Slideshow: wait for post budget instead of dropping slides; log effective TikTok limits

bot.py

@@ -1110,6 +1110,7 @@ from lumen_tiktok import (
     _tiktok_music_page_id,
     _write_mp3_tags,
     _download_url_bin,
+    TIKTOK_DOWNLOAD_MAX_BYTES,
     _probe_audio_duration,
     _probe_video_dimensions,
     _generate_video_thumbnail,
@@ -1355,6 +1356,15 @@ async def _webhook_startup() -> None:
     # Синхронное дисковое чтение в потоке: иначе старт стопорит приём /webhook.
     await asyncio.to_thread(load_state_from_disk)
     log.info("Bot startup: webhook mode.")
+    # На Space кап можно переопределить env: без этой строки в логах не видно,
+    # какой лимит реально работает (разбор 26.10.2026).
+    log.info(
+        "[setup] TikTok limits: post=%.0fMB, slide=%.0fMB, slide concurrency=%d, Telegram upload=%.0fMB",
+        TIKTOK_SLIDESHOW_MAX_BYTES / (1024 * 1024),
+        TIKTOK_DOWNLOAD_MAX_BYTES / (1024 * 1024),
+        TIKTOK_SLIDE_DOWNLOAD_CONCURRENCY,
+        TELEGRAM_BOT_API_UPLOAD_LIMIT_BYTES / (1024 * 1024),
+    )
     _check_temporary_free_models_expiry()
     _check_unconfirmed_model_quotas()
     _check_scheduled_removals_due()

lumen_tiktok.py

@@ -401,6 +401,10 @@ async def _download_url_bin(session: aiohttp.ClientSession, url: str, headers: d
     # URL — из JSON чужого сервиса (TikWM): качаем только http(s) (AUD-D-003)
     # и только с публичных адресов (SSRF-гард ниже). cap_bytes — отдельный кап
     # вызывающего (видео режем лимитом отправки Telegram, а не общим 75МБ).
+    # Не-строка вместо ссылки раньше роняла urlsplit и весь пост.
+    if not isinstance(url, str):
+        log.warning("[download] Refusing non-string URL %r.", url)
+        return None
     cap = cap_bytes if cap_bytes is not None else TIKTOK_DOWNLOAD_MAX_BYTES
     scheme = urllib.parse.urlsplit(url).scheme.lower()
     if scheme not in ("http", "https"):

lumen_tiktok_flow.py

@@ -246,26 +246,48 @@ async def _try_send_tiktok_slideshow(
          fetch_urls = _slideshow_slide_urls(media_data, images_to_fetch)
          # Общий кап RAM на пост: больше не качаем и остаток пропускаем.
          post_budget = [bot.TIKTOK_SLIDESHOW_MAX_BYTES]
-         # Резерв бюджета — под локом ДО скачивания: проверка и вычитание иначе
-         # неатомарны при параллельных загрузках и кап пробивается (аудит H4, 10.2026).
-         _post_budget_lock = asyncio.Lock()
-
-         async def _download_slide_bounded(slide_url: str) -> bytes | None:
-              async with bot._tiktok_slide_download_semaphore:
-                   async with _post_budget_lock:
+         # Резерв — под локом ДО скачивания: иначе параллельные слайды пробивают
+         # кап (аудит H4, 10.2026). Если бюджет занят резервами, ждём освобождения,
+         # а не пропускаем слайд: резерв 75 МБ на 200 МБ поста выбирали первые три
+         # слайда, остальные терялись (прод 08-26.10.2026).
+         _budget_cond = asyncio.Condition()
+         _reserved = [0]
+
+         async def _reserve_budget() -> int | None:
+              async with _budget_cond:
+                   while True:
+                        # Свободно = остаток минус уже обещанное другим слайдам.
+                        free = post_budget[0] - _reserved[0]
+                        if free > 0:
+                             reservation = min(TIKTOK_DOWNLOAD_MAX_BYTES, free)
+                             _reserved[0] += reservation
+                             return reservation
+                        # Бюджет выбран реальными байтами — остаток слайдов не влезет.
                         if post_budget[0] <= 0:
                              return None
-                        # Резерв до скачивания: кап слайда — остаток бюджета.
-                        reservation = min(TIKTOK_DOWNLOAD_MAX_BYTES, post_budget[0])
-                        post_budget[0] -= reservation
-                   data = await bot._download_url_bin(
-                        session, slide_url, headers=headers,
-                        cap_bytes=reservation,
-                   )
+                        await _budget_cond.wait()
+
+         async def _release_budget(reservation: int, data: bytes | None) -> None:
+              async with _budget_cond:
+                   _reserved[0] -= reservation
+                   post_budget[0] -= len(data or b"")
+                   _budget_cond.notify_all()
+
+         async def _download_slide_bounded(slide_url: str) -> bytes | None:
+              reservation = await _reserve_budget()
+              if reservation is None:
+                   return None
+              data = None
+              try:
+                   async with bot._tiktok_slide_download_semaphore:
+                        data = await bot._download_url_bin(
+                             session, slide_url, headers=headers,
+                             cap_bytes=reservation,
+                        )
+              finally:
                    # Неиспользованный резерв возвращаем: реальный расход — только len(data).
-                   async with _post_budget_lock:
-                        post_budget[0] += reservation - len(data or b"")
-                   return data or None
+                   await _release_budget(reservation, data)
+              return data or None
 
          downloaded = list(await asyncio.gather(
               *(_download_slide_bounded(u) for u in fetch_urls)

tests/test_bot_tiktok.py

@@ -1848,6 +1848,11 @@ def test_download_url_bin_honors_caller_cap():
     assert result is None
 
 
+def test_download_url_bin_rejects_non_string_url():
+    # TikWM — чужой JSON: число или объект вместо ссылки раньше роняли urlsplit.
+    assert asyncio.run(lumen_tiktok._download_url_bin(None, 123)) is None
+
+
 def test_slideshow_stops_at_post_budget(monkeypatch):
     # Аудит D1/A7-1: общий кап RAM на пост — остаток слайдов пропускается.
     calls = {}
@@ -1936,6 +1941,55 @@ def test_slideshow_slide_download_reserves_post_budget(monkeypatch):
         bot.chat_state.pop(999984, None)
 
 
+def test_slideshow_waits_for_post_budget_instead_of_dropping_slides(monkeypatch):
+    # 08-26.10.2026: резерв 75МБ на слайд при 200МБ на пост выбирали весь бюджет
+    # первыми тремя слайдами, остальные молча пропускались.
+    sent_media = []
+
+    async def fake_download(session, url, headers=None, cap_bytes=None):
+        # Задержка нужна, чтобы слайды реально шли параллельно: без неё первый
+        # успевает вернуть резерв до старта второго и старый баг не виден.
+        await asyncio.sleep(0.01)
+        # Честный фейк: сверх капа не отдаёт, как настоящий _download_url_bin.
+        payload = b"k" * 1024
+        if cap_bytes is not None and cap_bytes < len(payload):
+            return None
+        return payload
+
+    class _FakeTgBot:
+        async def send_photo(self, **kwargs):
+            sent_media.append(kwargs["photo"])
+            return SimpleNamespace()
+
+        async def send_video(self, **kwargs):
+            sent_media.append(kwargs["video"])
+            return SimpleNamespace()
+
+        async def send_media_group(self, **kwargs):
+            sent_media.extend(kwargs["media"])
+            return SimpleNamespace()
+
+    async def fake_edit(*args, **kwargs):
+        return True
+
+    monkeypatch.setattr(bot, "TIKTOK_SLIDESHOW_MAX_BYTES", 10 * 1024)
+    monkeypatch.setattr(bot, "_download_url_bin", fake_download)
+    monkeypatch.setattr(bot, "_edit_message_quietly", fake_edit)
+    monkeypatch.setattr(bot, "_delete_message_quietly", fake_edit)
+    monkeypatch.setattr(bot, "bot", _FakeTgBot())
+    incoming = _FakeIncomingMessage(999986)
+    incoming.message_id = 7
+    media_data = {"images": [f"http://x/{i}.jpg" for i in range(5)]}
+    try:
+        result = asyncio.run(bot._try_send_tiktok_slideshow(
+            None, media_data, incoming, None, "author", {},
+        ))
+        assert result is True
+        assert len(sent_media) == 5
+    finally:
+        bot.chat_state.pop(999986, None)
+
+
 def test_group_tiktok_link_passive_only_when_mention_required(monkeypatch):
     # Аудит H2: групповой TikTok без обращения качается по умолчанию;
     # TIKTOK_GROUP_REQUIRE_MENTION=1 оставляет только запись в фон.