layero 0.11.18 → 0.11.19

package/dist/agent.js

@@ -142,6 +142,11 @@ function renderHuman(event) {
                 process.stdout.write(`  → ${event.next_action}\n`);
             for (const w of event.layero_warnings ?? [])
                 process.stdout.write(`! ${w}\n`);
+            if (event.skipped_build_script) {
+                process.stderr.write(`\n⚠ Это статика: скрипт сборки «${event.skipped_build_script}» из package.json НЕ запустится,\n` +
+                    "  файлы уйдут как есть. Если сайт надо собрать, добавьте layero.json:\n" +
+                    '  {"framework":"generic","buildCommand":"npm run build","outputDirectory":"<папка с index.html после сборки>"}\n\n');
+            }
             break;
         case "plan": {
             const src = event.sources;

package/dist/api.js

@@ -74,7 +74,17 @@ export class ApiClient {
     listOrganizations() {
         return this.request("GET", "/organizations");
     }
+    /**
+     * Проект по идентификатору; слаг уходит в `resolveProject`.
+     *
+     * 🚨 Справки `env`, `domains`, `perf`, `analytics`, `db` обещают
+     * `--project <id|slug>`, а слаг уезжал в путь как есть: сырой 422 «Input
+     * should be a valid UUID», и деплой следом собирался без переменных (G-10,
+     * 26.10). Резолв по форме — здесь, один раз для всех команд.
+     */
     getProject(idOrSlug) {
+        if (!looksLikeId(idOrSlug))
+            return this.resolveProject(idOrSlug);
         return this.request("GET", `/projects/${idOrSlug}`);
     }
     /**
@@ -305,6 +315,14 @@ export class ApiClient {
     setDataLevels(org, dbId, input) {
         return this.request("POST", `/organizations/${org}/databases/${dbId}/api/levels`, input);
     }
+    /** Вход (схема `auth`, `auth.uid()`) — та же ручка, что у кнопки панели (G-05). */
+    enableDataAuth(org, dbId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/auth/enable`, {});
+    }
+    /** Файлы (схема `storage`) — та же ручка, что у кнопки панели (G-05). */
+    enableDataStorage(org, dbId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/storage/enable`);
+    }
     enableDataApi(org, dbId, withSecret) {
         return this.request("POST", `/organizations/${org}/databases/${dbId}/api/enable?with_secret=${withSecret ? "true" : "false"}`);
     }

package/dist/commands/data-api.js

@@ -305,8 +305,12 @@ export async function dataMethodsCmd(opts) {
     if (res.tables.length)
         console.log(chalk.bold("REST"));
     for (const t of res.tables) {
+        // Право на часть колонок — рядом с уровнем (G-09): уровень честный, но
+        // писать можно не всё; панель зовёт это «частичный доступ».
+        const partly = new Set(t.column_only ?? []);
         const levels = Object.entries(t.levels)
-            .map(([m, l]) => `${m} ${l === "closed" ? chalk.dim(LEVEL_WORD[l]) : LEVEL_WORD[l] ?? l}`)
+            .map(([m, l]) => `${m} ${l === "closed" ? chalk.dim(LEVEL_WORD[l]) : LEVEL_WORD[l] ?? l}` +
+            (partly.has(m) ? chalk.dim(" (часть колонок)") : ""))
             .join(" · ");
         const view = t.kind === "view" ? chalk.dim(" (представление)") : "";
         const profile = t.shadowed_by
@@ -465,11 +469,36 @@ const REPAIR_LOSS = "роли Data API и права по умолчанию б
  * именно его советуют отказы «роли Data API в базе нет — включите API заново». Он
  * требует явного `--db` и подтверждения с предупреждением о `public`.
  */
+/** Вход и файлы базы — ручками панели. `quiet` — итог печатает включение API. */
+async function enableExtras(api, org, db, ref, opts, quiet = false) {
+    if (opts.auth)
+        await api.enableDataAuth(org, db.id);
+    if (opts.storage)
+        await api.enableDataStorage(org, db.id);
+    if (asJson(opts)) {
+        emit({ event: "data_services_enabled", org, database: ref, auth: Boolean(opts.auth), storage: Boolean(opts.storage) });
+        return;
+    }
+    if (quiet && !opts.auth && !opts.storage)
+        return;
+    if (opts.auth) {
+        console.log(`${chalk.green("✓")} вход включён у базы «${db.name}»: схема auth и auth.uid() появились — миграции с политиками можно гнать`);
+    }
+    if (opts.storage) {
+        console.log(`${chalk.green("✓")} файлы включены у базы «${db.name}»: схема storage, бакеты — в панели или SQL (storage.buckets)`);
+    }
+}
 export async function dataEnableCmd(opts) {
     if (opts.repair && !opts.db) {
         throw new LayeroError("database_unknown", `переприменение Data API меняет умолчания прав у ролей базы — базу нужно указать явно`, "layero data enable --db <база> --repair");
     }
     const { api, org, db, ref } = await target(opts, "enable");
+    // Вход и файлы — тем же шагом (G-05, 26.10): миграция с `auth.uid()` в
+    // политиках иначе требовала кликов в панели, и стенд не описывался кодом.
+    if (db.api_enabled && !opts.repair && (opts.auth || opts.storage)) {
+        await enableExtras(api, org, db, ref, opts);
+        return;
+    }
     if (db.api_enabled && !opts.repair) {
         throw new LayeroError("data_api_already_enabled", `у базы «${db.name}» Data API уже включён — повторное включение ничего не выпускает, а ${REPAIR_LOSS}`, 
         // `--with-secret` здесь ничего не выпустит: секретный ключ выпускается отдельной командой.
@@ -491,6 +520,8 @@ export async function dataEnableCmd(opts) {
         }
     }
     const res = await api.enableDataApi(org, db.id, Boolean(opts.withSecret));
+    if (opts.auth || opts.storage)
+        await enableExtras(api, org, db, ref, opts, true);
     const publicKey = res.key?.key ?? null;
     const secretKey = res.secret_key?.key ?? null;
     const reapplied = Boolean(opts.repair);
@@ -541,7 +572,8 @@ export async function dataEnableCmd(opts) {
         console.log(chalk.dim(`  ключи уже были — список: layero data keys list --db ${ref}`));
     if (!reapplied) {
         console.log(chalk.dim("\n  Как в Supabase: новые таблицы public открыты ролям, строки решает RLS — включайте его у " +
-            "каждой таблицы. Что открыто: layero data methods"));
+            "каждой таблицы. Что открыто: layero data methods\n" +
+            `  Вход (auth.uid() в политиках) и файлы: layero data enable --db ${shellArg(ref)} --auth --storage`));
     }
 }
 /**
@@ -604,6 +636,8 @@ export function registerDataApiCommands(data, program) {
         .description("Enable the Data API for a database: sets up the api schema and roles, issues a public key. " +
         "As in Supabase, new tables, sequences and functions in public are open to the API roles; rows are decided by RLS.")
         .option("--with-secret", "also issue a secret key for the server")
+        .option("--auth", "also enable sign-in: the auth schema and auth.uid() for RLS policies")
+        .option("--storage", "also enable files: the storage schema (buckets, storage.objects)")
         .option("--repair", "re-apply the roles and the api schema for a database whose Data API is already enabled; table grants are kept, default privileges for new tables are removed")
         .option("-y, --yes", "do not ask for confirmation for --repair")).action(async (opts) => dataEnableCmd(json(opts)));
     registerDataProbeCommand(data, withDb, json);

package/dist/commands/data-probe.js

@@ -525,7 +525,9 @@ export function registerDataProbeCommand(data, withDb, json) {
         .option("--body-file <file>", "body from a JSON file")
         .option("--schema <schema>", "table schema: api, public or app; without the flag the gateway looks in api, then public, then app")
         .option("--expect <status>", "expected status: 200, 2xx or a comma-separated list; a mismatch is an error")
-        .addHelpText("after", "\nPaths: /rest/v1/<table>, /rest/v1/rpc/<function> (GET or POST), /whoami (GET only).\n" +
+        .addHelpText("after", "\nPaths: /rest/v1/<table>, /rest/v1/rpc/<function> (GET or POST), /whoami (GET only),\n" +
+        "files without writing: POST /storage/v1/object/list/<bucket>, GET /storage/v1/object/info/<bucket>/<path>,\n" +
+        "POST /storage/v1/object/sign/<bucket>/<path> (read), POST /storage/v1/object/upload/sign/<bucket>/<path> (may upload?).\n" +
         "Pass parameters as --query flags, not with a \"?\" in the path.\n" +
         "\nExamples:\n" +
         "  $ layero data probe GET /rest/v1/products --query select=id,title --query limit=5\n" +
@@ -533,6 +535,7 @@ export function registerDataProbeCommand(data, withDb, json) {
         "  $ layero data probe POST /rest/v1/rpc/order_create --body-file order.json --as server\n" +
         "  $ layero data probe GET /rest/v1/orders --expect 401,403   # is it closed to visitors?\n" +
         "  $ layero data probe GET /whoami\n" +
+        "  $ layero data probe POST /storage/v1/object/list/avatars --as user --user <id>   # whose files are visible\n" +
         `\nWrites are rolled back. Not rolled back: ${NOT_UNDONE_HELP}.\n` +
         "\nExit code, decided in this order:\n" +
         "  1. the write rollback was not confirmed — error data_probe_not_rolled_back;\n" +

package/dist/commands/db.js

@@ -247,9 +247,16 @@ export async function dbConnectCmd(ref, opts) {
     // из `userdb_roles`. Пока здесь говорилось только про переменные, человек,
     // у которого сайт отбивался по CORS, не имел ни одной причины связать это со
     // своей ненажатой командой — а отказ шлюза именно её и советует.
+    // 🚨 Что именно приедет и куда (G-11, 26.10). Клиент со статическим сайтом
+    // увидел в переменных строку с паролем, не увидел ключей Data API и положил
+    // их руками. А строка подключения в сборку не попадает вовсе — только в
+    // контейнер серверного приложения, — адрес и ключ платформа кладёт в сборку сама.
     console.log(`${chalk.green("✓")} проект «${project.slug}» подключён к базе «${db.name}»\n` +
-        chalk.dim("  строка подключения приедет в переменные окружения проекта\n") +
-        chalk.dim(`  домены проекта разрешены для Data API базы «${db.name}»`));
+        chalk.dim(`  домены проекта разрешены для Data API базы «${db.name}»\n`) +
+        chalk.dim("  в сборку сайта платформа сама положит адрес и публичный ключ Data API:\n") +
+        chalk.dim("    VITE_LAYERO_DATA_URL / VITE_LAYERO_DATA_KEY (для Next.js — NEXT_PUBLIC_LAYERO_DATA_…);\n") +
+        chalk.dim("    у сайта без сборки — файл /layero-data.js. Класть их через env set не нужно\n") +
+        chalk.dim("  строка подключения с паролем — только серверному коду, в сборку и в браузер не попадает"));
 }
 export async function dbDisconnectCmd(ref, opts) {
     // 🚨 ОБРАТНОГО ДЕЙСТВИЯ НЕ БЫЛО ВОВСЕ. `db connect` существовал с самого

package/dist/commands/env.js

@@ -24,7 +24,14 @@ export async function envListCmd(opts) {
         emit({
             event: "env_vars",
             project: project.slug,
-            vars: rows.map((r) => ({ key: r.key, length: r.length, managed: !!r.managed })),
+            vars: rows.map((r) => ({
+                key: r.key,
+                length: r.length,
+                managed: !!r.managed,
+                // Куда платформа кладёт свою переменную (G-11): `runtime` — только в
+                // контейнер сервера, в сборку не попадает; `build` — в сборку сайта.
+                ...(r.managed ? { scope: r.scope ?? null } : {}),
+            })),
         });
         return;
     }
@@ -38,8 +45,9 @@ export async function envListCmd(opts) {
     // базе — часть ответа. Но менять её нельзя: она пересобирается из связи
     // проекта с базой, и предложить правку значило бы пообещать несбыточное.
     for (const r of rows) {
+        const where = r.scope === "build" ? ", в сборку сайта" : r.scope === "runtime" ? ", только серверу — в сборку не попадает" : "";
         const tail = r.managed
-            ? chalk.dim(`  (${r.length} симв., ставит платформа)`)
+            ? chalk.dim(`  (${r.length} симв., ставит платформа${where})`)
             : chalk.dim(`  (${r.length} симв.)`);
         console.log(`${r.key}${tail}`);
     }

package/dist/detect.js

@@ -665,6 +665,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
     let confident = declared || plan.confident;
     let shape = null;
     const notes = [];
+    let skippedBuild = null;
     let flagNextAction;
     if (framework === "static") {
         // Статика не собирается НИКОГДА: команда сборки у неё не «true», а
@@ -678,6 +679,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
         if (await rootHasIndexHtml(cwd)) {
             confident = true;
             if (buildScript && !declared) {
+                skippedBuild = buildScript;
                 notes.push(`package.json has a build script (\`${buildScript}\`), but a static site is served as it is and the script is not run. ` +
                     'If it must run: layero.json {"framework":"generic","buildCommand":"npm run build","outputDirectory":"<folder>"}.');
             }
@@ -761,6 +763,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
         ...(shape?.next_action ?? flagNextAction ? { next_action: shape?.next_action ?? flagNextAction } : {}),
         ...(shape?.candidates?.length ? { candidates: shape.candidates } : {}),
         ...(warning ? { ssr_warning: warning } : {}),
+        ...(skippedBuild ? { skipped_build_script: skippedBuild } : {}),
     };
 }
 /** Событие `detected` — одно на `init`, `deploy` и `deploy --dry-run`. */
@@ -778,5 +781,6 @@ export function detectedEvent(d) {
         ...(d.candidates?.length ? { candidates: d.candidates } : {}),
         ...(d.ssr_warning ? { ssr_warning: d.ssr_warning } : {}),
         ...(d.layero_warnings?.length ? { layero_warnings: d.layero_warnings } : {}),
+        ...(d.skipped_build_script ? { skipped_build_script: d.skipped_build_script } : {}),
     };
 }

package/dist/logs.js

@@ -60,6 +60,7 @@ export async function streamDeployLogs(api, deployId) {
     const announced = new Set();
     const startedAt = Date.now();
     let lastQueuedAt = startedAt;
+    let queueShown = false;
     const sleep = (ms) => new Promise((res) => setTimeout(res, retryDelayScale() * ms));
     const announce = (name) => {
         if (name === lastStage || announced.has(name))
@@ -120,12 +121,32 @@ export async function streamDeployLogs(api, deployId) {
         }
         if (poll.current_stage)
             announce(poll.current_stage);
-        if (json &&
-            poll.status === "queued" &&
+        if (poll.status === "queued" &&
             announced.size === 0 &&
-            Date.now() - lastQueuedAt >= QUEUED_EVERY_MS) {
+            (Date.now() - lastQueuedAt >= QUEUED_EVERY_MS || (!queueShown && poll.queue_message))) {
             lastQueuedAt = Date.now();
-            emit({ event: "queued", waited_s: Math.round((Date.now() - startedAt) / 1000) });
+            // 🚨 Место и оценка — от сервера (G-14, 26.10). Раньше человек видел
+            // тишину, а агент — один `waited_s`: восемь минут без причины читались
+            // как зависание, и деплой запускали ещё раз.
+            const q = (poll.queue ?? null);
+            const waited = Math.round((Date.now() - startedAt) / 1000);
+            if (json) {
+                emit({
+                    event: "queued",
+                    waited_s: waited,
+                    ...(q ? {
+                        position: q.position,
+                        ahead: q.ahead,
+                        running: q.running,
+                        estimated_wait_s: q.estimated_wait_s ?? null,
+                    } : {}),
+                    ...(poll.queue_message ? { message: poll.queue_message } : {}),
+                });
+            }
+            else if (poll.queue_message) {
+                process.stderr.write(chalk.dim(`… ${poll.queue_message}\n`));
+            }
+            queueShown = true;
         }
         if (poll.terminal) {
             return poll;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.11.18",
+  "version": "0.11.19",
   "description": "Layero CLI — deploy a directory or a repo to hosting with build servers in Russia. JSON events and exit codes for AI agents and CI.",
   "license": "MIT",
   "type": "module",