fix(alerts): отклонять запись устаревшего снимка правил

docs/ux-ui-plan.md

@@ -4,7 +4,7 @@
 
 ## Актуальная точка продолжения — 2026-10-03
 
-Этап 11Б в работе; последний проверенный блок 11Б.4.4.1; System DB принят локально с внешними ограничениями. Следующий блок 11Б.4.4.2: optimistic revision/If-Match правил и групп, чтобы старый клиент не перезаписывал новый snapshot; затем outbox unknown audit, общий dashboard permission reader, адаптивность/pickers, Releases/probe scheduling и приёмка 11Б/12.
+Этап 11Б в работе; последний проверенный блок 11Б.4.4.2; System DB принят локально с внешними ограничениями. Следующий блок 11Б.4.4.3: outbox audit — неизвестный результат отправки/повторы/зависшие sending и согласованность журнала; затем общий dashboard permission reader, адаптивность/pickers, Releases/probe scheduling и приёмка 11Б/12.
 
 Реальные pg_dump/pg_restore, PG rollback и остановка UDP worker требуют внешней приёмки. Датированные продолжения ниже — история; точный следующий шаг также указан в начале [журнала](ux-ui-progress.md).
 

docs/ux-ui-progress.md

@@ -28,7 +28,7 @@
 | 9 | VPN, Firewall и Filters | Завершён в границах локальной приёмки 2026-09-30; блоки 9.1–9.64, ограничения в 9.64 |
 | 10 | Маршрутизация, диагностика, карта и терминал | Завершён в границах локальной приёмки 2026-10-01; блоки 10.1–10.71, внешние ограничения в 10.71 |
 | 11А | Пользователи, контейнеры, сертификаты и резервные копии | Завершён в границах локальной приёмки 2026-10-01; 11А.1–11А.33, внешние ограничения в 11А.33 |
-| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | В работе: 11Б.1–11Б.4.4.1; scheduler и GeoIP приняты локально; NetFlow принят локально; Evolution принят локально; далее общие Settings |
+| 11Б | Оповещения, сбор данных, интеграции, релизы и настройки | В работе: 11Б.1–11Б.4.4.2; scheduler и GeoIP приняты локально; NetFlow принят локально; Evolution принят локально; далее общие Settings |
 | 12 | Итоговая доступность, адаптивность, производительность и регрессия | Не начат |
 
 
@@ -36,6 +36,15 @@
 
 
 
+## Блок 11Б.4.4.2 — ревизия конфигурации правил (2026-10-03)
+
+- GET/strict receipt содержит обязательную SHA-256 revision правил/групп. Canonical hash сохраняет порядок targets/conditions и policy, сортирует строки по ID, исключает history/lastFired и Telegram. Это версия конфигурации в body, не ETag полного overview с динамической историей.
+- Client требует read revision, отправляет quoted If-Match; backend требует его до replace (428 missing/400 malformed). После nonblocking lock сравнивает актуальный hash внутри той же transaction до destructive write; stale получает 412, занятый lock по-прежнему 409. Readback проверяет собственную revision перед commit. Внутренний legacy replaceAlertRules без revision оставлен для совместимости; HTTP bypass отсутствует.
+- UI сохраняет новую revision только из confirmed GET/receipt. 412/428 — подтверждённый отказ без unknown checkpoint; draft остаётся. Editor умеет обновить snapshot, сохраняя draft; следующая запись включает полученные concurrent rules и новую revision. После refresh пользователь должен сравнить конфликтующие поля одного правила с черновиком — автоматического merge нет.
+- 1 hash + 1 stale-commit DI, профильный backend/HTTP/JWT (missing/malformed/stale), 6 API unit, 9 rules browser + 3 primary + 3 preview, 10 source/ABA, typecheck/lint и backend/frontend/contracts production builds пройдены. Промежуточные validation/lint ошибки исправлены и профильные проверки повторены. Реальная PG конкуренция/lock/isolation не доказана.
+- API compatibility: frontend/contracts/backend должны обновляться вместе. Старый HTTP writer без If-Match получает 428; новый reader не принимает legacy overview без revision. Reverse proxy должен передавать If-Match. CORS backend отражает request headers; source fixtures включают If-Match. Нет push/deploy.
+- Следующий точный шаг 11Б.4.4.3: outbox audit — неизвестный результат отправки/повторы/зависшие sending и согласованность журнала; затем общий dashboard permission reader, адаптивность/pickers, Releases/probe scheduling и приёмка 11Б/12.
+
 ## Блок 11Б.4.4.1 — согласованный GET и происхождение данных (2026-10-03)
 
 - Production GET Alerts использует одну read-only repeatable-read transaction: Telegram/groups/rules/targets/conditions/last-fired/history/live issues/metadata читаются через тот же context. Raw live SQL больше не выходит в pool dbAll. GET Telegram не создаёт singleton row, отсутствующая конфигурация имеет корректное пустое состояние. Storage thread не округляется молча.

docs/ux-ui-stage-11b.md

@@ -273,3 +273,8 @@ Strict preview и общий checkpoint карточки/editor без секр
 ### 11Б.4.4.1 — GET Alerts (2026-10-03)
 
 Read-only repeatable read/единый context без pool escape, strict snapshot/no-store, только реальные probe metadata и отдельный source истории без ложной доставки. 2 DI + backend HTTP/JWT/profile, history browser, backend build/root typecheck/lint прошли. Реальная PG isolation не доказана. Далее 11Б.4.4.2: optimistic revision/If-Match правил и групп, чтобы старый клиент не перезаписывал новый snapshot; затем outbox unknown audit, общий dashboard permission reader, адаптивность/pickers, Releases/probe scheduling и приёмка 11Б/12.
+
+
+### 11Б.4.4.2 — revision/If-Match (2026-10-03)
+
+Canonical configuration hash, обязательный If-Match HTTP, locked stale check до write, 412/428 без optimistic overwrite; draft refresh сохраняет concurrent rules. Hash/stale DI, HTTP/JWT, API/browser/source, builds/typecheck/lint прошли; real PG конкуренция не доказана. Обновлять frontend/contracts/backend вместе; no push. Далее 11Б.4.4.3: outbox audit — неизвестный результат отправки/повторы/зависшие sending и согласованность журнала; затем общий dashboard permission reader, адаптивность/pickers, Releases/probe scheduling и приёмка 11Б/12.