@fayz-ai/db 0.13.0 → 0.15.0

package/migrations/052_fullcontrol_joins_the_family.sql

@@ -0,0 +1,213 @@
+-- ---------------------------------------------------------------------------
+-- 052_fullcontrol_joins_the_family.sql — o funil vira a casa inteira.
+--
+-- A 011 deu uma linha ao LeadControl porque o funil tinha transbordado de uma
+-- aba dentro do app do ofício. O que transbordou agora é o app inteiro: a
+-- mesma base que guarda o lead guarda o título, o saldo de estoque e a nota, e
+-- o produto que olha tudo isso de uma vez não é um CRM — é um ERP. Este
+-- arquivo é o registro admitindo isso.
+--
+-- O recorte também mudou de público. Os outros Controls são OFÍCIOS (cozinha,
+-- loja, estúdio, escola, bilheteria, escritório de contabilidade). Este é para
+-- a empresa cujo RAMO não é o assunto do software — a distribuidora, a
+-- confecção, a prestadora, a indústria pequena. Elas não precisam de um app
+-- que entenda de comida; precisam de um que entenda de conta a pagar.
+--
+-- ── Por que um ID NOVO e não um UPDATE no 'crm' ────────────────────────────
+--
+-- `app.apps.id` é chave, e `app.tenant_apps.app_id` é a única FK que aponta
+-- para ela (001 §2, ON DELETE RESTRICT) — então trocar o id é ADITIVO e
+-- reversível, e custa as poucas linhas do §2. O que não é reversível é o que
+-- sobra se não trocarmos: um app cujo id é o nome de UM dos seus módulos,
+-- numa linha que passaria a ler `id = 'crm' … requires ARRAY['crm', …]` — um
+-- app que exige a si mesmo. `tenant_app_set('crm')`, `tenant_plugin_set('crm')`
+-- e `plan_permits('crm')` continuariam querendo dizer três coisas diferentes.
+--
+-- Hoje é o dia mais barato para fazer isso: `url` ainda é `localhost`, nenhum
+-- domínio de cliente aponta para cá, e não existe união de ids em TypeScript
+-- (packages/admin/src/directory/app-id.ts é explícito: "a rename is a row, not
+-- a release"). O que o app lê é `VITE_APP_ID`, e ele acompanha este arquivo.
+--
+-- A linha antiga NÃO é apagada — é APOSENTADA (§3). A FK a protege, as linhas
+-- de `app.tenant_apps` com app_id='crm' são o histórico de quem teve o produto,
+-- e enquanto elas existirem a volta atrás é um UPDATE e não um INSERT.
+--
+-- ── `serves_verticals` fica VAZIO, e agora o argumento é o OPOSTO ──────────
+--
+-- Nas 011/031/043 o array ficou vazio porque aquele app servia a um recorte.
+-- Aqui ele fica vazio porque o app serve a TODOS — e é exatamente por isso que
+-- semear por vertical (010) seria o pior erro possível: todo restaurante criado
+-- amanhã acordaria com um segundo produto no switcher, com financeiro e estoque
+-- acesos que ninguém configurou. Um app que chega sem ser convidado não é
+-- funcionalidade, é chamado de suporte. Opt-in via `tenant_app_set('full', …)`.
+--
+-- ── `requires` cresce em DEGRAUS, um marco por vez ─────────────────────────
+--
+-- Regra da 031/043: o array ganha um plugin no arquivo que traz as telas dele.
+-- Aqui ele nomeia o que o bundle do app JÁ monta hoje (src/config/app.tsx):
+-- crm, conversations, marketing, automations, notifications, reports,
+-- financial e inventory.
+--
+-- E há um motivo mais duro para não listar o resto de uma vez:
+-- **app.tenant_plugins não tem app_id**. Um plugin exigido aqui acende para o
+-- TENANT, e aparece em qualquer outro Control que aquele tenant rode e que
+-- empacote o mesmo plugin. Agenda, tasks, forms e orders entram quando este app
+-- desenhar as telas deles.
+--
+-- Os addons ficam de fora por definição: `fiscal-br` e `banking-br` são opt-in
+-- contratados, e o que entra em `requires` é ligado para todo mundo.
+--
+-- ── O que a 011 dizia sobre `financial`, e por que caiu ────────────────────
+--
+-- A 011 recusou `financial` com o argumento certo para o produto de então:
+-- "um negócio ganho neste produto passa a bola para o app que é dono do
+-- dinheiro; duplicar o razão aqui daria duas portas de entrada para a mesma
+-- fatura." O argumento não mudou — mudou de lado. **O FullControl É o app que
+-- é dono do dinheiro.** O orçamento aprovado no CRM vira título e aterrissa em
+-- /financial/receivables/detail/:id sem sair do app, e é a mesma linha de
+-- `plg_financial_invoices` que o ChefControl do mesmo tenant leria.
+-- ---------------------------------------------------------------------------
+
+-- ── §1  a linha nova ───────────────────────────────────────────────────────
+--
+-- #1E3A8A (blue-900) e não o teal que este arquivo carregou por uma tarde: o
+-- CourseControl está com #0D9488 no cluster — a linha divergiu do âmbar que a
+-- 001 deu a ele —, e dois teais no launcher leem como um produto em dois tons.
+-- Também não é o #2563EB do LeadControl por acaso: é ele um degrau mais grave.
+-- Para as nove contas que já tinham o ladrilho azul, o produto CRESCEU; a cor
+-- diz produção onde a antiga dizia vendas. Branco sobre ele dá 10,4:1.
+--
+-- 'Layers' existe no registro CURADO de ícones (packages/ui/src/icons.ts) —
+-- conferido, e não é zelo: 'Scissors', que a 001 deu ao StudioControl, NÃO
+-- existe lá, e aquele ladrilho desenha iniciais desde então, sem erro nenhum.
+-- Camadas sobre uma base é a figura literal de um ERP: vários módulos sobre um
+-- tenant só. Um FullControlMark próprio entra quando existir marca em livro —
+-- inventar um SVG que todos os irmãos passam a desenhar é pior que um glifo
+-- bem escolhido (foi o que a 012 pagou para o ChefControl, e só depois do
+-- brand book).
+--
+-- `url` é a origem de dev; a coluna é a allow-list do handoff, e o coalesce
+-- impede que uma reaplicação devolva uma frota publicada para localhost
+-- (regra da 031/043).
+INSERT INTO app.apps (id, name, icon, accent_color, url, requires, serves_verticals, active) VALUES
+  ('full', 'FullControl', 'Layers', '#1E3A8A', 'http://localhost:5307',
+   ARRAY['crm', 'conversations', 'marketing', 'automations', 'notifications',
+         'reports', 'financial', 'inventory'],
+   ARRAY[]::text[], true)
+ON CONFLICT (id) DO UPDATE
+  SET name = EXCLUDED.name, icon = EXCLUDED.icon, accent_color = EXCLUDED.accent_color,
+      active = true,
+      -- `requires` só CRESCE numa reaplicação: um marco posterior pode ter
+      -- somado um plugin depois deste arquivo, e sobrescrever aqui desfaria
+      -- aquele marco em silêncio.
+      requires = (SELECT array_agg(DISTINCT p ORDER BY p)
+                    FROM unnest(app.apps.requires || EXCLUDED.requires) AS p),
+      url = coalesce(app.apps.url, EXCLUDED.url);
+
+COMMENT ON TABLE app.apps IS
+  'Which applications exist on this cluster (001, 011, 043, 052). The registry the app switcher reads. An app is a LENS over a tenant''s rows — it never scopes them; two apps on one tenant share public.people by design. `requires` names the plugins the app cannot work without, and it is a SEEDING list, not a dependency check — app.tenant_plugins has no app_id, so a plugin required here is lit for the whole tenant. `url` doubles as the allow-list for the session handoff; NULL takes the app off every switcher. `active = false` retires a row without breaking the FK from app.tenant_apps.';
+
+-- ── §2  quem recebe: exatamente quem tinha o LeadControl ───────────────────
+--
+-- Carrega `status`, `source` e `added_by` da linha antiga: uma conta que tinha
+-- DESLIGADO o LeadControl não pode acordar com o FullControl aceso, e uma linha
+-- semeada pela plataforma ('default', 011 §3) não pode virar escolha de gente.
+INSERT INTO app.tenant_apps (tenant_id, app_id, status, source, added_by)
+SELECT ta.tenant_id, 'full', ta.status, ta.source, ta.added_by
+  FROM app.tenant_apps ta
+ WHERE ta.app_id = 'crm'
+ON CONFLICT (tenant_id, app_id) DO NOTHING;
+
+-- ── §3  a linha antiga é aposentada, não apagada ───────────────────────────
+--
+-- `active = false` já a tira do `app_config()` (008 filtra `a.active`), e
+-- `url = NULL` é o segundo cinto: o cliente também descarta app sem url
+-- (packages/admin/src/directory/directory.store.ts, normalize()). O nome fica,
+-- para que uma consulta de suporte sobre uma linha antiga ainda leia.
+UPDATE app.apps
+   SET active = false,
+       url    = NULL
+ WHERE id = 'crm';
+
+-- ── §4  o teto do plano passa a ter a linha do PLUGIN, não só das facets ───
+--
+-- Este bloco conserta um defeito que existia ANTES deste app e que só não
+-- apareceu porque as contas do dogfood não têm plano.
+--
+-- `plan_permits(plugin, facet, tenant)` casa a facet EXATAMENTE
+-- (000_baseline.sql), e "o plugin é a facet de nome vazio"
+-- (packages/core/src/types/plugins.ts). Todo caminho de semeadura chama com
+-- `facet = ''`: tenant_app_set (001), tenant_apply_vertical_defaults (010) e os
+-- backfills das migrations de app. Mas o seed de `app.plan_grants` só escreveu
+-- linhas de FACET (`financial.ledger`, `crm.contacts`, `inventory.stock`,
+-- `agenda.scheduling`) — com `facet = ''` existem apenas `tasks`, `forms` e
+-- `scale/marketing`.
+--
+-- Consequência: qualquer tenant COM plano é recusado no próprio plugin cujas
+-- facets o plano dele inclui, e `tenant_apply_plan` acende facets órfãs que a
+-- casca corretamente não lê como plugin (packages/core/src/app/app-config.ts).
+-- Sem este §4, o FullControl acende hoje (contas sem plano) e para de acender
+-- no dia em que alguém vender o primeiro plano — que é a pior hora possível
+-- para descobrir.
+--
+-- `included` só onde o plano JÁ inclui uma facet daquele plugin: ali a linha
+-- que falta é um defeito, não uma decisão de produto (é o "defeito 2" que a
+-- 010 §2 nomeia). Todo o resto entra como `optional`, e isso é deliberado:
+-- `plan_permits` NÃO lê o `mode`, então `optional` levanta o teto sem que
+-- `tenant_apply_plan` imponha o módulo a quem não pediu.
+DO $$
+DECLARE p text;
+BEGIN
+  IF to_regprocedure('public.register_plan_grant(text,text,text,text,text)') IS NULL THEN
+    RAISE NOTICE '052: register_plan_grant ausente — §4 pulado';
+    RETURN;
+  END IF;
+
+  -- 4.1 a linha do plugin para cada plugin cujas facets os planos já incluem.
+  FOREACH p IN ARRAY ARRAY['financial', 'inventory', 'crm', 'agenda'] LOOP
+    PERFORM public.register_plan_grant('essential', p, '', 'included',
+      'O plugin é a facet de nome vazio: sem esta linha o teto recusa o plugin cujas facets este plano inclui (052 §4).');
+    PERFORM public.register_plan_grant('pro',   p, '', 'included', NULL);
+    PERFORM public.register_plan_grant('scale', p, '', 'included', NULL);
+  END LOOP;
+
+  -- 4.2 o que o ERP soma, por plano. `optional` = permitido, não imposto.
+  -- No essential entram só os dois que atendem e cobram — um ERP inteiro não é
+  -- produto de plano básico.
+  PERFORM public.register_plan_grant('essential', 'conversations', '', 'optional', 'Onde o cliente e o fornecedor falam.');
+  PERFORM public.register_plan_grant('essential', 'notifications', '', 'optional', 'Toda cobrança e toda confirmação saem por aqui.');
+
+  FOREACH p IN ARRAY ARRAY['conversations', 'notifications', 'marketing', 'automations',
+                           'reports', 'tasks', 'forms'] LOOP
+    PERFORM public.register_plan_grant('pro',   p, '', 'optional', NULL);
+    PERFORM public.register_plan_grant('scale', p, '', 'optional', NULL);
+  END LOOP;
+
+  -- 4.3 os addons: permitidos só no topo, e nunca `included`.
+  PERFORM public.register_plan_grant('scale', 'fiscal-br',  '', 'optional', 'Addon: a emissão fiscal é contratada, não incluída.');
+  PERFORM public.register_plan_grant('scale', 'banking-br', '', 'optional', 'Addon: a conciliação bancária é contratada.');
+END $$;
+
+-- ── §5  os plugins que o app exige, com o teto do plano respeitado ─────────
+--
+-- DISTINCT porque um tenant que chega por dois caminhos faria o ON CONFLICT
+-- recusar tocar a linha duas vezes; `plan_permits` porque o teto do plano vence
+-- sempre sobre um padrão — uma conta cujo plano não inclui o plugin não o
+-- ganha aceso, e a semeadura não falha por isso (011 §3, mesma regra).
+INSERT INTO app.tenant_plugins (tenant_id, plugin_id, facet, status, source)
+SELECT DISTINCT ta.tenant_id, r.plugin_id, '', 'active', 'default'
+  FROM app.tenant_apps ta
+  JOIN app.apps a ON a.id = ta.app_id
+  CROSS JOIN LATERAL unnest(a.requires) AS r(plugin_id)
+ WHERE ta.app_id = 'full'
+   AND ta.status = 'active'
+   AND public.plan_permits(r.plugin_id, '', ta.tenant_id)
+ON CONFLICT (tenant_id, plugin_id, facet) DO NOTHING;
+
+-- ── §6  (comentado) o ramo órfão ───────────────────────────────────────────
+--
+-- 'agency' está em app.vertical_defaults desde o baseline e NENHUM app o serve:
+-- um tenant criado com vertical_id='agency' ganha plugins e zero apps. Se
+-- alguém decidir que o ERP genérico é a resposta honesta para esse ramo, é UMA
+-- linha — e ela merece uma migration própria, para poder ser revista sozinha:
+--   UPDATE app.apps SET serves_verticals = ARRAY['agency'] WHERE id = 'full';

package/migrations/053_o_erp_para_de_exigir_o_que_nao_desenha.sql

@@ -0,0 +1,37 @@
+-- ---------------------------------------------------------------------------
+-- 053_o_erp_para_de_exigir_o_que_nao_desenha.sql — o FullControl encolhe o
+-- `requires` para o que ele realmente monta.
+--
+-- A 052 registrou o app com oito plugins, e naquele dia ele montava os oito. No
+-- mesmo dia o recorte apertou: o FullControl é para a empresa que vende SERVIÇO
+-- e SOFTWARE — agência, software house, consultoria —, e duas coisas saíram do
+-- bundle por não existirem nessa casa:
+--
+--   `inventory`  prateleira. Quem tem estoque é atendido pelo StoreControl e
+--                pelo ChefControl, e um ERP que oferece contagem de inventário
+--                a quem não tem depósito é um formulário a mais.
+--   `marketing`  campanha e canal de aquisição. O funil fica (o orçamento é o
+--                começo do título), mas a máquina de aquisição é produto do
+--                LeadControl, que é justamente de onde este app veio.
+--
+-- ── Por que isso é uma migration, e não uma edição na 052 ──────────────────
+--
+-- A 052 já foi aplicada e o ledger guarda o sha256 dela; arquivo aplicado é
+-- congelado. E a 052 tem, de propósito, um `ON CONFLICT` que só faz `requires`
+-- CRESCER numa reaplicação — então nem reaplicá-la desfaria isto. Encolher é um
+-- ato explícito, e é este arquivo.
+--
+-- ── O que este arquivo NÃO faz: desligar plugin de ninguém ─────────────────
+--
+-- `requires` é lista de SEMEADURA, não de dependência: ele decide o que um
+-- tenant ganha ao ATIVAR o app daqui para a frente. As contas que já receberam
+-- `inventory` e `marketing` ficam com eles acesos, e isso está certo — a
+-- 052 §5 os acendeu para o TENANT (app.tenant_plugins não tem app_id), e o
+-- ChefControl e o StoreControl das mesmas contas estão de pé sobre `inventory`
+-- neste exato momento. Apagar a linha aqui apagaria o estoque do restaurante.
+-- ---------------------------------------------------------------------------
+
+UPDATE app.apps
+   SET requires = ARRAY['crm', 'conversations', 'automations', 'notifications',
+                        'reports', 'financial']
+ WHERE id = 'full';

package/package.json

@@ -3,7 +3,7 @@
   "fayz": {
     "status": "beta"
   },
-  "version": "0.13.0",
+  "version": "0.15.0",
   "description": "Fayz SDK database layer — Drizzle schema primitives, spine references, and migration helpers shared across plugins.",
   "type": "module",
   "sideEffects": false,

package/migrations/0000_legacy_quarantine.sql

@@ -1,86 +0,0 @@
--- ============================================================================
--- 0000_legacy_quarantine.sql — pre-convert collision guard (ALL pools)
---
--- MUST run BEFORE 000_core_v1_convert.sql. The filename starts `0000_` so it
--- lexically sorts ahead of `000_core_v1_convert.sql` (the runner orders files
--- with a plain string sort — verify: ['0000_legacy_quarantine.sql',
--- '000_core_v1_convert.sql'].sort()).
---
--- WHY: the in-place converter moves saas_core.<source> -> public.<target> only
--- when public.<target> is FREE (guarded on target absence). If a pool already
--- holds a legacy public.<target> (a bespoke pre-pool table sharing the name),
--- the move/rename silently no-ops and the live saas_core.<source> is left
--- behind — then `DROP SCHEMA saas_core CASCADE` would DESTROY it. This file
--- gets the colliding legacy table out of the way first, into a quarantine
--- schema, so every source table has a free target to land on.
---
--- For EVERY (source -> target) pair the converter touches, if BOTH
--- saas_core.<source> AND public.<target> exist, move public.<target> into
--- legacy_pre_pools. The presence of saas_core.<source> proves the convert has
--- not run yet, so this public.<target> must be a legacy collision (not the
--- converted core table).
---
--- Known real collisions from the 2026-07-14 backups (all covered by the loop):
---   * creators   — public.subscriptions (4 rows, direct-move pair)
---   * salon/gphx — public.appointments (0 rows, bookings->appointments rename)
---   * restaurant — public.orders + public.order_items (0 rows, direct-move pairs)
---
--- Idempotent: guarded on saas_core existing; each move guarded on both source
--- present AND target present; a no-op on fresh pools and on already-converted
--- pools (saas_core dropped -> early return).
--- ============================================================================
-
-DO $quarantine$
-DECLARE
-  r record;
-BEGIN
-  -- Only act on pools that still carry the legacy schema (pre-convert).
-  IF NOT EXISTS (SELECT 1 FROM information_schema.schemata WHERE schema_name = 'saas_core') THEN
-    RETURN;
-  END IF;
-
-  -- (source in saas_core) -> (target in public) for every table the converter
-  -- moves. Direct moves keep the name; the three changed entities are renamed
-  -- (persons->people, bookings->appointments, booking_items->appointment_items).
-  -- Mirrors the move list in 000_core_v1_convert.sql exactly.
-  FOR r IN
-    SELECT * FROM (VALUES
-      ('tenants',                'tenants'),
-      ('profiles',               'profiles'),
-      ('tenant_members',         'tenant_members'),
-      ('plans',                  'plans'),
-      ('permissions',            'permissions'),
-      ('role_permissions',       'role_permissions'),
-      ('tenant_role_overrides',  'tenant_role_overrides'),
-      ('invitations',            'invitations'),
-      ('payment_events',         'payment_events'),
-      ('locations',              'locations'),
-      ('location_members',       'location_members'),
-      ('audit_logs',             'audit_logs'),
-      ('subscriptions',          'subscriptions'),
-      ('invoices',               'invoices'),
-      ('notifications',          'notifications'),
-      ('persons',                'people'),
-      ('categories',             'categories'),
-      ('products',               'products'),
-      ('services',               'services'),
-      ('orders',                 'orders'),
-      ('order_items',            'order_items'),
-      ('transactions',           'transactions'),
-      ('bookings',               'appointments'),
-      ('booking_items',          'appointment_items'),
-      ('schedules',              'schedules'),
-      ('sequences',              'sequences'),
-      ('documents',              'documents')
-    ) AS m(source, target)
-  LOOP
-    IF to_regclass('saas_core.' || quote_ident(r.source)) IS NOT NULL
-       AND to_regclass('public.' || quote_ident(r.target)) IS NOT NULL THEN
-      CREATE SCHEMA IF NOT EXISTS legacy_pre_pools;
-      EXECUTE format('ALTER TABLE public.%I SET SCHEMA legacy_pre_pools', r.target);
-      RAISE NOTICE 'legacy_pre_pools: quarantined public.% (collides with the saas_core.% -> public.% move)',
-        r.target, r.source, r.target;
-    END IF;
-  END LOOP;
-END;
-$quarantine$;

package/migrations/0000b_straggler_sweep.sql

@@ -1,37 +0,0 @@
--- Move any saas_core table the converter does not know about into public,
--- so the converter's emptiness gate can pass and drop the schema safely.
--- Found live: salon carries saas_core.tenant_roles (RBAC iteration that only
--- ever existed there). Runs between 0000_legacy_quarantine and
--- 000_core_v1_convert ('0000b' < '000_' lexically). Idempotent: no-ops when
--- saas_core is gone or has no stragglers. A public-name collision aborts —
--- that case must be quarantined explicitly, never guessed.
-
-DO $sweep$
-DECLARE
-  r record;
-  known text[] := ARRAY[
-    'tenants', 'profiles', 'tenant_members', 'plans', 'permissions',
-    'role_permissions', 'tenant_role_overrides', 'invitations',
-    'payment_events', 'locations', 'location_members', 'audit_logs',
-    'subscriptions', 'invoices', 'notifications',
-    'persons', 'categories', 'products', 'services', 'orders', 'order_items',
-    'transactions', 'bookings', 'booking_items', 'schedules',
-    'sequences', 'documents'
-  ];
-BEGIN
-  IF NOT EXISTS (SELECT 1 FROM information_schema.schemata WHERE schema_name = 'saas_core') THEN
-    RETURN;
-  END IF;
-
-  FOR r IN
-    SELECT table_name FROM information_schema.tables
-    WHERE table_schema = 'saas_core' AND table_type = 'BASE TABLE'
-      AND table_name <> ALL (known)
-  LOOP
-    IF to_regclass('public.' || quote_ident(r.table_name)) IS NOT NULL THEN
-      RAISE EXCEPTION 'straggler saas_core.% collides with an existing public table — quarantine it explicitly', r.table_name;
-    END IF;
-    EXECUTE format('ALTER TABLE saas_core.%I SET SCHEMA public', r.table_name);
-    RAISE NOTICE 'straggler moved: saas_core.% -> public', r.table_name;
-  END LOOP;
-END $sweep$;