fix: preserve OPFS recovery authority during cleanup

Repair the compensating half of the OPFS put saga.

The coordinator now owns a single abortPreparedPut() driven by a
composition-owned bounded signal instead of the caller's already aborted one,
and the worker client no longer issues a duplicate fire-and-forget abort.
Journal rows and budget reservations are released only after the physical
effect is confirmed CLEANED or ALREADY_CLEAN; a timeout, malformed response or
EFFECT_UNKNOWN keeps PREPARING/FILES_READY and returns OBJECT_RECONCILE.

New writes carry a transaction-unique physicalGenerationId through the staging
receipt, manifest path and prepared object, so a late compensation deletes only
its own transaction's directory even when a newer transaction legitimately
reuses the same logical generation. v1 paths, receipts and prepared objects stay
readable through the rollback window.

Abort and cleanup hold the origin mutation lease through physical deletion and
staging removal. A transaction that never reached staging returns ALREADY_CLEAN
without waiting for the lease, which would otherwise deadlock against the BEGIN
it is cancelling.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/architecture/browser-file-and-origin-storage.md

@@ -690,11 +690,20 @@ default physical layout은 구현과 동일하게 다음과 같다.
 ```text
 /ca-frontend-opfs-v1/
   authorities/<authorityToken>/<namespaceToken>/<partitionToken>/
-    objects/<object-id-prefix>/<opaque-object-id>/<generation>/manifest.json
+    objects/<object-id-prefix>/<opaque-object-id>/<generation>/manifest.json          # physical v1 (read-only)
+    objects/<object-id-prefix>/<opaque-object-id>/g<generation>-<token>/manifest.json # physical v2 (new writes)
     chunks/sha256/<digest-prefix>/<digest>.bin
     staging/<transaction-id>/receipt.json
 ```
 
+physical v2는 STO-01 수정의 일부다. logical `generation`은 설계상 transaction 간에
+재사용되므로, 늦게 도착한 T1 보상이 같은 logical generation을 쓰는 T2의 디렉터리를
+지울 수 있었다. v2는 transaction-unique `physicalGenerationId` fencing token을
+경로, staging receipt, prepared object에 함께 기록해 보상이 자기 transaction의
+디렉터리만 삭제하도록 만든다. expand 단계에서는 v1 경로/receipt/prepared object를
+계속 읽고 새 write만 v2로 쓴다. rollback window가 끝나기 전에 v1 physical
+generation을 일괄 삭제하지 않는다.
+
 구조화 metadata, query, revision, refcount와 operation journal은 IndexedDB가
 소유한다. OPFS에는 immutable chunk와 bounded runtime-schema-validated manifest만
 둔다. readable `scope.namespace`는 경로에 쓰지 않는다.
@@ -736,6 +745,23 @@ COMMITTED          <- 사용자에게 보이는 유일한 commit point
 CLEANED -> journal 제거
 ```
 
+보상(compensation)은 saga의 반쪽이며 다음 규칙을 따른다.
+
+- journal row와 budget reservation은 physical cleanup effect가
+  `CLEANED` 또는 `ALREADY_CLEAN`으로 확인된 뒤에만 해제한다. timeout, crash,
+  malformed response, `EFFECT_UNKNOWN`은 성공이 아니며 `PREPARING`/`FILES_READY`를
+  그대로 남기고 `OBJECT_RECONCILE`로 반환한다.
+- coordinator가 `abortPreparedPut()` 하나만 소유한다. worker client는 prepare 실패
+  시 별도의 fire-and-forget abort를 발행하지 않는다. 중복 보상은 아직 남아 있어야
+  할 journal row를 조기에 지우는 경로였다.
+- 보상은 caller signal을 상속하지 않는다. composition이 소유한 bounded
+  `compensationSignal`을 사용하므로 이미 abort된 caller가 cleanup RPC 자체를
+  시작조차 못 하게 만들 수 없다.
+- abort/cleanup은 origin mutation Web Lock을 physical 삭제와 staging 제거가 끝날
+  때까지 계속 보유한다. lease를 먼저 release하지 않는다. 단, staging이 아직 없는
+  transaction은 삭제할 것이 없으므로 lock을 기다리지 않고 `ALREADY_CLEAN`을
+  반환한다. 이는 자기 자신이 취소하는 BEGIN과의 deadlock을 막는다.
+
 - `PREPARING` crash: partial staging을 검증 후 resume하거나 purge한다.
 - `FILES_READY` crash: expected generation과 digest가 맞으면 idempotent logical
   commit, 아니면 quarantine한다.

docs/operations/adapter-remediation-ledger.md

@@ -88,7 +88,7 @@ Rollout state starts at `NOT_STARTED`; documented-unimplemented items start at
 
 | ID | Activation | Red test command | Fix commit/PR | Rollout state | Rollback trigger | Evidence |
 | --- | --- | --- | --- | --- | --- | --- |
-| STO-01 | OPFS not composed in template; **Critical** for any product writer | `corepack pnpm exec vitest run tests/unit/opfs-byte-store.test.ts tests/unit/indexeddb-opfs-journal.test.ts` | — | `NOT_STARTED` | OPFS reconcile backlog or journal growth | — |
+| STO-01 | OPFS not composed in template; **Critical** for any product writer | `corepack pnpm exec vitest run tests/unit/opfs-byte-store.test.ts tests/unit/opfs-worker-runtime.test.ts tests/unit/indexeddb-opfs-journal.test.ts` | `fix: preserve OPFS recovery authority during cleanup` | `FIXED_NOT_RELEASED` | OPFS reconcile backlog or journal growth | Red 4 new saga cases → green 25/25 across the three OPFS suites; `check:types` PASS (incl. web-worker); `check:browser-file-storage-boundaries` PASS; `lint` PASS; `test:unit` 1511 passed with only the pre-existing environmental `ci-artifact-contract` failures |
 | STO-02 | Browser file runtime not composed | `corepack pnpm exec vitest run tests/unit/browser-file-download.test.ts` | — | `NOT_STARTED` | download navigation blocked by canonical target | — |
 | STO-03 | Public cache not composed | `corepack pnpm exec vitest run tests/unit/public-response-cache.test.ts` | — | `NOT_STARTED` | composition rejection of an existing policy | — |
 | STO-04 | Public cache not composed | `corepack pnpm exec vitest run tests/unit/public-response-cache.test.ts` | — | `NOT_STARTED` | restage loop or bandwidth spike | — |

docs/operations/browser-file-storage-recovery.md

@@ -13,6 +13,24 @@ probe는 현재 `DESIGNED_NOT_IMPLEMENTED`다. 아래 절차에서 이 기능을
 자동 조치는 해당 runtime이 구현·조합된 제품에서만 실행한다. 현재 reference
 primitive를 coordinator 완료 증거로 사용하지 않는다.
 
+
+## OPFS 보상 실패와 reconcile (STO-01)
+
+`put()`이 실패했는데 보상 cleanup effect가 확인되지 않으면 runtime은 실패를
+`OBJECT_RECONCILE` / `CONFLICT`(recovery `RETRY`)로 보고하고 journal row를 남긴다.
+이는 결함이 아니라 설계된 상태다.
+
+1. journal에 `PREPARING` 또는 `FILES_READY` row가 남아 있는지 확인한다. 남아
+   있다면 staging bytes가 아직 존재할 수 있다는 뜻이다.
+2. `maintenance.reconcile()`을 실행한다. reconcile은 같은 exact physical
+   generation token만 삭제하고, effect가 여전히 `EFFECT_UNKNOWN`이면 journal을
+   유지한 채 다시 `OBJECT_RECONCILE`을 반환한다.
+3. journal row를 수동으로 삭제하지 않는다. row가 사라지면 stale staging을 추적할
+   근거가 사라지고 quota만 누수된다.
+4. OPFS root나 journal database를 통째로 삭제하거나 schema를 downgrade하지
+   않는다. rollback은 새 v2 write admission을 닫고 v1+v2 reader를 유지하는 것으로
+   수행한다.
+
 ## 1. 공통 원칙
 
 incident 중에도 다음 작업은 금지한다.