@flowdular/sdk 0.1.0

package/modules/users/translations/pl.json

@@ -0,0 +1,133 @@
+{
+	"module.name": "Zarządzanie użytkownikami",
+	"navigation.users": "Użytkownicy",
+	"navigation.usersDescription": "Konta i dostęp",
+	"navigation.roles": "Role",
+	"navigation.rolesDescription": "Uprawnienia i dostęp",
+	"page.eyebrow": "Administracja",
+	"page.title": "Użytkownicy",
+	"page.description": "Konta, role i zakresy uprawnień w aktywnej przestrzeni roboczej.",
+	"action.refresh": "Odśwież",
+	"action.newAccount": "Nowe konto",
+	"invite.action": "Zaproś członka",
+	"invite.title": "Zaproś członka",
+	"invite.subtitle": "Zaproszenie e-mail do tej przestrzeni roboczej",
+	"invite.email": "Adres e-mail",
+	"invite.emailHelp": "Link z zaproszenia działa jeden raz i wygasa po siedmiu dniach.",
+	"invite.footer": "Flowdular wysyła zaproszenie przez adapter poczty skonfigurowany we wdrożeniu.",
+	"invite.send": "Wyślij zaproszenie",
+	"invite.sending": "Wysyłanie…",
+	"invite.sent": "Zaproszenie wysłano na {email}.",
+	"invite.error": "Nie udało się wysłać zaproszenia.",
+	"action.manage": "Zarządzaj",
+	"action.cancel": "Anuluj",
+	"action.close": "Zamknij",
+	"action.creating": "Tworzenie…",
+	"action.createAccount": "Utwórz konto",
+	"action.saving": "Zapisywanie…",
+	"action.edit": "Edytuj",
+	"action.delete": "Usuń",
+	"denied.title": "Brak dostępu",
+	"denied.members": "Odczyt katalogu użytkowników wymaga uprawnienia users.members.read.",
+	"table.title": "Członkowie",
+	"table.caption": "Użytkownicy przestrzeni roboczej",
+	"table.count": "Właściciele: {owners} · konta: {accounts}",
+	"table.user": "Użytkownik",
+	"table.role": "Rola",
+	"table.status": "Status",
+	"table.scopes": "Zakresy",
+	"table.actions": "Akcje użytkownika",
+	"table.loading": "Wczytywanie kont…",
+	"table.emptyTitle": "Brak kont",
+	"table.emptyHint": "Utwórz pierwsze konto w tej przestrzeni roboczej.",
+	"table.emptyFilteredTitle": "Brak pasujących kont",
+	"table.emptyFilteredHint": "Żadne konto w tej przestrzeni nie pasuje do bieżącego filtra.",
+	"table.note": "Role określają dostęp kont. Właściciele zarządzają przestrzenią roboczą, a każda pozostała rola ma dokładnie podane zakresy.",
+	"search.placeholder": "Filtruj po nazwie lub adresie e-mail",
+	"search.label": "Filtruj członków",
+	"status.active": "Aktywne",
+	"status.disabled": "Wyłączone",
+	"status.passwordResetPending": "Oczekuje na zmianę hasła",
+	"drawer.newTitle": "Nowe konto",
+	"drawer.newSubtitle": "Bezpośredni dostęp do przestrzeni roboczej",
+	"drawer.member": "Członek",
+	"form.displayName": "Nazwa wyświetlana",
+	"form.email": "E-mail",
+	"form.initialPassword": "Hasło początkowe",
+	"form.initialPasswordHelp": "Co najmniej {min} znaków. Właściciel konta może później je zmienić.",
+	"form.role": "Rola",
+	"form.ownerOnly": "Tylko właściciel może utworzyć konto innego właściciela.",
+	"form.footer": "Konto otrzyma dostęp tylko do bieżącej przestrzeni roboczej.",
+	"member.ownerLocked": "Tylko właściciel może zmienić konto innego właściciela.",
+	"member.selfLocked": "Twoją rolę, zakresy i status może zmienić inny właściciel.",
+	"member.scopes": "Zakresy",
+	"member.scopesDescription": "Dokładne zakresy tego członkostwa. Przypisanie roli je zastąpi.",
+	"member.saveScopes": "Zapisz zakresy",
+	"member.identity": "Tożsamość",
+	"member.identityDescription": "Adres e-mail służy do logowania i nie można go tutaj zmienić.",
+	"member.saveName": "Zapisz nazwę",
+	"member.roleDescription": "Rola ustawia poniższe zakresy. Role niestandardowe są dostępne na ekranie Role.",
+	"member.assignRole": "Przypisz rolę",
+	"member.account": "Konto",
+	"member.accountDescription": "Wyłączenie natychmiast kończy wszystkie sesje i blokuje logowanie.",
+	"member.disable": "Wyłącz konto",
+	"member.enable": "Włącz konto",
+	"member.signOutEverywhere": "Wyloguj ze wszystkich urządzeń",
+	"member.temporaryPassword": "Hasło tymczasowe",
+	"member.temporaryPasswordHelp": "Co najmniej {min} znaków. Członek ustawi nowe hasło przy następnym logowaniu.",
+	"member.resetPassword": "Zresetuj hasło",
+	"member.removeTitle": "Usuń z przestrzeni roboczej",
+	"member.removeDescription": "Kończy członkostwo wraz z sesjami i tokenami. Konto pozostaje, jeśli należy do innej przestrzeni roboczej.",
+	"member.remove": "Usuń członka",
+	"notice.nameSaved": "Zapisano nazwę wyświetlaną.",
+	"notice.roleAssigned": "Przypisano rolę.",
+	"notice.scopesSaved": "Zapisano zakresy.",
+	"notice.accountDisabled": "Konto zostało wyłączone.",
+	"notice.accountEnabled": "Konto zostało włączone.",
+	"notice.passwordSet": "Ustawiono hasło tymczasowe. Członek musi zmienić je przy logowaniu.",
+	"notice.sessionsCount": "Zakończone sesje: {count}.",
+	"notice.sessionsEnded": "Sesje zostały zakończone.",
+	"remove.title": "Usunąć tego członka?",
+	"remove.fallbackName": "Ten członek",
+	"remove.description": "{name} natychmiast utraci dostęp do tej przestrzeni roboczej. Sesje i tokeny API tego członkostwa zostaną unieważnione.",
+	"roles.title": "Role",
+	"roles.description": "Role wbudowane i niestandardowe wraz z dokładnymi zakresami uprawnień.",
+	"roles.new": "Nowa rola",
+	"roles.edit": "Edytuj rolę",
+	"roles.drawerSubtitle": "Niestandardowa rola w przestrzeni roboczej",
+	"roles.denied": "Odczyt ról wymaga uprawnienia auth.roles.read.",
+	"roles.loading": "Wczytywanie ról…",
+	"roles.emptyTitle": "Brak ról",
+	"roles.emptyHint": "Role wbudowane pojawią się po zainicjowaniu przestrzeni roboczej.",
+	"roles.customTitle": "Role niestandardowe",
+	"roles.customCount": "Liczba zdefiniowanych: {count}",
+	"roles.note": "Rola przydziela podzbiór zakresów dostępnych w tej przestrzeni. Przypisanie roli zastępuje zakresy członka, a jej zmiana aktualizuje wszystkich członków z tą rolą. Nie można usunąć roli, która jest używana.",
+	"roles.scopeCount": "Liczba zakresów: {count}",
+	"roles.builtin": "Wbudowana",
+	"roles.deleteTitle": "Usunąć rolę {name}?",
+	"roles.delete": "Usuń rolę",
+	"roles.deleteDescription": "Rola zostanie usunięta z tej przestrzeni roboczej. Operacja nie powiedzie się, jeśli jakiś członek nadal ma tę rolę.",
+	"roles.errorLoad": "Nie udało się wczytać ról.",
+	"roles.errorSave": "Nie udało się zapisać roli.",
+	"roles.errorDelete": "Nie udało się usunąć roli.",
+	"roles.errorRequest": "Operacja na roli nie powiodła się.",
+	"roleForm.key": "Klucz",
+	"roleForm.keyHelp": "Stały identyfikator używany przez przypisania i API. Nie można go później zmienić.",
+	"roleForm.name": "Nazwa",
+	"roleForm.description": "Opis",
+	"roleForm.scopeCount": "Wybrane zakresy: {selected} z {total}. Członkowie z tą rolą otrzymają dokładnie te zakresy.",
+	"roleForm.editNote": "Zmiana zakresów zaktualizuje wszystkich członków z tą rolą.",
+	"roleForm.createNote": "Nie można ponownie utworzyć wbudowanych ról właściciela i członka.",
+	"roleForm.save": "Zapisz rolę",
+	"roleForm.create": "Utwórz rolę",
+	"error.load": "Nie udało się wczytać użytkowników.",
+	"error.save": "Nie udało się zapisać zmiany.",
+	"error.create": "Nie udało się utworzyć użytkownika.",
+	"error.remove": "Nie udało się usunąć członka.",
+	"error.request": "Operacja na użytkowniku nie powiodła się.",
+	"widget.label": "Zespół",
+	"widget.note": "Konta z dostępem do bieżącej przestrzeni roboczej.",
+	"widget.link": "Zarządzaj użytkownikami",
+	"setup.title": "Dodaj swój zespół",
+	"setup.description": "Konta, role i dostęp oparty na zakresach"
+}

package/modules/workflows/migrations/0001_workflows_core.down.sql

@@ -0,0 +1,19 @@
+DROP INDEX IF EXISTS workflow_audit_events_tenant_time_idx;
+DROP TABLE IF EXISTS workflow_audit_events;
+DROP INDEX IF EXISTS workflow_payloads_tenant_run_idx;
+DROP TABLE IF EXISTS workflow_payloads;
+DROP INDEX IF EXISTS workflow_run_events_tenant_run_idx;
+DROP TABLE IF EXISTS workflow_run_events;
+DROP INDEX IF EXISTS workflow_edge_transfers_tenant_run_idx;
+DROP TABLE IF EXISTS workflow_edge_transfers;
+DROP INDEX IF EXISTS workflow_node_attempts_tenant_run_idx;
+DROP TABLE IF EXISTS workflow_node_attempts;
+DROP INDEX IF EXISTS workflow_node_states_tenant_run_idx;
+DROP TABLE IF EXISTS workflow_node_states;
+DROP INDEX IF EXISTS workflow_runs_tenant_status_lease_idx;
+DROP INDEX IF EXISTS workflow_runs_tenant_queue_idx;
+DROP TABLE IF EXISTS workflow_runs;
+DROP INDEX IF EXISTS workflow_revisions_tenant_workflow_idx;
+DROP TABLE IF EXISTS workflow_revisions;
+DROP INDEX IF EXISTS workflow_definitions_tenant_name_idx;
+DROP TABLE IF EXISTS workflow_definitions;

package/modules/workflows/migrations/0001_workflows_core.up.sql

@@ -0,0 +1,228 @@
+CREATE TABLE IF NOT EXISTS workflow_definitions (
+  id TEXT PRIMARY KEY,
+  tenant_id TEXT NOT NULL,
+  workflow_key TEXT NOT NULL,
+  name TEXT NOT NULL,
+  description TEXT NOT NULL,
+  status TEXT NOT NULL CHECK (status IN ('active', 'archived')),
+  current_draft_revision BIGINT NOT NULL CHECK (current_draft_revision >= 1),
+  published_revision BIGINT,
+  created_at BIGINT NOT NULL,
+  updated_at BIGINT NOT NULL,
+  UNIQUE (tenant_id, workflow_key)
+);
+CREATE INDEX IF NOT EXISTS workflow_definitions_tenant_name_idx
+  ON workflow_definitions (tenant_id, name, id);
+ALTER TABLE workflow_definitions ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_definitions FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_definitions_tenant_policy ON workflow_definitions
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_revisions (
+  id TEXT PRIMARY KEY,
+  tenant_id TEXT NOT NULL,
+  workflow_id TEXT NOT NULL,
+  revision BIGINT NOT NULL CHECK (revision >= 1),
+  graph_schema_version INTEGER NOT NULL CHECK (graph_schema_version = 1),
+  graph_json TEXT NOT NULL,
+  graph_checksum TEXT NOT NULL,
+  compiler_version INTEGER NOT NULL CHECK (compiler_version = 1),
+  compiled_order_json TEXT NOT NULL,
+  published_at BIGINT,
+  published_actor_json TEXT,
+  created_at BIGINT NOT NULL,
+  UNIQUE (tenant_id, workflow_id, revision)
+);
+CREATE INDEX IF NOT EXISTS workflow_revisions_tenant_workflow_idx
+  ON workflow_revisions (tenant_id, workflow_id, revision, id);
+ALTER TABLE workflow_revisions ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_revisions FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_revisions_tenant_policy ON workflow_revisions
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_runs (
+  id TEXT PRIMARY KEY,
+  tenant_id TEXT NOT NULL,
+  workflow_id TEXT NOT NULL,
+  workflow_key TEXT NOT NULL,
+  workflow_name TEXT NOT NULL,
+  workflow_revision BIGINT,
+  graph_checksum TEXT NOT NULL,
+  compiler_version INTEGER NOT NULL CHECK (compiler_version = 1),
+  graph_json TEXT NOT NULL,
+  compiled_order_json TEXT NOT NULL,
+  mode TEXT NOT NULL CHECK (mode IN ('simulate', 'live')),
+  status TEXT NOT NULL CHECK (status IN ('queued', 'running', 'waiting-agent', 'waiting-retry', 'cancel-requested', 'succeeded', 'failed', 'refused', 'cancelled')),
+  actor_json TEXT NOT NULL,
+  origin_json TEXT NOT NULL,
+  permission_snapshot_json TEXT NOT NULL,
+  permission_digest TEXT NOT NULL,
+  input_hash TEXT NOT NULL,
+  input_payload_id TEXT NOT NULL,
+  input_evidence_json TEXT NOT NULL,
+  output_evidence_json TEXT,
+  idempotency_key TEXT,
+  limits_json TEXT NOT NULL,
+  lease_owner TEXT,
+  lease_expires_at BIGINT,
+  completed_nodes INTEGER NOT NULL DEFAULT 0,
+  total_nodes INTEGER NOT NULL,
+  usage_json TEXT NOT NULL,
+  cost_json TEXT NOT NULL,
+  failure_code TEXT,
+  queued_at BIGINT NOT NULL,
+  started_at BIGINT,
+  completed_at BIGINT,
+  cancellation_requested_at BIGINT,
+  UNIQUE (tenant_id, idempotency_key)
+);
+CREATE INDEX IF NOT EXISTS workflow_runs_tenant_queue_idx
+  ON workflow_runs (tenant_id, queued_at DESC, id DESC);
+CREATE INDEX IF NOT EXISTS workflow_runs_tenant_status_lease_idx
+  ON workflow_runs (tenant_id, status, lease_expires_at, id);
+ALTER TABLE workflow_runs ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_runs FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_runs_tenant_policy ON workflow_runs
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_node_states (
+  tenant_id TEXT NOT NULL,
+  run_id TEXT NOT NULL,
+  node_id TEXT NOT NULL,
+  status TEXT NOT NULL CHECK (status IN ('pending', 'ready', 'running', 'waiting-child', 'waiting-retry', 'succeeded', 'failed', 'refused', 'skipped', 'cancelled')),
+  latest_attempt INTEGER NOT NULL DEFAULT 0,
+  selected_outcome_port TEXT,
+  next_attempt_at BIGINT,
+  ready_at BIGINT,
+  started_at BIGINT,
+  settled_at BIGINT,
+  PRIMARY KEY (tenant_id, run_id, node_id)
+);
+CREATE INDEX IF NOT EXISTS workflow_node_states_tenant_run_idx
+  ON workflow_node_states (tenant_id, run_id, node_id);
+ALTER TABLE workflow_node_states ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_node_states FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_node_states_tenant_policy ON workflow_node_states
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_node_attempts (
+  tenant_id TEXT NOT NULL,
+  run_id TEXT NOT NULL,
+  node_id TEXT NOT NULL,
+  attempt INTEGER NOT NULL CHECK (attempt >= 1),
+  node_type TEXT NOT NULL,
+  status TEXT NOT NULL CHECK (status IN ('running', 'waiting-child', 'succeeded', 'failed', 'refused', 'cancelled')),
+  outcome_port TEXT,
+  semantic_group TEXT NOT NULL,
+  side_effect_idempotency_key TEXT NOT NULL,
+  input_payload_id TEXT,
+  output_payload_id TEXT,
+  input_evidence_json TEXT NOT NULL,
+  output_evidence_json TEXT NOT NULL,
+  child_kind TEXT CHECK (child_kind IN ('agent', 'action')),
+  child_id TEXT,
+  child_observation_deadline_at BIGINT,
+  failure_code TEXT,
+  retry_classification TEXT CHECK (retry_classification IN ('retryable', 'permanent')),
+  selected_backoff_ms BIGINT,
+  next_attempt_at BIGINT,
+  started_at BIGINT NOT NULL,
+  completed_at BIGINT,
+  duration_ms BIGINT,
+  PRIMARY KEY (tenant_id, run_id, node_id, attempt)
+);
+CREATE INDEX IF NOT EXISTS workflow_node_attempts_tenant_run_idx
+  ON workflow_node_attempts (tenant_id, run_id, node_id, attempt);
+ALTER TABLE workflow_node_attempts ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_node_attempts FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_node_attempts_tenant_policy ON workflow_node_attempts
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_edge_transfers (
+  tenant_id TEXT NOT NULL,
+  run_id TEXT NOT NULL,
+  edge_id TEXT NOT NULL,
+  source_node_id TEXT NOT NULL,
+  source_port TEXT NOT NULL,
+  source_attempt INTEGER,
+  target_node_id TEXT NOT NULL,
+  target_port TEXT NOT NULL,
+  state TEXT NOT NULL CHECK (state IN ('emitted', 'closed', 'skipped')),
+  reason TEXT,
+  schema_id TEXT NOT NULL,
+  payload_id TEXT,
+  evidence_json TEXT NOT NULL,
+  settled_at BIGINT NOT NULL,
+  PRIMARY KEY (tenant_id, run_id, edge_id)
+);
+CREATE INDEX IF NOT EXISTS workflow_edge_transfers_tenant_run_idx
+  ON workflow_edge_transfers (tenant_id, run_id, edge_id);
+ALTER TABLE workflow_edge_transfers ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_edge_transfers FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_edge_transfers_tenant_policy ON workflow_edge_transfers
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_run_events (
+  event_id TEXT PRIMARY KEY,
+  schema_version INTEGER NOT NULL CHECK (schema_version = 1),
+  tenant_id TEXT NOT NULL,
+  run_id TEXT NOT NULL,
+  sequence BIGINT NOT NULL CHECK (sequence >= 1),
+  event_type TEXT NOT NULL,
+  payload_json TEXT NOT NULL,
+  recorded_at BIGINT NOT NULL,
+  virtual_offset_ms BIGINT,
+  UNIQUE (tenant_id, run_id, sequence)
+);
+CREATE INDEX IF NOT EXISTS workflow_run_events_tenant_run_idx
+  ON workflow_run_events (tenant_id, run_id, sequence, event_id);
+ALTER TABLE workflow_run_events ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_run_events FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_run_events_tenant_policy ON workflow_run_events
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_payloads (
+  id TEXT PRIMARY KEY,
+  tenant_id TEXT NOT NULL,
+  run_id TEXT NOT NULL,
+  kind TEXT NOT NULL CHECK (kind IN ('execution', 'evidence')),
+  schema_id TEXT NOT NULL,
+  payload_hash TEXT NOT NULL,
+  original_byte_size BIGINT NOT NULL CHECK (original_byte_size >= 0),
+  ciphertext TEXT,
+  encryption_key_id TEXT,
+  evidence_state TEXT CHECK (evidence_state IN ('available', 'redacted', 'truncated', 'expired', 'absent')),
+  preview_json TEXT,
+  redaction_reason TEXT,
+  expires_at BIGINT,
+  created_at BIGINT NOT NULL,
+  CHECK ((kind = 'execution' AND ciphertext IS NOT NULL AND preview_json IS NULL) OR (kind = 'evidence' AND ciphertext IS NULL))
+);
+CREATE INDEX IF NOT EXISTS workflow_payloads_tenant_run_idx
+  ON workflow_payloads (tenant_id, run_id, id);
+ALTER TABLE workflow_payloads ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_payloads FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_payloads_tenant_policy ON workflow_payloads
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));
+CREATE TABLE IF NOT EXISTS workflow_audit_events (
+  tenant_id TEXT NOT NULL,
+  sequence BIGINT NOT NULL CHECK (sequence >= 1),
+  actor_json TEXT NOT NULL,
+  origin_json TEXT NOT NULL,
+  action TEXT NOT NULL,
+  subject_type TEXT NOT NULL CHECK (subject_type IN ('workflow', 'workflow-run', 'workflow-node')),
+  subject_id TEXT NOT NULL,
+  metadata_json TEXT NOT NULL,
+  occurred_at BIGINT NOT NULL,
+  previous_hash TEXT,
+  event_hash TEXT NOT NULL,
+  PRIMARY KEY (tenant_id, sequence)
+);
+CREATE INDEX IF NOT EXISTS workflow_audit_events_tenant_time_idx
+  ON workflow_audit_events (tenant_id, occurred_at DESC, sequence DESC);
+ALTER TABLE workflow_audit_events ENABLE ROW LEVEL SECURITY;
+ALTER TABLE workflow_audit_events FORCE ROW LEVEL SECURITY;
+CREATE POLICY workflow_audit_events_tenant_policy ON workflow_audit_events
+  USING (tenant_id = current_setting('coreloom.tenant_id', true))
+  WITH CHECK (tenant_id = current_setting('coreloom.tenant_id', true));

package/modules/workflows/migrations/0002_workflows_authorization_subject.down.sql

@@ -0,0 +1 @@
+ALTER TABLE workflow_runs DROP COLUMN authorization_subject_json;

package/modules/workflows/migrations/0002_workflows_authorization_subject.up.sql

@@ -0,0 +1,9 @@
+ALTER TABLE workflow_runs
+  ADD COLUMN authorization_subject_json TEXT;
+UPDATE workflow_runs
+SET authorization_subject_json = CASE actor_json::jsonb ->> 'kind'
+  WHEN 'user' THEN actor_json
+  WHEN 'service' THEN actor_json::jsonb -> 'configuredBy' #>> '{}'
+  ELSE NULL
+END
+WHERE authorization_subject_json IS NULL;

package/modules/workflows/migrations/0003_workflows_worker_role.up.sql

@@ -0,0 +1,34 @@
+CREATE INDEX IF NOT EXISTS workflow_runs_claim_idx
+  ON workflow_runs (mode, status, lease_expires_at, queued_at, id);
+CREATE INDEX IF NOT EXISTS workflow_payloads_retention_idx
+  ON workflow_payloads (kind, expires_at, id);
+-- The worker has to find due work before it knows whose it is, and retention
+-- sweeps every tenant. Both are granted exactly the columns that route the
+-- work and nothing else: graphs, inputs, actors, permission snapshots and
+-- payload ciphertext stay unreadable on this connection. Whatever acts on a
+-- row reads it again under the tenant that row named.
+DO $$
+BEGIN
+  IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'coreloom_background') THEN
+    RAISE EXCEPTION 'The coreloom_background role must exist before this migration.';
+  END IF;
+END
+$$;
+CREATE POLICY workflow_runs_background_policy ON workflow_runs
+  FOR SELECT TO coreloom_background
+  USING (true);
+REVOKE SELECT ON workflow_runs FROM coreloom_background;
+GRANT SELECT (tenant_id, id, mode, status, lease_expires_at, queued_at)
+  ON workflow_runs TO coreloom_background;
+CREATE POLICY workflow_node_states_background_policy ON workflow_node_states
+  FOR SELECT TO coreloom_background
+  USING (status = 'waiting-retry');
+REVOKE SELECT ON workflow_node_states FROM coreloom_background;
+GRANT SELECT (tenant_id, run_id, status, next_attempt_at)
+  ON workflow_node_states TO coreloom_background;
+CREATE POLICY workflow_payloads_background_policy ON workflow_payloads
+  FOR SELECT TO coreloom_background
+  USING (kind = 'execution' AND expires_at IS NOT NULL);
+REVOKE SELECT ON workflow_payloads FROM coreloom_background;
+GRANT SELECT (tenant_id, id, run_id, kind, payload_hash, expires_at)
+  ON workflow_payloads TO coreloom_background;

package/modules/workflows/migrations/README.md

@@ -0,0 +1,7 @@
+# Migrations
+
+Migrations in this directory are append-only after release.
+
+`0002` stores the durable delegated user separately from the workflow audit
+actor. Legacy user and service runs are backfilled, while legacy agent runs
+without trustworthy delegation remain unset and therefore fail closed.

package/modules/workflows/module.json

@@ -0,0 +1,31 @@
+{
+	"$schema": "../../packages/contracts/schemas/module.schema.json",
+	"schemaVersion": 1,
+	"id": "workflows.core",
+	"package": "@flowdular/module-workflows",
+	"version": "0.3.0",
+	"profile": "full",
+	"capabilities": ["api", "database", "client", "translations", "integration"],
+	"platform": {
+		"server": true,
+		"client": true
+	},
+	"dependencies": [
+		{
+			"id": "system.core",
+			"range": "0.5.0"
+		},
+		{
+			"id": "auth.core",
+			"range": "0.10.0"
+		},
+		{
+			"id": "agents.core",
+			"range": "0.9.1"
+		}
+	],
+	"tenancy": "required",
+	"locales": ["en", "pl"],
+	"stability": "experimental",
+	"platformApi": "0.1.0"
+}

package/modules/workflows/package.json

@@ -0,0 +1,55 @@
+{
+	"name": "@flowdular/module-workflows",
+	"version": "0.3.0",
+	"type": "module",
+	"exports": {
+		".": "./src/index.ts",
+		"./client": "./src/client/index.ts",
+		"./server": "./src/server/index.ts",
+		"./platform": "./src/platform.ts",
+		"./module.json": "./module.json"
+	},
+	"scripts": {
+		"typecheck": "tsrx-tsc --noEmit -p tsconfig.json",
+		"test": "vitest run"
+	},
+	"dependencies": {
+		"@flowdular/client": "workspace:*",
+		"@flowdular/contracts": "workspace:*",
+		"@flowdular/database": "workspace:*",
+		"@flowdular/kernel": "workspace:*",
+		"@flowdular/module-agents": "workspace:*",
+		"@flowdular/module-auth": "workspace:*",
+		"@flowdular/server": "workspace:*",
+		"@flowdular/ui": "workspace:*",
+		"octane": "0.1.51",
+		"segment-state": "0.2.0"
+	},
+	"devDependencies": {
+		"@flowdular/database-testing": "workspace:*",
+		"@tsrx/typescript-plugin": "0.3.120",
+		"@types/node": "24.13.3",
+		"typescript": "5.9.3",
+		"vitest": "4.1.10"
+	},
+	"license": "MIT",
+	"repository": {
+		"type": "git",
+		"url": "git+https://github.com/Flowdular/flowdular.git",
+		"directory": "modules/workflows"
+	},
+	"files": [
+		"src",
+		"schemas",
+		"dist",
+		"bin",
+		"public",
+		"module.json",
+		"migrations",
+		"translations",
+		"spec",
+		"README.md",
+		"LICENSE"
+	],
+	"private": true
+}