pg_reports 0.9.1 → 1.0.0

data/config/brakeman.ignore

@@ -1,51 +1,5 @@
 {
   "ignored_warnings": [
-    {
-      "warning_type": "SQL Injection",
-      "warning_code": 0,
-      "fingerprint": "5209397462e689c349f77e534f897c12a8550b9a013bd535153a929c12b944e2",
-      "check_name": "SQL",
-      "message": "Possible SQL injection",
-      "file": "app/controllers/pg_reports/dashboard_controller.rb",
-      "line": 357,
-      "link": "https://brakemanscanner.org/docs/warning_types/sql_injection/",
-      "code": "ActiveRecord::Base.connection.execute(\"SELECT COUNT(*) FROM (#{substitute_params(retrieve_query_by_hash(params[:query_hash]), (params[:params] or {}))}) AS count_query\")",
-      "render_path": null,
-      "location": {
-        "type": "method",
-        "class": "PgReports::DashboardController",
-        "method": "execute_query"
-      },
-      "user_input": "params[:params]",
-      "confidence": "High",
-      "cwe_id": [
-        89
-      ],
-      "note": "Reviewed & accepted: user-query execution feature (execute_query count). Gated by config.allow_raw_query_execution; the query is fetched by hash from an internal registry (retrieve_query_by_hash), parameters are validated/substituted, and SecurityError checks reject dangerous input. Not arbitrary attacker-controlled SQL."
-    },
-    {
-      "warning_type": "SQL Injection",
-      "warning_code": 0,
-      "fingerprint": "52294539b2a9666f9a79f7ad52cdd1dc531a3b71e487e5134174029cd5138571",
-      "check_name": "SQL",
-      "message": "Possible SQL injection",
-      "file": "app/controllers/pg_reports/dashboard_controller.rb",
-      "line": 440,
-      "link": "https://brakemanscanner.org/docs/warning_types/sql_injection/",
-      "code": "ActiveRecord::Base.connection.execute(\"SELECT COUNT(*) FROM (#{params[:query].to_s}) AS count_query\")",
-      "render_path": null,
-      "location": {
-        "type": "method",
-        "class": "PgReports::DashboardController",
-        "method": "run_query"
-      },
-      "user_input": "params[:query]",
-      "confidence": "High",
-      "cwe_id": [
-        89
-      ],
-      "note": "Reviewed & accepted: SQL Console (run_query count). Gated by config.allow_raw_query_execution; the client-typed query passes enforce_select_only! (SELECT-only, no semicolons, keyword denylist) and runs under a bounded statement_timeout. Intentional DBA tooling; same risk profile as execute_query/explain_analyze."
-    },
     {
       "warning_type": "Cross-Site Request Forgery",
       "warning_code": 7,
@@ -71,27 +25,27 @@
     {
       "warning_type": "SQL Injection",
       "warning_code": 0,
-      "fingerprint": "f133378f2542f3c09b527aebcc0939a1d227c46b0ab124be613e1e5aac829c79",
+      "fingerprint": "d79e7adc175add96cdc7054b79ce7861dca0ce3dfd0bd8ec025f953b62806ae3",
       "check_name": "SQL",
       "message": "Possible SQL injection",
-      "file": "app/controllers/pg_reports/dashboard_controller.rb",
-      "line": 278,
+      "file": "lib/pg_reports/executor.rb",
+      "line": 42,
       "link": "https://brakemanscanner.org/docs/warning_types/sql_injection/",
-      "code": "ActiveRecord::Base.connection.execute(\"EXPLAIN (ANALYZE, BUFFERS, FORMAT TEXT) #{substitute_params(retrieve_query_by_hash(params[:query_hash]), (params[:params] or {}))}\")",
+      "code": "connection.exec_query(\"#{\"/* pg_reports */\"} #{interpolate_params(sql, params)}\", \"PgReports\")",
       "render_path": null,
       "location": {
         "type": "method",
-        "class": "PgReports::DashboardController",
-        "method": "explain_analyze"
+        "class": "PgReports::Executor",
+        "method": "execute"
       },
-      "user_input": "params[:params]",
-      "confidence": "High",
+      "user_input": "interpolate_params(sql, params)",
+      "confidence": "Medium",
       "cwe_id": [
         89
       ],
-      "note": "Reviewed & accepted: EXPLAIN ANALYZE feature. Same safeguards as execute_query - query resolved by hash from internal registry, params validated, SecurityError guards. Intentional DBA tooling."
+      "note": "Reviewed & accepted: `sql` comes from SQL files shipped with the gem or string literals in its modules, never from a request. interpolate_params makes one pass and every value goes through quote_value, so a value cannot become SQL. Dashboard raw queries use exec_params in DashboardController instead."
     }
   ],
-  "updated": "2026-07-10 19:15:00 +0300",
+  "updated": "2026-11-07 12:00:00 +0300",
   "brakeman_version": "8.0.5"
 }

data/config/locales/en.yml

@@ -24,6 +24,18 @@ en:
           - "Prepared statements can reduce parsing overhead for frequent queries."
         ai_prompt: "Reduce the call frequency of these heavy PostgreSQL queries. For each query: identify the caller in application code, suggest caching strategies (Redis/Memcached), detect N+1 patterns and suggest eager loading fixes. Show code changes needed."
 
+      frequent_queries:
+        title: "Most Frequent Queries"
+        what: "Queries executed at the highest rate, in calls per second, sorted from most to least frequent down to the threshold."
+        how: "Divides calls from pg_stat_statements by the time the query has been tracked: since the entry was created (stats_since, PostgreSQL 17+) or since the last statistics reset (pg_stat_statements_info.stats_reset, PostgreSQL 14–16). Unlike Heavy Queries, which ranks by the cumulative call count, a query's place here does not depend on how long it has been accumulating calls."
+        nuances:
+          - "This is an average over the whole tracked period (see tracked_since), not the current load: a recent spike is diluted by a long quiet period, and the report cannot show when calls actually happened."
+          - "On PostgreSQL 14–16 every query shares the same window, so a query deployed long after the last reset is understated. Reset the statistics and let them accumulate for a representative period to compare fairly."
+          - "An entry evicted from pg_stat_statements (see pg_stat_statements.max) loses its counters, so the rate starts over when it is seen again."
+          - "Very frequent, fast queries are candidates for application-level caching; many similar queries point to N+1 and a need for eager loading."
+          - "Requires PostgreSQL 14+ and pg_stat_statements 1.9+. After a major upgrade run ALTER EXTENSION pg_stat_statements UPDATE."
+        ai_prompt: "Reduce the execution rate of these high-frequency PostgreSQL queries. For each query: identify the caller in application code, determine whether the rate is justified, suggest caching (Redis/Memcached), batching, or eager loading to fix N+1 patterns. Show code changes needed."
+
       expensive_queries:
         title: "Expensive Queries"
         what: "Queries consuming the most total time (total_time = mean_time × calls)."
@@ -686,14 +698,27 @@ en:
         update_interval: "Updates every 5s"
         toggle_title: "Toggle live monitoring"
         query_monitor_title: "SQL Query Monitor"
-        session_label: "Session:"
+        auto_stop_label: "Stops in"
         queries_label: "Queries:"
         feed_empty: "Click \"Start Monitoring\" to begin capturing SQL queries"
         feed_no_queries: "No queries captured yet..."
         unknown_source: "Unknown source"
-        expand_collapse_title: "Expand/Collapse"
-        scope_note_short: "scope: host application"
-        scope_note_long: "Query Monitor subscribes to ActiveSupport::Notifications in the host application's process. It captures every SQL the host app runs, on whichever database the host app is connected to. The dashboard's database selector does not change this scope."
+        col_time: "Time"
+        col_duration: "ms"
+        col_source: "Source"
+        col_sql: "SQL"
+        session_ended: "Monitoring ended"
+        scope_process_warning: "Only this server process is covered: Rails.cache is NullStore or MemoryStore, so other processes cannot see the session. Requests served by another worker will show monitoring as stopped. Use a shared cache (Redis, Memcached) or set config.query_monitor_cache_store."
+        scope_note_short_host: "scope: host application"
+        scope_note_long_host: "Query Monitor captures the SQL run by every process of the host application that shares its cache: web workers and background jobs alike, on whichever database each is connected to. The dashboard's database selector does not change this scope. A session stops by itself after config.query_monitor_max_duration."
+        scope_note_short_sampled: "sampled from pg_stat_activity"
+        scope_note_long_sampled: "Samples pg_stat_activity on the selected database every 0.5s. It sees every client of that database, but a backend only keeps its latest statement: fast queries replaced between two samples are missed, so this is a sample rather than a complete log. A session stops by itself after config.query_monitor_max_duration."
+        source_switch_label: "Capture method"
+        source_notifications: "App"
+        source_activity: "Database"
+        source_notifications_title: "Every query of this application, with its source. Queries from other clients are not seen."
+        source_activity_title: "Samples what all clients of the selected database run. Fast queries between samples are missed."
+        hidden_sessions_warning: "%{count} sessions are hidden: this role cannot read other roles' queries. Grant access with: GRANT pg_read_all_stats TO your_role;"
       metrics:
         connections_label: "Connections"
         tps_label: "TPS"
@@ -785,20 +810,23 @@ en:
         create_migration_failed: "Failed to create migration"
         explain_disabled_toast: "EXPLAIN ANALYZE is disabled. Enable in configuration: config.allow_raw_query_execution = true"
         execute_disabled_toast: "Query execution is disabled. Enable in configuration: config.allow_raw_query_execution = true"
-        migration_disabled_toast: "Migration creation is disabled. Enable in configuration: config.allow_raw_query_execution = true"
+        migration_disabled_toast: "Migration creation is disabled. Enable in configuration: config.allow_migration_creation = true"
         query_monitoring_error: "Query monitoring error"
         query_hash_required: "Query hash is required"
         query_execution_disabled: "Query execution from dashboard is disabled. Enable it in configuration with 'config.allow_raw_query_execution = true'"
         query_not_found_expired: "Query not found or expired. Please refresh the page."
-        query_monitor_unavailable_standalone: "SQL Query Monitor isn't available in standalone mode — there is no host application process to observe."
+        query_monitor_disabled: "SQL Query Monitor is turned off by config.query_monitor_enabled."
         query_timed_out: "Query timed out after %{ms}ms (statement_timeout). Try narrowing the query or increase config.raw_query_statement_timeout_ms."
+        report_timed_out: "The report was stopped after %{ms}ms (statement_timeout). Increase config.report_statement_timeout_ms if this database needs longer."
+        report_lock_timed_out: "The report needs a lock another session holds, so it was stopped instead of waiting. See Blocking Queries and Locks."
         rate_limit_exceeded: "Too many requests. Please wait a bit before trying again."
         security_violation_prefix: "Security violation:"
         trigger_variables_not_allowed: "Cannot EXPLAIN ANALYZE queries with trigger variables (NEW, OLD). These are only available within trigger functions."
         missing_parameter_values: "Please provide values for all parameter placeholders ($1, $2, etc.)"
         migration_dev_only: "Migration creation is only allowed in development environment"
-        filename_code_required: "File name and code are required"
-        invalid_filename_format: "Invalid migration file name format"
+        index_not_found: "Index not found, or its name exists in several schemas"
+        migration_exists: "A migration for this index already exists in db/migrate"
+        migration_primary_only: "Migrations can only be generated from the application's primary database"
         migrations_dir_not_found: "Migrations directory not found"
       success:
         statistics_reset: "Statistics have been reset successfully"
@@ -831,6 +859,9 @@ en:
       heavy_queries:
         name: "Heavy Queries"
         description: "Most frequently called queries"
+      frequent_queries:
+        name: "Most Frequent Queries"
+        description: "Queries executed at the highest rate (calls per second)"
       expensive_queries:
         name: "Expensive Queries"
         description: "Queries consuming most total time"

data/config/locales/ru.yml

@@ -22,6 +22,17 @@ ru:
           - "Рассмотрите batch-операции вместо множества одиночных запросов."
           - "Prepared statements могут снизить накладные расходы на парсинг для частых запросов."
 
+      frequent_queries:
+        title: "Most Frequent Queries"
+        what: "Запросы, выполняющиеся с наибольшей частотой (вызовов в секунду), отсортированные по убыванию вплоть до порога."
+        how: "Поле calls из pg_stat_statements делится на время, в течение которого запрос отслеживается: с момента создания записи (stats_since, PostgreSQL 17+) или с последнего сброса статистики (pg_stat_statements_info.stats_reset, PostgreSQL 14–16). В отличие от Heavy Queries, где сортировка идёт по накопленному числу вызовов, позиция запроса здесь не зависит от того, как долго он накапливал вызовы."
+        nuances:
+          - "Это среднее значение за весь отслеживаемый период (см. tracked_since), а не текущая нагрузка: недавний всплеск размывается долгим затишьем, а когда именно были вызовы, отчёт показать не может."
+          - "На PostgreSQL 14–16 окно у всех запросов общее, поэтому для запроса, появившегося намного позже последнего сброса, частота занижена. Для честного сравнения сбросьте статистику и дайте ей накопиться за показательный период."
+          - "Запись, вытесненная из pg_stat_statements (см. pg_stat_statements.max), теряет счётчики, и при следующем появлении частота считается заново."
+          - "Очень частые быстрые запросы — кандидаты на кэширование на уровне приложения, а много похожих запросов указывает на N+1 и необходимость eager loading."
+          - "Нужны PostgreSQL 14+ и pg_stat_statements 1.9+. После мажорного обновления выполните ALTER EXTENSION pg_stat_statements UPDATE."
+
       expensive_queries:
         title: "Expensive Queries"
         what: "Запросы, потребляющие наибольшее суммарное время (total_time = mean_time × calls)."
@@ -651,14 +662,27 @@ ru:
         update_interval: "Обновление каждые 5с"
         toggle_title: "Переключить live-мониторинг"
         query_monitor_title: "Монитор SQL-запросов"
-        session_label: "Сессия:"
+        auto_stop_label: "Остановится через"
         queries_label: "Запросов:"
         feed_empty: "Нажмите «Запустить мониторинг», чтобы начать захват SQL-запросов"
         feed_no_queries: "Запросы пока не захвачены..."
         unknown_source: "Источник неизвестен"
-        expand_collapse_title: "Развернуть / свернуть"
-        scope_note_short: "область: хост-приложение"
-        scope_note_long: "Монитор SQL-запросов подписан на ActiveSupport::Notifications в процессе хост-приложения и захватывает каждый SQL, который выполняет приложение, в той базе, к которой приложение подключено. Селектор базы данных в дашборде на эту область не влияет."
+        col_time: "Время"
+        col_duration: "мс"
+        col_source: "Источник"
+        col_sql: "SQL"
+        session_ended: "Мониторинг завершён"
+        scope_process_warning: "Отслеживается только этот процесс сервера: Rails.cache — это NullStore или MemoryStore, поэтому другие процессы не видят сессию. На запросах, попавших в другой воркер, мониторинг будет выглядеть остановленным. Подключите общий кэш (Redis, Memcached) или задайте config.query_monitor_cache_store."
+        scope_note_short_host: "область: хост-приложение"
+        scope_note_long_host: "Монитор записывает SQL всех процессов приложения, использующих общий кэш: и веб-воркеров, и фоновых задач — в той базе, к которой подключён каждый из них. Переключатель базы в дашборде на это не влияет. Сессия останавливается сама через config.query_monitor_max_duration."
+        scope_note_short_sampled: "выборка из pg_stat_activity"
+        scope_note_long_sampled: "Каждые 0,5 с читается pg_stat_activity выбранной базы. Видны все её клиенты, но backend хранит только последний запрос: быстрые запросы, сменившиеся между двумя чтениями, не попадут в ленту. Это выборка, а не полный журнал. Сессия останавливается сама через config.query_monitor_max_duration."
+        source_switch_label: "Способ записи"
+        source_notifications: "App"
+        source_activity: "Database"
+        source_notifications_title: "Все запросы этого приложения с источником. Запросы других клиентов не видны."
+        source_activity_title: "Выборка запросов всех клиентов выбранной базы. Быстрые запросы между чтениями теряются."
+        hidden_sessions_warning: "Скрыто сессий: %{count} — этой роли недоступны запросы других ролей. Выдайте доступ: GRANT pg_read_all_stats TO your_role;"
       metrics:
         connections_label: "Соединения"
         tps_label: "TPS"
@@ -750,20 +774,23 @@ ru:
         create_migration_failed: "Не удалось создать миграцию"
         explain_disabled_toast: "EXPLAIN ANALYZE отключен. Включите в конфигурации: config.allow_raw_query_execution = true"
         execute_disabled_toast: "Выполнение запросов отключено. Включите в конфигурации: config.allow_raw_query_execution = true"
-        migration_disabled_toast: "Создание миграций отключено. Включите в конфигурации: config.allow_raw_query_execution = true"
+        migration_disabled_toast: "Создание миграций отключено. Включите в конфигурации: config.allow_migration_creation = true"
         query_monitoring_error: "Ошибка мониторинга запросов"
         query_hash_required: "Требуется хэш запроса"
         query_execution_disabled: "Выполнение запросов из дашборда отключено. Включите в конфигурации: 'config.allow_raw_query_execution = true'"
         query_not_found_expired: "Запрос не найден или истёк срок действия. Обновите страницу."
-        query_monitor_unavailable_standalone: "SQL Query Monitor недоступен в автономном режиме — нет процесса основного приложения для наблюдения."
+        query_monitor_disabled: "SQL-монитор отключён настройкой config.query_monitor_enabled."
         query_timed_out: "Превышено время ожидания запроса (%{ms} мс, statement_timeout). Сузьте запрос или увеличьте config.raw_query_statement_timeout_ms."
+        report_timed_out: "Отчёт остановлен через %{ms} мс (statement_timeout). Если этой базе нужно больше времени, увеличьте config.report_statement_timeout_ms."
+        report_lock_timed_out: "Отчёту нужна блокировка, которую держит другая сессия, поэтому он остановлен, а не ждёт. Смотрите Blocking Queries и Locks."
         rate_limit_exceeded: "Слишком много запросов. Подождите немного и попробуйте снова."
         security_violation_prefix: "Нарушение безопасности:"
         trigger_variables_not_allowed: "Нельзя выполнить EXPLAIN ANALYZE для запросов с триггерными переменными (NEW, OLD). Они доступны только в контексте триггерных функций."
         missing_parameter_values: "Укажите значения для всех плейсхолдеров параметров ($1, $2 и т.д.)"
         migration_dev_only: "Создание миграций разрешено только в development-окружении"
-        filename_code_required: "Имя файла и код обязательны"
-        invalid_filename_format: "Неверный формат имени файла миграции"
+        index_not_found: "Индекс не найден, либо такое имя есть в нескольких схемах"
+        migration_exists: "Миграция для этого индекса уже есть в db/migrate"
+        migration_primary_only: "Миграции можно создавать только из основной базы приложения"
         migrations_dir_not_found: "Каталог миграций не найден"
       success:
         statistics_reset: "Статистика успешно сброшена"
@@ -796,6 +823,9 @@ ru:
       heavy_queries:
         name: "Частые запросы"
         description: "Самые часто вызываемые запросы"
+      frequent_queries:
+        name: "Самые частые запросы"
+        description: "Запросы с наибольшей частотой выполнения (вызовов в секунду)"
       expensive_queries:
         name: "Дорогие запросы"
         description: "Запросы с наибольшим суммарным временем"

data/config/locales/uk.yml

@@ -22,6 +22,17 @@ uk:
           - "Розгляньте batch-операції замість множини одиночних запитів."
           - "Prepared statements можуть знизити накладні витрати на парсинг для частих запитів."
 
+      frequent_queries:
+        title: "Most Frequent Queries"
+        what: "Запити, що виконуються з найбільшою частотою (викликів за секунду), відсортовані за спаданням аж до порога."
+        how: "Поле calls з pg_stat_statements ділиться на час, протягом якого запит відстежується: з моменту створення запису (stats_since, PostgreSQL 17+) або з останнього скидання статистики (pg_stat_statements_info.stats_reset, PostgreSQL 14–16). На відміну від Heavy Queries, де сортування йде за накопиченою кількістю викликів, позиція запиту тут не залежить від того, як довго він накопичував виклики."
+        nuances:
+          - "Це середнє значення за весь відстежуваний період (див. tracked_since), а не поточне навантаження: нещодавній сплеск розмивається довгим затишшям, а коли саме були виклики, звіт показати не може."
+          - "На PostgreSQL 14–16 вікно в усіх запитів спільне, тому для запиту, що з'явився набагато пізніше за останнє скидання, частота занижена. Для чесного порівняння скиньте статистику й дайте їй накопичитися за показовий період."
+          - "Запис, витіснений з pg_stat_statements (див. pg_stat_statements.max), втрачає лічильники, і при наступній появі частота рахується заново."
+          - "Дуже часті швидкі запити — кандидати на кешування на рівні застосунку, а багато схожих запитів вказує на N+1 і потребу в eager loading."
+          - "Потрібні PostgreSQL 14+ і pg_stat_statements 1.9+. Після мажорного оновлення виконайте ALTER EXTENSION pg_stat_statements UPDATE."
+
       expensive_queries:
         title: "Expensive Queries"
         what: "Запити, що споживають найбільше сумарного часу (total_time = mean_time × calls)."
@@ -651,14 +662,27 @@ uk:
         update_interval: "Оновлення кожні 5с"
         toggle_title: "Перемкнути live-моніторинг"
         query_monitor_title: "Монітор SQL-запитів"
-        session_label: "Сесія:"
+        auto_stop_label: "Зупиниться через"
         queries_label: "Запитів:"
         feed_empty: "Натисніть «Запустити моніторинг», щоб почати захоплення SQL-запитів"
         feed_no_queries: "Запитів поки не захоплено..."
         unknown_source: "Джерело невідоме"
-        expand_collapse_title: "Розгорнути / згорнути"
-        scope_note_short: "область: хост-застосунок"
-        scope_note_long: "Монітор SQL-запитів підписаний на ActiveSupport::Notifications у процесі хост-застосунку та захоплює кожен SQL, який виконує застосунок, у тій базі, до якої він підключений. Селектор бази даних у дашборді на цю область не впливає."
+        col_time: "Час"
+        col_duration: "мс"
+        col_source: "Джерело"
+        col_sql: "SQL"
+        session_ended: "Моніторинг завершено"
+        scope_process_warning: "Відстежується лише цей процес сервера: Rails.cache — це NullStore або MemoryStore, тому інші процеси не бачать сесію. На запитах, що потрапили до іншого воркера, моніторинг виглядатиме зупиненим. Підключіть спільний кеш (Redis, Memcached) або задайте config.query_monitor_cache_store."
+        scope_note_short_host: "область: хост-застосунок"
+        scope_note_long_host: "Монітор записує SQL усіх процесів застосунку, що використовують спільний кеш: і веб-воркерів, і фонових задач — у тій базі, до якої підключено кожен із них. Перемикач бази в дашборді на це не впливає. Сесія зупиняється сама через config.query_monitor_max_duration."
+        scope_note_short_sampled: "вибірка з pg_stat_activity"
+        scope_note_long_sampled: "Кожні 0,5 с читається pg_stat_activity вибраної бази. Видно всіх її клієнтів, але backend зберігає лише останній запит: швидкі запити, що змінилися між двома читаннями, не потраплять до стрічки. Це вибірка, а не повний журнал. Сесія зупиняється сама через config.query_monitor_max_duration."
+        source_switch_label: "Спосіб запису"
+        source_notifications: "App"
+        source_activity: "Database"
+        source_notifications_title: "Усі запити цього застосунку з джерелом. Запити інших клієнтів не видно."
+        source_activity_title: "Вибірка запитів усіх клієнтів вибраної бази. Швидкі запити між читаннями губляться."
+        hidden_sessions_warning: "Приховано сесій: %{count} — цій ролі недоступні запити інших ролей. Надайте доступ: GRANT pg_read_all_stats TO your_role;"
       metrics:
         connections_label: "З'єднання"
         tps_label: "TPS"
@@ -750,20 +774,23 @@ uk:
         create_migration_failed: "Не вдалося створити міграцію"
         explain_disabled_toast: "EXPLAIN ANALYZE вимкнено. Увімкніть у конфігурації: config.allow_raw_query_execution = true"
         execute_disabled_toast: "Виконання запитів вимкнено. Увімкніть у конфігурації: config.allow_raw_query_execution = true"
-        migration_disabled_toast: "Створення міграцій вимкнено. Увімкніть у конфігурації: config.allow_raw_query_execution = true"
+        migration_disabled_toast: "Створення міграцій вимкнено. Увімкніть у конфігурації: config.allow_migration_creation = true"
         query_monitoring_error: "Помилка моніторингу запитів"
         query_hash_required: "Потрібен хеш запиту"
         query_execution_disabled: "Виконання запитів із дашборду вимкнено. Увімкніть у конфігурації: 'config.allow_raw_query_execution = true'"
         query_not_found_expired: "Запит не знайдено або термін дії минув. Оновіть сторінку."
-        query_monitor_unavailable_standalone: "SQL Query Monitor недоступний в автономному режимі — немає процесу основного застосунку для спостереження."
+        query_monitor_disabled: "SQL-монітор вимкнено налаштуванням config.query_monitor_enabled."
         query_timed_out: "Перевищено час очікування запиту (%{ms} мс, statement_timeout). Звузьте запит або збільшіть config.raw_query_statement_timeout_ms."
+        report_timed_out: "Звіт зупинено через %{ms} мс (statement_timeout). Якщо цій базі потрібно більше часу, збільште config.report_statement_timeout_ms."
+        report_lock_timed_out: "Звіту потрібне блокування, яке тримає інша сесія, тому його зупинено, а не очікує. Дивіться Blocking Queries і Locks."
         rate_limit_exceeded: "Забагато запитів. Зачекайте трохи і спробуйте знову."
         security_violation_prefix: "Порушення безпеки:"
         trigger_variables_not_allowed: "Не можна виконати EXPLAIN ANALYZE для запитів із тригерними змінними (NEW, OLD). Вони доступні лише в контексті тригерних функцій."
         missing_parameter_values: "Вкажіть значення для всіх плейсхолдерів параметрів ($1, $2 тощо)"
         migration_dev_only: "Створення міграцій дозволено лише в development-середовищі"
-        filename_code_required: "Ім'я файлу та код обов'язкові"
-        invalid_filename_format: "Невірний формат імені файлу міграції"
+        index_not_found: "Індекс не знайдено, або таке ім'я є в кількох схемах"
+        migration_exists: "Міграція для цього індексу вже є в db/migrate"
+        migration_primary_only: "Міграції можна створювати лише з основної бази застосунку"
         migrations_dir_not_found: "Каталог міграцій не знайдено"
       success:
         statistics_reset: "Статистику успішно скинуто"
@@ -796,6 +823,9 @@ uk:
       heavy_queries:
         name: "Часті запити"
         description: "Найчастіше викликані запити"
+      frequent_queries:
+        name: "Найчастіші запити"
+        description: "Запити з найбільшою частотою виконання (викликів за секунду)"
       expensive_queries:
         name: "Дорогі запити"
         description: "Запити з найбільшим сумарним часом"

data/config/routes.rb

@@ -16,6 +16,7 @@ PgReports::Engine.routes.draw do
   post "explain_analyze", to: "dashboard#explain_analyze", as: :explain_analyze
   post "execute_query", to: "dashboard#execute_query", as: :execute_query
   post "run_query", to: "dashboard#run_query", as: :run_query
+  post "migration_preview", to: "dashboard#migration_preview", as: :migration_preview
   post "create_migration", to: "dashboard#create_migration", as: :create_migration
 
   # Query monitoring

data/lib/pg_reports/access_policy.rb

@@ -0,0 +1,39 @@
+# frozen_string_literal: true
+
+module PgReports
+  # What happens when an endpoint has no credentials configured.
+  #
+  # Nothing is reachable by default except from the machine itself: a dashboard
+  # started for a quick look on a laptop stays open to that laptop, not to the
+  # network it happens to be bound to (`rails s -b 0.0.0.0`, a Docker port).
+  module AccessPolicy
+    # For dashboard_auth or grafana_metrics_token: the host application protects
+    # this route itself, so the check here must not turn anyone away.
+    HOST_MANAGED = :host_managed
+
+    DASHBOARD_DENIED = <<~MESSAGE
+      PgReports: access denied.
+
+      This dashboard has no authentication configured, so it only answers requests
+      from the machine it runs on, and never in production.
+
+      Set one of these in your PgReports.configure block:
+
+        config.dashboard_auth = -> { authenticate_or_request_with_http_basic { |u, p| ... } }
+        config.dashboard_auth = :host_managed  # the route is already protected by your app
+    MESSAGE
+
+    # request.local? requires both the socket peer and the resolved client to be
+    # loopback, so an X-Forwarded-For header cannot talk its way past this.
+    #
+    # Production is refused outright because a local peer proves nothing there: a
+    # reverse proxy on the same host that sets no forwarding header looks local for
+    # every client. Standalone has no such proxy unless someone builds one, and
+    # RAILS_ENV says nothing about how it is deployed.
+    def self.open_access_allowed?(request)
+      return false if Rails.env.production? && !PgReports.config.standalone
+
+      request.local?
+    end
+  end
+end

data/lib/pg_reports/compatibility.rb

@@ -2,11 +2,12 @@
 
 module PgReports
   # Checks runtime environment and warns about outdated or unsupported versions.
-  # Called once at boot (Ruby/Rails) and lazily on first DB access (PostgreSQL).
+  # Ruby/Rails are checked at boot. PostgreSQL waits for the dashboard, so that
+  # booting the host application costs no query and no connection.
   module Compatibility
     # Keep in sync with gemspec constraints
     MINIMUM_RUBY_VERSION = "2.7"
-    MINIMUM_RAILS_VERSION = "5.0"
+    MINIMUM_RAILS_VERSION = "6.1"
     MINIMUM_PG_VERSION = 12_00_00  # server_version_num format
     MINIMUM_PG_VERSION_LABEL = "12"
 
@@ -37,6 +38,13 @@ module PgReports
              "Some reports may return errors or incomplete data."
       end
 
+      def check_postgresql_once!
+        return if @postgresql_checked
+
+        @postgresql_checked = true
+        check_postgresql!
+      end
+
       def check_all!
         check_ruby!
         check_rails!

data/lib/pg_reports/configuration.rb

@@ -9,6 +9,7 @@ module PgReports
     # Query analysis thresholds
     attr_accessor :slow_query_threshold_ms      # Queries slower than this are considered slow
     attr_accessor :heavy_query_threshold_calls  # Queries with more calls than this are heavy
+    attr_accessor :frequent_query_threshold_per_second # Queries at or above this rate are frequent
     attr_accessor :expensive_query_threshold_ms # Total time threshold for expensive queries
 
     # Index analysis thresholds
@@ -26,7 +27,7 @@ module PgReports
     attr_accessor :max_query_length             # Truncate query text to this length
 
     # Dashboard settings
-    attr_accessor :dashboard_auth               # Proc for dashboard authentication
+    attr_accessor :dashboard_auth               # Proc run as a before_action, or :host_managed. Unset: loopback only, never in production
     attr_accessor :standalone                   # True when running via PgReports::Standalone (no host app)
 
     # Assets / privacy settings
@@ -36,7 +37,13 @@ module PgReports
     attr_accessor :fake_source_data             # Inject fake source data for IDE link testing
 
     # Query monitoring settings
+    attr_accessor :query_monitor_enabled        # Off in production by default; false removes the monitor entirely
+    attr_accessor :query_monitor_sources        # Capture methods on offer: :notifications, :activity
+    attr_accessor :query_monitor_cache_store    # Cache shared by all processes (default: Rails.cache)
+    attr_accessor :query_monitor_max_duration   # Seconds after which a session stops by itself
     attr_accessor :query_monitor_log_file       # Path to log file for query monitoring
+    attr_accessor :query_monitor_log_max_bytes  # Size at which the log is rotated to <file>.1. nil or 0 disables rotation.
+    attr_accessor :query_monitor_redact_literals # Replace string literals in captured SQL with '?'. On outside development.
     attr_accessor :query_monitor_max_queries    # Maximum number of queries to keep in buffer
     attr_accessor :query_monitor_backtrace_filter # Proc to filter backtrace lines
 
@@ -44,12 +51,13 @@ module PgReports
     attr_accessor :allow_raw_query_execution    # Allow execute_query and explain_analyze from dashboard
     attr_accessor :allow_migration_creation     # Allow dashboard's "Generate Migration" button to write files into db/migrate/
     attr_accessor :raw_query_statement_timeout_ms    # Postgres statement_timeout (ms) applied to Execute Query / EXPLAIN ANALYZE / SQL Console. 0 disables it.
+    attr_accessor :report_statement_timeout_ms       # Postgres statement_timeout (ms) for the SQL behind reports and live metrics. 0 disables it.
     attr_accessor :raw_query_rate_limit              # Max privileged requests (raw query execution / Generate Migration) per client IP per window. nil disables rate limiting.
     attr_accessor :raw_query_rate_limit_window_seconds # Window size (seconds) for raw_query_rate_limit
 
     # Grafana / Prometheus exporter settings
     attr_accessor :grafana_favorites            # Reports exposed at /metrics (Array of keys or Hash with per-report opts)
-    attr_accessor :grafana_metrics_token        # Bearer token required to access /metrics (nil = no auth)
+    attr_accessor :grafana_metrics_token        # Bearer token required to access /metrics, or :host_managed. Unset: as dashboard_auth
     attr_accessor :grafana_cache_ttl            # Default cache TTL for collected reports, seconds
 
     def initialize
@@ -60,6 +68,7 @@ module PgReports
       # Query thresholds
       @slow_query_threshold_ms = 100
       @heavy_query_threshold_calls = 1000
+      @frequent_query_threshold_per_second = 1
       @expensive_query_threshold_ms = 10_000
 
       # Index thresholds
@@ -87,7 +96,19 @@ module PgReports
       @fake_source_data = ENV.fetch("PG_REPORTS_FAKE_SOURCE_DATA", "false") == "true"
 
       # Query monitoring
+      rails_env = Rails.env if defined?(Rails) && Rails.respond_to?(:env)
+      # Off in production, so that a deploy adds nothing to the application's
+      # queries until someone decides they want the monitor there
+      @query_monitor_enabled = !rails_env&.production?
+      # Two sources are a choice for a developer; production keeps to one
+      @query_monitor_sources = rails_env&.development? ? %i[notifications activity] : %i[notifications]
+      @query_monitor_cache_store = nil
+      @query_monitor_max_duration = 900
       @query_monitor_log_file = defined?(Rails) ? Rails.root.join("log", "pg_reports.log") : nil
+      @query_monitor_log_max_bytes = 10 * 1024 * 1024
+      # A developer needs the values and they are their own; anywhere else they are
+      # somebody's passwords and personal data
+      @query_monitor_redact_literals = !rails_env&.development?
       @query_monitor_max_queries = 100
       @query_monitor_backtrace_filter = ->(location) {
         # Exclude gem paths, framework paths
@@ -107,6 +128,7 @@ module PgReports
         ActiveModel::Type::Boolean.new.cast(env_override)
       end
       @raw_query_statement_timeout_ms = ENV.fetch("PG_REPORTS_RAW_QUERY_STATEMENT_TIMEOUT_MS", 5_000).to_i
+      @report_statement_timeout_ms = ENV.fetch("PG_REPORTS_REPORT_STATEMENT_TIMEOUT_MS", 30_000).to_i
       @raw_query_rate_limit = ENV.fetch("PG_REPORTS_RAW_QUERY_RATE_LIMIT", 30).to_i
       @raw_query_rate_limit_window_seconds = ENV.fetch("PG_REPORTS_RAW_QUERY_RATE_LIMIT_WINDOW_SECONDS", 60).to_i
 
@@ -141,6 +163,15 @@ module PgReports
       PgReports.connection_registry.default_name
     end
 
+    def query_monitor_available?
+      query_monitor_enabled && query_monitor_available_sources.any?
+    end
+
+    # Standalone has no application to subscribe to, so only sampling applies
+    def query_monitor_available_sources
+      standalone ? [:activity] : Array(query_monitor_sources).map(&:to_sym)
+    end
+
     def telegram_configured?
       telegram_bot_token.present? && telegram_chat_id.present?
     end

data/lib/pg_reports/connection/error_translator.rb

@@ -35,6 +35,8 @@ module PgReports
         when "53300" then too_many_connections(message)
         when "42P01" then undefined_table(message)
         when "42883" then undefined_function(message)
+        when "57014" then query_canceled(error)
+        when "55P03" then lock_wait_timed_out(message)
         else generic(error)
         end
 
@@ -52,6 +54,25 @@ module PgReports
         nil
       end
 
+      # 57014 also covers pg_cancel_backend, which says so in its own words
+      def query_canceled(error)
+        return generic(error) unless error.message.include?("statement timeout")
+
+        {
+          title: "Report timed out",
+          detail: I18n.t("pg_reports.ui.errors.report_timed_out", ms: PgReports.config.report_statement_timeout_ms.to_i),
+          hint: nil
+        }
+      end
+
+      def lock_wait_timed_out(_message)
+        {
+          title: "Report blocked by a lock",
+          detail: I18n.t("pg_reports.ui.errors.report_lock_timed_out"),
+          hint: nil
+        }
+      end
+
       def permission_denied(message)
         target = extract_object(message, /permission denied for (?:database|schema|table|relation|view) "?([\w.]+)"?/)
         kind = extract_object(message, /permission denied for (database|schema|table|relation|view)/)