feat(collections): обслуживать коллекции всех четырёх спецификаций

[fey]

Закрывает по существу FEEDBACK-374.

Зачем

У сервера четыре спецификации, по одной на курс. Коллекции http-api уже обслуживались кодом (#17, #18), остальные три оставались за моком prism с флагом -d, то есть на данных faker'а. Те же дефекты, что вычитали в http-api, жили в курсах Postman, Playwright и HTTP-протокол.

Хуже всего Postman. Урок 200-complex-requests целиком построен на параметрах запроса и пути, и ни одно утверждение не выполнялось:

Урок обещает	Было	Стало
?limit=2 — двух первых	4 записи, limit в ответе 10928880, total -8161243	2 записи, limit 2, total 10
?skip=3&limit=2 — двух, пропустив трёх	0 записей	пользователи 4 и 5
?skip=3&limit=5	мусор	пользователи 4–8
/users/3 — пользователя 3	id: 52956988, имя ea nulla sed cupidatat nostrud	id: 3, Reinhold Langosh

Что сделано

Маршруты трёх спецификаций подняты тем же кодом, что у http-api: общий регистратор в routes.js, разбор параметров в collections.js, таблица различий в resources.js. Наборы данных общие — курсы не зависят от того, чтобы у каждого префикса были свои записи.

Различия сняты со спецификаций, а не угаданы. Задачи Postman закрыты BasicAuth, причём включая чтение одной задачи, поэтому в общий слой добавлена вторая схема авторизации со своим WWW-Authenticate. У js-playwright только задачи и пользователи, всё открыто, вложенных ресурсов нет.

Создание приведено к 201 во всех четырёх. Три спецификации объявляли обычный ответ, то есть 200, и урок 850-api-testing курса Playwright из-за этого не проходил, хотя учил правильному коду и ассертил 201:

expect(response.status()).toBe(201)   // приходило 200

Выровнены спецификации, а не урок по ним: 201 на создание — верная практика, урок её и преподаёт, а ни один другой курс на 200 при создании не опирается.

Флаг -d убран у всех четырёх моков. До мока теперь доходят только /courses и /login, поэтому Course, Courses и AuthToken получили примеры — последняя латынь с отрицательными числами ушла и оттуда.

Что не тронуто

Рукописные эндпоинты: /http-protocol/example, /stream, /removed, /postman/cookie, /js-playwright/users-list и рукописный /http-protocol/login, который отвечает строкой Done! и разбирается в курсе через telnet с проверкой Content-Length: 5.

Проверка

make test вырос до 136 проверок и поднимает пять сервисов. По каждому префиксу проверяются пагинация, select, отбор по пути, 404, 405, состав коллекций (чего в спецификации нет — того нет и в ответах), схемы авторизации, вложенные ресурсы, код создания, границы uint16, неизменяемость наборов и чистота /courses с /login.

Проверен на способность падать: если снять проверку авторизации, падают 10 проверок.

Сверх прогона собран образ и поднят контейнер, запросы шли через Caddy. Отдельно сверено, что /http-api/echo отдаёт 404 на GET и до, и после правки — эндпоинт объявлен только на POST, это не регресс.

Одна деталь про прогон: пять сервисов на загруженной машине стартуют долго, поэтому ожидание готовности поднято, а в AGENTS.md записано, что пустой вывод у всех сервисов сразу означает нехватку ресурсов, а не поломку кода. Я на это потратил время, пока load average был 13.

Правки четырёх курсов идут отдельно, после деплоя.

🤖 Generated with Claude Code

[fey]

Закрываю без мержа: подход устарел. В main пришёл https://github.com/hexlet-components/http-example/pull/…/commits 187d480, который собирает маршруты из спецификации через fastify-openapi-glue, а рукописный регистратор из этого PR удалён там осознанно. Мержить значило бы протащить его обратно.

Задача FEEDBACK-374 переделывается на новом фундаменте отдельным PR. Находки из этого PR не теряются: латынь в /courses и /login трёх префиксов, BasicAuth у задач postman, create отвечавший 200 против 201 в уроке api-testing, и сломанные примеры в курсах Postman и Playwright.