layero 0.11.19 → 0.11.21

package/dist/api.js

@@ -276,7 +276,19 @@ export class ApiClient {
     removeDataOrigin(org, dbId, origin) {
         return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/origins?origin=${encodeURIComponent(origin)}`);
     }
-    // ── исходящие вызовы (G-12): секреты, хосты, описания ──────────────────
+    /** Удаление базы — та же ручка, что у кнопки панели: снос сразу, без окна (R2-03). */
+    deleteDatabase(org, dbId) {
+        return this.request("DELETE", `/organizations/${org}/databases/${dbId}`);
+    }
+    /** Короткий ключ хранилища — тот же, что берёт раздел «Файлы» панели (R2-04). */
+    openStorageSession(org, dbId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/storage/session`);
+    }
+    /** Настройки входа: незаданное не трогается (R2-08 — имя отправителя писем). */
+    setDataAuthSettings(org, dbId, input) {
+        return this.request("PUT", `/organizations/${org}/databases/${dbId}/api/auth/settings`, input);
+    }
+    // ── секреты (HTTP из SQL и вход) и журнал запросов ─────────────────────
     listDataSecrets(org, dbId) {
         return this.request("GET", `/organizations/${org}/databases/${dbId}/api/secrets`);
     }
@@ -287,28 +299,6 @@ export class ApiClient {
     deleteDataSecret(org, dbId, name) {
         return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/secrets/${encodeURIComponent(name)}`);
     }
-    listDataHosts(org, dbId) {
-        return this.request("GET", `/organizations/${org}/databases/${dbId}/api/hosts`);
-    }
-    addDataHost(org, dbId, host) {
-        const body = { host };
-        return this.request("POST", `/organizations/${org}/databases/${dbId}/api/hosts`, body);
-    }
-    deleteDataHost(org, dbId, host) {
-        return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/hosts/${encodeURIComponent(host)}`);
-    }
-    listDataCalls(org, dbId) {
-        return this.request("GET", `/organizations/${org}/databases/${dbId}/api/calls`);
-    }
-    saveDataCall(org, dbId, call) {
-        return this.request("PUT", `/organizations/${org}/databases/${dbId}/api/calls`, call);
-    }
-    deleteDataCall(org, dbId, name) {
-        return this.request("DELETE", `/organizations/${org}/databases/${dbId}/api/calls/${encodeURIComponent(name)}`);
-    }
-    listDataCallLog(org, dbId, limit = 20) {
-        return this.request("GET", `/organizations/${org}/databases/${dbId}/api/call-log?limit=${limit}`);
-    }
     listDataMethods(org, dbId) {
         return this.request("GET", `/organizations/${org}/databases/${dbId}/api/methods`);
     }

package/dist/bin/layero.js

@@ -22,7 +22,7 @@ import { diagnoseCmd, logsCmd } from "../commands/diagnose.js";
 import { perfCheckCmd, perfShowCmd } from "../commands/perf.js";
 import { dataEnvCmd } from "../commands/data.js";
 import { registerDataApiCommands } from "../commands/data-api.js";
-import { dbConnectCmd, dbCreateCmd, dbDisconnectCmd, dbListCmd, dbSqlCmd, } from "../commands/db.js";
+import { dbConnectCmd, dbCreateCmd, dbDisconnectCmd, dbListCmd, dbSqlCmd, dbDeleteCmd, } from "../commands/db.js";
 import { envListCmd, envSetCmd, envUnsetCmd } from "../commands/env.js";
 import { analyticsConnectCmd, analyticsDisconnectCmd, analyticsStatsCmd, analyticsStatusCmd, } from "../commands/analytics.js";
 import { domainsAddCmd, domainsListCmd, domainsPrimaryCmd, domainsRemoveCmd, domainsVerifyCmd, } from "../commands/domains.js";
@@ -118,7 +118,7 @@ async function main() {
         .action(async (opts) => projectsCreateCmd({ ...opts, json: program.opts().json }));
     projects
         .command("delete <id_or_slug>")
-        .description("Delete a project. IRREVERSIBLE; requires a token with the admin scope (`layero token create <name> --scope admin`).")
+        .description("Delete a project. IRREVERSIBLE. Works with your `layero login` session; an API token needs the admin scope (`layero token create <name> --scope admin`).")
         .option("-y, --yes", "do not ask for confirmation (required outside a terminal)")
         .action(async (ref, opts) => projectsDeleteCmd(ref, { ...opts, json: program.opts().json }));
     const sources = program
@@ -323,13 +323,19 @@ async function main() {
         // (C6), и так её пишет всякий, кто помнит psql.
         .command("sql <database> [sql]")
         .description("Run SQL in a database. A script of several statements runs as one transaction.")
-        .option("-c, --command <sql>", "query or script")).action(async (database, sql, opts) => dbSqlCmd(database, {
+        .option("-c, --command <sql>", "query or script")
+        .option("-f, --file <path>", "read the script from a file; - reads stdin (also read when stdin is piped)")
+        .addHelpText("after", "\nExamples:\n  $ layero db sql shop \"select 1\"\n  $ layero db sql shop --file migrations/0001.sql\n  $ cat migrations/*.sql | layero db sql shop")).action(async (database, sql, opts) => dbSqlCmd(database, {
         ...opts,
         // Явный `-c` выигрывает: он написан намеренно, а позиционный аргумент
         // мог прилететь из истории команд.
         command: opts.command ?? sql,
         json: program.opts().json,
     }));
+    withOrg(db
+        .command("delete <database>")
+        .description("Delete a database with all its data and backups. IRREVERSIBLE. The name and the Data API address become free again.")
+        .option("-y, --yes", "do not ask for confirmation (required outside a terminal)")).action(async (database, opts) => dbDeleteCmd(database, { ...opts, json: program.opts().json }));
     const analytics = program
         .command("analytics")
         .description("Yandex Metrica: connect it and see the site's statistics.");
@@ -380,7 +386,7 @@ async function main() {
     domainOpts(domains.command("primary <domain>").description("Make the domain primary: the platform address becomes a 301 redirect to it.")).action(async (domain, opts) => domainsPrimaryCmd(domain, { ...opts, json: program.opts().json }));
     domainOpts(domains
         .command("remove <domain>")
-        .description("Remove the domain from the project. Irreversible and breaks live traffic; requires a token with the admin scope.")
+        .description("Remove the domain from the project. Irreversible and breaks live traffic. Works with your `layero login` session; an API token needs the admin scope.")
         .option("-y, --yes", "do not ask for confirmation")).action(async (domain, opts) => domainsRemoveCmd(domain, { ...opts, json: program.opts().json }));
     program
         .command("diagnose")
@@ -445,6 +451,7 @@ async function main() {
         "`static` serves the files as they are and never runs a build; `generic` runs your own build command " +
         "(layero.json buildCommand or the package.json build script) and serves the folder with index.html")
         .option("--name <name>", "project name (only used on first deploy)")
+        .option("--db <database>", "connect the organization's database before the build, so the first build already gets the Data API URL and key")
         .option("--project <id_or_slug>", "deploy into an existing project, ignoring local config")
         .option("-y, --yes", "non-interactive: accept defaults and skip the --prod confirmation")
         .option("--config", "(legacy alias of the default behaviour — auto-detect + .layero/project.json values)")

package/dist/commands/data-api.js

@@ -20,7 +20,8 @@ import { loadConfig } from "../config.js";
 import { LayeroError, detectMode, emit } from "../agent.js";
 import { orgOf, pick } from "./db.js";
 import { registerDataProbeCommand } from "./data-probe.js";
-import { registerDataCallsCommands } from "./data-calls.js";
+import { registerDataSecretsCommands } from "./data-secrets.js";
+import { registerDataFilesCommands } from "./data-files.js";
 const LEVELS = ["closed", "visitor", "user", "server"];
 const LEVEL_WORD = {
     closed: "закрыто",
@@ -641,5 +642,6 @@ export function registerDataApiCommands(data, program) {
         .option("--repair", "re-apply the roles and the api schema for a database whose Data API is already enabled; table grants are kept, default privileges for new tables are removed")
         .option("-y, --yes", "do not ask for confirmation for --repair")).action(async (opts) => dataEnableCmd(json(opts)));
     registerDataProbeCommand(data, withDb, json);
-    registerDataCallsCommands(data, withDb, json);
+    registerDataSecretsCommands(data, withDb, json);
+    registerDataFilesCommands(data, withDb, json);
 }

package/dist/commands/data-files.js

@@ -0,0 +1,117 @@
+// `layero data buckets` и `layero data auth sender` — то, что раньше
+// делалось только в панели (прогон 2 «Замечено», R2-04 и R2-08, 27.10.2026).
+//
+// Бакет создаётся тем же коротким ключом хранилища, что у раздела «Файлы»
+// панели: выпускать секретный ключ ради одной настройки не нужно.
+import chalk from "chalk";
+import { LayeroError, detectMode, emit } from "../agent.js";
+import { target } from "./data-api.js";
+function asJson(opts) {
+    return detectMode().json || Boolean(opts.json);
+}
+/** «5MB», «512KB», «1.5 GB», «1048576» → байты. */
+export function parseSize(raw) {
+    const m = /^\s*(\d+(?:[.,]\d+)?)\s*(b|kb|mb|gb)?\s*$/i.exec(raw);
+    if (!m) {
+        throw new LayeroError("bad_format", `не понял размер «${raw}»`, "пишите так: 5MB, 512KB или число байт");
+    }
+    const n = parseFloat((m[1] ?? "0").replace(",", "."));
+    const unit = (m[2] ?? "b").toLowerCase();
+    const mult = unit === "gb" ? 1024 ** 3 : unit === "mb" ? 1024 ** 2 : unit === "kb" ? 1024 : 1;
+    return Math.round(n * mult);
+}
+async function gateway(url, key, path, init = {}) {
+    const res = await fetch(`${url}/storage/v1${path}`, {
+        ...init,
+        headers: { apikey: key, "content-type": "application/json", ...(init.headers ?? {}) },
+    });
+    const text = await res.text();
+    let body = null;
+    try {
+        body = text ? JSON.parse(text) : null;
+    }
+    catch {
+        body = null;
+    }
+    if (!res.ok) {
+        const message = body?.message || body?.error || `${res.status}`;
+        throw new LayeroError("storage_refused", `хранилище отказало: ${message}`, body?.hint ?? "проверьте, что файлы включены: layero data enable --storage");
+    }
+    return body;
+}
+export async function dataBucketsListCmd(opts) {
+    const { api, org, db, ref } = await target(opts);
+    const s = await api.openStorageSession(org, db.id);
+    const buckets = await gateway(s.url, s.key, "/bucket");
+    if (asJson(opts)) {
+        emit({ event: "data_buckets", org, database: ref, buckets });
+        return;
+    }
+    if (!buckets.length) {
+        console.log(chalk.dim(`бакетов нет — создать: layero data buckets create uploads --db ${ref}`));
+        return;
+    }
+    for (const b of buckets) {
+        const limit = b.file_size_limit ? `, до ${b.file_size_limit} байт` : "";
+        const types = b.allowed_mime_types?.length ? `, ${b.allowed_mime_types.join(" ")}` : "";
+        console.log(`  ${b.id}  ${b.public ? "публичный" : "закрытый"}${limit}${types}`);
+    }
+}
+export async function dataBucketsCreateCmd(name, opts) {
+    if (opts.public && opts.private) {
+        throw new LayeroError("bad_format", "бакет либо публичный, либо закрытый", "оставьте один из флагов --public и --private");
+    }
+    const body = {
+        id: name,
+        name,
+        public: Boolean(opts.public),
+        file_size_limit: opts.max ? parseSize(opts.max) : null,
+        allowed_mime_types: opts.types
+            ? opts.types.split(",").map((t) => t.trim()).filter(Boolean)
+            : null,
+    };
+    const { api, org, db, ref } = await target(opts);
+    const s = await api.openStorageSession(org, db.id);
+    await gateway(s.url, s.key, "/bucket", { method: "POST", body: JSON.stringify(body) });
+    if (asJson(opts)) {
+        emit({ event: "data_bucket_created", org, database: ref, bucket: name, public: body.public,
+            file_size_limit: body.file_size_limit, allowed_mime_types: body.allowed_mime_types });
+        return;
+    }
+    console.log(`${chalk.green("✓")} бакет ${name} создан — ${body.public ? "публичный" : "закрытый"}`);
+    if (!body.public) {
+        console.log(chalk.dim("  кто может читать и загружать — решают политики: раздел «Файлы» панели или SQL на storage.objects"));
+    }
+}
+export async function dataAuthSenderCmd(name, opts) {
+    const value = name.trim();
+    if (!value)
+        throw new LayeroError("bad_format", "пустое имя отправителя", 'пример: layero data auth sender "Замечено"');
+    const emails = { sender_name: value };
+    if (opts.replyTo)
+        emails.reply_to = opts.replyTo;
+    const { api, org, db, ref } = await target(opts);
+    await api.setDataAuthSettings(org, db.id, { emails });
+    if (asJson(opts)) {
+        emit({ event: "data_auth_sender_set", org, database: ref, sender_name: value, reply_to: opts.replyTo ?? null });
+        return;
+    }
+    console.log(`${chalk.green("✓")} письма входа уходят от имени «${value}»`);
+}
+export function registerDataFilesCommands(data, withDb, json) {
+    const buckets = data.command("buckets").description("Storage buckets: list and create without the dashboard or a secret key.");
+    withDb(buckets.command("list").description("The database's buckets.")).action(async (opts) => dataBucketsListCmd(json(opts)));
+    withDb(buckets
+        .command("create <name>")
+        .description("Create a bucket. Private by default: who reads and uploads is decided by policies.")
+        .option("--public", "anyone with the link can download files")
+        .option("--private", "private (the default)")
+        .option("--max <size>", "file size limit: 5MB, 512KB or bytes")
+        .option("--types <list>", "allowed MIME types, comma-separated: image/jpeg,image/png")
+        .addHelpText("after", "\nExample:\n  $ layero data buckets create screenshots --private --max 5MB --types image/jpeg,image/png")).action(async (name, opts) => dataBucketsCreateCmd(name, json(opts)));
+    const auth = data.command("auth").description("Sign-in settings that used to live only in the dashboard.");
+    withDb(auth
+        .command("sender <name>")
+        .description("The sender name of sign-in emails (codes, links, password reset).")
+        .option("--reply-to <email>", "address for replies")).action(async (name, opts) => dataAuthSenderCmd(name, json(opts)));
+}

package/dist/commands/data-secrets.js

@@ -0,0 +1,116 @@
+import readline from "node:readline/promises";
+import chalk from "chalk";
+import { LayeroError, detectMode, emit } from "../agent.js";
+import { target } from "./data-api.js";
+function asJson(opts) {
+    return detectMode().json || Boolean(opts.json);
+}
+async function readStdin() {
+    const chunks = [];
+    for await (const chunk of process.stdin)
+        chunks.push(chunk);
+    return Buffer.concat(chunks).toString("utf8").replace(/\r?\n$/, "");
+}
+/** Ввод без эха: символы не печатаются, как у `sudo`. */
+async function askHidden(question) {
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout, terminal: true });
+    const out = rl;
+    let prompted = false;
+    out._writeToOutput = (s) => {
+        if (!prompted) {
+            process.stdout.write(s);
+            prompted = true;
+        }
+    };
+    try {
+        return await rl.question(question);
+    }
+    finally {
+        rl.close();
+        process.stdout.write("\n");
+    }
+}
+async function confirmed(question, opts) {
+    if (opts.yes)
+        return true;
+    const mode = detectMode();
+    if (!mode.interactive || asJson(opts))
+        return null;
+    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+    try {
+        const answer = (await rl.question(`${question} [y/N]: `)).trim().toLowerCase();
+        return answer === "y" || answer === "yes";
+    }
+    finally {
+        rl.close();
+    }
+}
+function notConfirmed(what, command) {
+    return new LayeroError("confirmation_required", `${what} не подтверждено`, `повторите с --yes: ${command} --yes`);
+}
+// ── секреты ─────────────────────────────────────────────────────────────────
+export async function dataSecretsListCmd(opts) {
+    const { api, org, db, ref } = await target(opts);
+    const names = (await api.listDataSecrets(org, db.id)).map((s) => s.name);
+    if (asJson(opts)) {
+        emit({ event: "data_secrets", org, database: ref, secrets: names });
+        return;
+    }
+    console.log(chalk.bold("Секреты") + chalk.dim(" — только имена, значения не показываются никогда"));
+    if (names.length)
+        for (const n of names)
+            console.log(`  ${n}`);
+    else
+        console.log(chalk.dim(`  нет — задать: layero data secrets set TELEGRAM_BOT_TOKEN --db ${ref}`));
+}
+export async function dataSecretsSetCmd(name, opts) {
+    let value;
+    if (opts.fromEnv) {
+        value = process.env[opts.fromEnv];
+        if (!value)
+            throw new LayeroError("bad_format", `переменная окружения ${opts.fromEnv} пуста или не задана`, "задайте её или передайте значение через stdin");
+    }
+    else if (!process.stdin.isTTY) {
+        value = await readStdin();
+    }
+    else {
+        value = await askHidden(`значение ${name}: `);
+    }
+    if (!value) {
+        throw new LayeroError("bad_format", "пустое значение секрета", `передайте значение через stdin: printf %s "$TOKEN" | layero data secrets set ${name}`);
+    }
+    const { api, org, db, ref } = await target(opts);
+    await api.setDataSecret(org, db.id, name, value);
+    if (asJson(opts)) {
+        emit({ event: "data_secret_set", org, database: ref, name });
+        return;
+    }
+    console.log(`${chalk.green("✓")} секрет ${name} сохранён — в вызове: {{secrets.${name}}}`);
+}
+export async function dataSecretsRemoveCmd(name, opts) {
+    const { api, org, db, ref } = await target(opts);
+    const ok = await confirmed(`удалить секрет ${name}? Вызовы, которые его подставляют, начнут отказывать`, opts);
+    if (ok === null)
+        throw notConfirmed(`удаление секрета ${name}`, `layero data secrets remove ${name} --db ${ref}`);
+    if (!ok) {
+        console.log(chalk.yellow("отменено."));
+        return;
+    }
+    await api.deleteDataSecret(org, db.id, name);
+    if (asJson(opts)) {
+        emit({ event: "data_secret_removed", org, database: ref, name });
+        return;
+    }
+    console.log(`${chalk.green("✓")} секрет ${name} удалён`);
+}
+export function registerDataSecretsCommands(data, withDb, json) {
+    const secrets = data.command("secrets").description("Secrets substituted into net.http_* requests as {{secrets.NAME}}. Values are never shown.");
+    withDb(secrets.command("list").description("Secret names.")).action(async (opts) => dataSecretsListCmd(json(opts)));
+    withDb(secrets
+        .command("set <name>")
+        .description("Set a secret. The value is read from stdin, from --from-env, or typed without echo.")
+        .option("--from-env <var>", "take the value from this environment variable")
+        .addHelpText("after", '\nExample:\n  $ printf %s "$BOT_TOKEN" | layero data secrets set TELEGRAM_BOT_TOKEN')).action(async (name, opts) => dataSecretsSetCmd(name, json(opts)));
+    withDb(secrets.command("remove <name>").description("Delete a secret.").option("-y, --yes", "do not ask for confirmation"))
+        .action(async (name, opts) => dataSecretsRemoveCmd(name, json(opts)));
+}

package/dist/commands/db.js

@@ -9,6 +9,8 @@
 // ⚠️ Организация выбирается явно (`--org`) или единственная доступная. Угадывать
 // «первую попавшуюся» из нескольких нельзя: базы стоят денег и живут в разных
 // командах.
+import { readFile } from "node:fs/promises";
+import readline from "node:readline/promises";
 import chalk from "chalk";
 import { ApiClient } from "../api.js";
 import { dashboardOrigin } from "../urls.js";
@@ -285,11 +287,37 @@ export async function dbDisconnectCmd(ref, opts) {
         chalk.dim("  переменная уйдёт из окружения следующим деплоем, роль проекта удалена\n") +
         chalk.dim("  домены проекта больше не разрешены для Data API этой базы"));
 }
+async function readStdin() {
+    const chunks = [];
+    for await (const chunk of process.stdin)
+        chunks.push(chunk);
+    return Buffer.concat(chunks).toString("utf8");
+}
+/** Текст запроса: `-c`/аргумент, `--file <путь>` или stdin (R2-05, 27.10).
+ *  Миграции передавали как `-c "$(cat файл)"` — неудобно и упиралось в предел. */
+async function sqlText(opts) {
+    if (opts.file && opts.command) {
+        throw new LayeroError("bad_format", "запрос задан дважды", "оставьте либо --file, либо текст запроса");
+    }
+    if (opts.file === "-")
+        return readStdin();
+    if (opts.file) {
+        try {
+            return await readFile(opts.file, "utf8");
+        }
+        catch {
+            throw new LayeroError("bad_format", `не прочитать файл ${opts.file}`, "проверьте путь");
+        }
+    }
+    if (opts.command === undefined && !process.stdin.isTTY)
+        return readStdin();
+    return opts.command ?? "";
+}
 export async function dbSqlCmd(ref, opts) {
     const mode = detectMode();
-    const sql = (opts.command ?? "").trim();
+    const sql = (await sqlText(opts)).trim();
     if (!sql) {
-        throw new LayeroError("sql_missing", "нечего выполнять", 'передайте запрос следом за именем базы: layero db sql моя-база "select 1"');
+        throw new LayeroError("sql_missing", "нечего выполнять", 'передайте запрос следом за именем базы: layero db sql моя-база "select 1", или файл: --file migrations/0001.sql');
     }
     const api = new ApiClient(await loadConfig());
     const org = await orgOf(api, opts);
@@ -316,3 +344,34 @@ export async function dbSqlCmd(ref, opts) {
         console.log(result.status ?? "выполнено");
     }
 }
+/** `layero db delete <база> --yes` — как у проектов (R2-03, 27.10). Снос сразу:
+ *  окна хранения нет, имя и адрес API освобождаются. */
+export async function dbDeleteCmd(ref, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const db = await pick(api, org, ref);
+    if (!opts.yes) {
+        if (!mode.interactive || mode.json || opts.json) {
+            throw new LayeroError("confirmation_required", `удаление базы «${db.name}» не подтверждено`, `повторите с --yes: layero db delete ${ref} --yes`);
+        }
+        const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
+        try {
+            const typed = (await rl.question(`База «${db.name}» и все её данные будут удалены безвозвратно, копии тоже.\n` +
+                `Наберите имя базы, чтобы подтвердить: `)).trim();
+            if (typed !== db.name) {
+                console.log(chalk.yellow("имя не совпало — отменено."));
+                return;
+            }
+        }
+        finally {
+            rl.close();
+        }
+    }
+    await api.deleteDatabase(org, db.id);
+    if (mode.json || opts.json) {
+        emit({ event: "database_deleted", org, database: db.name });
+        return;
+    }
+    console.log(`${chalk.green("✓")} база «${db.name}» удалена; имя и адрес API снова свободны`);
+}

package/dist/commands/deploy.js

@@ -13,6 +13,7 @@ import { detectProject, detectedEvent } from "../detect.js";
 import { runDeviceLogin } from "../auth.js";
 import { LayeroError, detectMode, emit, isCiEnv } from "../agent.js";
 import { ensureUsername } from "../username.js";
+import { pick } from "./db.js";
 import { assertSandboxAlive, claimFor, claimTokenFor, createClaimable, keepLegacyClaim } from "./claim.js";
 const VALID_TYPES = new Set([
     "vite",
@@ -820,6 +821,17 @@ export async function deployCmd(opts) {
         // ЗАПУСКАТЬ, а не раздавать файлами (симуляция 18.09.2026, `--type node_web`).
         emit({ event: "runtime_type_applied", project_type: setup.runtime_kind });
     }
+    // 🚨 БАЗА — ДО СБОРКИ (R2-06, 27.10). Проект появляется только с сессией, а
+    // ключи Data API платформа кладёт в сборку из связи проект↔база. Пока
+    // подключать можно было лишь отдельной командой после первого деплоя, каждый
+    // новый проект выкладывался дважды — сначала без ключей (лендинг ещё и падал),
+    // потом с ними. Здесь сессия уже есть, а сборка ещё не запущена.
+    if (opts.db) {
+        const org = project.organization.slug;
+        const db = await pick(api, org, opts.db);
+        await api.connectDatabaseToProject(org, db.id, project.id);
+        emit({ event: "database_connected", org, database: db.name, project: project.slug });
+    }
     // Только связка папки с проектом. Фреймворк сюда больше не пишется: поле
     // этого файла CLI читает как выбор человека (см. `resolveSetupConfig`).
     // Код забора старого CLI сначала уезжает в конфиг, потом файл

package/dist/exit-codes.js

@@ -81,6 +81,7 @@ const REMOTE = new Set([
     "oauth_unavailable",
     "claimable_unavailable",
     "data_probe_gateway_failed",
+    "storage_refused",
 ]);
 export const EXIT_OK = 0;
 export const EXIT_OTHER = 1;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.11.19",
+  "version": "0.11.21",
   "description": "Layero CLI — deploy a directory or a repo to hosting with build servers in Russia. JSON events and exit codes for AI agents and CI.",
   "license": "MIT",
   "type": "module",

package/dist/commands/data-calls.js

@@ -1,286 +0,0 @@
-// `layero data hosts | secrets | calls` — исходящие вызовы базы из терминала
-// (G-12, 26.10.2026).
-//
-// 🚨 Зачем. Механизм был только у сервера: документация звала в раздел панели,
-// которого не было, а CLI и MCP о нём не знали. Строки `api.outbox` у клиента
-// ложились в `failed: вызов не описан`, и обещанные уведомления в Telegram без
-// своего сервера не запускались. Теперь всё описывается кодом:
-//
-//   layero data hosts add api.telegram.org
-//   layero data secrets set TELEGRAM_BOT_TOKEN        # значение — со stdin
-//   layero data calls set --file telegram_notify.json
-//
-// ⚠️ Значение секрета НЕ принимается аргументом: аргумент оседает в истории
-// shell и в списке процессов. Только stdin, переменная окружения или ввод без
-// эха в терминале.
-import { readFile } from "node:fs/promises";
-import readline from "node:readline/promises";
-import chalk from "chalk";
-import { LayeroError, detectMode, emit } from "../agent.js";
-import { target } from "./data-api.js";
-function asJson(opts) {
-    return detectMode().json || Boolean(opts.json);
-}
-async function readStdin() {
-    const chunks = [];
-    for await (const chunk of process.stdin)
-        chunks.push(chunk);
-    return Buffer.concat(chunks).toString("utf8").replace(/\r?\n$/, "");
-}
-/** Ввод без эха: символы не печатаются, как у `sudo`. */
-async function askHidden(question) {
-    const rl = readline.createInterface({ input: process.stdin, output: process.stdout, terminal: true });
-    const out = rl;
-    let prompted = false;
-    out._writeToOutput = (s) => {
-        if (!prompted) {
-            process.stdout.write(s);
-            prompted = true;
-        }
-    };
-    try {
-        return await rl.question(question);
-    }
-    finally {
-        rl.close();
-        process.stdout.write("\n");
-    }
-}
-async function confirmed(question, opts) {
-    if (opts.yes)
-        return true;
-    const mode = detectMode();
-    if (!mode.interactive || asJson(opts))
-        return null;
-    const rl = readline.createInterface({ input: process.stdin, output: process.stdout });
-    try {
-        const answer = (await rl.question(`${question} [y/N]: `)).trim().toLowerCase();
-        return answer === "y" || answer === "yes";
-    }
-    finally {
-        rl.close();
-    }
-}
-function notConfirmed(what, command) {
-    return new LayeroError("confirmation_required", `${what} не подтверждено`, `повторите с --yes: ${command} --yes`);
-}
-// ── хосты ───────────────────────────────────────────────────────────────────
-export async function dataHostsListCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const hosts = (await api.listDataHosts(org, db.id)).map((h) => h.host);
-    if (asJson(opts)) {
-        emit({ event: "data_hosts", org, database: ref, hosts });
-        return;
-    }
-    console.log(chalk.bold("Разрешённые хосты") + chalk.dim(" — куда шлюзу можно ходить"));
-    if (hosts.length)
-        for (const h of hosts)
-            console.log(`  ${h}`);
-    else
-        console.log(chalk.dim(`  нет — добавить: layero data hosts add api.telegram.org --db ${ref}`));
-}
-export async function dataHostsAddCmd(host, opts) {
-    const { api, org, db, ref } = await target(opts);
-    await api.addDataHost(org, db.id, host);
-    if (asJson(opts)) {
-        emit({ event: "data_host_added", org, database: ref, host });
-        return;
-    }
-    console.log(`${chalk.green("✓")} шлюз базы «${db.name}» может ходить на ${host}`);
-}
-export async function dataHostsRemoveCmd(host, opts) {
-    const { api, org, db, ref } = await target(opts);
-    const ok = await confirmed(`убрать ${host}? Вызовы на этот хост начнут отказывать`, opts);
-    if (ok === null)
-        throw notConfirmed(`удаление хоста ${host}`, `layero data hosts remove ${host} --db ${ref}`);
-    if (!ok) {
-        console.log(chalk.yellow("отменено."));
-        return;
-    }
-    await api.deleteDataHost(org, db.id, host);
-    if (asJson(opts)) {
-        emit({ event: "data_host_removed", org, database: ref, host });
-        return;
-    }
-    console.log(`${chalk.green("✓")} ${host} убран`);
-}
-// ── секреты ─────────────────────────────────────────────────────────────────
-export async function dataSecretsListCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const names = (await api.listDataSecrets(org, db.id)).map((s) => s.name);
-    if (asJson(opts)) {
-        emit({ event: "data_secrets", org, database: ref, secrets: names });
-        return;
-    }
-    console.log(chalk.bold("Секреты") + chalk.dim(" — только имена, значения не показываются никогда"));
-    if (names.length)
-        for (const n of names)
-            console.log(`  ${n}`);
-    else
-        console.log(chalk.dim(`  нет — задать: layero data secrets set TELEGRAM_BOT_TOKEN --db ${ref}`));
-}
-export async function dataSecretsSetCmd(name, opts) {
-    let value;
-    if (opts.fromEnv) {
-        value = process.env[opts.fromEnv];
-        if (!value)
-            throw new LayeroError("bad_format", `переменная окружения ${opts.fromEnv} пуста или не задана`, "задайте её или передайте значение через stdin");
-    }
-    else if (!process.stdin.isTTY) {
-        value = await readStdin();
-    }
-    else {
-        value = await askHidden(`значение ${name}: `);
-    }
-    if (!value) {
-        throw new LayeroError("bad_format", "пустое значение секрета", `передайте значение через stdin: printf %s "$TOKEN" | layero data secrets set ${name}`);
-    }
-    const { api, org, db, ref } = await target(opts);
-    await api.setDataSecret(org, db.id, name, value);
-    if (asJson(opts)) {
-        emit({ event: "data_secret_set", org, database: ref, name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} секрет ${name} сохранён — в вызове: {{secrets.${name}}}`);
-}
-export async function dataSecretsRemoveCmd(name, opts) {
-    const { api, org, db, ref } = await target(opts);
-    const ok = await confirmed(`удалить секрет ${name}? Вызовы, которые его подставляют, начнут отказывать`, opts);
-    if (ok === null)
-        throw notConfirmed(`удаление секрета ${name}`, `layero data secrets remove ${name} --db ${ref}`);
-    if (!ok) {
-        console.log(chalk.yellow("отменено."));
-        return;
-    }
-    await api.deleteDataSecret(org, db.id, name);
-    if (asJson(opts)) {
-        emit({ event: "data_secret_removed", org, database: ref, name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} секрет ${name} удалён`);
-}
-// ── вызовы ──────────────────────────────────────────────────────────────────
-/** Описание из файла → тело запроса. Те же поля, что на странице документации. */
-export function parseCallSpec(text, source) {
-    let raw;
-    try {
-        raw = JSON.parse(text);
-    }
-    catch {
-        throw new LayeroError("bad_format", `${source}: не JSON`, "описание вызова — JSON-объект с полями name и url_template");
-    }
-    if (!raw || typeof raw !== "object" || Array.isArray(raw)) {
-        throw new LayeroError("bad_format", `${source}: ожидался JSON-объект`, "описание вызова — JSON-объект с полями name и url_template");
-    }
-    for (const field of ["name", "url_template"]) {
-        if (typeof raw[field] !== "string" || !raw[field]) {
-            throw new LayeroError("bad_format", `${source}: нет поля ${field}`, "описание вызова — JSON-объект с полями name и url_template");
-        }
-    }
-    return {
-        name: raw.name,
-        method: typeof raw.method === "string" ? raw.method.toUpperCase() : "POST",
-        url_template: raw.url_template,
-        headers: raw.headers ?? null,
-        body_template: raw.body_template ?? null,
-        allow_anon: raw.allow_anon === true,
-        hourly_limit: Number.isInteger(raw.hourly_limit) ? raw.hourly_limit : 600,
-    };
-}
-export async function dataCallsListCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const calls = await api.listDataCalls(org, db.id);
-    if (asJson(opts)) {
-        emit({ event: "data_calls", org, database: ref, calls });
-        return;
-    }
-    if (!calls.length) {
-        console.log(chalk.dim(`вызовов нет — описать: layero data calls set --file call.json --db ${ref}`));
-        return;
-    }
-    for (const c of calls) {
-        console.log(`${chalk.bold(c.name)}  ${c.method} ${c.url_template}${c.allow_anon ? chalk.yellow("  публичный ключ") : ""}`);
-        console.log(chalk.dim(`  из базы: INSERT INTO api.outbox (call_name, args) VALUES ('${c.name}', …); с сайта: POST /call/${c.name}`));
-    }
-}
-export async function dataCallsSetCmd(opts) {
-    if (!opts.file) {
-        throw new LayeroError("bad_format", "не указан файл описания", "layero data calls set --file telegram_notify.json");
-    }
-    const text = opts.file === "-" ? await readStdin() : await readFile(opts.file, "utf8");
-    const call = parseCallSpec(text, opts.file === "-" ? "stdin" : opts.file);
-    const { api, org, db, ref } = await target(opts);
-    await api.saveDataCall(org, db.id, call);
-    if (asJson(opts)) {
-        emit({ event: "data_call_saved", org, database: ref, name: call.name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} вызов ${call.name} описан у базы «${db.name}»\n` +
-        chalk.dim(`  из базы: INSERT INTO api.outbox (call_name, args) VALUES ('${call.name}', '{…}'::jsonb)\n`) +
-        chalk.dim(`  журнал: layero data calls log --db ${ref}`));
-}
-export async function dataCallsRemoveCmd(name, opts) {
-    const { api, org, db, ref } = await target(opts);
-    const ok = await confirmed(`удалить вызов ${name}? Новые строки api.outbox с этим именем будут отклонены`, opts);
-    if (ok === null)
-        throw notConfirmed(`удаление вызова ${name}`, `layero data calls remove ${name} --db ${ref}`);
-    if (!ok) {
-        console.log(chalk.yellow("отменено."));
-        return;
-    }
-    await api.deleteDataCall(org, db.id, name);
-    if (asJson(opts)) {
-        emit({ event: "data_call_removed", org, database: ref, name });
-        return;
-    }
-    console.log(`${chalk.green("✓")} вызов ${name} удалён`);
-}
-export async function dataCallsLogCmd(opts) {
-    const { api, org, db, ref } = await target(opts);
-    const limit = Math.min(Math.max(Number(opts.limit ?? 20) || 20, 1), 200);
-    const rows = await api.listDataCallLog(org, db.id, limit);
-    if (asJson(opts)) {
-        emit({ event: "data_call_log", org, database: ref, calls: rows });
-        return;
-    }
-    if (!rows.length) {
-        console.log(chalk.dim("вызовов ещё не было"));
-        return;
-    }
-    for (const r of rows) {
-        const verdict = r.error ? chalk.red(r.error) : r.status_code && r.status_code < 400 ? chalk.green(String(r.status_code)) : chalk.yellow(String(r.status_code ?? "—"));
-        console.log(`${r.at}  ${r.call_name}  ${r.mode === "queue" ? "очередь" : "синхронно"}  ${verdict}`);
-    }
-}
-export function registerDataCallsCommands(data, withDb, json) {
-    const hosts = data.command("hosts").description("Hosts the gateway may call for the database's outbound calls.");
-    withDb(hosts.command("list").description("Allowed hosts.")).action(async (opts) => dataHostsListCmd(json(opts)));
-    withDb(hosts.command("add <host>").description("Allow a host, e.g. api.telegram.org."))
-        .action(async (host, opts) => dataHostsAddCmd(host, json(opts)));
-    withDb(hosts.command("remove <host>").description("Remove a host.").option("-y, --yes", "do not ask for confirmation"))
-        .action(async (host, opts) => dataHostsRemoveCmd(host, json(opts)));
-    const secrets = data.command("secrets").description("Secrets substituted into outbound calls as {{secrets.NAME}}. Values are never shown.");
-    withDb(secrets.command("list").description("Secret names.")).action(async (opts) => dataSecretsListCmd(json(opts)));
-    withDb(secrets
-        .command("set <name>")
-        .description("Set a secret. The value is read from stdin, from --from-env, or typed without echo.")
-        .option("--from-env <var>", "take the value from this environment variable")
-        .addHelpText("after", '\nExample:\n  $ printf %s "$BOT_TOKEN" | layero data secrets set TELEGRAM_BOT_TOKEN')).action(async (name, opts) => dataSecretsSetCmd(name, json(opts)));
-    withDb(secrets.command("remove <name>").description("Delete a secret.").option("-y, --yes", "do not ask for confirmation"))
-        .action(async (name, opts) => dataSecretsRemoveCmd(name, json(opts)));
-    const calls = data.command("calls").description("Outbound calls: webhooks and Telegram from the database (api.outbox) or the site (POST /call/<name>).");
-    withDb(calls.command("list").description("Described calls.")).action(async (opts) => dataCallsListCmd(json(opts)));
-    withDb(calls
-        .command("set")
-        .description("Create or replace a call from a JSON description: name, method, url_template, headers, body_template, allow_anon.")
-        .option("--file <path>", "JSON file with the description, - for stdin")
-        .addHelpText("after", "\nThe host of url_template must be allowed first: layero data hosts add <host>.\n" +
-        "\nExample (telegram_notify.json):\n" +
-        '  {"name": "telegram_notify", "method": "POST",\n' +
-        '   "url_template": "https://api.telegram.org/bot{{secrets.TELEGRAM_BOT_TOKEN}}/sendMessage",\n' +
-        '   "body_template": {"chat_id": "{{args.chat_id}}", "text": "{{args.text}}"}}')).action(async (opts) => dataCallsSetCmd(json(opts)));
-    withDb(calls.command("remove <name>").description("Delete a call.").option("-y, --yes", "do not ask for confirmation"))
-        .action(async (name, opts) => dataCallsRemoveCmd(name, json(opts)));
-    withDb(calls.command("log").description("Recent calls: status code and refusal reason.").option("--limit <n>", "how many, up to 200", "20"))
-        .action(async (opts) => dataCallsLogCmd(json(opts)));
-}