"книг" так и задуманы).
+        # "shower" — не сериалы); кириллицу — по началу слова: корни вида
+        # "музык"/"книг" так и задуманы префиксными, но "тигр" — не игры
+        # (AUD-E-006). \w в Python юникодный, кириллицу покрывает.
         if topic.isascii():
             if re.search(r"\b" + re.escape(topic) + r"\b", text):
                 return scenario
-        elif topic in text:
+        elif re.search(r"(?<!\w)" + re.escape(topic), text):
             return scenario
     return None
 

lumen_model_speed.py

@@ -42,6 +42,10 @@ lumen_model_speed.py — самокалибрующаяся оценка зад
 
 from __future__ import annotations
 
+# Единый ключ provider:model_id живёт в lumen_typing_pace (там каноническое
+# определение) — здесь реэкспорт, чтобы не плодить два одинаковых форматтера.
+from lumen_typing_pace import speed_key
+
 # Насколько сильно один новый замер сдвигает EMA — тот же компромисс
 # "стабильность против скорости подстройки", что и в lumen_typing_pace.py.
 _EMA_ALPHA = 0.3
@@ -66,12 +70,6 @@ _TTF_ABANDON_MULT = 2.5
 _latency_ema: dict[str, tuple[float, float]] = {}
 
 
-def speed_key(provider: str, model_id: str) -> str:
-    """Единый ключ — тот же формат пары (provider, model_id), что в
-    lumen_typing_pace.speed_key и GLOBAL_QUOTA."""
-    return f"{provider}:{model_id}"
-
-
 def expected_ttf_sec(key: str) -> float:
     """Ожидаемое время до первого куска — EMA или приор для новой модели."""
     ttf = _latency_ema.get(key, (_DEFAULT_TTF_SEC, _DEFAULT_TOTAL_SEC))[0]

test_bot.py

@@ -137,6 +137,16 @@ def test_sanitize_mime_type_audio_ogg_passthrough():
     assert bot._sanitize_mime_type(None, "audio/ogg") == "audio/ogg"
 
 
+def test_mime_suffix_maps_audio_video_subtypes_honestly():
+    # Регрессия AUD-E-005: было ".mp3 для любого audio" — расширение врало.
+    assert bot._mime_suffix("audio/ogg", "") == ".ogg"
+    assert bot._mime_suffix("audio/mpeg", "") == ".mp3"
+    assert bot._mime_suffix("audio/wav", "") == ".wav"
+    assert bot._mime_suffix("video/quicktime", "") == ".mov"
+    assert bot._mime_suffix("video/mp4", "") == ".mp4"
+    assert bot._mime_suffix("image/jpeg", "") == ".jpg"
+
+
 def test_ensure_prompt_text_gif_gets_animation_prompt_not_generic_image():
     assert "анимации" in bot._ensure_prompt_text(None, "image/gif")
     assert "анимации" in bot._ensure_prompt_text("  ", "image/GIF")
@@ -1900,6 +1910,34 @@ def _run_send_tiktok_music(media_data: dict, language_code: str | None = "ru"):
     return captured.get("title"), captured.get("artist")
 
 
+def test_send_tiktok_music_filename_sanitizes_slashes_and_control_chars():
+    # Регрессия AUD-E-005: слэш/контролы из чужого названия в multipart-имени.
+    incoming = _FakeIncomingMessage(999602)
+    incoming.message_id = 12345
+    incoming.from_user = SimpleNamespace(language_code="ru")
+    media_data = {
+        "music": "https://example.com/sound.mp3",
+        "music_info": {"title": "a/b\x01c", "author": "X", "cover": ""},
+        "author": {"nickname": "N", "unique_id": "n"},
+    }
+
+    async def fake_download(session, url, headers=None):
+        return b"fake-bytes"
+
+    fake_bot = _FakeAudioBot()
+    original_download, original_bot = bot._download_url_bin, bot.bot
+    bot._download_url_bin = fake_download
+    bot.bot = fake_bot
+    try:
+        asyncio.run(bot._send_tiktok_music(None, media_data, incoming, "N", {}))
+    finally:
+        bot._download_url_bin = original_download
+        bot.bot = original_bot
+    filename = fake_bot.sent_audio["audio"].filename
+    assert "/" not in filename and "\\" not in filename and "\x01" not in filename
+    assert filename.endswith(".mp3")
+
+
 def test_send_tiktok_music_truly_generic_original_sound_uses_localized_label():
     # raw_music_title буквально "original sound" без остатка (TikTok в этом случае
     # обычно добавляет юзернейм автора видео тем же куском — здесь его просто нет
@@ -3213,7 +3251,7 @@ def test_ask_gemini_falls_back_to_next_model_on_timeout():
     def fake_generate_content(*, model, contents, config=None):
         calls.append(model)
         if model == "gemini-3.6-flash":
-            time.sleep(0.2)  # дольше урезанного ROUTE_MODEL_TIMEOUT_SEC ниже
+            time.sleep(0.5)  # 10-кратный запас над ROUTE_MODEL_TIMEOUT_SEC ниже
         return _FakeGeminiResponse(text="Ответ от второй модели")
 
     fake_client = MagicMock()
@@ -3949,17 +3987,6 @@ def test_allowed_updates_contains_only_real_telegram_types():
     assert "message" in bot.ALLOWED_UPDATES
 
 
-def test_truncate_html_to_fit_keeps_short_text_and_cuts_at_source_boundary():
-    # Регрессия AUD-J-002: рез готового HTML рвал теги ("can't parse entities").
-    short = bot._truncate_html_to_fit("привет", bot.TG_MAX_LEN)
-    assert short == bot._md_to_html("привет")
-    long_md = "**" + "x" * 5000 + "**"
-    cut = bot._truncate_html_to_fit(long_md, bot.TG_MAX_LEN)
-    assert len(cut) <= bot.TG_MAX_LEN
-    assert cut.endswith("…")
-    assert cut.count("<b>") == cut.count("</b>")
-
-
 # ─────────────────── ADMIN_SECRET_SEED — независимая ротация секретов ───────────────────
 
 def test_admin_secrets_are_independent_of_bot_token_when_seed_set():
@@ -4384,6 +4411,7 @@ def test_handle_tiktok_slideshow_video_probing_respects_concurrency_cap():
     current_concurrent = 0
     max_concurrent_seen = 0
     lock = asyncio.Lock()
+    overlapped = asyncio.Event()
 
     async def fake_get_http_session():
         return _FakeTikTokSession(tikwm_json)
@@ -4399,7 +4427,11 @@ def test_handle_tiktok_slideshow_video_probing_respects_concurrency_cap():
         async with lock:
             current_concurrent += 1
             max_concurrent_seen = max(max_concurrent_seen, current_concurrent)
-        await asyncio.sleep(0.05)  # достаточно, чтобы вызовы реально пересеклись во времени
+            if current_concurrent >= 2:
+                overlapped.set()
+        # Детерминированный барьер вместо sleep: дальше идёт только тот, кто
+        # реально пересёкся с соседом; последовательный регресс упрётся в таймаут.
+        await asyncio.wait_for(overlapped.wait(), timeout=2)
         async with lock:
             current_concurrent -= 1
         return 0, 0, 0, None
@@ -4453,6 +4485,7 @@ def test_handle_tiktok_slideshow_download_respects_concurrency_cap():
     current_concurrent = 0
     max_concurrent_seen = 0
     lock = asyncio.Lock()
+    overlapped = asyncio.Event()
 
     async def fake_get_http_session():
         return _FakeTikTokSession(tikwm_json)
@@ -4465,7 +4498,10 @@ def test_handle_tiktok_slideshow_download_respects_concurrency_cap():
         async with lock:
             current_concurrent += 1
             max_concurrent_seen = max(max_concurrent_seen, current_concurrent)
-        await asyncio.sleep(0.05)  # достаточно, чтобы вызовы реально пересеклись во времени
+            if current_concurrent >= 2:
+                overlapped.set()
+        # Детерминированный барьер вместо sleep (см. комментарий в probe-тесте выше).
+        await asyncio.wait_for(overlapped.wait(), timeout=2)
         async with lock:
             current_concurrent -= 1
         return b"\xff\xd8\xff\xe0fake jpeg bytes"  # не ftyp -> обычное фото, не видео-слайд
@@ -5320,6 +5356,9 @@ def test_match_pick_request_rejects_detailed_or_unrelated():
     assert bot.match_pick_request("") is None
     # Латиница — только по границам слов: "notebook" — не книги.
     assert bot.match_pick_request("recommend a notebook") is None
+    # Кириллица — по началу слова: "тигр" — не игры (AUD-E-006), "игру" — игры.
+    assert bot.match_pick_request("посоветуй тигра") is None
+    assert bot.match_pick_request("придумай игру для компании") == "games"
 
 
 def test_pick_question_sent_instead_of_ai_route(rate_guard_setup, monkeypatch):

test_lumen_formatting.py

@@ -18,6 +18,20 @@ import lumen_formatting
 
 
 
+# ─────────────────────────── _truncate_html_to_fit ───────────────────────────
+
+def test_truncate_html_to_fit_keeps_short_text_and_cuts_at_source_boundary():
+    # Регрессия AUD-J-002: рез готового HTML рвал теги ("can't parse entities").
+    # Переехала из test_bot.py вслед за функцией (TG_MAX_LEN=4096 — лимит Telegram).
+    short = lumen_formatting._truncate_html_to_fit("привет", 4096)
+    assert short == lumen_formatting._md_to_html("привет")
+    long_md = "**" + "x" * 5000 + "**"
+    cut = lumen_formatting._truncate_html_to_fit(long_md, 4096)
+    assert len(cut) <= 4096
+    assert cut.endswith("…")
+    assert cut.count("<b>") == cut.count("</b>")
+
+
 # ─────────────────────────── _md_to_html ───────────────────────────
 
 def test_md_to_html_empty_string():