@rsconcept/rstool 0.10.1 → 0.10.2

package/docs/PORTAL-API.md

@@ -49,12 +49,26 @@ GET https://api.portal.acconcept.ru/api/rsforms/856/details
 
 ## Доступ
 
-- `access_policy: "public"` читается без авторизации.
-- Приватная схема или модель вернёт `403` и не предназначена для агентов.
+**Для агентов через REST/curl** отдельного API-токена нет. Запросы без авторизации
+видят только объекты с `access_policy: "public"` в общих разделах (`/S`, `/L`).
+Это касается `context-search`, `by-ids`, `GET /api/rsforms/:id` и `/details`.
+
+- Недоступная схема → `403` на прямой запрос; в `by-ids` такой id **пропускается**.
+- Личные (`/U`) и проектные (`/P`) объекты через анонимный API **не читаются**, даже если
+  пользователь дал UI-ссылку.
 - Если нужны только `title`, `alias`, `description`, `owner`, `access_policy`, не запрашивай `/details`.
-- Авторизация Portal — session cookie (`SessionAuthentication`). Для curl с приватными объектами
-  пользователя передай cookie сессии (`-b "sessionid=..."`) после логина в UI или через тот же
-  механизм, что использует фронтенд. Без cookie видны только публичные объекты в `/S` и `/L`.
+
+В браузере Portal использует Django session (`SessionAuthentication`). **Не предлагай
+пользователю передавать session cookie агенту** — для curl/скриптов это нерабочий путь
+(cookie привязан к браузеру, истекает, не предназначен для машинного доступа).
+
+Если КС не публичная, варианты для агента:
+
+1. Пользователь временно делает схему публичной (`access_policy: public`).
+2. Пользователь экспортирует JSON (`GET /api/rsforms/:id/details` из своей сессии в UI
+   или экспорт из Portal) и передаёт файл в чат/репозиторий — агент переносит в `rstool`.
+3. Работа с личной библиотекой остаётся в UI Portal; агент помогает с публичными схемами
+   и с JSON, который пользователь явно предоставил.
 
 ## Список и контекстный поиск в библиотеке
 
@@ -165,13 +179,6 @@ curl.exe -s "https://api.portal.acconcept.ru/api/library/context-search?q=мно
 curl.exe -s "https://api.portal.acconcept.ru/api/library/context-search?q=логика&search_fields=title,alias"
 ```
 
-С сессией пользователя (приватные и личные объекты):
-
-```bash
-curl.exe -s -b "sessionid=ВАШ_SESSION_ID" ^
-  "https://api.portal.acconcept.ru/api/library/context-search?q=UniqueTermToken"
-```
-
 Только КС в общем разделе и подпапках:
 
 ```bash
@@ -256,6 +263,8 @@ for (const item of portal.items) {
 ## Практика для агентов
 
 - Запрашивай API host, а не UI host: `https://api.portal.acconcept.ru/api/...`.
+- Считай, что REST без авторизации = только **публичные** схемы в `/S` и `/L`.
+- Для непубличной КС проси у пользователя JSON (`/details`) или публикацию схемы — не cookie.
 - Для больших схем используй увеличенный таймаут. В PowerShell вызывай `curl.exe`,
   а не alias `curl` (`Invoke-WebRequest`), если нужен CLI-синтаксис curl.
 - Сначала бери метаданные, если нужно только название или доступность схемы.
@@ -284,5 +293,6 @@ path.write_text(json.dumps(payload, ensure_ascii=False, indent=2), encoding='utf
 
 - Не парси HTML SPA.
 - Не запрашивай UI напрямую, используй преобразованные API запросы.
+- Не предлагай авторизацию через session cookie или `sessionid` в curl.
 - Не передавай `/details` JSON в `importSession`.
 - Не запрашивай `/details`, если нужны только метаданные.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@rsconcept/rstool",
-  "version": "0.10.1",
+  "version": "0.10.2",
   "description": "Agent-facing library for incremental RSForm construction, RSLang analysis, diagnostics, modeling, and evaluation. Wraps @rsconcept/domain with a deterministic session contract and stdio wrapper.",
   "license": "MIT",
   "author": "IRBorisov",