layero 0.11.18 → 0.11.20

package/dist/agent.js

@@ -142,6 +142,11 @@ function renderHuman(event) {
                 process.stdout.write(`  → ${event.next_action}\n`);
             for (const w of event.layero_warnings ?? [])
                 process.stdout.write(`! ${w}\n`);
+            if (event.skipped_build_script) {
+                process.stderr.write(`\n⚠ Это статика: скрипт сборки «${event.skipped_build_script}» из package.json НЕ запустится,\n` +
+                    "  файлы уйдут как есть. Если сайт надо собрать, добавьте layero.json:\n" +
+                    '  {"framework":"generic","buildCommand":"npm run build","outputDirectory":"<папка с index.html после сборки>"}\n\n');
+            }
             break;
         case "plan": {
             const src = event.sources;

package/dist/api.js

@@ -74,7 +74,17 @@ export class ApiClient {
     listOrganizations() {
         return this.request("GET", "/organizations");
     }
+    /**
+     * Проект по идентификатору; слаг уходит в `resolveProject`.
+     *
+     * 🚨 Справки `env`, `domains`, `perf`, `analytics`, `db` обещают
+     * `--project <id|slug>`, а слаг уезжал в путь как есть: сырой 422 «Input
+     * should be a valid UUID», и деплой следом собирался без переменных (G-10,
+     * 26.10). Резолв по форме — здесь, один раз для всех команд.
+     */
     getProject(idOrSlug) {
+        if (!looksLikeId(idOrSlug))
+            return this.resolveProject(idOrSlug);
         return this.request("GET", `/projects/${idOrSlug}`);
     }
     /**
@@ -266,7 +276,7 @@ export class ApiClient {
     removeDataOrigin(org, dbId, origin) {
         return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/origins?origin=${encodeURIComponent(origin)}`);
     }
-    // ── исходящие вызовы (G-12): секреты, хосты, описания ──────────────────
+    // ── секреты (HTTP из SQL и вход) и журнал запросов ─────────────────────
     listDataSecrets(org, dbId) {
         return this.request("GET", `/organizations/${org}/databases/${dbId}/api/secrets`);
     }
@@ -277,34 +287,20 @@ export class ApiClient {
     deleteDataSecret(org, dbId, name) {
         return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/secrets/${encodeURIComponent(name)}`);
     }
-    listDataHosts(org, dbId) {
-        return this.request("GET", `/organizations/${org}/databases/${dbId}/api/hosts`);
-    }
-    addDataHost(org, dbId, host) {
-        const body = { host };
-        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/hosts`, body);
-    }
-    deleteDataHost(org, dbId, host) {
-        return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/hosts/${encodeURIComponent(host)}`);
-    }
-    listDataCalls(org, dbId) {
-        return this.request("GET", `/organizations/${org}/databases/${dbId}/api/calls`);
-    }
-    saveDataCall(org, dbId, call) {
-        return this.request("PUT", `/organizations/${org}/databases/${dbId}/api/calls`, call);
-    }
-    deleteDataCall(org, dbId, name) {
-        return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/calls/${encodeURIComponent(name)}`);
-    }
-    listDataCallLog(org, dbId, limit = 20) {
-        return this.request("GET", `/organizations/${org}/databases/${dbId}/api/call-log?limit=${limit}`);
-    }
     listDataMethods(org, dbId) {
         return this.request("GET", `/organizations/${org}/databases/${dbId}/api/methods`);
     }
     setDataLevels(org, dbId, input) {
         return this.request("POST", `/organizations/${org}/databases/${dbId}/api/levels`, input);
     }
+    /** Вход (схема `auth`, `auth.uid()`) — та же ручка, что у кнопки панели (G-05). */
+    enableDataAuth(org, dbId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/auth/enable`, {});
+    }
+    /** Файлы (схема `storage`) — та же ручка, что у кнопки панели (G-05). */
+    enableDataStorage(org, dbId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/storage/enable`);
+    }
     enableDataApi(org, dbId, withSecret) {
         return this.request("POST", `/organizations/${org}/databases/${dbId}/api/enable?with_secret=${withSecret ? "true" : "false"}`);
     }

package/dist/commands/data-api.js

@@ -20,7 +20,7 @@ import { loadConfig } from "../config.js";
 import { LayeroError, detectMode, emit } from "../agent.js";
 import { orgOf, pick } from "./db.js";
 import { registerDataProbeCommand } from "./data-probe.js";
-import { registerDataCallsCommands } from "./data-calls.js";
+import { registerDataSecretsCommands } from "./data-secrets.js";
 const LEVELS = ["closed", "visitor", "user", "server"];
 const LEVEL_WORD = {
     closed: "закрыто",
@@ -305,8 +305,12 @@ export async function dataMethodsCmd(opts) {
     if (res.tables.length)
         console.log(chalk.bold("REST"));
     for (const t of res.tables) {
+        // Право на часть колонок — рядом с уровнем (G-09): уровень честный, но
+        // писать можно не всё; панель зовёт это «частичный доступ».
+        const partly = new Set(t.column_only ?? []);
         const levels = Object.entries(t.levels)
-            .map(([m, l]) => `${m} ${l === "closed" ? chalk.dim(LEVEL_WORD[l]) : LEVEL_WORD[l] ?? l}`)
+            .map(([m, l]) => `${m} ${l === "closed" ? chalk.dim(LEVEL_WORD[l]) : LEVEL_WORD[l] ?? l}` +
+            (partly.has(m) ? chalk.dim(" (часть колонок)") : ""))
             .join(" · ");
         const view = t.kind === "view" ? chalk.dim(" (представление)") : "";
         const profile = t.shadowed_by
@@ -465,11 +469,36 @@ const REPAIR_LOSS = "роли Data API и права по умолчанию б
  * именно его советуют отказы «роли Data API в базе нет — включите API заново». Он
  * требует явного `--db` и подтверждения с предупреждением о `public`.
  */
+/** Вход и файлы базы — ручками панели. `quiet` — итог печатает включение API. */
+async function enableExtras(api, org, db, ref, opts, quiet = false) {
+    if (opts.auth)
+        await api.enableDataAuth(org, db.id);
+    if (opts.storage)
+        await api.enableDataStorage(org, db.id);
+    if (asJson(opts)) {
+        emit({ event: "data_services_enabled", org, database: ref, auth: Boolean(opts.auth), storage: Boolean(opts.storage) });
+        return;
+    }
+    if (quiet && !opts.auth && !opts.storage)
+        return;
+    if (opts.auth) {
+        console.log(`${chalk.green("✓")} вход включён у базы «${db.name}»: схема auth и auth.uid() появились — миграции с политиками можно гнать`);
+    }
+    if (opts.storage) {
+        console.log(`${chalk.green("✓")} файлы включены у базы «${db.name}»: схема storage, бакеты — в панели или SQL (storage.buckets)`);
+    }
+}
 export async function dataEnableCmd(opts) {
     if (opts.repair && !opts.db) {
         throw new LayeroError("database_unknown", `переприменение Data API меняет умолчания прав у ролей базы — базу нужно указать явно`, "layero data enable --db <база> --repair");
     }
     const { api, org, db, ref } = await target(opts, "enable");
+    // Вход и файлы — тем же шагом (G-05, 26.10): миграция с `auth.uid()` в
+    // политиках иначе требовала кликов в панели, и стенд не описывался кодом.
+    if (db.api_enabled && !opts.repair && (opts.auth || opts.storage)) {
+        await enableExtras(api, org, db, ref, opts);
+        return;
+    }
     if (db.api_enabled && !opts.repair) {
         throw new LayeroError("data_api_already_enabled", `у базы «${db.name}» Data API уже включён — повторное включение ничего не выпускает, а ${REPAIR_LOSS}`, 
         // `--with-secret` здесь ничего не выпустит: секретный ключ выпускается отдельной командой.
@@ -491,6 +520,8 @@ export async function dataEnableCmd(opts) {
         }
     }
     const res = await api.enableDataApi(org, db.id, Boolean(opts.withSecret));
+    if (opts.auth || opts.storage)
+        await enableExtras(api, org, db, ref, opts, true);
     const publicKey = res.key?.key ?? null;
     const secretKey = res.secret_key?.key ?? null;
     const reapplied = Boolean(opts.repair);
@@ -541,7 +572,8 @@ export async function dataEnableCmd(opts) {
         console.log(chalk.dim(`  ключи уже были — список: layero data keys list --db ${ref}`));
     if (!reapplied) {
         console.log(chalk.dim("\n  Как в Supabase: новые таблицы public открыты ролям, строки решает RLS — включайте его у " +
-            "каждой таблицы. Что открыто: layero data methods"));
+            "каждой таблицы. Что открыто: layero data methods\n" +
+            `  Вход (auth.uid() в политиках) и файлы: layero data enable --db ${shellArg(ref)} --auth --storage`));
     }
 }
 /**
@@ -604,8 +636,10 @@ export function registerDataApiCommands(data, program) {
         .description("Enable the Data API for a database: sets up the api schema and roles, issues a public key. " +
         "As in Supabase, new tables, sequences and functions in public are open to the API roles; rows are decided by RLS.")
         .option("--with-secret", "also issue a secret key for the server")
+        .option("--auth", "also enable sign-in: the auth schema and auth.uid() for RLS policies")
+        .option("--storage", "also enable files: the storage schema (buckets, storage.objects)")
         .option("--repair", "re-apply the roles and the api schema for a database whose Data API is already enabled; table grants are kept, default privileges for new tables are removed")
         .option("-y, --yes", "do not ask for confirmation for --repair")).action(async (opts) => dataEnableCmd(json(opts)));
     registerDataProbeCommand(data, withDb, json);
-    registerDataCallsCommands(data, withDb, json);
+    registerDataSecretsCommands(data, withDb, json);
 }

package/dist/commands/data-probe.js

@@ -525,7 +525,9 @@ export function registerDataProbeCommand(data, withDb, json) {
         .option("--body-file <file>", "body from a JSON file")
         .option("--schema <schema>", "table schema: api, public or app; without the flag the gateway looks in api, then public, then app")
         .option("--expect <status>", "expected status: 200, 2xx or a comma-separated list; a mismatch is an error")
-        .addHelpText("after", "\nPaths: /rest/v1/<table>, /rest/v1/rpc/<function> (GET or POST), /whoami (GET only).\n" +
+        .addHelpText("after", "\nPaths: /rest/v1/<table>, /rest/v1/rpc/<function> (GET or POST), /whoami (GET only),\n" +
+        "files without writing: POST /storage/v1/object/list/<bucket>, GET /storage/v1/object/info/<bucket>/<path>,\n" +
+        "POST /storage/v1/object/sign/<bucket>/<path> (read), POST /storage/v1/object/upload/sign/<bucket>/<path> (may upload?).\n" +
         "Pass parameters as --query flags, not with a \"?\" in the path.\n" +
         "\nExamples:\n" +
         "  $ layero data probe GET /rest/v1/products --query select=id,title --query limit=5\n" +
@@ -533,6 +535,7 @@ export function registerDataProbeCommand(data, withDb, json) {
         "  $ layero data probe POST /rest/v1/rpc/order_create --body-file order.json --as server\n" +
         "  $ layero data probe GET /rest/v1/orders --expect 401,403   # is it closed to visitors?\n" +
         "  $ layero data probe GET /whoami\n" +
+        "  $ layero data probe POST /storage/v1/object/list/avatars --as user --user <id>   # whose files are visible\n" +
         `\nWrites are rolled back. Not rolled back: ${NOT_UNDONE_HELP}.\n` +
         "\nExit code, decided in this order:\n" +
         "  1. the write rollback was not confirmed — error data_probe_not_rolled_back;\n" +

package/dist/commands/data-secrets.js

@@ -0,0 +1,116 @@
+import readline from "node:readline/promises";
+import chalk from "chalk";
+import { LayeroError, detectMode, emit } from "../agent.js";
+import { target } from "./data-api.js";
+function asJson(opts) {
+    return detectMode().json || Boolean(opts.json);
+}
+async function readStdin() {
+    const chunks = [];
+    for await (const chunk of process.stdin)
+        chunks.push(chunk);
+    return Buffer.concat(chunks).toString("utf8").replace(/\r?\n$/, "");
+}
+/** Ввод без эха: символы не печатаются, как у `sudo`. */
+async function askHidden(question) {
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout, terminal: true });
+    const out = rl;
+    let prompted = false;
+    out._writeToOutput = (s) => {
+        if (!prompted) {
+            process.stdout.write(s);
+            prompted = true;
+        }
+    };
+    try {
+        return await rl.question(question);
+    }
+    finally {
+        rl.close();
+        process.stdout.write("\n");
+    }
+}
+async function confirmed(question, opts) {
+    if (opts.yes)
+        return true;
+    const mode = detectMode();
+    if (!mode.interactive || asJson(opts))
+        return null;
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+    try {
+        const answer = (await rl.question(`${question} [y/N]: `)).trim().toLowerCase();
+        return answer === "y" || answer === "yes";
+    }
+    finally {
+        rl.close();
+    }
+}
+function notConfirmed(what, command) {
+    return new LayeroError("confirmation_required", `${what} не подтверждено`, `повторите с --yes: ${command} --yes`);
+}
+// ── секреты ─────────────────────────────────────────────────────────────────
+export async function dataSecretsListCmd(opts) {
+    const { api, org, db, ref } = await target(opts);
+    const names = (await api.listDataSecrets(org, db.id)).map((s) => s.name);
+    if (asJson(opts)) {
+        emit({ event: "data_secrets", org, database: ref, secrets: names });
+        return;
+    }
+    console.log(chalk.bold("Секреты") + chalk.dim(" — только имена, значения не показываются никогда"));
+    if (names.length)
+        for (const n of names)
+            console.log(`  ${n}`);
+    else
+        console.log(chalk.dim(`  нет — задать: layero data secrets set TELEGRAM_BOT_TOKEN --db ${ref}`));
+}
+export async function dataSecretsSetCmd(name, opts) {
+    let value;
+    if (opts.fromEnv) {
+        value = process.env[opts.fromEnv];
+        if (!value)
+            throw new LayeroError("bad_format", `переменная окружения ${opts.fromEnv} пуста или не задана`, "задайте её или передайте значение через stdin");
+    }
+    else if (!process.stdin.isTTY) {
+        value = await readStdin();
+    }
+    else {
+        value = await askHidden(`значение ${name}: `);
+    }
+    if (!value) {
+        throw new LayeroError("bad_format", "пустое значение секрета", `передайте значение через stdin: printf %s "$TOKEN" | layero data secrets set ${name}`);
+    }
+    const { api, org, db, ref } = await target(opts);
+    await api.setDataSecret(org, db.id, name, value);
+    if (asJson(opts)) {
+        emit({ event: "data_secret_set", org, database: ref, name });
+        return;
+    }
+    console.log(`${chalk.green("✓")} секрет ${name} сохранён — в вызове: {{secrets.${name}}}`);
+}
+export async function dataSecretsRemoveCmd(name, opts) {
+    const { api, org, db, ref } = await target(opts);
+    const ok = await confirmed(`удалить секрет ${name}? Вызовы, которые его подставляют, начнут отказывать`, opts);
+    if (ok === null)
+        throw notConfirmed(`удаление секрета ${name}`, `layero data secrets remove ${name} --db ${ref}`);
+    if (!ok) {
+        console.log(chalk.yellow("отменено."));
+        return;
+    }
+    await api.deleteDataSecret(org, db.id, name);
+    if (asJson(opts)) {
+        emit({ event: "data_secret_removed", org, database: ref, name });
+        return;
+    }
+    console.log(`${chalk.green("✓")} секрет ${name} удалён`);
+}
+export function registerDataSecretsCommands(data, withDb, json) {
+    const secrets = data.command("secrets").description("Secrets substituted into net.http_* requests as {{secrets.NAME}}. Values are never shown.");
+    withDb(secrets.command("list").description("Secret names.")).action(async (opts) => dataSecretsListCmd(json(opts)));
+    withDb(secrets
+        .command("set <name>")
+        .description("Set a secret. The value is read from stdin, from --from-env, or typed without echo.")
+        .option("--from-env <var>", "take the value from this environment variable")
+        .addHelpText("after", '\nExample:\n  $ printf %s "$BOT_TOKEN" | layero data secrets set TELEGRAM_BOT_TOKEN')).action(async (name, opts) => dataSecretsSetCmd(name, json(opts)));
+    withDb(secrets.command("remove <name>").description("Delete a secret.").option("-y, --yes", "do not ask for confirmation"))
+        .action(async (name, opts) => dataSecretsRemoveCmd(name, json(opts)));
+}

package/dist/commands/db.js

@@ -247,9 +247,16 @@ export async function dbConnectCmd(ref, opts) {
     // из `userdb_roles`. Пока здесь говорилось только про переменные, человек,
     // у которого сайт отбивался по CORS, не имел ни одной причины связать это со
     // своей ненажатой командой — а отказ шлюза именно её и советует.
+    // 🚨 Что именно приедет и куда (G-11, 26.10). Клиент со статическим сайтом
+    // увидел в переменных строку с паролем, не увидел ключей Data API и положил
+    // их руками. А строка подключения в сборку не попадает вовсе — только в
+    // контейнер серверного приложения, — адрес и ключ платформа кладёт в сборку сама.
     console.log(`${chalk.green("✓")} проект «${project.slug}» подключён к базе «${db.name}»\n` +
-        chalk.dim("  строка подключения приедет в переменные окружения проекта\n") +
-        chalk.dim(`  домены проекта разрешены для Data API базы «${db.name}»`));
+        chalk.dim(`  домены проекта разрешены для Data API базы «${db.name}»\n`) +
+        chalk.dim("  в сборку сайта платформа сама положит адрес и публичный ключ Data API:\n") +
+        chalk.dim("    VITE_LAYERO_DATA_URL / VITE_LAYERO_DATA_KEY (для Next.js — NEXT_PUBLIC_LAYERO_DATA_…);\n") +
+        chalk.dim("    у сайта без сборки — файл /layero-data.js. Класть их через env set не нужно\n") +
+        chalk.dim("  строка подключения с паролем — только серверному коду, в сборку и в браузер не попадает"));
 }
 export async function dbDisconnectCmd(ref, opts) {
     // 🚨 ОБРАТНОГО ДЕЙСТВИЯ НЕ БЫЛО ВОВСЕ. `db connect` существовал с самого

package/dist/commands/env.js

@@ -24,7 +24,14 @@ export async function envListCmd(opts) {
         emit({
             event: "env_vars",
             project: project.slug,
-            vars: rows.map((r) => ({ key: r.key, length: r.length, managed: !!r.managed })),
+            vars: rows.map((r) => ({
+                key: r.key,
+                length: r.length,
+                managed: !!r.managed,
+                // Куда платформа кладёт свою переменную (G-11): `runtime` — только в
+                // контейнер сервера, в сборку не попадает; `build` — в сборку сайта.
+                ...(r.managed ? { scope: r.scope ?? null } : {}),
+            })),
         });
         return;
     }
@@ -38,8 +45,9 @@ export async function envListCmd(opts) {
     // базе — часть ответа. Но менять её нельзя: она пересобирается из связи
     // проекта с базой, и предложить правку значило бы пообещать несбыточное.
     for (const r of rows) {
+        const where = r.scope === "build" ? ", в сборку сайта" : r.scope === "runtime" ? ", только серверу — в сборку не попадает" : "";
         const tail = r.managed
-            ? chalk.dim(`  (${r.length} симв., ставит платформа)`)
+            ? chalk.dim(`  (${r.length} симв., ставит платформа${where})`)
             : chalk.dim(`  (${r.length} симв.)`);
         console.log(`${r.key}${tail}`);
     }

package/dist/detect.js

@@ -665,6 +665,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
     let confident = declared || plan.confident;
     let shape = null;
     const notes = [];
+    let skippedBuild = null;
     let flagNextAction;
     if (framework === "static") {
         // Статика не собирается НИКОГДА: команда сборки у неё не «true», а
@@ -678,6 +679,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
         if (await rootHasIndexHtml(cwd)) {
             confident = true;
             if (buildScript && !declared) {
+                skippedBuild = buildScript;
                 notes.push(`package.json has a build script (\`${buildScript}\`), but a static site is served as it is and the script is not run. ` +
                     'If it must run: layero.json {"framework":"generic","buildCommand":"npm run build","outputDirectory":"<folder>"}.');
             }
@@ -761,6 +763,7 @@ async function detectFromSnapshot(cwd, snap, opts) {
         ...(shape?.next_action ?? flagNextAction ? { next_action: shape?.next_action ?? flagNextAction } : {}),
         ...(shape?.candidates?.length ? { candidates: shape.candidates } : {}),
         ...(warning ? { ssr_warning: warning } : {}),
+        ...(skippedBuild ? { skipped_build_script: skippedBuild } : {}),
     };
 }
 /** Событие `detected` — одно на `init`, `deploy` и `deploy --dry-run`. */
@@ -778,5 +781,6 @@ export function detectedEvent(d) {
         ...(d.candidates?.length ? { candidates: d.candidates } : {}),
         ...(d.ssr_warning ? { ssr_warning: d.ssr_warning } : {}),
         ...(d.layero_warnings?.length ? { layero_warnings: d.layero_warnings } : {}),
+        ...(d.skipped_build_script ? { skipped_build_script: d.skipped_build_script } : {}),
     };
 }

package/dist/logs.js

@@ -60,6 +60,7 @@ export async function streamDeployLogs(api, deployId) {
     const announced = new Set();
     const startedAt = Date.now();
     let lastQueuedAt = startedAt;
+    let queueShown = false;
     const sleep = (ms) => new Promise((res) => setTimeout(res, retryDelayScale() * ms));
     const announce = (name) => {
         if (name === lastStage || announced.has(name))
@@ -120,12 +121,32 @@ export async function streamDeployLogs(api, deployId) {
         }
         if (poll.current_stage)
             announce(poll.current_stage);
-        if (json &&
-            poll.status === "queued" &&
+        if (poll.status === "queued" &&
             announced.size === 0 &&
-            Date.now() - lastQueuedAt >= QUEUED_EVERY_MS) {
+            (Date.now() - lastQueuedAt >= QUEUED_EVERY_MS || (!queueShown && poll.queue_message))) {
             lastQueuedAt = Date.now();
-            emit({ event: "queued", waited_s: Math.round((Date.now() - startedAt) / 1000) });
+            // 🚨 Место и оценка — от сервера (G-14, 26.10). Раньше человек видел
+            // тишину, а агент — один `waited_s`: восемь минут без причины читались
+            // как зависание, и деплой запускали ещё раз.
+            const q = (poll.queue ?? null);
+            const waited = Math.round((Date.now() - startedAt) / 1000);
+            if (json) {
+                emit({
+                    event: "queued",
+                    waited_s: waited,
+                    ...(q ? {
+                        position: q.position,
+                        ahead: q.ahead,
+                        running: q.running,
+                        estimated_wait_s: q.estimated_wait_s ?? null,
+                    } : {}),
+                    ...(poll.queue_message ? { message: poll.queue_message } : {}),
+                });
+            }
+            else if (poll.queue_message) {
+                process.stderr.write(chalk.dim(`… ${poll.queue_message}\n`));
+            }
+            queueShown = true;
         }
         if (poll.terminal) {
             return poll;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.11.18",
+  "version": "0.11.20",
   "description": "Layero CLI — deploy a directory or a repo to hosting with build servers in Russia. JSON events and exit codes for AI agents and CI.",
   "license": "MIT",
   "type": "module",

package/dist/commands/data-calls.js

@@ -1,286 +0,0 @@
-// `layero data hosts | secrets | calls` — исходящие вызовы базы из терминала
-// (G-12, 26.10.2026).
-//
-// 🚨 Зачем. Механизм был только у сервера: документация звала в раздел панели,
-// которого не было, а CLI и MCP о нём не знали. Строки `api.outbox` у клиента
-// ложились в `failed: вызов не описан`, и обещанные уведомления в Telegram без
-// своего сервера не запускались. Теперь всё описывается кодом:
-//
-//   layero data hosts add api.telegram.org
-//   layero data secrets set TELEGRAM_BOT_TOKEN        # значение — со stdin
-//   layero data calls set --file telegram_notify.json
-//
-// ⚠️ Значение секрета НЕ принимается аргументом: аргумент оседает в истории
-// shell и в списке процессов. Только stdin, переменная окружения или ввод без
-// эха в терминале.
-import { readFile } from "node:fs/promises";
-import readline from "node:readline/promises";
-import chalk from "chalk";
-import { LayeroError, detectMode, emit } from "../agent.js";
-import { target } from "./data-api.js";
-function asJson(opts) {
-    return detectMode().json || Boolean(opts.json);
-}
-async function readStdin() {
-    const chunks = [];
-    for await (const chunk of process.stdin)
-        chunks.push(chunk);
-    return Buffer.concat(chunks).toString("utf8").replace(/\r?\n$/, "");
-}
-/** Ввод без эха: символы не печатаются, как у `sudo`. */
-async function askHidden(question) {
-    const rl = readline.createInterface({ input: process.stdin, output: process.stdout, terminal: true });
-    const out = rl;
-    let prompted = false;
-    out._writeToOutput = (s) => {
-        if (!prompted) {
-            process.stdout.write(s);
-            prompted = true;
-        }
-    };
-    try {
-        return await rl.question(question);
-    }
-    finally {
-        rl.close();
-        process.stdout.write("\n");
-    }
-}
-async function confirmed(question, opts) {
-    if (opts.yes)
-        return true;
-    const mode = detectMode();
-    if (!mode.interactive || asJson(opts))
-        return null;
-    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
-    try {
-        const answer = (await rl.question(`${question} [y/N]: `)).trim().toLowerCase();
-        return answer === "y" || answer === "yes";
-    }
-    finally {
-        rl.close();
-    }
-}
-function notConfirmed(what, command) {
-    return new LayeroError("confirmation_required", `${what} не подтверждено`, `повторите с --yes: ${command} --yes`);
-}
-// ── хосты ───────────────────────────────────────────────────────────────────
-export async function dataHostsListCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const hosts = (await api.listDataHosts(org, db.id)).map((h) => h.host);
-    if (asJson(opts)) {
-        emit({ event: "data_hosts", org, database: ref, hosts });
-        return;
-    }
-    console.log(chalk.bold("Разрешённые хосты") + chalk.dim(" — куда шлюзу можно ходить"));
-    if (hosts.length)
-        for (const h of hosts)
-            console.log(`  ${h}`);
-    else
-        console.log(chalk.dim(`  нет — добавить: layero data hosts add api.telegram.org --db ${ref}`));
-}
-export async function dataHostsAddCmd(host, opts) {
-    const { api, org, db, ref } = await target(opts);
-    await api.addDataHost(org, db.id, host);
-    if (asJson(opts)) {
-        emit({ event: "data_host_added", org, database: ref, host });
-        return;
-    }
-    console.log(`${chalk.green("✓")} шлюз базы «${db.name}» может ходить на ${host}`);
-}
-export async function dataHostsRemoveCmd(host, opts) {
-    const { api, org, db, ref } = await target(opts);
-    const ok = await confirmed(`убрать ${host}? Вызовы на этот хост начнут отказывать`, opts);
-    if (ok === null)
-        throw notConfirmed(`удаление хоста ${host}`, `layero data hosts remove ${host} --db ${ref}`);
-    if (!ok) {
-        console.log(chalk.yellow("отменено."));
-        return;
-    }
-    await api.deleteDataHost(org, db.id, host);
-    if (asJson(opts)) {
-        emit({ event: "data_host_removed", org, database: ref, host });
-        return;
-    }
-    console.log(`${chalk.green("✓")} ${host} убран`);
-}
-// ── секреты ─────────────────────────────────────────────────────────────────
-export async function dataSecretsListCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const names = (await api.listDataSecrets(org, db.id)).map((s) => s.name);
-    if (asJson(opts)) {
-        emit({ event: "data_secrets", org, database: ref, secrets: names });
-        return;
-    }
-    console.log(chalk.bold("Секреты") + chalk.dim(" — только имена, значения не показываются никогда"));
-    if (names.length)
-        for (const n of names)
-            console.log(`  ${n}`);
-    else
-        console.log(chalk.dim(`  нет — задать: layero data secrets set TELEGRAM_BOT_TOKEN --db ${ref}`));
-}
-export async function dataSecretsSetCmd(name, opts) {
-    let value;
-    if (opts.fromEnv) {
-        value = process.env[opts.fromEnv];
-        if (!value)
-            throw new LayeroError("bad_format", `переменная окружения ${opts.fromEnv} пуста или не задана`, "задайте её или передайте значение через stdin");
-    }
-    else if (!process.stdin.isTTY) {
-        value = await readStdin();
-    }
-    else {
-        value = await askHidden(`значение ${name}: `);
-    }
-    if (!value) {
-        throw new LayeroError("bad_format", "пустое значение секрета", `передайте значение через stdin: printf %s "$TOKEN" | layero data secrets set ${name}`);
-    }
-    const { api, org, db, ref } = await target(opts);
-    await api.setDataSecret(org, db.id, name, value);
-    if (asJson(opts)) {
-        emit({ event: "data_secret_set", org, database: ref, name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} секрет ${name} сохранён — в вызове: {{secrets.${name}}}`);
-}
-export async function dataSecretsRemoveCmd(name, opts) {
-    const { api, org, db, ref } = await target(opts);
-    const ok = await confirmed(`удалить секрет ${name}? Вызовы, которые его подставляют, начнут отказывать`, opts);
-    if (ok === null)
-        throw notConfirmed(`удаление секрета ${name}`, `layero data secrets remove ${name} --db ${ref}`);
-    if (!ok) {
-        console.log(chalk.yellow("отменено."));
-        return;
-    }
-    await api.deleteDataSecret(org, db.id, name);
-    if (asJson(opts)) {
-        emit({ event: "data_secret_removed", org, database: ref, name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} секрет ${name} удалён`);
-}
-// ── вызовы ──────────────────────────────────────────────────────────────────
-/** Описание из файла → тело запроса. Те же поля, что на странице документации. */
-export function parseCallSpec(text, source) {
-    let raw;
-    try {
-        raw = JSON.parse(text);
-    }
-    catch {
-        throw new LayeroError("bad_format", `${source}: не JSON`, "описание вызова — JSON-объект с полями name и url_template");
-    }
-    if (!raw || typeof raw !== "object" || Array.isArray(raw)) {
-        throw new LayeroError("bad_format", `${source}: ожидался JSON-объект`, "описание вызова — JSON-объект с полями name и url_template");
-    }
-    for (const field of ["name", "url_template"]) {
-        if (typeof raw[field] !== "string" || !raw[field]) {
-            throw new LayeroError("bad_format", `${source}: нет поля ${field}`, "описание вызова — JSON-объект с полями name и url_template");
-        }
-    }
-    return {
-        name: raw.name,
-        method: typeof raw.method === "string" ? raw.method.toUpperCase() : "POST",
-        url_template: raw.url_template,
-        headers: raw.headers ?? null,
-        body_template: raw.body_template ?? null,
-        allow_anon: raw.allow_anon === true,
-        hourly_limit: Number.isInteger(raw.hourly_limit) ? raw.hourly_limit : 600,
-    };
-}
-export async function dataCallsListCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const calls = await api.listDataCalls(org, db.id);
-    if (asJson(opts)) {
-        emit({ event: "data_calls", org, database: ref, calls });
-        return;
-    }
-    if (!calls.length) {
-        console.log(chalk.dim(`вызовов нет — описать: layero data calls set --file call.json --db ${ref}`));
-        return;
-    }
-    for (const c of calls) {
-        console.log(`${chalk.bold(c.name)}  ${c.method} ${c.url_template}${c.allow_anon ? chalk.yellow("  публичный ключ") : ""}`);
-        console.log(chalk.dim(`  из базы: INSERT INTO api.outbox (call_name, args) VALUES ('${c.name}', …); с сайта: POST /call/${c.name}`));
-    }
-}
-export async function dataCallsSetCmd(opts) {
-    if (!opts.file) {
-        throw new LayeroError("bad_format", "не указан файл описания", "layero data calls set --file telegram_notify.json");
-    }
-    const text = opts.file === "-" ? await readStdin() : await readFile(opts.file, "utf8");
-    const call = parseCallSpec(text, opts.file === "-" ? "stdin" : opts.file);
-    const { api, org, db, ref } = await target(opts);
-    await api.saveDataCall(org, db.id, call);
-    if (asJson(opts)) {
-        emit({ event: "data_call_saved", org, database: ref, name: call.name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} вызов ${call.name} описан у базы «${db.name}»\n` +
-        chalk.dim(`  из базы: INSERT INTO api.outbox (call_name, args) VALUES ('${call.name}', '{…}'::jsonb)\n`) +
-        chalk.dim(`  журнал: layero data calls log --db ${ref}`));
-}
-export async function dataCallsRemoveCmd(name, opts) {
-    const { api, org, db, ref } = await target(opts);
-    const ok = await confirmed(`удалить вызов ${name}? Новые строки api.outbox с этим именем будут отклонены`, opts);
-    if (ok === null)
-        throw notConfirmed(`удаление вызова ${name}`, `layero data calls remove ${name} --db ${ref}`);
-    if (!ok) {
-        console.log(chalk.yellow("отменено."));
-        return;
-    }
-    await api.deleteDataCall(org, db.id, name);
-    if (asJson(opts)) {
-        emit({ event: "data_call_removed", org, database: ref, name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} вызов ${name} удалён`);
-}
-export async function dataCallsLogCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const limit = Math.min(Math.max(Number(opts.limit ?? 20) || 20, 1), 200);
-    const rows = await api.listDataCallLog(org, db.id, limit);
-    if (asJson(opts)) {
-        emit({ event: "data_call_log", org, database: ref, calls: rows });
-        return;
-    }
-    if (!rows.length) {
-        console.log(chalk.dim("вызовов ещё не было"));
-        return;
-    }
-    for (const r of rows) {
-        const verdict = r.error ? chalk.red(r.error) : r.status_code && r.status_code < 400 ? chalk.green(String(r.status_code)) : chalk.yellow(String(r.status_code ?? "—"));
-        console.log(`${r.at}  ${r.call_name}  ${r.mode === "queue" ? "очередь" : "синхронно"}  ${verdict}`);
-    }
-}
-export function registerDataCallsCommands(data, withDb, json) {
-    const hosts = data.command("hosts").description("Hosts the gateway may call for the database's outbound calls.");
-    withDb(hosts.command("list").description("Allowed hosts.")).action(async (opts) => dataHostsListCmd(json(opts)));
-    withDb(hosts.command("add <host>").description("Allow a host, e.g. api.telegram.org."))
-        .action(async (host, opts) => dataHostsAddCmd(host, json(opts)));
-    withDb(hosts.command("remove <host>").description("Remove a host.").option("-y, --yes", "do not ask for confirmation"))
-        .action(async (host, opts) => dataHostsRemoveCmd(host, json(opts)));
-    const secrets = data.command("secrets").description("Secrets substituted into outbound calls as {{secrets.NAME}}. Values are never shown.");
-    withDb(secrets.command("list").description("Secret names.")).action(async (opts) => dataSecretsListCmd(json(opts)));
-    withDb(secrets
-        .command("set <name>")
-        .description("Set a secret. The value is read from stdin, from --from-env, or typed without echo.")
-        .option("--from-env <var>", "take the value from this environment variable")
-        .addHelpText("after", '\nExample:\n  $ printf %s "$BOT_TOKEN" | layero data secrets set TELEGRAM_BOT_TOKEN')).action(async (name, opts) => dataSecretsSetCmd(name, json(opts)));
-    withDb(secrets.command("remove <name>").description("Delete a secret.").option("-y, --yes", "do not ask for confirmation"))
-        .action(async (name, opts) => dataSecretsRemoveCmd(name, json(opts)));
-    const calls = data.command("calls").description("Outbound calls: webhooks and Telegram from the database (api.outbox) or the site (POST /call/<name>).");
-    withDb(calls.command("list").description("Described calls.")).action(async (opts) => dataCallsListCmd(json(opts)));
-    withDb(calls
-        .command("set")
-        .description("Create or replace a call from a JSON description: name, method, url_template, headers, body_template, allow_anon.")
-        .option("--file <path>", "JSON file with the description, - for stdin")
-        .addHelpText("after", "\nThe host of url_template must be allowed first: layero data hosts add <host>.\n" +
-        "\nExample (telegram_notify.json):\n" +
-        '  {"name": "telegram_notify", "method": "POST",\n' +
-        '   "url_template": "https://api.telegram.org/bot{{secrets.TELEGRAM_BOT_TOKEN}}/sendMessage",\n' +
-        '   "body_template": {"chat_id": "{{args.chat_id}}", "text": "{{args.text}}"}}')).action(async (opts) => dataCallsSetCmd(json(opts)));
-    withDb(calls.command("remove <name>").description("Delete a call.").option("-y, --yes", "do not ask for confirmation"))
-        .action(async (name, opts) => dataCallsRemoveCmd(name, json(opts)));
-    withDb(calls.command("log").description("Recent calls: status code and refusal reason.").option("--limit <n>", "how many, up to 200", "20"))
-        .action(async (opts) => dataCallsLogCmd(json(opts)));
-}