Stray-copy fix: the capped second-drive copy container never outlives the copy — fixed name + label, removed by name on any error (the timeout included), every leftover removed at start before the scheduler and web server; a restore is refused while a copy runs or may still run; --mount (refuses a path the daemon does not see) and the image ID with --pull never (review); red-proved; unreleased

controller/internal/web/restore_wizard.go

@@ -221,6 +221,15 @@ func (s *Server) restoreOpBlocked() (string, bool) {
 		return "Egy mentési művelet már fut, ezért most nem indítható visszaállítás. Az állapotát " +
 			"ezen az oldalon követheted; amint befejeződik, újra indíthatsz visszaállítást.", true
 	}
+	// The stray-copy fix: a second-drive copy (rsync --delete) runs now, or one a previous controller process lost may
+	// still run — a restore beside it could lose the files it brings back (R-1180's other direction).
+	if app, blocked := s.backupMgr.Tier2CopyBlocksRestore(); blocked {
+		if s.logger != nil {
+			s.logger.Printf("[WARN] [restore] restore refused — a second-drive copy is running or may still run (app=%q)", app)
+		}
+		return "Éppen fut a második meghajtóra készülő mentési másolat, ezért most nem indítható visszaállítás. " +
+			"Néhány perc múlva próbáld újra.", true
+	}
 	return "", false
 }