- reference-data-seed: матрица role_permission целиком — только в пустую
таблицу, в заполненную — лишь пары ролей/прав, вставленных тем же запуском
(сценарии: снятое право, новые роль и право, все связи сняты); `--dev` только
при DEBUG=true (код 2 до обращения к БД).
- audit-trail: требование «События входа» (LOGIN/LOGIN_FAILED, раздел SESSION)
— исключение из «той же транзакции» с обоснованием, обрезка полей, доверенные
прокси; строки в таблице событий.
- authn-authz: ссылка на аудит входа; требование «Прод-конфигурация
HTTP-поверхности» — /docs, /redoc, /openapi.json только при DEBUG, CORS по
CORS_ORIGINS, 405 на неверный метод, 404 под /api/v1, GET / без редиректа.
`openspec validate --specs`: 9 passed, 0 failed.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_012vJkmBGKKqMoEMzvsXG3y2
