feat: Pair Repair Wizard v3.1 beta / мастер парного ремонта

[OneDeadMachine-Dev]

RU

Pair Repair Wizard v3.1 beta

• отдельное пошаговое WPF-окно: роли → приглашение → проверка → причина → общий план → выполнение → тестовая страница → результат;
• доменный режим через существующие WinRM/Kerberos-сессии; per-user подключение и test page выполняются во вошедшем сеансе Client;
• workgroup/live режим: TLS 1.2/1.3, ECDSA pinning, одноразовый .wfixpair, ожидаемое имя Client и общий код на двух ПК;
• временный listener разрешён только Private/Domain + LocalSubnet, текущий EXE и точный порт;
• подписанный offline fallback без credentials и с явным ограничением общего rollback;
• диагностика DNS/SMB/RPC/Function Discovery/Spooler/queue/driver/Point and Print;
• реальные обратимые действия, включая printer PermissionSDDL; SMB conflict отмечен необратимым;
• двухузловая saga: checkpoints, verify, timeout, reverse rollback, явные commit/abort;
• точечная HOST\\User запись в Windows Credential Manager;
• SMB1 отсутствует; insecure guest, отключение SMB signing и RPC privacy остаются экспертными.

Release gate

• 44 теста успешно;
• строгая Release-сборка: 0 предупреждений / 0 ошибок;
• NuGet: известных уязвимостей нет;
• actionlint: CI и Release workflow валидны;
• portable single-file publish: успешно, 89 223 543 байт.

EN

Pair Repair Wizard v3.1 beta

• dedicated WPF wizard: roles → invitation → checks → cause → shared plan → execution → test page → result;
• domain path over existing WinRM/Kerberos sessions; per-user queue connection and test page run in the signed-in Client session;
• workgroup/live path with TLS 1.2/1.3, ECDSA pinning, one-time .wfixpair, expected Client identity, and matching codes on both PCs;
• temporary listener restricted to Private/Domain + LocalSubnet, current executable, and exact port;
• signed credential-free offline fallback with an explicit cross-machine rollback limitation;
• DNS/SMB/RPC/Function Discovery/Spooler/queue/driver/Point and Print diagnostics;
• real reversible actions including printer PermissionSDDL; SMB-session closure is marked irreversible;
• two-node saga with checkpoints, verification, timeouts, reverse rollback, and explicit commit/abort;
• host-scoped HOST\\User credential in Windows Credential Manager;
• no SMB1; insecure guest, disabled SMB signing, and reduced RPC privacy remain expert-only.

Release gate

• 44 tests passed;
• strict Release build: 0 warnings / 0 errors;
• no known vulnerable NuGet packages;
• CI and Release workflows pass actionlint;
• portable single-file publish succeeded (89,223,543 bytes).

Lab validation on real Windows 10/11 domain and workgroup pairs remains the beta acceptance gate before v3.1 stable.