@okostream/mcp 0.12.0 → 0.12.2

package/README.md

@@ -7,7 +7,7 @@ analytics, and integrations around a video player supplied by the organizer.
 ## Before You Connect
 
 Webinar data and actions require an active OKO organizer account. Organizer
-access is currently provided by invitation rather than public self-service
+an active organizer account is required before an API key can be created
 signup.
 
 - Already invited: [sign in or register](https://okostream.app/auth?redirect=/app/mcp).

package/dist/firebase.js

@@ -16,7 +16,16 @@ export const firebaseApp = getApps().length ? getApp() : initializeApp({
 export const auth = getAuth(firebaseApp);
 export const firestore = getFirestore(firebaseApp);
 export const rtdb = getDatabase(firebaseApp);
-export const chatRtdb = env.firebase.chatDatabaseURL
-    ? getDatabase(firebaseApp, env.firebase.chatDatabaseURL)
-    : getDatabase(firebaseApp);
+// 🔴 Отсутствие адреса чат-базы — отказ, а не выбор варианта.
+// Прежде пустое значение молча давало ОСНОВНУЮ базу, где путей чата нет по
+// инварианту 16 архитектуры: чтения возвращали бы null (getChatRole тихо
+// понижал бы каждого до "viewer"), записи отвергались бы запретом по
+// умолчанию — и ничто не сообщило бы, что использована не та база.
+// Канон: «отсутствие обязательной переменной обязано ронять, а не выбирать
+// вариант» (ревью 02.09, А15).
+if (!env.firebase.chatDatabaseURL) {
+    throw new Error("OKO MCP: chat database URL is not configured. Set OKO_FIREBASE_CHAT_DB_URL "
+        + "(or keep the bundled default) — chat paths do not exist in the main database.");
+}
+export const chatRtdb = getDatabase(firebaseApp, env.firebase.chatDatabaseURL);
 export const functions = getFunctions(firebaseApp, "us-central1");

package/dist/guides.js

@@ -33,7 +33,7 @@ const GUIDE_RESOURCES = [
             OKO_PRODUCT_INFO.accountRequirement,
             OKO_PRODUCT_INFO.accessModel,
             "",
-            "1. If you already have an invitation, sign in or register at " + OKO_ONBOARDING_URLS.signIn + ".",
+            "1. Sign in or register at " + OKO_ONBOARDING_URLS.signIn + ".",
             "2. Open the authenticated MCP install center at " + OKO_ONBOARDING_URLS.installCenter + ".",
             "3. Create a scoped API key and set it as `OKO_API_KEY` in the MCP client configuration.",
             "4. Restart or reconnect the MCP server, then call `oko_connection_status`.",

package/dist/onboarding.js

@@ -13,7 +13,11 @@ export const OKO_PRODUCT_INFO = {
     summary: "OKO Stream is a webinar operations platform. It adds an event page, configurable audience blocks, chat, analytics, forms, and integrations around an organizer-supplied video player.",
     videoBoundary: "OKO does not host or start the underlying video stream. Organizers provide a YouTube, iframe, or other player URL.",
     accountRequirement: "An active OKO organizer account is required to access webinar data or perform actions.",
-    accessModel: "Organizer access is currently provided by invitation. An invitation is required before a new organizer can create an API key.",
+    // Решение 24.07 предписывало заменить формулировку про приглашения на
+    // нейтральное требование активного аккаунта «в следующей версии»; строка
+    // дожила до 0.12.x и уходит в каждый `oko_connection_status` и в гайд
+    // (ревью 02.09, В8).
+    accessModel: "An active OKO organizer account is required before an API key can be created.",
 };
 export const OKO_CONNECTION_STATUSES = [
     "connected",

package/dist/sessionRepair.js

@@ -23,15 +23,21 @@ export function summarizeSessionRepair(input) {
     if (input.verificationError) {
         warnings.push(`postcondition verification: ${input.verificationError}`);
     }
+    // 🔴 Прибор обязан сказать, чего он не измерил. Когда контрольное чтение
+    // упало, указатели остаются в исходном `null` — и прежде отчёт выдавал
+    // `remainingPointers: {null, null}`, то есть НЕИЗМЕРЕННОЕ состояние выглядело
+    // как измеренное чистое. Модель читала «ничего не осталось» и
+    // останавливалась (ревью 02.09, Б7).
+    const verified = !input.verificationError;
     return {
         eventId: input.eventId,
         sessionId: input.sessionId,
         fixed,
         cleared,
         warnings,
-        remainingPointers: {
-            firestore: input.firestorePointer,
-            rtdb: input.rtdbPointer,
-        },
+        verified,
+        remainingPointers: verified
+            ? { firestore: input.firestorePointer, rtdb: input.rtdbPointer }
+            : null,
     };
 }

package/dist/tools/chat.js

@@ -215,6 +215,13 @@ export function registerChatTools(server) {
             patch[`settings/${eventId}/slowModeMs`] = slowModeMs;
         if (automodEnabled !== undefined)
             patch[`settings/${eventId}/automodEnabled`] = automodEnabled;
+        // Пустой вызов делал холостую запись и рапортовал успех с `updated: []` —
+        // модель сообщала организатору, что настройки изменены. Соседи
+        // (`oko_update_profile`, `oko_mark_notifications_read`) в этом случае
+        // бросают (ревью 02.09, В9).
+        if (Object.keys(patch).length === 0) {
+            throw new Error("Provide slowModeMs and/or automodEnabled to change chat settings.");
+        }
         await update(ref(chatRtdb), patch);
         return textResult({ eventId, updated: Object.keys(patch) });
     });

package/dist/tools/events.js

@@ -231,7 +231,21 @@ export function registerEventTools(server) {
         if (requiredScopes.size === 0)
             throw new Error("Provide at least one field to update.");
         const { uid } = await authed([...requiredScopes]);
-        await readEvent(args.eventId, uid, "edit");
+        const current = await readEvent(args.eventId, uid, "edit");
+        // 🔴 Режим по расписанию без даты — состояние, которое молча не работает:
+        // CF51 отбирает события запросом `analyticsSessionMode == "schedule"` И
+        // `meta.eventDate` в окне, поэтому событие без даты не выбирается никогда,
+        // а инструмент рапортовал успех. Веб на том же состоянии показывает
+        // подсказку `sessionMode.needsDate` (ревью 02.09, Б8).
+        if (args.sessionMode === "schedule") {
+            const dateAfterPatch = args.eventDate !== undefined
+                ? args.eventDate
+                : current.meta?.eventDate ?? null;
+            if (!dateAfterPatch) {
+                throw new Error("sessionMode 'schedule' requires meta.eventDate: without a date OKO can never start "
+                    + "the session automatically. Set eventDate in the same call, or keep sessionMode 'manual'.");
+            }
+        }
         const patch = {};
         if (args.title !== undefined)
             patch.title = args.title.trim();
@@ -285,7 +299,7 @@ export function registerEventTools(server) {
         annotations: writeTool,
     }, async (args) => {
         const { uid } = await authed(["setup:write"]);
-        await readEvent(args.eventId, uid, "edit");
+        const current = await readEvent(args.eventId, uid, "edit");
         const patch = {};
         if (args.chat?.enabled !== undefined)
             patch["blocks.chat.enabled"] = args.chat.enabled;
@@ -350,6 +364,25 @@ export function registerEventTools(server) {
             patch["telegram.enabled"] = args.telegramChannelIds.length > 0;
             patch["telegram.channelIds"] = args.telegramChannelIds;
         }
+        // 🔴 `formId` баннера и CTA проверяется на существование — ровно так же,
+        // как у карточек в этом же файле (`buildCardsItems` бросает «Form X not
+        // found»). Прежде запись проходила, инструмент рапортовал «привязано», а
+        // кнопка у зрителей не делала НИЧЕГО: FormHost формы не находит, а
+        // buttonUrl в этом сценарии пуст. Формы сверяются с состоянием ПОСЛЕ
+        // патча: замена `forms` в том же вызове перегенерирует id (02.09, Б6).
+        const formsAfterPatch = (patch.forms ?? current.forms);
+        const knownFormIds = new Set((Array.isArray(formsAfterPatch) ? formsAfterPatch : [])
+            .map((form) => (typeof form?.id === "string" ? form.id : null))
+            .filter((id) => Boolean(id)));
+        for (const [field, value] of [
+            ["blocks.promoBanner.formId", patch["blocks.promoBanner.formId"]],
+            ["blocks.primaryCta.formId", patch["blocks.primaryCta.formId"]],
+        ]) {
+            if (typeof value === "string" && value && !knownFormIds.has(value)) {
+                throw new Error(`${field}: form "${value}" not found in event.forms. Create the form in the same call `
+                    + "(or beforehand) — a button bound to a missing form does nothing for viewers.");
+            }
+        }
         await updateDoc(doc(firestore, "events", args.eventId), patch);
         return textResult({ id: args.eventId, updated: Object.keys(patch) });
     });

package/dist/tools/formatting.js

@@ -196,3 +196,21 @@ export function sessionReportMarkdown({ eventId, event, sessionId, session, }) {
     ];
     return lines.join("\n");
 }
+/**
+ * Поля `telegram`, которые копируются в дубликат события.
+ *
+ * 🔴 Инвариант: копия не наследует server-owned маркеры. Их ставит сервер по
+ * факту уже случившегося действия, и для нового события они ложны. Сейчас
+ * такой маркер один — `reminderSent` (CF17 ставит после отправки напоминания
+ * и навсегда пропускает события с ним), но список именно белый: новое
+ * серверное поле не должно попасть в копию по умолчанию.
+ */
+export const TELEGRAM_COPYABLE_KEYS = ["enabled", "channelIds", "autoReminder"];
+export function copyableTelegram(source) {
+    const out = {};
+    for (const key of TELEGRAM_COPYABLE_KEYS) {
+        if (source[key] !== undefined)
+            out[key] = source[key];
+    }
+    return out;
+}

package/dist/tools/imagePipeline.js

@@ -288,15 +288,22 @@ export function readCardsConfig(eventData) {
     const raw = (blocks.cards && typeof blocks.cards === "object" ? blocks.cards : {});
     const rawItems = Array.isArray(raw.items) ? raw.items : [];
     const repairedIdPositions = [];
+    // 🔴 Позиция считается по ИСХОДНОМУ массиву, а не по отфильтрованному:
+    // иначе путь `blocks.cards.items[N]` в ошибке валидации указывает не на ту
+    // карточку. Фича существует ровно для битых массивов, то есть для случая,
+    // где отсев и создаёт сдвиг (ревью 02.09, Б14).
     const items = rawItems
-        .filter((item) => Boolean(item) && typeof item === "object" && !Array.isArray(item))
-        .map((item, position) => {
+        .map((item, position) => ({ item, position }))
+        .filter((entry) => Boolean(entry.item) && typeof entry.item === "object" && !Array.isArray(entry.item))
+        .map(({ item, position }) => {
         const hasUsableId = typeof item.id === "string" && CARD_ID_PATTERN.test(item.id);
         if (!hasUsableId)
             repairedIdPositions.push(position);
-        const fallbackId = randomUUID();
         return {
-            id: hasUsableId ? item.id : fallbackId,
+            // 🔴 UUID генерируется только когда он нужен: прежде crypto-RNG
+            // дёргался для каждой карточки при каждом чтении, а значение
+            // отбрасывалось (ревью 02.09, В14)
+            id: hasUsableId ? item.id : randomUUID(),
             title: safeString(item.title).trim() || null,
             text: safeString(item.text).trim() || null,
             buttonLabel: safeString(item.buttonLabel).trim() || null,
@@ -407,8 +414,19 @@ export async function deleteStoragePaths(eventId, paths) {
     if (uniquePaths.length === 0)
         return [];
     const removeImages = httpsCallable(functions, "deleteMcpImages");
-    const result = await removeImages({ eventId, paths: uniquePaths });
-    return Array.isArray(result.data.warnings) ? result.data.warnings : [];
+    // 🔴 Уборка объектов — best-effort и НЕ имеет права уронить уже
+    // совершившуюся операцию. Отказ CF27 (например, путь чужого префикса у
+    // непроусыновлённого дубликата) прежде вылетал наружу: организатору
+    // сообщалось, что удаление не удалось, хотя ссылки уже сняты, — а после
+    // загрузки это провоцировало повторную закачку той же картинки. Соседний
+    // `oko_delete_image` прямо обещает обратное (ревью 02.09, В4).
+    try {
+        const result = await removeImages({ eventId, paths: uniquePaths });
+        return Array.isArray(result.data.warnings) ? result.data.warnings : [];
+    }
+    catch (error) {
+        return [`storage cleanup failed: ${error instanceof Error ? error.message : String(error)}`];
+    }
 }
 export async function deleteStorageUrls(eventId, masterUrl, fallbackUrl) {
     const paths = [];
@@ -510,18 +528,11 @@ export function sleep(ms) {
 export async function waitForImageVariantTargets(uid, eventId, targets, timeoutSec) {
     const startedAt = Date.now();
     const deadline = startedAt + timeoutSec * 1000;
-    let latest = targets.map((target) => ({
-        eventId,
-        kind: target.kind,
-        cardId: target.cardId,
-        imageId: target.cardId,
-        imageUrl: null,
-        imageMasterUrl: null,
-        imageVariants: null,
-        ready: false,
-        reason: "not_checked",
-        elapsedMs: 0,
-    }));
+    // Мёртвая заготовка снята: цикл ниже выполняется хотя бы раз и
+    // перезаписывает `latest` до любого чтения, так что наблюдать её было
+    // нечем — а `imageId: target.cardId` в ней ещё и вводил в заблуждение
+    // (ревью 02.09, В15).
+    let latest;
     while (true) {
         const elapsedMs = Date.now() - startedAt;
         const event = await readEvent(eventId, uid, "read");
@@ -542,7 +553,6 @@ export async function uploadEventImageForUser(uid, eventId, kind, cardId, source
     const previousMasterPath = storagePathFromDownloadUrl(previous.imageMasterUrl);
     const deleteWarnings = [];
     let deletesAttempted = 0;
-    const expectedCardPath = kind === "card" ? imageStoragePath(eventId, uid, kind, cardId) : null;
     // 🔴 Сначала загрузка, потом удаление старого. Прежде варианты карточки
     // стирались ДО `uploadMasterImage`, и упавшая загрузка оставляла документ
     // Firestore со ссылками на удалённые объекты — зритель получал 404, а
@@ -556,11 +566,14 @@ export async function uploadEventImageForUser(uid, eventId, kind, cardId, source
     const uploaded = await uploadMasterImage(eventId, kind, cardId, sourceBuffer);
     if (!uploaded)
         throw new Error("Image upload did not return a result.");
-    if (expectedCardPath && previousMasterPath === expectedCardPath) {
-        const variantPaths = variantPathsFromMasterPath(expectedCardPath);
-        deletesAttempted += variantPaths.length;
-        deleteWarnings.push(...await deleteStoragePaths(eventId, variantPaths));
-    }
+    // 🔴 Старые варианты по ТОМУ ЖЕ пути не удаляются — и не нужны.
+    //
+    // Новый master пишется по тому же адресу и запускает CF4, которая
+    // перезаписывает все три варианта. Удаление рядом с этим было гонкой: если
+    // CF4 успевала первой, мы сносили объекты, на которые Firestore уже
+    // ссылается, а повторно она не запустится — нового мастера не будет. Зритель
+    // получал 404 навсегда. Прежний комментарий рассуждал только о случае
+    // «CF4 упала» и не рассматривал «CF4 успела» (ревью 02.09, В5).
     if (kind !== "card" || (previousMasterPath && previousMasterPath !== uploaded.storagePath) || (!previous.imageMasterUrl && previous.imageUrl)) {
         const cleanup = await deleteStorageUrls(eventId, previous.imageMasterUrl, previous.imageUrl);
         deletesAttempted += cleanup.attempted;

package/dist/tools/images.js

@@ -39,7 +39,7 @@ export function registerImageTools(server) {
         inputSchema: {
             eventId: eventIdField,
             kind: z.enum(IMAGE_KINDS).describe("Target image slot."),
-            cardId: z.string().min(1).optional().describe("Required when kind=card."),
+            cardId: cardIdSchema.optional().describe("Required when kind=card."),
             source: imageSourceSchema.describe("Image source: exactly one of path or url."),
             confirm: z.boolean().optional().describe("Required true for image upload/replacement."),
         },
@@ -84,19 +84,48 @@ export function registerImageTools(server) {
     }, async ({ eventId, images, timeoutSec, confirm }) => {
         const { uid } = await authed(["setup:write"]);
         requireConfirm(confirm, "oko_upload_card_images_batch", { eventId, cardIds: images.map((image) => image.cardId).join(",") });
+        // 🔴 Один и тот же id дважды — это две записи по одному пути Storage:
+        // вторая молча затирает первую, а в отчёте карточка появляется дважды.
+        // `buildCardsItems` отвергает такое же для карточек (ревью 02.09, В12).
+        const duplicateIds = images
+            .map((image) => image.cardId)
+            .filter((id, index, all) => all.indexOf(id) !== index);
+        if (duplicateIds.length > 0) {
+            throw new Error(`Duplicate cardId in batch: ${[...new Set(duplicateIds)].join(", ")}.`);
+        }
+        // 🔴 Частичный отказ обязан быть виден. Прежде бросок на N-й картинке
+        // терял запись об успешных N−1: модель не знала, что часть уже загружена,
+        // и перезагружала всё заново, зря дёргая CF4 (ревью 02.09, В12).
         const uploads = [];
+        const failures = [];
         for (const image of images) {
-            uploads.push(await uploadEventImageForUser(uid, eventId, "card", image.cardId, image.source));
+            try {
+                uploads.push(await uploadEventImageForUser(uid, eventId, "card", image.cardId, image.source));
+            }
+            catch (error) {
+                failures.push({
+                    cardId: image.cardId,
+                    error: error instanceof Error ? error.message : String(error),
+                });
+            }
         }
-        const variants = await waitForImageVariantTargets(uid, eventId, images.map((image) => ({ kind: "card", cardId: image.cardId })), timeoutSec);
+        const uploadedCardIds = new Set(images
+            .map((image) => image.cardId)
+            .filter((cardId) => !failures.some((failure) => failure.cardId === cardId)));
+        const variants = uploadedCardIds.size > 0
+            ? await waitForImageVariantTargets(uid, eventId, [...uploadedCardIds].map((cardId) => ({ kind: "card", cardId })), timeoutSec)
+            : [];
         const warnings = variants
             .filter((item) => !item.ready)
             .map((item) => `Card ${item.cardId ?? "unknown"} variants are not ready yet: ${item.reason ?? "unknown"}.`);
+        warnings.push(...failures.map((failure) => `Card ${failure.cardId} upload failed: ${failure.error}`));
         return textResult({
             eventId,
             uploads,
             variants,
-            ready: variants.every((item) => item.ready),
+            failed: failures,
+            // «готово» не может быть истиной при непогруженной картинке
+            ready: failures.length === 0 && variants.every((item) => item.ready),
             warnings,
         });
     });
@@ -117,7 +146,7 @@ export function registerImageTools(server) {
         inputSchema: {
             eventId: eventIdField,
             kind: z.enum(IMAGE_KINDS).describe("Target image slot."),
-            cardId: z.string().min(1).optional().describe("Required when kind=card."),
+            cardId: cardIdSchema.optional().describe("Required when kind=card."),
             timeoutSec: z.number().int().min(1).max(120).default(60).describe("Maximum seconds to wait."),
         },
         outputSchema: imageVariantsOutputSchema,
@@ -151,7 +180,7 @@ export function registerImageTools(server) {
         inputSchema: {
             eventId: eventIdField,
             kind: z.enum(IMAGE_KINDS).describe("Target image slot."),
-            cardId: z.string().min(1).optional().describe("Required when kind=card."),
+            cardId: cardIdSchema.optional().describe("Required when kind=card."),
             confirm: z.boolean().optional().describe("Required true for image deletion."),
         },
         outputSchema: deleteImageOutputSchema,

package/dist/tools/lifecycle.js

@@ -4,6 +4,7 @@
 // разрушающих инструмента требуют явного confirm и показывают цель заранее.
 // Тяжёлая работа (очистка обеих RTDB, Storage, уведомлений) живёт в CF31:
 // клиент такую последовательность довести до конца не может.
+import { copyableTelegram } from "./formatting.js";
 import { z } from "zod";
 import { requireConfirm, safeString, textResult } from "../utils.js";
 import { authed, eventLinks } from "./context.js";
@@ -131,7 +132,13 @@ export function registerLifecycleTools(server) {
             meta: source.meta ?? { eventDate: null, speakerName: null, description: null },
             blocks: source.blocks ?? {},
             ...(Array.isArray(source.forms) ? { forms: source.forms } : {}),
-            ...(source.telegram && typeof source.telegram === "object" ? { telegram: source.telegram } : {}),
+            // 🔴 Копия НЕ наследует server-owned маркеры Telegram. `reminderSent`
+            // ставит CF17 после отправки напоминания, и она же навсегда пропускает
+            // события с этим флагом: копия события, чьё напоминание уже ушло, не
+            // получала бы своего никогда — молча (ревью 02.09, Б5).
+            ...(source.telegram && typeof source.telegram === "object"
+                ? { telegram: copyableTelegram(source.telegram) }
+                : {}),
         });
         return textResult({ id: newRef.id, sourceEventId: eventId, workspaceId, ...eventLinks(newRef.id) });
     });

package/dist/tools/live.js

@@ -63,6 +63,31 @@ export function registerLiveTools(server) {
             cards: "cardsVisible",
             placeholder: "placeholderVisible",
         };
+        // 🔴 У чата один источник истины — `chatMode`, и только он зеркалится в
+        // правила (CF5 → `settings/{eventId}/mode`). Legacy-флаг `chatVisible`
+        // перекрывает режим ТОЛЬКО на клиенте: после записи `chatVisible: true`
+        // поверх `chatMode: "off"` зритель получал включённое поле ввода, каждая
+        // отправка отвергалась правилом, а организатор видел чат работающим
+        // (ревью 02.09, З4).
+        if (block === "chat") {
+            const modeRef = ref(rtdb, `events/${eventId}/ctrl/chatMode`);
+            const legacyRef = ref(rtdb, `events/${eventId}/ctrl/chatVisible`);
+            if (visible === null) {
+                await Promise.all([remove(modeRef), remove(legacyRef)]);
+            }
+            else if (visible === false) {
+                await set(modeRef, "off");
+                await remove(legacyRef);
+            }
+            else {
+                const current = await get(modeRef);
+                // снимаем только паузу; выбранный режим (auth/owner) не трогаем
+                if (current.val() === "off")
+                    await remove(modeRef);
+                await remove(legacyRef);
+            }
+            return textResult({ eventId, block, visible });
+        }
         const target = ref(rtdb, `events/${eventId}/ctrl/${paths[block]}`);
         if (visible === null)
             await remove(target);
@@ -114,8 +139,20 @@ export function registerLiveTools(server) {
         const { uid } = await authed(["live:control"]);
         await readEvent(eventId, uid, "live");
         requireConfirm(confirm, "oko_set_live_badge", { eventId, mode, durationMinutes: durationMinutes ?? null });
-        const value = { mode, durationMinutes: durationMinutes ?? 120 };
-        await set(ref(rtdb, `events/${eventId}/ctrl/liveBadge`), value);
+        // 🔴 Непереданное окно сохраняется, а не сбрасывается в дефолт: прежде
+        // смена одного лишь режима молча роняла настроенные 300 минут до 120, и
+        // плашка у зрителей гасла раньше срока. `LiveBadgeControl` в вебе на том
+        // же действии сохраняет значение (ревью 02.09, Б4).
+        const badgeRef = ref(rtdb, `events/${eventId}/ctrl/liveBadge`);
+        let storedDuration;
+        if (durationMinutes === undefined) {
+            const snapshot = await get(badgeRef);
+            const stored = snapshot.val();
+            if (typeof stored?.durationMinutes === "number")
+                storedDuration = stored.durationMinutes;
+        }
+        const value = { mode, durationMinutes: durationMinutes ?? storedDuration ?? 120 };
+        await set(badgeRef, value);
         return textResult({ eventId, ...value });
     });
     server.registerTool("oko_set_chat_mode", {

package/dist/tools/notifications.js

@@ -96,7 +96,12 @@ export function registerNotificationTools(server) {
             // Такое уведомление висело бы вечно, а модель не могла бы его погасить.
             // Поэтому фильтруем клиентом тем же предикатом, что и список, набирая
             // с запасом — приём уже применён в `oko_list_notifications` выше.
-            const snap = await getDocs(query(collection(firestore, "userNotifications", uid, "items"), limit(Math.min(max * 5 + 1, 501))));
+            // 🔴 `limit` БЕЗ сортировки даёт срез по идентификатору документа, а не
+            // «последние»: помечались произвольные документы, а не те, что показал
+            // список — колокольчик оставался зажжённым, а повторные вызовы гасили
+            // ту же случайную выборку. Ровно тот дефект, что разобран 01.09 в
+            // `LeadsAnalytics` и записан в `schema.md` (ревью 02.09, В3).
+            const snap = await getDocs(query(collection(firestore, "userNotifications", uid, "items"), orderBy("createdAt", "desc"), limit(Math.min(max * 5 + 1, 501))));
             ids = snap.docs.filter((item) => item.data().read !== true).slice(0, max).map((item) => item.id);
         }
         await Promise.all(ids.map((id) => updateDoc(doc(firestore, "userNotifications", uid, "items", id), { read: true })));

package/dist/tools/schemas.js

@@ -20,7 +20,10 @@ export const ANALYTICS_DEFAULT_LIMIT = 10;
 export const ANALYTICS_TIMELINE_DEFAULT_LIMIT = 120;
 export const MAX_WORKSPACE_NAME_LENGTH = 120;
 export const MAX_WORKSPACE_INVITE_CODE_LENGTH = 64;
-export const TELEGRAM_POST_STATUSES = ["draft", "scheduled", "sent", "failed", "delivery_unknown"];
+// `pending` — состояние поста, отправляемого прямо сейчас (его пишут и веб, и
+// MCP, и правила Firestore его знают). Без него фильтр по статусу отвергал
+// схемой каждый пост, находящийся в полёте (ревью 02.09, В6).
+export const TELEGRAM_POST_STATUSES = ["draft", "pending", "scheduled", "sent", "failed", "delivery_unknown"];
 export const readOnlyTool = {
     readOnlyHint: true,
     destructiveHint: false,
@@ -244,7 +247,21 @@ export const profileDisplayNameSchema = z.string().max(40).nullable();
 export const timezoneSchema = z.string()
     .min(1)
     .max(100)
-    .regex(/^[A-Za-z0-9_+./-]+$/, "Use an IANA timezone such as Europe/Moscow or UTC.");
+    .regex(/^[A-Za-z0-9_+./-]+$/, "Use an IANA timezone such as Europe/Moscow or UTC.")
+    // 🔴 Проверяем ТЕМ ЖЕ способом, каким значение потом используется. Regex
+    // пропускал «Europe/Mosow», «UTC+3», «Moscow», а кабинет рендерит зону через
+    // `Intl.DateTimeFormat`, который на таком значении бросает RangeError —
+    // и роняет всё дерево клиента на /app/events. Веб такое состояние создать
+    // не может: там выбор из `Intl.supportedValuesOf` (ревью 02.09, В1).
+    .refine((value) => {
+    try {
+        new Intl.DateTimeFormat("en-CA", { timeZone: value });
+        return true;
+    }
+    catch {
+        return false;
+    }
+}, "Unknown IANA timezone: use a value such as Europe/Moscow, America/New_York or UTC.");
 export const cardsConfigOutputSchema = z.object({
     eventId: z.string(),
     updated: z.array(z.string()),
@@ -260,17 +277,33 @@ export const cardsConfigOutputSchema = z.object({
     preservedImageCardIds: z.array(z.string()),
     warnings: z.array(z.string()),
 }).passthrough();
+/**
+ * Права участника — ЦЕЛЬНАЯ карта девяти значений, а не набор правок.
+ *
+ * 🔴 Инвариант: после записи права равны присланным. Отсутствующее право
+ * означает «нет», а не «как было».
+ *
+ * Прежде все девять были `.optional()` при `.default({})`, а запись шла
+ * `setDoc(merge:true)`: отзыв права пропуском ключа МОЛЧА не срабатывал —
+ * вложенные карты сливаются, — и инструмент рапортовал успех. Вызов вообще
+ * без прав записывал пустую карту и тоже отчитывался «обновлено». Веб пишет
+ * карту целиком (`updateDoc` заменяет вложенный объект), то есть две
+ * поверхности расходились в том, кто что может (ревью 02.09, Б1).
+ *
+ * Обязательность всех девяти делает случайное стирание непредставимым:
+ * перечислить права придётся явно, а не получить их снос по умолчанию.
+ */
 export const workspacePermissionsSchema = z.object({
-    createEvents: z.boolean().optional(),
-    editSetup: z.boolean().optional(),
-    deleteEvents: z.boolean().optional(),
-    controlLive: z.boolean().optional(),
-    moderateChat: z.boolean().optional(),
-    startSession: z.boolean().optional(),
-    viewAnalytics: z.boolean().optional(),
-    downloadReports: z.boolean().optional(),
-    sendNotifications: z.boolean().optional(),
-}).strict().default({});
+    createEvents: z.boolean(),
+    editSetup: z.boolean(),
+    deleteEvents: z.boolean(),
+    controlLive: z.boolean(),
+    moderateChat: z.boolean(),
+    startSession: z.boolean(),
+    viewAnalytics: z.boolean(),
+    downloadReports: z.boolean(),
+    sendNotifications: z.boolean(),
+}).strict();
 export const WORKSPACE_PERMISSION_KEYS = [
     "createEvents",
     "editSetup",

package/dist/tools/sessions.js

@@ -49,18 +49,28 @@ export function registerSessionTools(server) {
             examples: ["Use after the webinar analytics window is over and the user confirms the exact event."],
             notes: ["Destructive for the active session pointer, but it does not stop the video stream."],
         }),
-        inputSchema: { eventId: eventIdField, confirm: z.boolean().optional().describe("Required true for ending the active session.") },
+        inputSchema: {
+            eventId: eventIdField,
+            confirm: z.boolean().optional().describe("Required true for ending the active session."),
+            reportLocale: z.enum(["en", "ru", "es", "pt-BR", "fr", "de"]).optional()
+                .describe("Language of the session report PDF, pre-rendered right after the session ends. Server defaults to ru; the choice is permanent for this session."),
+        },
         outputSchema: basicEventOutputSchema,
         annotations: destructiveTool,
-    }, async ({ eventId, confirm }) => {
+    }, async ({ eventId, confirm, reportLocale }) => {
         const { uid } = await authed(["analytics:write", "live:control"]);
         const event = await readEvent(eventId, uid, "session");
         const sessionId = safeString(event.activeAnalyticsSessionId);
         if (!sessionId)
             throw new Error("No active analytics session.");
-        requireConfirm(confirm, "oko_end_session", { eventId, sessionId });
+        requireConfirm(confirm, "oko_end_session", { eventId, sessionId, reportLocale: reportLocale ?? null });
         const end = httpsCallable(functions, "endAnalyticsSessionV3");
-        const result = await end({ eventId, sessionId });
+        // 🔴 Язык отчёта задаётся ЗДЕСЬ и больше нигде: CF55 рендерит PDF сразу
+        // после эфира, организатора в этот момент нет, а в профиле языка не
+        // хранится. Локаль входит в путь готового файла, и сессия неизменяема —
+        // русский PDF у англоязычного организатора исправить уже нельзя. Веб
+        // передаёт `locale` именно поэтому (ревью 02.09, Б3).
+        const result = await end({ eventId, sessionId, ...(reportLocale ? { locale: reportLocale } : {}) });
         // Тот же случай, что у запуска: сессия уже завершена и отчёт сохранён,
         // а ответ без `eventId` не проходил собственную схему.
         return textResult({ eventId, ...result.data });

package/dist/tools/telegram.js

@@ -170,16 +170,22 @@ export function registerTelegramTools(server) {
         if (cursor)
             constraints.splice(2, 0, startAfter(parseTimestampCursor(cursor)));
         const snap = await getDocs(query(collection(firestore, "telegramPosts"), ...constraints));
-        // 🔴 Фильтр применяется ДО нарезки страницы. Пока он стоял после,
-        // `hasMore` и `count` считались по нефильтрованной выборке: пустой
-        // результат приходил с `hasMore: false`, и это читается как «постов с
-        // таким статусом нет», хотя они есть на следующих страницах.
+        // 🔴 Фильтр применяется до нарезки страницы, но `hasMore` считается по
+        // СЫРОЙ выборке — иначе пагинация останавливается, пока подходящие посты
+        // ещё есть на следующих страницах.
+        //
+        // Предыдущая редакция (01.09) переносила фильтр вперёд и считала `hasMore`
+        // по отфильтрованному: при пяти неудачных постах среди трёхсот выходило
+        // «таких постов нет» на первой же странице. Верный образец лежал рядом —
+        // `oko_list_notifications` (ревью 02.09, В2).
         const matching = status
             ? snap.docs.filter((item) => item.data().status === status)
             : snap.docs;
-        const { page, hasMore } = pickPage(matching, max);
+        const { page, hasMore: hasMoreInMatches } = pickPage(matching, max);
+        const hasMore = hasMoreInMatches || snap.docs.length >= max + 1;
+        const cursorSource = hasMoreInMatches ? page.at(-1) : snap.docs.at(-1);
         const posts = page.map((item) => ({ id: item.id, ...serialize(item.data()) }));
-        const nextCursor = hasMore ? timestampCursorFrom(page.at(-1)?.data().createdAt) : null;
+        const nextCursor = hasMore ? timestampCursorFrom(cursorSource?.data().createdAt) : null;
         return textResult({ posts, ...cursorMeta(posts.length, max, hasMore, nextCursor) });
     });
     server.registerTool("oko_cancel_telegram_post", {
@@ -260,13 +266,20 @@ export function registerTelegramTools(server) {
         const postData = {
             eventId: args.eventId,
             ownerId: uid,
-            ownerEmail: "",
+            // почты организатора у MCP нет, но uid лучше пустой строки: веб
+            // денормализует сюда автора «для показа в истории», и пустое значение
+            // рендерилось как пост без автора (ревью 02.09, В7)
+            ownerEmail: uid,
             channelId: args.channelId,
             channelKey: String(args.channelId),
             caption: args.caption.trim(),
             imageUrl: args.imageUrl?.trim() || null,
             buttons: args.buttonLabel?.trim() ? [{ label: args.buttonLabel.trim(), url: args.buttonUrl?.trim() || eventUrl(args.eventId) }] : [],
-            status: scheduled ? "scheduled" : "draft",
+            // 🔴 Немедленная отправка — `pending`, как в вебе, а не `draft`. Обрыв
+            // между созданием документа и отправкой оставлял пост «черновиком»,
+            // неотличимым от никогда не отправлявшегося: CF15 подбирает только
+            // `scheduled`, и восстановить его было нечем (ревью 02.09, В6).
+            status: scheduled ? "scheduled" : "pending",
             scheduledAt: args.scheduleAt ? Timestamp.fromDate(new Date(args.scheduleAt)) : null,
             sentAt: null,
             telegramMessageId: null,

package/dist/tools/workspaceAccess.js

@@ -18,13 +18,18 @@ export async function readWorkspaceForOwner(workspaceId, uid) {
         throw new Error("Only the workspace owner can manage this workspace.");
     return data;
 }
+/**
+ * Права участника — цельная карта всех девяти значений.
+ *
+ * 🔴 Второй рубеж того же инварианта, что и `workspacePermissionsSchema`:
+ * отсутствующее право означает «нет», а не «как было». Прежде функция
+ * пропускала ключ, которого нет во входе, и `setDoc(merge:true)` сливал
+ * частичную карту с прежней — отзыв права молча не срабатывал.
+ */
 export function normalizeWorkspacePermissions(value) {
     const out = {};
     for (const key of WORKSPACE_PERMISSION_KEYS) {
-        if (value[key] === true)
-            out[key] = true;
-        else if (value[key] === false)
-            out[key] = false;
+        out[key] = value[key] === true;
     }
     return out;
 }

package/dist/tools/workspaces.js

@@ -10,7 +10,7 @@ import { z } from "zod";
 import { requireConfirm, safeString, serialize, textResult } from "../utils.js";
 import { authed, inviteUrl } from "./context.js";
 import { destructiveTool, idempotentWriteTool, MAX_WORKSPACE_INVITE_CODE_LENGTH, MAX_WORKSPACE_NAME_LENGTH, readOnlyTool, toolDescription, unknownRecordSchema, updateOutputSchema, workspaceAccessOutputSchema, workspacePermissionsSchema, workspacesOutputSchema, writeTool } from "./schemas.js";
-import { addDoc, collection, deleteDoc, doc, getDoc, getDocs, limit, query, serverTimestamp, setDoc, updateDoc, where } from "firebase/firestore";
+import { addDoc, collection, deleteDoc, doc, getDoc, getDocs, query, serverTimestamp, setDoc, updateDoc, where } from "firebase/firestore";
 import { firestore, functions } from "../firebase.js";
 import { httpsCallable } from "firebase/functions";
 import { listVisibleWorkspaces, normalizeWorkspacePermissions, randomInviteCode, readWorkspaceForOwner } from "./workspaceAccess.js";
@@ -99,11 +99,15 @@ export function registerWorkspaceTools(server) {
         // доступа не имеет, проверка не увидит — но владелец пространства
         // получает grant на все его события через CF18, так что для владельца,
         // а только он сюда и доходит (`readWorkspaceForOwner` выше), совпадает.
-        const eventsSnap = await getDocs(query(collection(firestore, "eventAccess", uid, "grants"), where("workspaceId", "==", workspaceId), limit(1)));
-        if (!eventsSnap.empty)
-            throw new Error("Workspace still has events. Move or delete its events before deleting the workspace.");
-        await deleteDoc(doc(firestore, "workspaces", workspaceId));
-        return textResult({ workspaceId, deleted: true });
+        // 🔴 Удаление идёт через CF57, а не `deleteDoc`: голое удаление корневого
+        // документа оставляло живыми подколлекцию shares, зеркала
+        // workspaceMembers и grants — участники сохраняли доступ, а убрать это
+        // было уже нельзя, потому что правило shares проверяет владельца через
+        // get() исчезнувшего родителя. Проверку «в пространстве нет событий»
+        // функция делает сама, полным запросом, а не по индексу этого ключа.
+        const removeWorkspace = httpsCallable(functions, "deleteWorkspaceCompletely");
+        const removed = await removeWorkspace({ workspaceId });
+        return textResult({ ...removed.data, workspaceId, deleted: true });
     });
     server.registerTool("oko_list_workspace_access", {
         title: "List workspace access",
@@ -154,7 +158,7 @@ export function registerWorkspaceTools(server) {
             workspaceId: z.string().min(1),
             uid: z.string().min(1).describe("Member Firebase uid."),
             email: z.string().email().optional().describe("Optional member email cache."),
-            comment: z.string().max(500).default(""),
+            comment: z.string().max(500).optional().describe("Optional member note; omitted keeps the stored one."),
             permissions: workspacePermissionsSchema,
             confirm: z.boolean().optional().describe("Required true for share updates."),
         },
@@ -164,13 +168,33 @@ export function registerWorkspaceTools(server) {
         const { uid } = await authed(["workspace:write"]);
         const workspace = await readWorkspaceForOwner(args.workspaceId, uid);
         requireConfirm(args.confirm, "oko_update_workspace_member", { workspaceId: args.workspaceId, workspaceName: workspace.name, targetUid: args.uid, permissions: args.permissions });
-        await setDoc(doc(firestore, "workspaces", args.workspaceId, "shares", args.uid), {
-            email: args.email ?? "",
-            comment: args.comment.trim(),
+        const shareRef = doc(firestore, "workspaces", args.workspaceId, "shares", args.uid);
+        const existing = await getDoc(shareRef);
+        // 🔴 Пишем ровно то, что прислано. Прежде `email` и `comment` уходили в
+        // запись всегда (`?? ""` и `.default("")`), а `sharedAt`/`sharedBy`
+        // переставлялись на текущие: обновление одного права стирало почту и
+        // комментарий участника и теряло след «кто и когда пригласил». Строка
+        // участника на экране команды становилась пустой (ревью 02.09, Б2).
+        const payload = {
             permissions: normalizeWorkspacePermissions(args.permissions),
-            sharedAt: serverTimestamp(),
-            sharedBy: uid,
-        }, { merge: true });
+        };
+        const updated = ["permissions"];
+        if (args.email !== undefined) {
+            payload.email = args.email;
+            updated.push("email");
+        }
+        if (args.comment !== undefined) {
+            payload.comment = args.comment.trim();
+            updated.push("comment");
+        }
+        if (!existing.exists()) {
+            // Новая доля: авторство выдачи ставится один раз, при создании.
+            payload.email = payload.email ?? "";
+            payload.comment = payload.comment ?? "";
+            payload.sharedAt = serverTimestamp();
+            payload.sharedBy = uid;
+        }
+        await setDoc(shareRef, payload, { merge: true });
         // 🔴 `updateOutputSchema` объявляет `updated` МАССИВОМ имён полей, а не
         // флагом. Пока возвращался `true`, SDK отвергал ответ уже после записи
         // прав: клиент видел ошибку и считал, что доступ не выдан, — а он выдан.
@@ -179,7 +203,8 @@ export function registerWorkspaceTools(server) {
         return textResult({
             workspaceId: args.workspaceId,
             uid: args.uid,
-            updated: ["email", "comment", "permissions"],
+            created: !existing.exists(),
+            updated,
         });
     });
     server.registerTool("oko_remove_workspace_member", {

package/dist/version.js

@@ -1,2 +1,2 @@
 // Generated by scripts/generateMcpVersion.mjs from mcp/package.json. Do not edit.
-export const OKO_MCP_VERSION = "0.12.0";
+export const OKO_MCP_VERSION = "0.12.2";

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@okostream/mcp",
-  "version": "0.12.0",
+  "version": "0.12.2",
   "description": "Control OKO Stream webinars from Claude, Codex, and other MCP clients.",
   "license": "UNLICENSED",
   "author": {