sdds-platform-ai: Update tokens for Badge, Switch

.claude/skills/figma-component/SKILL.md

@@ -7,6 +7,13 @@ description: Сравнивать компоненты Plasma с точными
 
 Использовать этот skill, чтобы превратить конкретную Figma-ноду в компонент Plasma или точечные изменения существующего компонента без догадок о дизайне.
 
+## Целевой пакет
+
+Пользователь может явно указать пакет для сверки/правок (например, `plasma-b2c`, `plasma-giga`, `sdds-serv`, `sdds-insol-next`) в тексте запроса.
+
+1. Если в запросе явно назван пакет (имя пакета из `packages/*`, путь вида `packages/{pkg}/...` или формулировка вроде "в пакете X", "для X"), использовать именно этот пакет как целевой и не выполнять автопоиск по остальным `packages/*`. Если указанного пакета или компонента в нём не существует, сообщить об этом и уточнить у пользователя, прежде чем продолжать.
+2. Если пакет не указан, действовать как раньше: искать целевой пакет автоматически по правилам из раздела "Изучение репозитория".
+
 ## Обязательный порядок работы с Figma
 
 1. Извлечь `fileKey` и `nodeId` из Figma URL. Преобразовать `node-id=123-456` в `123:456`.
@@ -29,7 +36,8 @@ description: Сравнивать компоненты Plasma с точными
 Перед правками:
 
 1. Найти целевой пакет и компонент:
-    - Сначала искать существующие папки компонентов в `packages/*/src/components/{Component}`.
+    - Если пакет уже определен в разделе "Целевой пакет" (явно указан пользователем), искать компонент сразу в `packages/{pkg}/src/components/{Component}`, без перебора остальных пакетов.
+    - Иначе искать существующие папки компонентов в `packages/*/src/components/{Component}`.
     - Проверять, живет ли общий примитив в `packages/plasma-new-hope/src/components/{Component}`.
     - Если компонент не найден, определить ближайшие аналоги по layout, слотам, токенам, интерактивности и story/test структуре.
 2. Прочитать файлы компонента:

.github/workflows/authorize-external-pr.yml

@@ -7,8 +7,9 @@ jobs:
   authorize:
     name: Approved
     runs-on: ubuntu-latest
+    permissions: {}
     environment: ${{ github.event_name == 'pull_request_target' && github.event.pull_request.head.repo.full_name != github.repository && 'external' || 'internal' }}
-    
+
     steps:
       - name: Echo
         run: |

.github/workflows/change-detection.yml

@@ -18,6 +18,10 @@ on:
 jobs:
   run:
     runs-on: ubuntu-latest
+    # Токен нужен только для checkout. Права, переданные вызывающим workflow,
+    # здесь принудительно понижаются до чтения - даже если вызывающий имеет write.
+    permissions:
+      contents: read
     outputs:
       STATE: ${{ steps.set-output.outputs.STATE }}
 
@@ -30,7 +34,7 @@ jobs:
 
       - name: Prepare environment
         # Remote ref (а не локальный ./...) — обязательно, т.к. workflow вызывается
-        # из pull_request_target цепочек (documentation-deploy-pr, publish-canary).
+        # из pull_request_target цепочек (documentation-deploy-pr).
         # Иначе action.yml возьмется из PR-checkout и весь защитный механизм обходится.
         uses: salute-developers/plasma/.github/actions/prepare-environment@dev
 

.github/workflows/documentation-deploy-pr.yml

@@ -4,8 +4,6 @@ on:
     pull_request_target:
         branches:
             - dev
-            - next-insol
-            - next-platform-ai
             - next-sbcom
         paths-ignore:
             - 'docs/**'
@@ -15,6 +13,9 @@ on:
         paths-ignore:
             - 'docs/**'
 
+permissions:
+    contents: read
+
 concurrency:
     # New commit on branch cancels running workflows of the same branch
     group: ${{ github.workflow }}-${{ github.head_ref }}
@@ -216,6 +217,9 @@ jobs:
         needs: [ state, deploy-website, deploy-artifacts ]
         if: ${{ always() && (contains(needs.deploy-website.result, 'success') || contains(needs.deploy-artifacts.result, 'success')) }}
         runs-on: ubuntu-22.04
+        permissions:
+            contents: read
+            pull-requests: write
         steps:
             -   uses: actions/checkout@v4
                 with: