@kollors/deep-json-server 1.0.0-rc.6 → 1.0.0-rc.8

package/README.ru.md

@@ -2,11 +2,11 @@
 
 [English](README.md)
 
-[История выпусков](CHANGELOG.md) · [Переход с 0.9.0](MIGRATION.md)
+[История выпусков](CHANGELOG.md) · [Переход с 0.9.0](MIGRATION.ru.md)
 
 JSON-сервер для создания тестового API с REST, GraphQL, связями между записями, загрузкой файлов и экспортом схем. Поддерживает вход пользователей, права владельца и администратора, даты записей и мягкое удаление. Требуется Node.js 22 или новее.
 
-**Изменения в 1.0.0, нарушающие совместимость.** При переходе с 0.9.0 воспользуйтесь [инструкцией по миграции](MIGRATION.md). `*` в REST `scope` выбирает только скалярные поля, которые не хранят ключи связей. Массивы, объекты, связи и явно объявленные ключи связей нужно указывать в выборе полей. При включённой аутентификации права на запись доступны через виртуальное поле `actions`.
+**Изменения в 1.0.0, нарушающие совместимость.** При переходе с 0.9.0 воспользуйтесь [инструкцией по миграции](MIGRATION.ru.md). `*` в REST `scope` выбирает только скалярные поля, которые не хранят ключи связей. Массивы, объекты, связи и явно объявленные ключи связей нужно указывать в выборе полей. При включённой аутентификации права на запись доступны через виртуальное поле `actions`.
 
 ## Установка
 
@@ -14,7 +14,7 @@ JSON-сервер для создания тестового API с REST, GraphQ
 npm install @kollors/deep-json-server@rc
 ```
 
-Для установки этого релиз-кандидата укажите `@1.0.0-rc.6`.
+Для установки этого релиз-кандидата укажите `@1.0.0-rc.8`.
 
 ## Быстрый старт
 
@@ -177,7 +177,20 @@ export default {
 }
 ```
 
-Модели задаются в `models`. Корень схемы принимает `models`, `api`, `timestamps` и `softDelete`. Корневой `api` выбирает маршруты базы. Если его нет, по умолчанию включён REST и дополнительно GraphQL при наличии секции `graphql` в конфигурации сервера. У модели настройки дат и мягкого удаления могут переопределять общие значения. Необязательный массив `api` у модели может сузить доступ до `['rest']`, `['graphql']`, обоих вариантов или `[]`, чтобы скрыть модель полностью. Модель не может включить API, отсутствующий в корневом `api`. OpenAPI включает модели, доступные через REST. Для генерации GraphQL нужна хотя бы одна GraphQL-модель; для генерации OpenAPI с маршрутами базы — хотя бы одна REST-модель. Если база доступна только через GraphQL, OpenAPI всё равно может описывать настроенные маршруты auth и файлов. Связанные модели должны разрешать тот же API. Имена моделей должны быть допустимыми идентификаторами; конфликты типов и операций вызывают ошибку. Имена `and`, `or`, `not` зарезервированы фильтрами.
+Модели задаются в `models`. Корень схемы принимает `models`, `api`, `timestamps` и `softDelete`. Корневой `api` выбирает маршруты базы. Если он не задан, значение по умолчанию зависит от способа использования схемы:
+
+| Контекст | Корневой `api` по умолчанию |
+|---|---|
+| Сервер без секции `graphql` | `['rest']` |
+| Сервер с секцией `graphql` | `['rest', 'graphql']` |
+| Отдельный вызов `generateOpenapi()` | `['rest']` |
+| Отдельный вызов `generateGraphql()` | `['graphql']` |
+
+Явный `['rest']` включает REST-маршруты базы; `['graphql']` — операции GraphQL; `['rest', 'graphql']` — оба API. OpenAPI описывает REST-маршруты при наличии секции `openapi`. Корневой `api: []` недопустим; `[]` разрешён только на уровне модели.
+
+Модель без собственного `api` наследует значение из корня. Указанный у модели массив может содержать `['rest']`, `['graphql']`, оба варианта или `[]`. Модель не может включить API, отсутствующий в корневом `api`. OpenAPI включает модели, доступные через REST. Для генерации GraphQL нужна хотя бы одна GraphQL-модель; для генерации OpenAPI с маршрутами базы — хотя бы одна REST-модель. Если база доступна только через GraphQL, OpenAPI всё равно может описывать настроенные маршруты auth и файлов. Связанные модели должны разрешать тот же API. Имена моделей должны быть допустимыми идентификаторами; конфликты типов и операций вызывают ошибку. Имена `and`, `or`, `not` зарезервированы фильтрами.
+
+Таким образом, явный корневой `"api": ["rest", "graphql"]` включает оба API у моделей, наследующих настройку из корня. Порядок элементов массива не важен.
 
 Например, при корневом `api: ['rest', 'graphql']` модель с `api: ['rest']` получает REST-маршруты и пути в OpenAPI без операций GraphQL, а модель с `api: ['graphql']` — операции GraphQL без REST-маршрутов и путей в OpenAPI.
 
@@ -219,7 +232,7 @@ REST без схемы создаёт ключ `id` и сохраняет про
 
 Каждое значение `enum` должно соответствовать типу поля и его ограничениям. Чтобы разрешить `null` для поля, укажите `nullable: true`; добавлять `null` в `enum` не нужно. Некорректные значения отклоняются при загрузке схемы.
 
-У модели ровно один первичный ключ типа `string` или `number`, объявленный на верхнем уровне. Имя произвольное: `id`, `username`, `code`. Если `generated` не задан, значение передаёт клиент при создании. Генерируемые поля объявляются на верхнем уровне, исключаются из входных типов и несовместимы с `default`. При замене записи сохраняются генерируемые значения и поля `readOnly`, включая вложенные объекты. Для защиты полей внутри массива задайте `readOnly` всему массиву или содержащему его объекту. Объекты, состоящие из серверных полей, доступны только в ответах.
+У модели ровно один первичный ключ типа `string` или `number`, объявленный на верхнем уровне. Имя произвольное: `id`, `username`, `code`. Если `generated` не задан, значение передаёт клиент при создании. Генерируемые поля объявляются на верхнем уровне, исключаются из входных типов и несовместимы с `default`. При замене записи сохраняются генерируемые значения и поля `readOnly`, включая вложенные объекты. Обнуление nullable-родителя отклоняется, если оно удалит сохранённые поля `readOnly` внутри него. Для защиты полей внутри массива задайте `readOnly` всему массиву или содержащему его объекту. Объекты, состоящие из серверных полей, доступны только в ответах.
 
 Например, `LocalUser` с первичным ключом `username` и полем `password: {"type":"string","required":true,"writeOnly":true}` получает запрос `localUser(username: ...)` и маршрут `/localUsers/{username}`. Поле `writeOnly` доступно для записи и исключено из ответов, `scope`, фильтров и сортировки.
 
@@ -244,7 +257,9 @@ REST без схемы создаёт ключ `id` и сохраняет про
 
 `source` всегда указывает на поле текущей модели, а `target` — на поле модели из `type`. Для обратной связи пути меняются местами: у `Country.users` это `source: "id"` и `target: "countryId"`. Если ключ хранится под нестандартным именем, задайте путь явно. Когда между двумя моделями несколько связей, уточните обратные поля: например, `Country.birthUsers = {"type":"User[]","keyOn":"related","target":"birthCountryId"}` и `Country.residenceUsers = {"type":"User[]","keyOn":"related","target":"residenceCountryId"}`. Отсутствующая, противоречивая или неоднозначная пара вызывает ошибку при загрузке схемы.
 
-Ключи связей остаются в базе, даже если их нет в `fields`. Если поле `source` ссылается на первичный ключ целевой модели, его можно не объявлять отдельно: сервер выведет массив ключей для множественной связи или одно значение для одиночной. Такой ключ остаётся внутренним: REST и GraphQL не позволяют читать, выбирать, фильтровать, сортировать или записывать его напрямую, а OpenAPI его не описывает. Сама связь при этом доступна. Чтобы открыть ключ в API, объявите его в `fields`, например `"countryId": { "type": "string" }`. Неоднозначное сопоставление тоже требует явного объявления.
+Ключи связей остаются в базе, даже если их нет в `fields`. На стороне `current` поле `source` можно не объявлять отдельно, если известен тип целевого ключа: сервер выведет массив для множественной связи или одно значение для одиночной. Это действует и для первичного, и для непервичного целевого поля. Такой ключ остаётся внутренним: REST и GraphQL не позволяют читать, выбирать, фильтровать, сортировать или записывать его напрямую, а OpenAPI его не описывает. Сама связь при этом доступна. Чтобы открыть ключ в API, объявите его в `fields`, например `"countryId": { "type": "string" }`. Неоднозначное сопоставление тоже требует явного объявления.
+
+Например, `publishers: { "type": "Publisher[]", "keyOn": "current", "target": "code" }` выводит `publisherCodes: { "type": "string[]" }`, если `Publisher.code` — строка, даже при первичном ключе `Publisher.id`. Типы явно объявленных хранимых ключей сохраняются.
 
 Обратная связь: `User.movies = {"type":"Movie[]","keyOn":"related","target":"actors.userId"}` соответствует `Movie.actors.user = {"type":"User","keyOn":"current","source":"actors.userId"}`. Фильм возвращается один раз, даже если совпало несколько актёров. Несколько совпадений для одиночной связи — ошибка.
 
@@ -266,37 +281,31 @@ REST без схемы создаёт ключ `id` и сохраняет про
   "countries": [
     {
       "id": "1",
-      "isArchived": false,
       "name": "Ardenia"
     },
     {
       "id": "2",
-      "isArchived": false,
       "name": "Veloria"
     }
   ],
   "genres": [
     {
       "id": "1",
-      "isArchived": false,
       "name": "Crime",
       "parentIds": []
     },
     {
       "id": "2",
-      "isArchived": false,
       "name": "Gangster",
       "parentIds": ["1"]
     },
     {
       "id": "3",
-      "isArchived": false,
       "name": "Drama",
       "parentIds": []
     },
     {
       "id": "4",
-      "isArchived": false,
       "name": "Comedy",
       "parentIds": []
     }
@@ -318,7 +327,6 @@ REST без схемы создаёт ключ `id` и сохраняет про
       "coverSrc": "https://example.com/covers/shadows-of-ardenia.jpg",
       "description": "An heiress in a port city uncovers a plot involving two rival families.",
       "id": "1",
-      "isArchived": false,
       "publisherIds": ["2"],
       "title": "Shadows of Ardenia"
     },
@@ -327,7 +335,6 @@ REST без схемы создаёт ключ `id` и сохраняет про
       "coverSrc": "https://example.com/covers/northern-star.jpg",
       "description": "A night clerk at an old hotel gets drawn into the search for a missing painting.",
       "id": "2",
-      "isArchived": false,
       "publisherIds": ["1"],
       "title": "Midnight at the Northern Star"
     }
@@ -335,12 +342,10 @@ REST без схемы создаёт ключ `id` и сохраняет про
   "publishers": [
     {
       "id": "1",
-      "isArchived": false,
       "name": "Northlight Studio"
     },
     {
       "id": "2",
-      "isArchived": false,
       "name": "Aurora Pictures"
     }
   ],
@@ -349,15 +354,13 @@ REST без схемы создаёт ключ `id` и сохраняет про
       "bornAt": "1988-03-14",
       "countryId": "1",
       "fullName": "Mira Volkova",
-      "id": "1",
-      "isArchived": false
+      "id": "1"
     },
     {
       "bornAt": "1991-11-02",
       "countryId": "2",
       "fullName": "Leon Vetrov",
-      "id": "2",
-      "isArchived": false
+      "id": "2"
     }
   ]
 }
@@ -471,6 +474,8 @@ const response = await fetch(`/users?${params}`);
 
 Аргументы доступны только у списков. Вместо них список может использовать `{ "union": [scope, ...] }`: каждая часть — обычный scope списка, части выполняются в порядке массива, а для каждого первичного ключа остаётся первая запись. Во вложенных массивах объектов без первичных ключей каждый исходный элемент включается один раз, даже если его выбрали несколько частей. Разные элементы с одинаковым содержимым сохраняются отдельно. В запросе отдельной записи и в ответе мутации аргументы можно задать для вложенных списков. Параметры проверяются даже на пустых данных; ошибка в выборе ответа отменяет изменения записи. Некорректный `scope` возвращает `400`. Максимальная длина JSON — 10 000 символов, глубина выбора — 32 уровня.
 
+REST и GraphQL также ограничивают общий объём работы каждого запроса: до 1 000 узлов выбора, 10 000 развёрнутых записей, 100 000 учитываемых шагов выполнения и консервативной оценки размера JSON в 8 МиБ. Вложенные списки, части `union` и GraphQL aliases расходуют общий бюджет. При превышении сервер возвращает REST `400` или GraphQL `INVALID_QUERY`; уменьшите выборку полей, вложенность или размер страниц. Мутация REST откатывается, если построение её ответа превышает бюджет.
+
 ### Вложенная запись
 
 Явно объявленные поля ключей, например `genreIds: ["1"]`, только задают связь. В поля связей можно передавать записи для создания или обновления:
@@ -495,20 +500,20 @@ Content-Type: application/json
 
 | Значение в связи | Действие |
 |---|---|
-| Объект только с первичным ключом | Связать существующую запись без её изменения |
+| Объект только с первичным ключом | Связать существующую запись без обновления её полей, дат и авторства |
 | Объект с первичным ключом и другими полями | PATCH обновляет переданные поля, PUT заменяет связанную запись |
 | Объект без первичного ключа | Создать запись со значениями по умолчанию и сгенерированным ключом |
 
-Имя и тип ключа берутся из целевой модели. Объект только с ключом тоже считается обновлением: в PUT он должен содержать обязательные поля модели. При замене сохраняются первичный ключ, генерируемые значения и поля `readOnly`. В POST вложенные объекты с существующими ключами обновляются частично. Если запись по ключу не найдена, операция завершится ошибкой. Для создания вложенной записи без ключа нужна его автоматическая генерация.
+Имя и тип ключа берутся из целевой модели. Объект только с этим ключом считается ссылкой в POST, PUT и PATCH; остальные обязательные поля целевой модели ему не нужны. Если добавить другие поля, это уже обновление: PUT требует все обязательные поля, удаляет пропущенные необязательные или задаёт им значения по умолчанию; POST/PATCH обновляют переданные поля. При замене сохраняются первичный ключ, генерируемые значения и поля `readOnly`. Если запись по ключу не найдена, операция завершится ошибкой. Для создания вложенной записи без ключа нужна его автоматическая генерация. Объявленные хранимые ключи, например `countryId`, тоже позволяют менять ссылки напрямую.
 
-Переданный список заменяет состав связи. PATCH сохраняет пропущенные связи, PUT очищает пропущенные связи, ключи которых доступны для записи. `[]` очищает список, `null` — одиночную связь с разрешённым `nullable`. Разрыв связи не удаляет связанную запись. Обязательная одиночная связь должна сохраняться; обязательная связь-список может быть пустой.
+Переданный список заменяет состав связи. PATCH сохраняет пропущенные связи. PUT заменяет доступные для записи поля текущей записи, включая её собственные ключи связей, но сохраняет пропущенные связи `keyOn: "related"`, чьи ключи хранятся в других записях. `[]` очищает список, `null` — одиночную связь с разрешённым `nullable`. Разрыв связи не удаляет связанную запись. Обязательная одиночная связь должна сохраняться; обязательная связь-список может быть пустой.
 
 Если хранимый ключ объявлен в `fields`, в одном объекте указывайте либо связь, либо её ключ: например, `genres` или `genreIds`. Одновременная передача обоих полей возвращает `400 INVALID_INPUT`, даже если наборы ключей совпадают:
 
 ```json
 {
   "genreIds": ["1", "2"],
-  "genres": ["1", "2"]
+  "genres": [{ "id": "1" }, { "id": "2" }]
 }
 ```
 
@@ -516,7 +521,7 @@ Content-Type: application/json
 
 Все вложенные изменения входят в транзакцию основной записи. Ошибка проверки, отсутствующая запись или неверный выбор полей ответа отменяет всю операцию. Изменения общей записи видны всем, кто с ней связан.
 
-GraphQL принимает в полях связей типизированные объекты. Чтобы при замене изменить только связи, используйте объявленные поля ключей, например `genreIds`. Пример:
+GraphQL принимает в полях связей типизированные объекты. Чтобы изменить только ссылки, в том числе при замене, передайте объекты только с первичными ключами либо объявленные поля ключей, например `genreIds`. Обязательные поля вложенного создания или замены с дополнительными полями проверяются при выполнении. Пример:
 
 ```graphql
 mutation {
@@ -568,9 +573,13 @@ query {
 
 Запрос `user(id: ...)` возвращает одну запись или `null`, если она отсутствует. Мутации: `userCreate(data: ...)`, `userReplace(id: ..., data: ...)`, `userUpdate(id: ..., data: ...)`, `userDelete(id: ...)`. Для модели, состоящей из генерируемых полей, мутация создания вызывается без аргумента `data`. Правила записи и валидации совпадают с REST. Связи, выбранные в результате мутации, определяют содержимое ответа.
 
+Если первичный ключ называется `data`, мутации Update/Replace принимают его значение в аргументе `key`, а объект изменений — в `data`, например `entryUpdate(key: "one", data: { name: "Updated" })`. В Find/Delete аргумент ключа по-прежнему называется `data`.
+
 Строковый первичный ключ представлен типом GraphQL `ID`, обычные строки — `String`, числа — `Float`, параметры пагинации — `Int`. Enum сохраняет допустимые строковые имена; остальные значения получают имена `VALUE_0`, `VALUE_1` и т. д. Длины строк, форматы и другие ограничения модели проверяются сервером при выполнении запроса. Для просмотра схемы доступна интроспекция. Параметры выбранных списков проверяются до выполнения мутаций.
 
-Ошибки содержат `extensions.code`: `INVALID_INPUT`, `INVALID_QUERY`, `NOT_FOUND`, `CONFLICT`, `UNAUTHENTICATED`, `FORBIDDEN` или `INTERNAL_ERROR`. Ошибки синтаксиса и типов GraphQL возвращаются в стандартном массиве `errors`. Максимальная глубина запроса — 32 уровня.
+Ошибки содержат `extensions.code`: `INVALID_INPUT`, `INVALID_QUERY`, `NOT_FOUND`, `CONFLICT`, `UNAUTHENTICATED`, `FORBIDDEN` или `INTERNAL_ERROR`. Ошибки синтаксиса и типов GraphQL возвращаются в стандартном массиве `errors`. Максимальная глубина запроса — 32 уровня. Ограничения общего объёма работы, описанные для REST, действуют и в GraphQL. Лимит узлов выбора и аргументы списков проверяются до выполнения мутаций. Ошибки при построении результата мутации, включая превышение бюджета во время выполнения, не отменяют уже сохранённую мутацию; перед повтором запроса проверьте состояние записи.
+
+Операция GraphQL с несколькими полями мутаций не является одной транзакцией: поля выполняются по порядку, а ранее сохранённые изменения остаются при ошибке последующего результата. Превышение бюджета во время выполнения возвращает `data: null` и останавливает следующие поля мутаций, но `data: null` не означает откат записей. Прочитайте сохранённое состояние менее объёмным запросом. Автоматический повтор создания с генерируемым ключом может создать вторую запись.
 
 ## OpenAPI и экспорт схем
 
@@ -612,7 +621,7 @@ if (!password) throw new Error('Set DJS_PASSWORD');
 await writeFile(
   './auth.json',
   JSON.stringify(
-    [{ id: '1', username: 'admin', passwordHash: await hashPassword(password), isAdmin: true }],
+    [{ id: '1', username: 'admin', passwordHash: await hashPassword(password), isAdmin: true, sessions: [] }],
     null,
     2,
   ),
@@ -630,7 +639,7 @@ export default {
 };
 ```
 
-Запустите `npx deep-json-server server.config.js`. Каждой исходной учётной записи нужны уникальный строковый `id`, уникальный `username` и `passwordHash`, созданный функцией выше. `isAdmin` по умолчанию равен `false`. Пароли хешируются через scrypt со случайной солью.
+Запустите `npx deep-json-server server.config.js`. Каждой исходной учётной записи нужны уникальный строковый `id`, уникальный `username` и `passwordHash`, созданный функцией выше. `isAdmin` по умолчанию равен `false`, а `sessions` — `[]`, поэтому существующие файлы пользователей остаются допустимыми. Пароли хешируются через scrypt со случайной солью.
 
 При `storage: 'memory'` передайте массив в `auth.source`:
 
@@ -645,13 +654,19 @@ export default {
   database: { source: { items: [] } },
   auth: {
     source: [
-      { id: '1', username: 'admin', passwordHash: await hashPassword(password), isAdmin: true },
+      { id: '1', username: 'admin', passwordHash: await hashPassword(password), isAdmin: true, sessions: [] },
     ],
   },
 };
 ```
 
-Учётные записи auth хранятся отдельно от базы. В файловом режиме изменения сохраняются в `auth.source`; в режиме памяти они исчезают после перезапуска. Переданный массив пользователей не изменяется. После ручного изменения файла перезапустите сервер.
+Учётные записи auth и их сессии хранятся вместе в `auth.source`, отдельно от базы. Каждый элемент массива `sessions` пользователя содержит `{ tokenHash, expiresAt }`: `tokenHash` — SHA-256 хеш токена в виде 64 шестнадцатеричных символов нижнего регистра, а `expiresAt` — абсолютное время истечения сессии в миллисекундах Unix. Исходные токены не сохраняются, а ответы auth не раскрывают ни хеши паролей, ни записи сессий. Хеши токенов должны быть уникальны среди всех пользователей.
+
+При `storage: 'file'` вход, выход и изменения пользователей сохраняются в один JSON-файл до успешного ответа. Действующие сессии переживают перезапуск сервера: клиент может продолжать использовать прежний токен. Новый пароль и удаление всех сессий пользователя сохраняются вместе. При ошибке записи прежние пользователи и сессии сохраняются без изменений. После ручного редактирования файла перезапустите сервер; если меняете хеш пароля вручную, также очистите `sessions` этого пользователя.
+
+При `storage: 'memory'` переданный массив пользователей не изменяется. Каждый запуск заново загружает исходных пользователей и сессии. Сессии, созданные во время работы, после перезапуска исчезают; заданные в исходных данных неистёкшие сессии восстанавливаются, включая завершённые через logout во время предыдущего запуска. Клиенту по-прежнему нужен соответствующий исходный токен: восстановить его из `tokenHash` нельзя.
+
+`auth.expiresIn` задаёт срок новых сессий и по умолчанию равен 3600 секундам. У существующих сессий сохраняется записанное время истечения, в том числе после перезапуска. Истёкшие сессии игнорируются при загрузке, отклоняются при каждом запросе и удаляются у всех пользователей при следующем успешном изменении auth, например входе или выходе. Срок сессии автоматически не продлевается.
 
 | REST-запрос | JSON тела | Ответ |
 |---|---|---|
@@ -662,13 +677,13 @@ export default {
 | `PATCH /auth/users/:id/password` | `{ "currentPassword": "…", "newPassword": "…" }` | `{ success: true }` |
 | `PATCH /auth/users/:id/admin` | `{ "isAdmin": true }` | `{ id, username, isAdmin }` |
 
-Регистрация и вход доступны без токена. Для остальных методов передавайте `Authorization: Bearer <accessToken>`. Регистрация создаёт обычного пользователя с новым `id`; поля `id`, `passwordHash` и `isAdmin` в запросе запрещены. `username` уникален с учётом регистра, повтор возвращает `409`. Имя должно содержать хотя бы один непробельный символ и не более 256 символов, пароль — от 1 до 1024 символов. Значения не обрезаются. Регистрация не открывает сессию: после неё выполните вход.
+Регистрация и вход доступны без токена. Для остальных методов передавайте `Authorization: Bearer <accessToken>`. Регистрация создаёт обычного пользователя с новым `id`; поля `id`, `passwordHash`, `isAdmin` и `sessions` в запросе запрещены. `username` уникален с учётом регистра, повтор возвращает `409`. Имя должно содержать хотя бы один непробельный символ и не более 256 символов, пароль — от 1 до 1024 символов. Значения не обрезаются. Регистрация не открывает сессию: после неё выполните вход.
 
 Пользователь меняет только свой пароль, передавая `currentPassword` и `newPassword`. Для администратора при смене своего пароля действует то же правило. Администратор может сменить пароль обычному пользователю, передав только `newPassword`. Изменение пароля другого администратора возвращает `403`. После успешной смены завершаются все сессии этого пользователя, включая текущую при смене своего пароля; требуется новый вход. Неверный текущий пароль возвращает `401` без изменения сессий.
 
 Статус `isAdmin` меняет только администратор. Можно назначать других администраторов и снимать с них статус. Снять статус с себя можно, только если остаётся другой администратор; иначе возвращается `409`. Проверка учитывает параллельные запросы. Новые права действуют с прежними токенами сразу после сохранения, в том числе для мутаций GraphQL. Администратор может снять статус с другого администратора, а затем сменить ему пароль как обычному пользователю.
 
-Недействительный или истёкший токен возвращает `401`, недостаток прав — `403`, отсутствующий пользователь при разрешённой операции — `404`. Ошибки тела запроса возвращают `400`. Вход, регистрация и смена пароля могут вернуть `429` при превышении числа одновременных вычислений паролей; вход также ограничивает число активных сессий. Сессии хранятся в памяти и исчезают после перезапуска. Выход завершает только сессию переданного токена.
+Недействительный или истёкший токен возвращает `401`, недостаток прав — `403`, отсутствующий пользователь при разрешённой операции — `404`. Ошибки тела запроса возвращают `400`. Вход, регистрация и смена пароля могут вернуть `429` при превышении числа одновременных вычислений паролей; вход также возвращает `429`, если уже есть 10 000 активных сессий среди всех пользователей, включая загруженные из источника. Выход завершает только сессию переданного токена.
 
 При включённом auth у каждой записи модели доступен виртуальный объект `actions`. Он вычисляется для текущего пользователя и не сохраняется в базе. В REST его нужно явно запросить через `scope`:
 
@@ -760,7 +775,7 @@ query {
 
 Служебные сведения восстановления хранятся вместе с записями и переживают перезапуск; сохраняйте их при резервном копировании базы. Внутреннее поле `djsDeletion` зарезервировано и не выдаётся через API.
 
-При включённом auth создавать записи может любой вошедший пользователь. Изменять, удалять и восстанавливать — владелец по `createdById` или пользователь с `isAdmin: true`. Записи без владельца изменяет только администратор. Его правки не меняют владельца. Правила действуют на вложенные записи, изменение ключей связей, каскады и восстановление. Ссылка на существующую запись без её изменения не требует владения ею. Каждая мутация атомарна: отказ сохраняет прежнее состояние всех затронутых записей.
+При включённом auth создавать записи может любой вошедший пользователь. Изменять, удалять и восстанавливать — владелец по `createdById` или пользователь с `isAdmin: true`. Записи без владельца изменяет только администратор. Его правки не меняют владельца. Правила действуют на вложенные записи, изменение ключей связей, каскады и восстановление. Ссылка через объект только с первичным ключом или объявленный хранимый ключ не требует владения неизменяемой целевой записью. Вложенный объект с дополнительными полями требует права изменять её. При изменении обратных связей нужны права на каждую запись, чей хранимый ключ меняется. Каждая мутация атомарна: отказ сохраняет прежнее состояние всех затронутых записей.
 
 REST возвращает 401 при отсутствии действительного токена и 403 при недостатке прав. GraphQL проверяет мутации по тем же правилам и возвращает коды `UNAUTHENTICATED` или `FORBIDDEN`; токен получают через REST-вход и передают в `Authorization: Bearer <token>`. GraphQL-запросы чтения, OPTIONS и все операции с файлами остаются открытыми.
 
@@ -839,7 +854,7 @@ Content-Type: application/json
 
 При хранении на диске бинарный файл находится по пути `<files.source>/<directory>/<name>`. Метаданные по умолчанию хранятся в `<files.source>/.files.json`; другой путь можно задать через `files.metadata`. Директории и файл метаданных создаются по мере необходимости.
 
-Используйте один процесс сервера для дисковой базы и файлового хранилища. Второй сервер с тем же файлом базы не запустится; закрытие первого освобождает блокировку, а после аварийного завершения она снимается при следующем запуске. Перед ручным изменением файлов или метаданных остановите сервер. Пути в хранилище не могут содержать символические ссылки. Загрузка и переименование не могут перезаписать базу, её блокировку, счётчики, схему, учётные записи auth, загруженную конфигурацию или файл метаданных.
+Используйте один процесс сервера для каждого записываемого дискового источника. Второй сервер с общей базой, файлом пользователей auth, каталогом файлового хранилища или метаданными не запустится. Блокировки — отдельные JSON-файлы рядом с источниками: для `database.json` создаётся `database-lock.json`; последнее расширение имени из конфигурации убирается. Файл содержит тип блокировки, PID процесса и токен владельца. При штатном закрытии файлы блокировок удаляются; после аварии ОС освобождает блокировки, а следующий сервер повторно использует оставшиеся файлы. Для дисковых блокировок используется нативная зависимость `fs-native-extensions`; хранение в памяти и генерация схем её не загружают. Для источника с символической ссылкой блокируются исходная запись и конечная цель. Перед ручным изменением файлов или метаданных остановите сервер. Пути внутри каталога файлового хранилища не могут содержать символические ссылки. Загрузка и переименование не могут перезаписать базу, её блокировку, счётчики, схему, учётные записи auth, загруженную конфигурацию или файл метаданных.
 
 Отправляйте файл как бинарное тело запроса. В браузере для этого можно использовать `xhr.send(file)`, а прогресс отслеживать через `XMLHttpRequest.upload.onprogress`. Максимальный размер по умолчанию равен 100 МиБ и настраивается через `server.maxFileSize`. Отсутствующие или небезопасные заголовки и пути возвращают `400`, превышение лимита — `413`, а отсутствующий, некорректный или не поддерживаемый Fastify `Content-Type` — `400` либо `415` в зависимости от этапа проверки.
 
@@ -892,6 +907,6 @@ npm run verify
 
 `npm run verify` проверяет типы, стиль кода, покрытие тестами и установку пакета из архива.
 
-Для публикации предварительной версии обновите номер в `package.json`, `package-lock.json` и `src/core/constants.ts`, затем отправьте коммит в `main`. GitHub Actions создаст тег `v<version>` и опубликует пакет через trusted publishing в канал `alpha`, `beta` или `rc`. Стабильные версии публикуются в `latest` из явно отправленного тега версии.
+Для публикации предварительной версии обновите номер в `package.json` и `package-lock.json` (сервер и CLI читают его из метаданных пакета), затем отправьте коммит в `main`. GitHub Actions создаст тег `v<version>` и опубликует пакет через trusted publishing в канал `alpha`, `beta` или `rc`. Стабильные версии публикуются в `latest` из явно отправленного тега версии.
 
 Лицензия: MIT.

package/dist/index.d.ts

@@ -1,4 +1,4 @@
-export type { AuthConfig, AuthSession, AuthUser, AuthUserRecord } from './src/auth/contract.js';
+export type { AuthConfig, AuthSession, AuthSessionRecord, AuthUser, AuthUserRecord } from './src/auth/contract.js';
 export { hashPassword } from './src/auth/public.js';
 export type { EntityDefinition, Field, ModelSchema } from './src/core/model.js';
 export type { FileUpdate } from './src/files/contract.js';

package/dist/package.json

@@ -0,0 +1,104 @@
+{
+    "name": "@kollors/deep-json-server",
+    "version": "1.0.0-rc.8",
+    "description": "JSON mock server with schema-driven REST, GraphQL, OpenAPI generation and file uploads",
+    "type": "module",
+    "main": "./dist/index.js",
+    "types": "./dist/index.d.ts",
+    "bin": {
+        "deep-json-server": "dist/bin/deep-json-server.js"
+    },
+    "exports": {
+        ".": {
+            "types": "./dist/index.d.ts",
+            "import": "./dist/index.js"
+        },
+        "./server": {
+            "types": "./dist/src/server/public.d.ts",
+            "import": "./dist/src/server/public.js"
+        },
+        "./openapi": {
+            "types": "./dist/src/openapi/entry.d.ts",
+            "import": "./dist/src/openapi/entry.js"
+        },
+        "./graphql": {
+            "types": "./dist/src/graphql/entry.d.ts",
+            "import": "./dist/src/graphql/entry.js"
+        },
+        "./auth": {
+            "types": "./dist/src/auth/public.d.ts",
+            "import": "./dist/src/auth/public.js"
+        }
+    },
+    "files": [
+        "dist",
+        "LICENSE",
+        "README.md",
+        "README.ru.md",
+        "CHANGELOG.md",
+        "MIGRATION.md",
+        "MIGRATION.ru.md",
+        "examples"
+    ],
+    "scripts": {
+        "build": "node scripts/clean-dist.js && tsc && node scripts/prepare-dist.js",
+        "lint": "biome check . --error-on-warnings",
+        "lint:fix": "biome check --write .",
+        "pack:check": "node scripts/check-package.js",
+        "prepack": "npm run build",
+        "prepublishOnly": "npm run verify",
+        "test": "npm run build && node --test",
+        "test:coverage": "npm run build && node scripts/run-coverage.js",
+        "typecheck": "tsc --noEmit && tsc -p tsconfig.type-tests.json",
+        "verify": "npm run typecheck && npm run lint && npm run test:coverage && npm run pack:check"
+    },
+    "engines": {
+        "node": ">=22"
+    },
+    "dependencies": {
+        "ajv": "^8.20.0",
+        "ajv-formats": "^3.0.1",
+        "fastify": "^5.12.3",
+        "fs-native-extensions": "^1.5.1",
+        "graphql": "^16.14.2",
+        "lowdb": "^7.0.1",
+        "mercurius": "^16.10.0",
+        "pluralize": "^8.0.0",
+        "yaml": "^2.8.1"
+    },
+    "repository": {
+        "type": "git",
+        "url": "git+https://github.com/kollors/deep-json-server.git"
+    },
+    "homepage": "https://github.com/kollors/deep-json-server",
+    "bugs": {
+        "url": "https://github.com/kollors/deep-json-server/issues"
+    },
+    "keywords": [
+        "api",
+        "crud",
+        "deep-filter",
+        "file-upload",
+        "json",
+        "mock",
+        "mock-api",
+        "mock-server",
+        "openapi",
+        "relations",
+        "rest",
+        "rest-api",
+        "graphql",
+        "openapi-generator"
+    ],
+    "author": "kollors",
+    "license": "MIT",
+    "publishConfig": {
+        "access": "public"
+    },
+    "devDependencies": {
+        "@biomejs/biome": "^2.5.12",
+        "@types/node": "^22.0.0",
+        "@types/pluralize": "^0.0.33",
+        "typescript": "^7.0.2"
+    }
+}

package/dist/src/auth/contract.d.ts

@@ -4,9 +4,17 @@ export interface AuthUser {
     username: string;
     isAdmin: boolean;
 }
+export interface AuthSessionRecord {
+    /** SHA-256 of the access token, encoded as 64 lowercase hexadecimal characters. */
+    tokenHash: string;
+    /** Absolute expiration time in milliseconds since the Unix epoch. */
+    expiresAt: number;
+}
 export interface AuthUserRecord extends Omit<AuthUser, 'isAdmin'> {
     isAdmin?: boolean;
     passwordHash: string;
+    /** Initial or persisted sessions. Defaults to an empty array. */
+    sessions?: AuthSessionRecord[];
 }
 export interface AuthConfig<S extends Storage = Storage> {
     source: Source<S, AuthUserRecord[]>;

package/dist/src/auth/contract.js.map

@@ -1 +1 @@
-{"version":3,"file":"contract.js","sourceRoot":"","sources":["../../../src/auth/contract.ts"],"names":[],"mappings":"AAoBA,MAAM,CAAC,MAAM,UAAU,GAAG;IACxB,KAAK,EAAE,aAAa;IACpB,QAAQ,EAAE,gBAAgB;IAC1B,EAAE,EAAE,UAAU;IACd,MAAM,EAAE,cAAc;IACtB,QAAQ,EAAE,0BAA0B;IACpC,KAAK,EAAE,uBAAuB;CACtB,CAAC;AACX,MAAM,CAAC,MAAM,uBAAuB,GAAG,IAAI,CAAC;AAC5C,MAAM,CAAC,MAAM,mBAAmB,GAAG,GAAG,CAAC;AACvC,MAAM,CAAC,MAAM,mBAAmB,GAAG,IAAI,CAAC"}
+{"version":3,"file":"contract.js","sourceRoot":"","sources":["../../../src/auth/contract.ts"],"names":[],"mappings":"AA4BA,MAAM,CAAC,MAAM,UAAU,GAAG;IACxB,KAAK,EAAE,aAAa;IACpB,QAAQ,EAAE,gBAAgB;IAC1B,EAAE,EAAE,UAAU;IACd,MAAM,EAAE,cAAc;IACtB,QAAQ,EAAE,0BAA0B;IACpC,KAAK,EAAE,uBAAuB;CACtB,CAAC;AACX,MAAM,CAAC,MAAM,uBAAuB,GAAG,IAAI,CAAC;AAC5C,MAAM,CAAC,MAAM,mBAAmB,GAAG,GAAG,CAAC;AACvC,MAAM,CAAC,MAAM,mBAAmB,GAAG,IAAI,CAAC"}

package/dist/src/auth/public.d.ts

@@ -1,3 +1,3 @@
-export type { AuthConfig, AuthSession, AuthUser, AuthUserRecord } from './contract.js';
+export type { AuthConfig, AuthSession, AuthSessionRecord, AuthUser, AuthUserRecord } from './contract.js';
 /** Creates a salted password hash for an auth user fixture. */
 export declare function hashPassword(password: string): Promise<string>;

package/dist/src/auth/service.d.ts

@@ -3,7 +3,6 @@ import { type AuthStore } from './store.js';
 export declare class AuthService {
     private store;
     private expiresIn;
-    private sessions;
     private pendingPasswords;
     private closed;
     constructor(store: AuthStore, expiresIn: number);
@@ -29,13 +28,13 @@ export declare class AuthService {
      * @example После снятия статуса прежний токен возвращает isAdmin: false без повторного входа.
      */
     me(authorization: unknown): AuthUser;
-    /** Проверяет токен и удаляет соответствующую сессию.
+    /** Проверяет токен и сохраняет удаление соответствующей сессии.
      * @example Действительный токен → { success: true }; повторный выход с ним → ошибка.
      */
-    logout(authorization: unknown): {
+    logout(authorization: unknown): Promise<{
         success: boolean;
-    };
-    /** Запрещает новые обращения и очищает сессии в памяти.
+    }>;
+    /** Запрещает новые обращения, сохраняя записанные сессии для следующего запуска.
      * @example close() → undefined; последующий login() → отказ.
      */
     close(): void;
@@ -47,8 +46,8 @@ export declare class AuthService {
      * @example closed = true → UNAUTHENTICATED; false → undefined.
      */
     private assertOpen;
-    /** Находит сессию по хешу токена и проверяет срок; просроченную сессию удаляет.
-     * @example Действительный Bearer-токен → [ключ, сессия]; отсутствующий или истёкший → ошибка.
+    /** Находит сессию по хешу токена и проверяет срок, не изменяя сохранённое состояние.
+     * @example Действительный Bearer-токен → [ключ, пользователь]; отсутствующий или истёкший → ошибка.
      */
     private session;
     /** Получает текущую запись по идентификатору из проверенной сессии.
@@ -63,16 +62,8 @@ export declare class AuthService {
      * @example Администратор и обычная чужая запись → { actor, target }; два разных администратора → FORBIDDEN.
      */
     private passwordTarget;
-    /** Завершает все сессии одного пользователя после сохранения нового пароля.
-     * @example Две сессии id = '1' и одна id = '2' → остаётся сессия id = '2'.
-     */
-    private revoke;
-    /** Удаляет из памяти сессии, срок которых истёк к текущему моменту.
-     * @example Одна истёкшая и одна действующая сессия → остаётся одна действующая; результат undefined.
-     */
-    private prune;
 }
-/** Открывает источник учётных записей и создаёт хранилище сессий в памяти.
+/** Открывает источник учётных записей вместе с сохранёнными или исходными сессиями.
  * @example createAuthService({ source: [] }) → Promise<AuthService>; повторяющиеся id → ошибка.
  */
 export declare function createAuthService(config: AuthConfig): Promise<AuthService>;