fix(utf8): закрыть lossy-границы конфигурации и API

docs/testing/11-2-builder-layer.md

@@ -117,10 +117,10 @@
 
 | Вход | Ожидание |
 | --- | --- |
-| NUL, `U+FDD0`, `U+FDEF`, `U+FFFE`, `U+FFFF`, `U+1FFFF`, `U+10FFFF` | отказ ЗАПИСИ: `utf8_is_valid` отвергает такое значение, и EnvironmentFile не загрузится |
+| NUL, `U+FEFF`, `U+FDD0`, `U+FDEF`, `U+FFFE`, `U+FFFF`, `U+1FFFF`, `U+10FFFF` | отказ ЗАПИСИ: публичный контракт EnvironmentFile запрещает такое значение |
 | одиночный суррогат `U+D800` | отказ — иначе `TextEncoder` молча заменил бы его на `U+FFFD`, то есть подменил бы секрет |
 | `U+FDCF`, `U+FDF0`, `U+FFFD`, `U+10FFFD`, `U+1F600` | принимаются: правило описывает диапазон, а не окрестность |
-| `\n`, `\r`, `\t`, `U+007F`, `U+0085`, `U+FEFF` | формат их НЕСЁТ и round-trip сохраняет; запрещает их контракт учётных данных, а не транспорт |
+| `\n`, `\r`, `\t`, `U+007F`, `U+0085` | формат их НЕСЁТ и round-trip сохраняет; запрещает их контракт учётных данных, а не транспорт |
 
 ### A4b. Непригодная конфигурация отвергается до первой мутации
 
@@ -591,18 +591,27 @@ wildcard-маршрутом фронтенда или дублирующая р
 - управляющие символы Unicode целиком, то есть `Cc`: `\n`, `\r`, `\t`, `NUL`,
   `DEL` и C1 (`U+0085`, `U+009F`). Раньше проверялись только C0 и DEL, а
   документация обещала «без управляющих символов» — то есть была шире кода;
-- значения вне домена systemd (`U+FDD0`, `U+FDEF`, `U+FFFE`, `U+FFFF`,
+- значения вне документированного домена systemd (`U+FEFF`, `U+FDD0`, `U+FDEF`, `U+FFFE`, `U+FFFF`,
   `U+1FFFF`, `U+10FFFF`, невалидный UTF-8) отвергаются: с ними
   `/etc/hy2xs/hy2xs.env` не загрузится и юнит не стартует;
 - соседи запрещённых диапазонов (`U+FDCF`, `U+FDF0`, `U+FFFD`) принимаются:
   правило описывает множество systemd, а не окрестность подозрительных значений;
-- `U+FEFF` отвергается **политикой продукта**, а не форматом:
-  `0xFEFF & 0xFFFE == 0xFEFE`, и systemd такое значение принимает. Отдельный
-  тест `TestEnvTransportDomainMatchesSystemd` закрепляет, что домен транспорта
-  не шире и не уже множества systemd, а
+- `U+FEFF` отвергается **транспортным доменом**: публичная документация systemd
+  запрещает его, хотя реализация v257.13 случайно пропускает из-за маски
+  `0xFEFF & 0xFFFE == 0xFEFE`. Тест
+  `TestEnvTransportDomainMatchesDocumentedSystemdContract` закрепляет публичный контракт, а
   `TestProductPolicyIsWiderThanTransportDomain` — что политика и домен остаются
   различимы.
 
+`orchestrator/test/strict-text-read.test.ts` подаёт reader'у реальные байтовые
+последовательности `0xFF`, оборванную `0xC3` и `ED A0 80`. Ни одна из них не
+превращается в U+FFFD; начальный BOM сохраняется как U+FEFF и доходит до
+транспортного отказа.
+
+`apps/controller/json_body_test.go` и HTTP-тест входа доказывают то же на API:
+повреждённый UTF-8 и непарные `\uD800`/`\uDC00` отвергаются до стандартного
+Go-декодера, а настоящий U+FFFD остаётся допустимым значением.
+
 `apps/controller/validator_test.go` — ПРОВОДКА, а не контракт: теги
 `credentialStr` и `adminPassword` прогоняются через production-валидатор и
 обязаны отвечать так же, как функции контракта, на тех же граничных значениях.
@@ -932,4 +941,3 @@ Hysteria. Вторая не была замечена только потому,
 Отсутствие legacy-маршрута доказывает не `grep` по исходникам, а
 `TestRouterHasNoLegacyNamespace` на таблице маршрутов собранного роутера —
 и существование этого теста само проверяется контрактом.
-