rpi: исключать помеченные OneDrive заражённые файлы

servers/rpi.md

@@ -211,3 +211,5 @@ Docker CE 29.9 + Compose v5.6 из репо download.docker.com (в Debian ст
 - 2026-10-11 по просьбе владельца включено Telegram-уведомление Sonarr после импорта серий Chernobyl (HBO, 2019, TVDB 360893) в чат владельца 607015. Ранее уведомления о загрузках не были настроены. Connect `Telegram: Chernobyl owner`, только onDownload, ограничение тегом `notify-owner-chernobyl`; другие сериалы не затрагиваются. Повторяемая настройка — `stacks/rpi-media/scripts/notify-chernobyl.py`, запуск root; токен берётся из `/etc/astra-bot.env`, хранится также в локальной БД Sonarr, в git отсутствует. ⚠️ Уведомление означает импорт отдельной серии, не подтверждает английские субтитры или готовность всего сезона; подходящая раздача при настройке пока не найдена. Настройка проверена чтением API, фактическая доставка будет проверена при импорте.
 
 - 2026-10-11 Chernobyl импортирован Sonarr (5/5), но Jellyfin показывал 0 сериалов: автообнаружение/Connect не обновили каталог. POST `/Library/Refresh` через существующий API-ключ обновил каталог, проверено `media status`: 1 сериал, 5 серий. Refresh конкретного ItemId библиотеки с Recursive=true новых серий не обнаружил; для этой ситуации нужен полный скан. Причина сбоя Connect пока не установлена; конфиги и файлы медиатеки не менялись.
+
+- 2026-10-12 по прямой просьбе владельца OneDrive-бэкап и еженедельная проверка исключают объекты с метаданными `malware-detected=true` через `--metadata-exclude`; `--onedrive-av-override=false` явно запрещает обход серверного антивируса независимо от конфигурации. Ранее восемь заблокированных файлов приводили к ошибке всех прогонов и нулевой метке последнего успеха. Фильтр динамический, не список восьми путей; проверен на `Olya/laptop/калитники - платформы.rar`: без фильтра файл виден, с фильтром отсутствует; метаданные подтверждают true. Скрипты установлены в `/usr/local/bin/`, прежние сохранены с `.bak-20261012-malware`. Файлы в current/archive и в облаке не удалялись, текущие процессы не прерывались; следующий запуск по таймеру использует фильтр. ⚠️ Успех означает полноту бэкапа только среди файлов без отметки OneDrive; ранее сохранённые копии не очищаются, новые реальные ошибки не подавляются. Успешный полный прогон после изменения пока не подтверждён.

stacks/rpi-backup/bin/onedrive-backup

@@ -16,6 +16,7 @@ LOG="$ROOT/logs/sync-$TS.log"
 rclone sync onedrive: "$ROOT/current" \
   --backup-dir "$ROOT/archive/$TS" \
   --exclude "/Personal Vault/**" \
+  --metadata-exclude "malware-detected=true" --onedrive-av-override=false \
   --transfers 4 --checkers 8 \
   --retries 5 --low-level-retries 20 \
   --log-file "$LOG" --log-level INFO \

stacks/rpi-backup/bin/onedrive-verify

@@ -10,6 +10,7 @@ mountpoint -q /mnt/backup || { echo "/mnt/backup не смонтирован —
 rc=0
 
 rclone check onedrive: "$ROOT/current" --exclude "/Personal Vault/**" \
+  --metadata-exclude "malware-detected=true" --onedrive-av-override=false \
   --checkers 8 --combined "$ROOT/logs/verify-$TS.current.txt" \
   --log-file "$LOG" --log-level NOTICE || rc=1