Sonnet: код-ревью contracts-flask (2026-08-26)

Контекст

Написан промпт для Sonnet: contracts-flask/docs/prompt-sonnet-architecture.md (задача — прочитать файлы текущего сервиса сверки и дать описание/архитектуру).
Sonnet прочитал все указанные файлы и вместо описания выдал код-ревью с 10 находками (2 критические, 3 средних, 2 XSS, 3 мелких). Архитектурное описание — отдельным документом (не выдано).

process.py + spec_events.py — UPDATE/DELETE никогда не применяются (сломана частичная сверка). LLM возвращает target_id: "r1" (индекс строки), а apply_ops() читает op.get("target_hash", ""). Поля target_hash в ответе LLM нет → все UPDATE/DELETE из mode=partial молча уходят в UNRESOLVED. Трассировка: _build_spec_text() показывает строки [id: r1] → LLM возвращает target_id: "r1" → process.py передаёт ops без трансляции r1→hash → spec_events.py th = op.get("target_hash","") = "" → UNRESOLVED. Работает только mode=full_replace (все ADD) и первый документ (extract, только ADD).
Dockerfile — образ не запустится: upload/ не скопирован. COPY site /app/site — только site/, upload/ отсутствует. При старте routes/__init__.py делает from upload.backend.upload_refs import ..., app.py добавляет /app в sys.path. В образе /app/upload/ нет → ModuleNotFoundError.

db/prompts.py — list_by_role() запрашивает несуществующий столбец created_by. В схеме prompts нет created_by → sqlite3.OperationalError → /api/prompts/list всегда 500.
routes/prompts_bp.py — вызов несуществующих функций:
- db_prompts.insert(...) — нет (есть save_new_version());
- db_prompts.delete(...) — нет (есть delete_prompt()). /api/prompts/save и /api/prompts/delete падают с AttributeError.
services/llm.py, services/classify.py — захардкожены LLM_URL/LLM_KEY/LLM_MODEL в обход config.py. config.py читает из LLM_API_URL, а compare/classify игнорируют его. Конфигурация расщеплена на 3 блока.

compare.js — nr.name в таблице операций не экранирован (escHtml() отсутствует). Имя услуги из договора (текст LLM) вставляется в innerHTML → XSS.
compare.js — sec.filename в заголовке секции не экранирован. Имя файла от пользователя → XSS.

llm_prompt.py — устаревший комментарий «Lucee API» (читает напрямую из SQLite).
db/connection.py — _pg_to_sqlite: gen_random_uuid() добавляет ? в SQL, но не добавляет значение в params (мёртвый код, но при исполнении сломает запрос).
services/classify.py — комментарий «re-classify after file changes» вводит в заблуждение: reset_classify_status() сбрасывает только processing→pending, уже классифицированные не трогает.

#	Файл	Проблема	Критичность
1	process.py, spec_events.py	UPDATE/DELETE → UNRESOLVED, частичная сверка сломана	🔴 критический
2	Dockerfile	upload/ не скопирован → образ не стартует	🔴 критический
3	db/prompts.py	created_by отсутствует → 500 на /api/prompts/list	🟠 средний
4	prompts_bp.py	insert()/delete() — не те имена функций → 500	🟠 средний
5	llm.py, classify.py	захардкожены LLM_URL/KEY/MODEL в обход config.py	🟠 средний
6	compare.js	nr.name не экранирован → XSS	🟡 XSS
7	compare.js	sec.filename не экранирован → XSS	🟡 XSS
8	llm_prompt.py	устаревший комментарий	⚪ мелкое
9	connection.py	gen_random_uuid() мёртвый код с ошибкой	⚪ мелкое
10	classify.py	комментарий re-classify вводит в заблуждение	⚪ мелкое

✅ Все 10 находок исправлены (v2.0.15, commit e3f5581, запушено).
#1 (критично) — сам: process.py трансляция target_id→target_hash.
#2–#10 (механика) — Флаш-субагент: Dockerfile, prompts CRUD, XSS, конфиг LLM, комментарии.
Верифицировано: py_compile, node -c, import app — OK.
Архитектурное описание от Sonnet — так и не получено (вместо него — ревью). Если нужно — отдельным запросом.