[ashikov]

Провайдеру, которому нужны дополнительные обязательные HTTP-заголовки, больше не требуется правка исходников: их можно задать через LLM_EXTRA_HEADERS и перезапустить приложение. Это завершает оставшуюся часть #7.

Closes #7.

JSON-карта проходит проверку при запуске. Некорректные HTTP-значения, повторные имена без учёта регистра и попытки переопределить auth, transport, folder или privacy headers отклоняются с безопасной ошибкой. При отсутствии переменной прежние настройки сохраняются. Provider endpoint должен быть конечным: gateway теперь отклоняет HTTP redirects, чтобы секретный заголовок не уходил другому получателю. README и .env.example описывают ограничения и синтетический пример.

Проверки:

• TDD конфигурации и regression повторного JSON-ключа
• Реальный HTTP regression: до исправления второй сервер получал запрос с секретным заголовком, после исправления второй запрос не выполняется
• make lint-md, pnpm check (1079 тестов, lint/typecheck/build), git diff --check — PASS, targeted проверки — 214/214

Независимое review обнаружило Medium по redirects; исправлено минимальным изменением общего fetch. Повторное независимое review подтвердило исправление, новых findings нет.

Prompt, schema, production-модель и действующая конфигурация не менялись. Платные LLM-вызовы этой итерации: 0. Общий расход марафона остаётся 7 attempts / 6,7688 ₽ по usage из 500 ₽, остаток 493,2312 ₽. Эта независимая ветка основана на актуальном main и не зависит от Draft повторного обращения.

При будущей интеграции Draft #326 нужно сохранить отказ от redirect в выделенном общем transport. Изменение не делает NO-GO повторного обращения готовой функцией.