layero 0.8.24 → 0.9.0

package/dist/api.js

@@ -89,8 +89,15 @@ export class ApiClient {
     completeSetup(projectId, input) {
         return this.request("POST", `/projects/${projectId}/setup`, input);
     }
-    setRuntimeType(projectId, projectType) {
-        return this.request("POST", `/projects/${projectId}/runtime-type`, { project_type: projectType });
+    /**
+     * Сменить тип проекта.
+     *
+     * `force` — записать вопреки возражению платформы (409). Владелец имеет на
+     * это право: детект ошибается, и репозиторий, который эвристика считает «не
+     * бэкендом», прекрасно работает одним сервисом.
+     */
+    setRuntimeType(projectId, projectType, force = false) {
+        return this.request("POST", `/projects/${projectId}/runtime-type`, { project_type: projectType, force });
     }
     updateProject(projectId, input) {
         return this.request("PATCH", `/projects/${projectId}`, input);
@@ -126,6 +133,61 @@ export class ApiClient {
     listEnvVars(projectId) {
         return this.request("GET", `/projects/${projectId}/env`);
     }
+    /**
+     * Адрес и ПУБЛИЧНЫЙ ключ Data API — те же, что платформа кладёт в сборку.
+     *
+     * Единственное место, где значение приезжает открытым, и это не исключение
+     * из правила выше, а другая природа: публичный ключ уезжает в бандл и виден
+     * любому посетителю сайта. Секретного здесь не бывает.
+     */
+    // ── Базы организации (DX-03) ──────────────────────────────────────────
+    //
+    // 🚨 Заведено потому, что базу нельзя было создать ничем, кроме панели: у
+    // CLI была одна команда `data env` — показать ключ УЖЕ существующей базы.
+    // Адрес ручки и форму тела приходилось читать в исходниках платформы.
+    listDatabases(org) {
+        return this.request("GET", `/organizations/${org}/databases`);
+    }
+    createDatabase(org, input) {
+        return this.request("POST", `/organizations/${org}/databases`, {
+            name: input.name,
+            quota_gb: input.quota_gb ?? null,
+            extensions: input.extensions ?? [],
+        });
+    }
+    connectDatabaseToProject(org, dbId, projectId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/projects`, {
+            project_id: projectId,
+        });
+    }
+    queryDatabase(org, dbId, sql) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/query`, {
+            sql,
+            read_only: false,
+        });
+    }
+    // ── Долгоживущие токены для CI (DX-02) ────────────────────────────────
+    //
+    // 🚨 Заведено потому, что неинтерактивного пути входа у CLI не было вовсе.
+    // `layero login` требует человека с браузером, а единственной подсказкой
+    // была команда `token set <jwt>` с подписью «пока login не доделан» — то
+    // есть «раздобудьте токен где-нибудь ещё». В CI на этом месте вставали
+    // насмерть. Ручка на сервере существовала с AGENT-02, у CLI её не было.
+    createApiToken(input) {
+        return this.request("POST", "/auth/tokens", {
+            name: input.name,
+            scopes: input.scopes ?? null,
+        });
+    }
+    listApiTokens() {
+        return this.request("GET", "/auth/tokens");
+    }
+    revokeApiToken(id) {
+        return this.request("DELETE", `/auth/tokens/${id}`);
+    }
+    dataEnv(projectId) {
+        return this.request("GET", `/projects/${projectId}/data-env`);
+    }
     /**
      * Значение `null` = «оставить как есть». Благодаря этому добавить одну
      * переменную можно, не читая остальные, — то есть не имея доступа к

package/dist/auth.js

@@ -20,7 +20,7 @@ const MAX_WAIT_MS = 15 * 60 * 1000;
  * Throws LayeroError("auth_expired" | "auth_timeout") if the user doesn't
  * approve in time.
  */
-export async function runDeviceLogin(cfg) {
+export async function runDeviceLogin(cfg, opts = {}) {
     const mode = detectMode();
     const api = new ApiClient(cfg);
     const device = await api.startDeviceAuth();
@@ -34,11 +34,13 @@ export async function runDeviceLogin(cfg) {
         console.log(chalk.bold(`  ${verification_url}`));
         console.log(chalk.dim(`\n  Confirmation code: `) + chalk.white.bold(user_code));
         console.log(chalk.dim(`  (expires in ${device.expires_in}s)\n`));
-        try {
-            await open(verification_url);
-        }
-        catch {
-            // non-fatal — user can paste the URL manually
+        if (!opts.noBrowser) {
+            try {
+                await open(verification_url);
+            }
+            catch {
+                // non-fatal — user can paste the URL manually
+            }
         }
     }
     const deadline = Date.now() + MAX_WAIT_MS;

package/dist/bin/layero.js

@@ -5,7 +5,7 @@ import { whoamiCmd } from "../commands/whoami.js";
 import { logoutCmd } from "../commands/logout.js";
 import { projectsListCmd } from "../commands/projects.js";
 import { linkCmd } from "../commands/link.js";
-import { tokenSetCmd } from "../commands/token.js";
+import { tokenCreateCmd, tokenListCmd, tokenRevokeCmd, tokenSetCmd } from "../commands/token.js";
 import { deployCmd } from "../commands/deploy.js";
 import { deploysListCmd, rollbackCmd } from "../commands/deploys.js";
 import { promoteCmd } from "../commands/promote.js";
@@ -15,6 +15,8 @@ import { orgsListCmd } from "../commands/orgs.js";
 import { initCmd } from "../commands/init.js";
 import { diagnoseCmd, logsCmd } from "../commands/diagnose.js";
 import { perfCheckCmd, perfShowCmd } from "../commands/perf.js";
+import { dataEnvCmd } from "../commands/data.js";
+import { dbConnectCmd, dbCreateCmd, dbListCmd, dbSqlCmd } from "../commands/db.js";
 import { envListCmd, envSetCmd, envUnsetCmd } from "../commands/env.js";
 import { analyticsConnectCmd, analyticsDisconnectCmd, analyticsStatsCmd, analyticsStatusCmd, } from "../commands/analytics.js";
 import { domainsAddCmd, domainsListCmd, domainsPrimaryCmd, domainsRemoveCmd, domainsVerifyCmd, } from "../commands/domains.js";
@@ -37,8 +39,14 @@ async function main() {
         .option("--debug", "print a full stack trace when a command errors");
     program
         .command("login")
-        .description("Authenticate via browser (email code or Yandex ID). Opens a one-time URL — no localhost server required.")
-        .addHelpText("after", "\nExamples:\n  $ layero login\n  $ npx layero login")
+        .description("Вход через браузер (код из почты или Yandex ID): печатает одноразовый адрес и код.")
+        .option("--no-browser", "не открывать браузер — только напечатать адрес и код")
+        .addHelpText("after", "\nПримеры:\n" +
+        "  $ layero login\n" +
+        "  $ layero login --no-browser        # SSH, контейнер, среда агента\n" +
+        "\nДля CI и агентов вход человеком не годится — нужен долгоживущий токен:\n" +
+        "  $ layero token create ci\n" +
+        "  $ LAYERO_TOKEN=<токен> npx layero@latest deploy")
         .action(async (opts) => {
         await loginCmd(opts);
     });
@@ -193,6 +201,39 @@ async function main() {
         .command("unset <keys...>")
         .description("Удалить переменные.")
         .option("-y, --yes", "не спрашивать подтверждение")).action(async (keys, opts) => envUnsetCmd(keys, { ...opts, json: program.opts().json }));
+    const data = program
+        .command("data")
+        .description("Data API: адрес и публичный ключ базы для фронтенда.");
+    data
+        .command("env")
+        .description("Показать VITE_/NEXT_PUBLIC_ переменные Data API; --write кладёт их в .env.local.")
+        .option("--project <id_or_slug>", "проект (по умолчанию — залинкованный)")
+        .option("-w, --write", "записать в файл, а не печатать")
+        .option("--file <path>", "имя файла (по умолчанию .env.local)")
+        .addHelpText("after", "\nПримеры:\n" +
+        "  $ layero data env                       # посмотреть\n" +
+        "  $ layero data env --write               # положить в .env.local\n" +
+        "\nОтдаётся только ПУБЛИЧНЫЙ ключ — тот, что и так уезжает в бандл.\n" +
+        "Секретный ключ платформа не хранит и не отдаёт: он для сервера.")
+        .action(async (opts) => dataEnvCmd({ ...opts, json: program.opts().json }));
+    const db = program
+        .command("db")
+        .description("Базы организации: завести, посмотреть, подключить к проекту, выполнить SQL.");
+    const withOrg = (c) => c.option("--org <slug>", "организация (по умолчанию единственная)");
+    withOrg(db.command("list").description("Базы организации."))
+        .action(async (opts) => dbListCmd({ ...opts, json: program.opts().json }));
+    withOrg(db
+        .command("create <name>")
+        .description("Завести базу. Строка подключения печатается ОДИН раз.")
+        .option("--gb <number>", "объём платной базы в гигабайтах", (v) => parseInt(v, 10))).action(async (name, opts) => dbCreateCmd(name, { ...opts, json: program.opts().json }));
+    withOrg(db
+        .command("connect <database>")
+        .description("Подключить проект к базе: строка подключения приедет в его переменные.")
+        .option("--project <id_or_slug>", "проект (по умолчанию — залинкованный)")).action(async (database, opts) => dbConnectCmd(database, { ...opts, json: program.opts().json }));
+    withOrg(db
+        .command("sql <database>")
+        .description("Выполнить SQL в базе. Скрипт из нескольких операторов — одной транзакцией.")
+        .requiredOption("-c, --command <sql>", "запрос или скрипт")).action(async (database, opts) => dbSqlCmd(database, { ...opts, json: program.opts().json }));
     const analytics = program
         .command("analytics")
         .description("Яндекс.Метрика: подключение и статистика сайта.");
@@ -270,15 +311,33 @@ async function main() {
     const token = program
         .command("token")
         .description("Manage the auth token directly (advanced).");
+    token
+        .command("create <name>")
+        .description("Выпустить долгоживущий токен для CI и агентов. " +
+        "Показывается ОДИН раз. По умолчанию read+deploy, без необратимого.")
+        .option("--scope <list>", "через запятую: read, deploy, admin")
+        .addHelpText("after", "\nПримеры:\n" +
+        "  $ layero token create ci                       # read+deploy\n" +
+        "  $ layero token create ci --scope read          # только чтение\n" +
+        "\nВ CI:  LAYERO_TOKEN=<токен> npx layero@latest deploy")
+        .action(async (name, opts) => tokenCreateCmd(name, { ...opts, json: program.opts().json }));
+    token
+        .command("list")
+        .description("Выпущенные токены: имя, подсказка, права, последнее использование.")
+        .action(async () => tokenListCmd({ json: program.opts().json }));
+    token
+        .command("revoke <id>")
+        .description("Отозвать токен. Действует немедленно.")
+        .action(async (id) => tokenRevokeCmd(id, { json: program.opts().json }));
     token
         .command("set <jwt>")
-        .description("Persist a JWT obtained out-of-band (e.g. from the web UI). " +
-        "Use this until `layero login` is fully wired up.")
+        .description("Сохранить токен, полученный иначе (например, `layero token create` на другой машине).")
         .action(tokenSetCmd);
     program
         .command("deploy")
         .description("Pack the current directory and deploy it. Framework, build command and output directory are auto-detected.")
-        .option("-t, --type <preset>", "framework override (vite | vitepress | next | astro | cra | sveltekit | nuxt | gatsby | docusaurus | storybook | eleventy | hugo | static)")
+        .option("-t, --type <preset>", "type override — static preset (vite | vitepress | next | astro | cra | sveltekit | nuxt | gatsby | docusaurus | storybook | eleventy | hugo | static) " +
+        "or runtime kind for apps the platform RUNS (node_web | python_web | flask | streamlit | gradio | ssr_next; aliases: express, fastapi, django, node, python)")
         .option("--name <name>", "project name (only used on first deploy)")
         .option("--project <id_or_slug>", "deploy into an existing project, ignoring local config")
         .option("-y, --yes", "non-interactive: accept defaults and skip --prod confirmation")
@@ -304,6 +363,7 @@ async function main() {
         "  $ layero deploy --promote            # preview deploy + pin apex (one-shot publish)\n" +
         "  $ layero deploy --branch=staging     # preview on a specific branch\n" +
         "  $ layero deploy --type vite          # force a framework preset\n" +
+        "  $ layero deploy --type express       # Node backend: platform RUNS it, not serves files\n" +
         "  $ layero deploy --json               # machine-readable output for agents")
         .action(async (opts) => {
         await deployCmd(opts);
@@ -360,6 +420,49 @@ function asAccountStateError(err) {
             ? `Тариф не позволяет больше ${what}${counts}.`
             : "Действие недоступно на текущем тарифе.", "смените тариф на app.layero.ru/billing или освободите место, удалив ненужное");
     }
+    // 🚨 Понятный отказ сервера не имеет права превращаться в нашу поломку.
+    // 409 с `reason: reserved` и текстом «имя зарезервировано платформой»
+    // печатался как `code: internal` с советом «re-run with --debug for a stack
+    // trace» — человек шёл искать стек вместо того, чтобы сменить имя.
+    //
+    // Разбираем ЛЮБОЙ 4xx с телом, а не отдельные коды: заплатка на один код
+    // означала бы, что следующий понятный отказ снова станет «внутренней
+    // ошибкой». 5xx сюда не попадает намеренно — это как раз наша авария.
+    if (err.status >= 400 && err.status < 500) {
+        const detail = detailOf(err.body);
+        if (detail) {
+            return new LayeroError(detail.code ?? `http_${err.status}`, detail.message, detail.next_action ?? "исправьте запрос и повторите");
+        }
+    }
+    return null;
+}
+/**
+ * Достаёт человеческую часть отказа из тела ответа.
+ *
+ * FastAPI кладёт её в `detail` — либо строкой, либо объектом с `code`,
+ * `reason` и `message`. Обе формы живые, и обе должны доезжать до человека.
+ */
+function detailOf(body) {
+    let parsed;
+    try {
+        parsed = JSON.parse(body);
+    }
+    catch {
+        return null;
+    }
+    const detail = parsed?.detail ?? parsed;
+    if (typeof detail === "string" && detail.trim())
+        return { message: detail };
+    if (detail && typeof detail === "object") {
+        const message = detail.message ?? detail.detail ?? detail.reason;
+        if (typeof message === "string" && message.trim()) {
+            return {
+                code: typeof detail.code === "string" ? detail.code : undefined,
+                message,
+                next_action: typeof detail.next_action === "string" ? detail.next_action : undefined,
+            };
+        }
+    }
     return null;
 }
 main().catch((err) => {

package/dist/commands/data.js

@@ -0,0 +1,97 @@
+import { existsSync, readFileSync, writeFileSync } from "node:fs";
+import { join } from "node:path";
+import chalk from "chalk";
+import { ApiClient } from "../api.js";
+import { loadConfig } from "../config.js";
+import { loadProjectConfig } from "../project-config.js";
+import { LayeroError, detectMode, emit } from "../agent.js";
+const DEFAULT_FILE = ".env.local";
+async function projectRef(api, opts) {
+    const linked = await loadProjectConfig(process.cwd());
+    const ref = opts.project ?? linked?.project_id;
+    if (!ref) {
+        throw new LayeroError("project_unknown", "не понятно, у какого проекта брать переменные Data API", "запусти из каталога проекта или передай --project <id|slug>");
+    }
+    const p = await api.getProject(ref);
+    return { id: p.id, slug: p.slug };
+}
+/**
+ * Дописывает переменные в файл, не трогая чужие строки.
+ *
+ * Перезапись файла целиком была бы проще и однажды стёрла бы чужую строку,
+ * которую человек добавил руками. Свои ключи узнаём по имени и обновляем на
+ * месте — остальное остаётся как было.
+ */
+function mergeEnvFile(previous, vars) {
+    const lines = previous ? previous.split("\n") : [];
+    const remaining = new Map(Object.entries(vars));
+    const out = lines.map((line) => {
+        const match = /^\s*([A-Za-z_][A-Za-z0-9_]*)\s*=/.exec(line);
+        const name = match?.[1];
+        if (!name)
+            return line;
+        const value = remaining.get(name);
+        if (value === undefined)
+            return line;
+        remaining.delete(name);
+        return `${name}=${value}`;
+    });
+    if (remaining.size) {
+        if (out.length && (out[out.length - 1] ?? "").trim() !== "")
+            out.push("");
+        out.push("# Layero Data API — адрес и публичный ключ (layero data env)");
+        for (const [key, value] of remaining)
+            out.push(`${key}=${value}`);
+        out.push("");
+    }
+    return out.join("\n");
+}
+/** Прикрыт ли файл от коммита. Проверяем буквально то имя, которое пишем. */
+function ignored(cwd, file) {
+    const gitignore = join(cwd, ".gitignore");
+    if (!existsSync(gitignore))
+        return false;
+    const patterns = readFileSync(gitignore, "utf8")
+        .split("\n")
+        .map((l) => l.trim())
+        .filter((l) => l && !l.startsWith("#"));
+    return patterns.some((p) => p === file || p === `/${file}` || p === "*.local" || p === ".env*" || p === ".env.*");
+}
+export async function dataEnvCmd(opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const project = await projectRef(api, opts);
+    const vars = await api.dataEnv(project.id);
+    if (!Object.keys(vars).length) {
+        if (mode.json) {
+            emit({ event: "data_env", project: project.slug, vars: {} });
+            return;
+        }
+        console.log(chalk.dim(`у проекта "${project.slug}" нет базы с включённым Data API\n` +
+            "включить: панель → база → «API» → «Включить API»"));
+        return;
+    }
+    if (mode.json) {
+        emit({ event: "data_env", project: project.slug, vars });
+        return;
+    }
+    const file = opts.file ?? DEFAULT_FILE;
+    if (!opts.write) {
+        // По умолчанию печатаем, а не пишем: команда, которая молча правит файлы в
+        // каталоге, — неприятный сюрприз, особенно у агента.
+        for (const [key, value] of Object.entries(vars))
+            console.log(`${key}=${value}`);
+        console.log(chalk.dim(`\n записать в ${file}:  layero data env --write`));
+        return;
+    }
+    const path = join(process.cwd(), file);
+    const previous = existsSync(path) ? readFileSync(path, "utf8") : "";
+    writeFileSync(path, mergeEnvFile(previous, vars), "utf8");
+    console.log(`${chalk.green("✓")} ${file}: ${Object.keys(vars).length} переменных`);
+    if (!ignored(process.cwd(), file)) {
+        console.log(chalk.yellow(`\n⚠ ${file} не закрыт .gitignore.`) +
+            chalk.dim(`\n  Публичный ключ не секрет — он и так уезжает в бандл. Но файл с таким` +
+                `\n  именем однажды примет настоящий секрет, и тогда будет поздно.` +
+                `\n  Добавьте строку:  echo "${file}" >> .gitignore`));
+    }
+}

package/dist/commands/db.js

@@ -0,0 +1,131 @@
+// `layero db` — базы организации из терминала (DX-03).
+//
+// 🚨 Зачем команда вообще. Продукт обещает «весь бэкенд — это база», но завести
+// базу можно было только в панели или сырой ручкой `POST /organizations/<org>/
+// databases`: у CLI существовала одна команда `data env`, показывающая ключ УЖЕ
+// существующей базы. Сборка приложения из терминала упиралась в переход в
+// браузер, а агент в CI — в чтение исходников платформы ради адреса ручки.
+//
+// ⚠️ Организация выбирается явно (`--org`) или единственная доступная. Угадывать
+// «первую попавшуюся» из нескольких нельзя: базы стоят денег и живут в разных
+// командах.
+import chalk from "chalk";
+import { ApiClient } from "../api.js";
+import { loadConfig } from "../config.js";
+import { loadProjectConfig } from "../project-config.js";
+import { LayeroError, detectMode, emit } from "../agent.js";
+async function orgOf(api, opts) {
+    if (opts.org)
+        return opts.org;
+    const orgs = await api.listOrganizations();
+    if (orgs.length === 1)
+        return orgs[0].slug;
+    const own = orgs.filter((o) => o.kind === "personal");
+    if (own.length === 1)
+        return own[0].slug;
+    throw new LayeroError("org_unknown", `у вас несколько организаций: ${orgs.map((o) => o.slug).join(", ")}`, "укажите нужную: --org <slug>");
+}
+/** База по имени, слагу или id — как её назвал человек. */
+async function pick(api, org, ref) {
+    const list = await api.listDatabases(org);
+    const needle = ref.trim().toLowerCase();
+    const found = list.find((d) => d.id === ref ||
+        (d.name_slug ?? "").toLowerCase() === needle ||
+        d.name.toLowerCase() === needle);
+    if (!found) {
+        throw new LayeroError("database_unknown", `в организации «${org}» нет базы «${ref}»`, list.length
+            ? `есть: ${list.map((d) => d.name_slug ?? d.name).join(", ")}`
+            : "заведите базу: layero db create <имя>");
+    }
+    return found;
+}
+function gb(bytes) {
+    if (!bytes)
+        return "—";
+    return `${(bytes / 1024 / 1024 / 1024).toFixed(2)} ГБ`;
+}
+export async function dbListCmd(opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const list = await api.listDatabases(org);
+    if (mode.json || opts.json) {
+        emit({ event: "databases", org, databases: list });
+        return;
+    }
+    if (!list.length) {
+        console.log(chalk.dim(`в организации «${org}» баз нет — layero db create <имя>`));
+        return;
+    }
+    for (const d of list) {
+        const api_on = d.api_enabled ? chalk.green("API") : chalk.dim("без API");
+        console.log(`${chalk.bold(d.name)}  ${chalk.dim(d.name_slug ?? "")}  ${d.status}  ` +
+            `${api_on}  проектов: ${d.projects_count}  ${gb(d.size_bytes)} из ${gb(d.quota_bytes)}`);
+    }
+}
+export async function dbCreateCmd(name, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const created = await api.createDatabase(org, { name, quota_gb: opts.gb });
+    // Пароль отдаётся ОДИН РАЗ — второй раз его не покажет никто, только
+    // ротация. Поэтому он и в JSON-режиме, и в терминале.
+    if (mode.json || opts.json) {
+        emit({ event: "database_created", org, name, ...created });
+        return;
+    }
+    console.log(`${chalk.green("✓")} база «${name}» заведена в организации ${org}`);
+    console.log(`\n  ${created.connection_string}`);
+    console.log(chalk.dim("\n  Пароль показывается один раз — сохраните строку подключения.\n" +
+        "  Ключи Data API для фронтенда: layero data env"));
+}
+export async function dbConnectCmd(ref, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const linked = await loadProjectConfig(process.cwd());
+    const projectRef = opts.project ?? linked?.project_id;
+    if (!projectRef) {
+        throw new LayeroError("project_unknown", "не понятно, какой проект подключать к базе", "запустите из каталога проекта или передайте --project <id|slug>");
+    }
+    const project = await api.getProject(projectRef);
+    const db = await pick(api, org, ref);
+    await api.connectDatabaseToProject(org, db.id, project.id);
+    if (mode.json || opts.json) {
+        emit({ event: "database_connected", org, database: db.name, project: project.slug });
+        return;
+    }
+    console.log(`${chalk.green("✓")} проект «${project.slug}» подключён к базе «${db.name}»\n` +
+        chalk.dim("  строка подключения приедет в переменные окружения проекта"));
+}
+export async function dbSqlCmd(ref, opts) {
+    const mode = detectMode();
+    const sql = (opts.command ?? "").trim();
+    if (!sql) {
+        throw new LayeroError("sql_missing", "нечего выполнять", 'передайте запрос: -c "SELECT 1"');
+    }
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const db = await pick(api, org, ref);
+    const result = await api.queryDatabase(org, db.id, sql);
+    if (mode.json || opts.json) {
+        emit({ event: "query_result", database: db.name, ...result });
+        return;
+    }
+    // Скрипт из нескольких операторов отвечает по каждому — показываем все,
+    // иначе миграция из десяти команд выглядит как «ничего не выполнилось».
+    if (result.statements?.length) {
+        for (const [i, one] of result.statements.entries()) {
+            console.log(chalk.dim(`${i + 1}. ${one.sql.split("\n")[0]}`) + `  ${one.status ?? ""}`);
+        }
+    }
+    if (result.columns.length) {
+        console.log(chalk.bold(result.columns.join("\t")));
+        for (const row of result.rows)
+            console.log(row.map((c) => String(c ?? "")).join("\t"));
+        console.log(chalk.dim(`\n${result.row_count} строк${result.truncated ? " (усечено)" : ""}`));
+    }
+    else if (!result.statements?.length) {
+        console.log(result.status ?? "выполнено");
+    }
+}

package/dist/commands/deploy.js

@@ -31,6 +31,45 @@ const VALID_TYPES = new Set([
     "vitepress",
     "storybook",
 ]);
+/**
+ * Runtime kinds — приложения, которые платформа ЗАПУСКАЕТ, а не раздаёт
+ * файлами.
+ *
+ * 🚨 Их здесь не было вовсе, и это стоило переноса. `--type` принимал только
+ * статические пресеты, а Express-репозиторий детект уверенно опознавал как
+ * `vite` — из-за devDependency `vite`, которую тянет `vitest`. Первый деплой
+ * умирал на «собранный сайт не содержит index.html», и единственным выходом
+ * оставался curl в недокументированную ручку `/projects/<id>/runtime-type`.
+ * Найдено переносом настоящего приложения 16.08.2026.
+ *
+ * Слева — то, что человек напишет, справа — то, что понимает платформа.
+ * Синонимы не украшение: `--type express` пишут чаще, чем `--type node_web`,
+ * и отказ на нём отправляет читать исходники, а не деплоить.
+ */
+const RUNTIME_TYPES = {
+    node_web: "node_web",
+    node: "node_web",
+    express: "node_web",
+    fastify: "node_web",
+    nest: "node_web",
+    nestjs: "node_web",
+    koa: "node_web",
+    python_web: "python_web",
+    python: "python_web",
+    fastapi: "python_web",
+    django: "python_web",
+    flask: "flask",
+    streamlit: "streamlit",
+    gradio: "gradio",
+    ssr_next: "ssr_next",
+    "next-ssr": "ssr_next",
+};
+/** Каноничный runtime-kind по тому, что написал человек, либо `null`. */
+export function runtimeTypeOf(raw) {
+    if (!raw)
+        return null;
+    return RUNTIME_TYPES[raw.trim().toLowerCase()] ?? null;
+}
 function dashboardOrigin(apiUrl) {
     const override = process.env.LAYERO_DASHBOARD_URL;
     if (override)
@@ -177,7 +216,14 @@ async function resolveSetupConfig(cwd, opts, existing) {
         ...(detected.runtime_kind ? { runtime_kind: detected.runtime_kind } : {}),
         ...(detected.ssr_warning ? { ssr_warning: detected.ssr_warning } : {}),
     });
-    const framework_hint = opts.type ?? existing?.framework_hint ?? detected.framework_hint;
+    // ⚠️ Runtime-тип в `framework_hint` не уходит: это разные вопросы. Хинт
+    // отвечает «чем собирать» (vite, next, …), а runtime-kind — «запускать или
+    // раздавать файлами». Положи мы сюда `node_web`, сборщик получил бы имя
+    // фреймворка, которого не существует.
+    const asRuntime = runtimeTypeOf(opts.type);
+    const framework_hint = (asRuntime ? undefined : opts.type) ??
+        existing?.framework_hint ??
+        detected.framework_hint;
     const build_cmd = existing?.build_cmd ?? detected.build_cmd;
     const output_dir = existing?.output_dir ?? detected.output_dir;
     let source;
@@ -195,7 +241,13 @@ async function resolveSetupConfig(cwd, opts, existing) {
         build_cmd,
         output_dir,
         source,
-        ...(detected.runtime_kind ? { runtime_kind: detected.runtime_kind } : {}),
+        // Явный `--type` сильнее детекта: человек уже видел, как детект ошибся,
+        // иначе бы не писал флаг.
+        ...(asRuntime
+            ? { runtime_kind: asRuntime }
+            : detected.runtime_kind
+                ? { runtime_kind: detected.runtime_kind }
+                : {}),
     };
 }
 /**
@@ -313,8 +365,15 @@ async function startWithRepeatedFailureGuard(api, sessionId, commitSha, opts) {
 }
 export async function deployCmd(opts) {
     const mode = detectMode();
-    if (opts.type && !VALID_TYPES.has(opts.type.toLowerCase())) {
-        throw new LayeroError("invalid_type", `unknown --type "${opts.type}"`, `valid types: ${[...VALID_TYPES].join(", ")}`);
+    if (opts.type &&
+        !VALID_TYPES.has(opts.type.toLowerCase()) &&
+        !runtimeTypeOf(opts.type)) {
+        throw new LayeroError("invalid_type", `unknown --type "${opts.type}"`, 
+        // Две группы, а не один список: у них разная судьба. Статический пресет
+        // говорит, ЧЕМ собирать; runtime-тип — что приложение надо ЗАПУСКАТЬ.
+        `static presets: ${[...VALID_TYPES].join(", ")}\n` +
+            `runtime kinds: ${[...new Set(Object.values(RUNTIME_TYPES))].join(", ")} ` +
+            `(aliases: ${Object.keys(RUNTIME_TYPES).join(", ")})`);
     }
     let cliCfg = await loadConfig();
     if (!cliCfg.token) {
@@ -453,6 +512,34 @@ export async function deployCmd(opts) {
             slug: project.slug,
         });
     emit({ event: "setup_applied" });
+    // 🚨 На ПЕРВОЙ настройке хватает `runtime_kind` в сессии, а у уже
+    // существующего проекта побеждает его `project_type` — и `--type node_web`
+    // молча не делал ничего. Ровно здесь человек и упирался: тип приходилось
+    // менять curl'ом в `/projects/<id>/runtime-type`.
+    //
+    // Момент выбран не случайно: сессия создана (значит, id проекта известен),
+    // но архив ещё не упакован и сборка не запущена — флип успевает повлиять на
+    // ту же выкатку.
+    const wantRuntime = runtimeTypeOf(opts.type);
+    if (wantRuntime && project.project_type !== wantRuntime) {
+        try {
+            await api.setRuntimeType(project.id, wantRuntime);
+        }
+        catch (err) {
+            // 409 — платформа возражает: репозиторий не похож на этот тип. Возражение
+            // обязано быть заметным, но не запирающим: человек написал флаг явно, и
+            // спорить с ним мы перестали намеренно (та же логика, что у панели).
+            if (err instanceof ApiError && err.status === 409) {
+                process.stderr.write(chalk.yellow(`! platform disagrees with --type ${wantRuntime}: ${err.body.slice(0, 200)}\n` +
+                    `  applying anyway because you asked explicitly\n`));
+                await api.setRuntimeType(project.id, wantRuntime, true);
+            }
+            else {
+                throw err;
+            }
+        }
+        emit({ event: "runtime_type_applied", project_type: wantRuntime });
+    }
     await persistProjectLinking(cwd, {
         project_id: project.id,
         slug: project.slug,

package/dist/commands/login.js

@@ -1,6 +1,17 @@
 import { loadConfig } from "../config.js";
 import { runDeviceLogin } from "../auth.js";
-export async function loginCmd(_opts) {
+/**
+ * `layero login` — device flow: печатает адрес и код, ждёт подтверждения.
+ *
+ * ⚠️ `--no-browser` нужен там, где браузера на этой машине нет вовсе — SSH,
+ * контейнер, удалённая среда агента. Без флага CLI пытается открыть адрес
+ * сам, и на такой машине это выглядит как зависание.
+ *
+ * Для CI и агентов вход человеком не годится в принципе: там нужен
+ * долгоживущий токен — `layero token create <имя>` и `LAYERO_TOKEN` в
+ * окружении.
+ */
+export async function loginCmd(opts) {
     const cfg = await loadConfig();
-    await runDeviceLogin(cfg);
+    await runDeviceLogin(cfg, { noBrowser: Boolean(opts.noBrowser) });
 }

package/dist/commands/token.js

@@ -1,6 +1,7 @@
 import chalk from "chalk";
 import { loadConfig, saveConfig } from "../config.js";
 import { ApiClient } from "../api.js";
+import { detectMode, emit } from "../agent.js";
 export async function tokenSetCmd(jwt) {
     const cfg = await loadConfig();
     cfg.token = jwt.trim();
@@ -22,3 +23,61 @@ export async function tokenSetCmd(jwt) {
             "before `layero deploy`."));
     }
 }
+/**
+ * `layero token create <имя>` — долгоживущий токен для CI и агентов.
+ *
+ * 🚨 Это и есть неинтерактивный путь входа, которого не хватало. `layero login`
+ * требует человека с браузером; в CI работать было нечем, а единственной
+ * подсказкой была команда `token set <jwt>` — «раздобудьте токен где-нибудь
+ * ещё». Ручка на сервере существовала, у CLI её не было.
+ *
+ * ⚠️ По умолчанию токен умеет читать и деплоить, но не умеет необратимого:
+ * удалить проект, сменить адрес, передать владение, выписать себе новый
+ * токен. `--scope admin` запрашивается явно.
+ */
+export async function tokenCreateCmd(name, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const scopes = (opts.scope ?? "")
+        .split(",")
+        .map((s) => s.trim())
+        .filter(Boolean);
+    const created = await api.createApiToken({ name, scopes: scopes.length ? scopes : undefined });
+    if (mode.json || opts.json) {
+        emit({ event: "token_created", id: created.id, name: created.name,
+            token: created.token, scopes: created.scopes });
+        return;
+    }
+    // Сырой токен показывается ЕДИНСТВЕННЫЙ раз: в базе лежит только хеш.
+    console.log(`${chalk.green("✓")} токен «${created.name}» (${created.scopes.join(", ")})\n`);
+    console.log(created.token);
+    console.log(chalk.dim("\n  Показывается один раз. В CI: LAYERO_TOKEN=<токен> npx layero@latest deploy"));
+}
+export async function tokenListCmd(opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const list = await api.listApiTokens();
+    if (mode.json || opts.json) {
+        emit({ event: "tokens", tokens: list });
+        return;
+    }
+    if (!list.length) {
+        console.log(chalk.dim("токенов нет — layero token create <имя>"));
+        return;
+    }
+    for (const t of list) {
+        const used = t.last_used_at ? `использован ${t.last_used_at.slice(0, 10)}` : "не использован";
+        console.log(`${chalk.bold(t.name)}  ${t.hint}  [${t.scopes.join(", ")}]  ${used}`);
+        console.log(chalk.dim(`  id: ${t.id}`));
+    }
+}
+export async function tokenRevokeCmd(id, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    await api.revokeApiToken(id);
+    if (mode.json || opts.json) {
+        emit({ event: "token_revoked", id });
+        return;
+    }
+    console.log(`${chalk.green("✓")} токен отозван`);
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.8.24",
+  "version": "0.9.0",
   "description": "Layero CLI — publish a local site with one command. No git, no GitHub, agent-friendly (Cursor, Claude Code).",
   "license": "MIT",
   "type": "module",