# План — поправка аудита по факту кода

## Цель

Внести верифицированную поправку в отчёт и трекер аудита: E9/E18/E20/SSRF
подтверждены закрытыми по коду, список блокеров пересобран на реально открытые
(F-P1, pg_anonymizer, прод-`.env`). Правки только в `docs/`; код/схема/git не
затрагиваются.

```skills-json
[]
```

```steps-json
[
  {"op":"Edit","object":"docs/security/2026-06-17-go-live-security-report.md","ref":"V3"},
  {"op":"Edit","object":"docs/security/2026-06-17-open-items.md","ref":"V3"}
]
```

```verified-context-json
[
  {"id":"vc1","kind":"EXTRACTED","ref":"app/routes/web.php","anchor":"Go-live: auth:sanctum"},
  {"id":"vc2","kind":"EXTRACTED","ref":"docs/superpowers/specs/2026-06-17-audit-verify-correction-spec.md","anchor":"поправка аудита по факту кода"}
]
```

## Переговоры

### Круг 1

Две аддитивные правки документов `docs/`: в отчёт добавляется блок-поправка с
верифицированными по коду фактами (E9/E18 закрыты `auth:sanctum`, `/api/admin/*`
за `saas-admin` fail-closed, SSRF за `WebhookUrlGuard`), в трекере строки B3/B4/B5
переводятся в «закрыто фактом / остаток». Продуктовый код, схема, миграции, git не
затрагиваются; коммита нет. Навыки не нужны (skills-json пуст).

### Круг 2

Прошу наставника зафиксировать forward-`recommendation`: подтвердить, что поправка
должна сохранить вердикт NO-GO (реальные блокеры F-P1/pg_anonymizer/прод-`.env`
остаются) и не выдавать закрытые пункты за нерешённые.
