layero 0.8.25 → 0.9.0

package/dist/api.js

@@ -140,6 +140,51 @@ export class ApiClient {
      * из правила выше, а другая природа: публичный ключ уезжает в бандл и виден
      * любому посетителю сайта. Секретного здесь не бывает.
      */
+    // ── Базы организации (DX-03) ──────────────────────────────────────────
+    //
+    // 🚨 Заведено потому, что базу нельзя было создать ничем, кроме панели: у
+    // CLI была одна команда `data env` — показать ключ УЖЕ существующей базы.
+    // Адрес ручки и форму тела приходилось читать в исходниках платформы.
+    listDatabases(org) {
+        return this.request("GET", `/organizations/${org}/databases`);
+    }
+    createDatabase(org, input) {
+        return this.request("POST", `/organizations/${org}/databases`, {
+            name: input.name,
+            quota_gb: input.quota_gb ?? null,
+            extensions: input.extensions ?? [],
+        });
+    }
+    connectDatabaseToProject(org, dbId, projectId) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/projects`, {
+            project_id: projectId,
+        });
+    }
+    queryDatabase(org, dbId, sql) {
+        return this.request("POST", `/organizations/${org}/databases/${dbId}/query`, {
+            sql,
+            read_only: false,
+        });
+    }
+    // ── Долгоживущие токены для CI (DX-02) ────────────────────────────────
+    //
+    // 🚨 Заведено потому, что неинтерактивного пути входа у CLI не было вовсе.
+    // `layero login` требует человека с браузером, а единственной подсказкой
+    // была команда `token set <jwt>` с подписью «пока login не доделан» — то
+    // есть «раздобудьте токен где-нибудь ещё». В CI на этом месте вставали
+    // насмерть. Ручка на сервере существовала с AGENT-02, у CLI её не было.
+    createApiToken(input) {
+        return this.request("POST", "/auth/tokens", {
+            name: input.name,
+            scopes: input.scopes ?? null,
+        });
+    }
+    listApiTokens() {
+        return this.request("GET", "/auth/tokens");
+    }
+    revokeApiToken(id) {
+        return this.request("DELETE", `/auth/tokens/${id}`);
+    }
     dataEnv(projectId) {
         return this.request("GET", `/projects/${projectId}/data-env`);
     }

package/dist/auth.js

@@ -20,7 +20,7 @@ const MAX_WAIT_MS = 15 * 60 * 1000;
  * Throws LayeroError("auth_expired" | "auth_timeout") if the user doesn't
  * approve in time.
  */
-export async function runDeviceLogin(cfg) {
+export async function runDeviceLogin(cfg, opts = {}) {
     const mode = detectMode();
     const api = new ApiClient(cfg);
     const device = await api.startDeviceAuth();
@@ -34,11 +34,13 @@ export async function runDeviceLogin(cfg) {
         console.log(chalk.bold(`  ${verification_url}`));
         console.log(chalk.dim(`\n  Confirmation code: `) + chalk.white.bold(user_code));
         console.log(chalk.dim(`  (expires in ${device.expires_in}s)\n`));
-        try {
-            await open(verification_url);
-        }
-        catch {
-            // non-fatal — user can paste the URL manually
+        if (!opts.noBrowser) {
+            try {
+                await open(verification_url);
+            }
+            catch {
+                // non-fatal — user can paste the URL manually
+            }
         }
     }
     const deadline = Date.now() + MAX_WAIT_MS;

package/dist/bin/layero.js

@@ -5,7 +5,7 @@ import { whoamiCmd } from "../commands/whoami.js";
 import { logoutCmd } from "../commands/logout.js";
 import { projectsListCmd } from "../commands/projects.js";
 import { linkCmd } from "../commands/link.js";
-import { tokenSetCmd } from "../commands/token.js";
+import { tokenCreateCmd, tokenListCmd, tokenRevokeCmd, tokenSetCmd } from "../commands/token.js";
 import { deployCmd } from "../commands/deploy.js";
 import { deploysListCmd, rollbackCmd } from "../commands/deploys.js";
 import { promoteCmd } from "../commands/promote.js";
@@ -16,6 +16,7 @@ import { initCmd } from "../commands/init.js";
 import { diagnoseCmd, logsCmd } from "../commands/diagnose.js";
 import { perfCheckCmd, perfShowCmd } from "../commands/perf.js";
 import { dataEnvCmd } from "../commands/data.js";
+import { dbConnectCmd, dbCreateCmd, dbListCmd, dbSqlCmd } from "../commands/db.js";
 import { envListCmd, envSetCmd, envUnsetCmd } from "../commands/env.js";
 import { analyticsConnectCmd, analyticsDisconnectCmd, analyticsStatsCmd, analyticsStatusCmd, } from "../commands/analytics.js";
 import { domainsAddCmd, domainsListCmd, domainsPrimaryCmd, domainsRemoveCmd, domainsVerifyCmd, } from "../commands/domains.js";
@@ -38,8 +39,14 @@ async function main() {
         .option("--debug", "print a full stack trace when a command errors");
     program
         .command("login")
-        .description("Authenticate via browser (email code or Yandex ID). Opens a one-time URL — no localhost server required.")
-        .addHelpText("after", "\nExamples:\n  $ layero login\n  $ npx layero login")
+        .description("Вход через браузер (код из почты или Yandex ID): печатает одноразовый адрес и код.")
+        .option("--no-browser", "не открывать браузер — только напечатать адрес и код")
+        .addHelpText("after", "\nПримеры:\n" +
+        "  $ layero login\n" +
+        "  $ layero login --no-browser        # SSH, контейнер, среда агента\n" +
+        "\nДля CI и агентов вход человеком не годится — нужен долгоживущий токен:\n" +
+        "  $ layero token create ci\n" +
+        "  $ LAYERO_TOKEN=<токен> npx layero@latest deploy")
         .action(async (opts) => {
         await loginCmd(opts);
     });
@@ -209,6 +216,24 @@ async function main() {
         "\nОтдаётся только ПУБЛИЧНЫЙ ключ — тот, что и так уезжает в бандл.\n" +
         "Секретный ключ платформа не хранит и не отдаёт: он для сервера.")
         .action(async (opts) => dataEnvCmd({ ...opts, json: program.opts().json }));
+    const db = program
+        .command("db")
+        .description("Базы организации: завести, посмотреть, подключить к проекту, выполнить SQL.");
+    const withOrg = (c) => c.option("--org <slug>", "организация (по умолчанию единственная)");
+    withOrg(db.command("list").description("Базы организации."))
+        .action(async (opts) => dbListCmd({ ...opts, json: program.opts().json }));
+    withOrg(db
+        .command("create <name>")
+        .description("Завести базу. Строка подключения печатается ОДИН раз.")
+        .option("--gb <number>", "объём платной базы в гигабайтах", (v) => parseInt(v, 10))).action(async (name, opts) => dbCreateCmd(name, { ...opts, json: program.opts().json }));
+    withOrg(db
+        .command("connect <database>")
+        .description("Подключить проект к базе: строка подключения приедет в его переменные.")
+        .option("--project <id_or_slug>", "проект (по умолчанию — залинкованный)")).action(async (database, opts) => dbConnectCmd(database, { ...opts, json: program.opts().json }));
+    withOrg(db
+        .command("sql <database>")
+        .description("Выполнить SQL в базе. Скрипт из нескольких операторов — одной транзакцией.")
+        .requiredOption("-c, --command <sql>", "запрос или скрипт")).action(async (database, opts) => dbSqlCmd(database, { ...opts, json: program.opts().json }));
     const analytics = program
         .command("analytics")
         .description("Яндекс.Метрика: подключение и статистика сайта.");
@@ -286,10 +311,27 @@ async function main() {
     const token = program
         .command("token")
         .description("Manage the auth token directly (advanced).");
+    token
+        .command("create <name>")
+        .description("Выпустить долгоживущий токен для CI и агентов. " +
+        "Показывается ОДИН раз. По умолчанию read+deploy, без необратимого.")
+        .option("--scope <list>", "через запятую: read, deploy, admin")
+        .addHelpText("after", "\nПримеры:\n" +
+        "  $ layero token create ci                       # read+deploy\n" +
+        "  $ layero token create ci --scope read          # только чтение\n" +
+        "\nВ CI:  LAYERO_TOKEN=<токен> npx layero@latest deploy")
+        .action(async (name, opts) => tokenCreateCmd(name, { ...opts, json: program.opts().json }));
+    token
+        .command("list")
+        .description("Выпущенные токены: имя, подсказка, права, последнее использование.")
+        .action(async () => tokenListCmd({ json: program.opts().json }));
+    token
+        .command("revoke <id>")
+        .description("Отозвать токен. Действует немедленно.")
+        .action(async (id) => tokenRevokeCmd(id, { json: program.opts().json }));
     token
         .command("set <jwt>")
-        .description("Persist a JWT obtained out-of-band (e.g. from the web UI). " +
-        "Use this until `layero login` is fully wired up.")
+        .description("Сохранить токен, полученный иначе (например, `layero token create` на другой машине).")
         .action(tokenSetCmd);
     program
         .command("deploy")
@@ -378,6 +420,49 @@ function asAccountStateError(err) {
             ? `Тариф не позволяет больше ${what}${counts}.`
             : "Действие недоступно на текущем тарифе.", "смените тариф на app.layero.ru/billing или освободите место, удалив ненужное");
     }
+    // 🚨 Понятный отказ сервера не имеет права превращаться в нашу поломку.
+    // 409 с `reason: reserved` и текстом «имя зарезервировано платформой»
+    // печатался как `code: internal` с советом «re-run with --debug for a stack
+    // trace» — человек шёл искать стек вместо того, чтобы сменить имя.
+    //
+    // Разбираем ЛЮБОЙ 4xx с телом, а не отдельные коды: заплатка на один код
+    // означала бы, что следующий понятный отказ снова станет «внутренней
+    // ошибкой». 5xx сюда не попадает намеренно — это как раз наша авария.
+    if (err.status >= 400 && err.status < 500) {
+        const detail = detailOf(err.body);
+        if (detail) {
+            return new LayeroError(detail.code ?? `http_${err.status}`, detail.message, detail.next_action ?? "исправьте запрос и повторите");
+        }
+    }
+    return null;
+}
+/**
+ * Достаёт человеческую часть отказа из тела ответа.
+ *
+ * FastAPI кладёт её в `detail` — либо строкой, либо объектом с `code`,
+ * `reason` и `message`. Обе формы живые, и обе должны доезжать до человека.
+ */
+function detailOf(body) {
+    let parsed;
+    try {
+        parsed = JSON.parse(body);
+    }
+    catch {
+        return null;
+    }
+    const detail = parsed?.detail ?? parsed;
+    if (typeof detail === "string" && detail.trim())
+        return { message: detail };
+    if (detail && typeof detail === "object") {
+        const message = detail.message ?? detail.detail ?? detail.reason;
+        if (typeof message === "string" && message.trim()) {
+            return {
+                code: typeof detail.code === "string" ? detail.code : undefined,
+                message,
+                next_action: typeof detail.next_action === "string" ? detail.next_action : undefined,
+            };
+        }
+    }
     return null;
 }
 main().catch((err) => {

package/dist/commands/db.js

@@ -0,0 +1,131 @@
+// `layero db` — базы организации из терминала (DX-03).
+//
+// 🚨 Зачем команда вообще. Продукт обещает «весь бэкенд — это база», но завести
+// базу можно было только в панели или сырой ручкой `POST /organizations/<org>/
+// databases`: у CLI существовала одна команда `data env`, показывающая ключ УЖЕ
+// существующей базы. Сборка приложения из терминала упиралась в переход в
+// браузер, а агент в CI — в чтение исходников платформы ради адреса ручки.
+//
+// ⚠️ Организация выбирается явно (`--org`) или единственная доступная. Угадывать
+// «первую попавшуюся» из нескольких нельзя: базы стоят денег и живут в разных
+// командах.
+import chalk from "chalk";
+import { ApiClient } from "../api.js";
+import { loadConfig } from "../config.js";
+import { loadProjectConfig } from "../project-config.js";
+import { LayeroError, detectMode, emit } from "../agent.js";
+async function orgOf(api, opts) {
+    if (opts.org)
+        return opts.org;
+    const orgs = await api.listOrganizations();
+    if (orgs.length === 1)
+        return orgs[0].slug;
+    const own = orgs.filter((o) => o.kind === "personal");
+    if (own.length === 1)
+        return own[0].slug;
+    throw new LayeroError("org_unknown", `у вас несколько организаций: ${orgs.map((o) => o.slug).join(", ")}`, "укажите нужную: --org <slug>");
+}
+/** База по имени, слагу или id — как её назвал человек. */
+async function pick(api, org, ref) {
+    const list = await api.listDatabases(org);
+    const needle = ref.trim().toLowerCase();
+    const found = list.find((d) => d.id === ref ||
+        (d.name_slug ?? "").toLowerCase() === needle ||
+        d.name.toLowerCase() === needle);
+    if (!found) {
+        throw new LayeroError("database_unknown", `в организации «${org}» нет базы «${ref}»`, list.length
+            ? `есть: ${list.map((d) => d.name_slug ?? d.name).join(", ")}`
+            : "заведите базу: layero db create <имя>");
+    }
+    return found;
+}
+function gb(bytes) {
+    if (!bytes)
+        return "—";
+    return `${(bytes / 1024 / 1024 / 1024).toFixed(2)} ГБ`;
+}
+export async function dbListCmd(opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const list = await api.listDatabases(org);
+    if (mode.json || opts.json) {
+        emit({ event: "databases", org, databases: list });
+        return;
+    }
+    if (!list.length) {
+        console.log(chalk.dim(`в организации «${org}» баз нет — layero db create <имя>`));
+        return;
+    }
+    for (const d of list) {
+        const api_on = d.api_enabled ? chalk.green("API") : chalk.dim("без API");
+        console.log(`${chalk.bold(d.name)}  ${chalk.dim(d.name_slug ?? "")}  ${d.status}  ` +
+            `${api_on}  проектов: ${d.projects_count}  ${gb(d.size_bytes)} из ${gb(d.quota_bytes)}`);
+    }
+}
+export async function dbCreateCmd(name, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const created = await api.createDatabase(org, { name, quota_gb: opts.gb });
+    // Пароль отдаётся ОДИН РАЗ — второй раз его не покажет никто, только
+    // ротация. Поэтому он и в JSON-режиме, и в терминале.
+    if (mode.json || opts.json) {
+        emit({ event: "database_created", org, name, ...created });
+        return;
+    }
+    console.log(`${chalk.green("✓")} база «${name}» заведена в организации ${org}`);
+    console.log(`\n  ${created.connection_string}`);
+    console.log(chalk.dim("\n  Пароль показывается один раз — сохраните строку подключения.\n" +
+        "  Ключи Data API для фронтенда: layero data env"));
+}
+export async function dbConnectCmd(ref, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const linked = await loadProjectConfig(process.cwd());
+    const projectRef = opts.project ?? linked?.project_id;
+    if (!projectRef) {
+        throw new LayeroError("project_unknown", "не понятно, какой проект подключать к базе", "запустите из каталога проекта или передайте --project <id|slug>");
+    }
+    const project = await api.getProject(projectRef);
+    const db = await pick(api, org, ref);
+    await api.connectDatabaseToProject(org, db.id, project.id);
+    if (mode.json || opts.json) {
+        emit({ event: "database_connected", org, database: db.name, project: project.slug });
+        return;
+    }
+    console.log(`${chalk.green("✓")} проект «${project.slug}» подключён к базе «${db.name}»\n` +
+        chalk.dim("  строка подключения приедет в переменные окружения проекта"));
+}
+export async function dbSqlCmd(ref, opts) {
+    const mode = detectMode();
+    const sql = (opts.command ?? "").trim();
+    if (!sql) {
+        throw new LayeroError("sql_missing", "нечего выполнять", 'передайте запрос: -c "SELECT 1"');
+    }
+    const api = new ApiClient(await loadConfig());
+    const org = await orgOf(api, opts);
+    const db = await pick(api, org, ref);
+    const result = await api.queryDatabase(org, db.id, sql);
+    if (mode.json || opts.json) {
+        emit({ event: "query_result", database: db.name, ...result });
+        return;
+    }
+    // Скрипт из нескольких операторов отвечает по каждому — показываем все,
+    // иначе миграция из десяти команд выглядит как «ничего не выполнилось».
+    if (result.statements?.length) {
+        for (const [i, one] of result.statements.entries()) {
+            console.log(chalk.dim(`${i + 1}. ${one.sql.split("\n")[0]}`) + `  ${one.status ?? ""}`);
+        }
+    }
+    if (result.columns.length) {
+        console.log(chalk.bold(result.columns.join("\t")));
+        for (const row of result.rows)
+            console.log(row.map((c) => String(c ?? "")).join("\t"));
+        console.log(chalk.dim(`\n${result.row_count} строк${result.truncated ? " (усечено)" : ""}`));
+    }
+    else if (!result.statements?.length) {
+        console.log(result.status ?? "выполнено");
+    }
+}

package/dist/commands/login.js

@@ -1,6 +1,17 @@
 import { loadConfig } from "../config.js";
 import { runDeviceLogin } from "../auth.js";
-export async function loginCmd(_opts) {
+/**
+ * `layero login` — device flow: печатает адрес и код, ждёт подтверждения.
+ *
+ * ⚠️ `--no-browser` нужен там, где браузера на этой машине нет вовсе — SSH,
+ * контейнер, удалённая среда агента. Без флага CLI пытается открыть адрес
+ * сам, и на такой машине это выглядит как зависание.
+ *
+ * Для CI и агентов вход человеком не годится в принципе: там нужен
+ * долгоживущий токен — `layero token create <имя>` и `LAYERO_TOKEN` в
+ * окружении.
+ */
+export async function loginCmd(opts) {
     const cfg = await loadConfig();
-    await runDeviceLogin(cfg);
+    await runDeviceLogin(cfg, { noBrowser: Boolean(opts.noBrowser) });
 }

package/dist/commands/token.js

@@ -1,6 +1,7 @@
 import chalk from "chalk";
 import { loadConfig, saveConfig } from "../config.js";
 import { ApiClient } from "../api.js";
+import { detectMode, emit } from "../agent.js";
 export async function tokenSetCmd(jwt) {
     const cfg = await loadConfig();
     cfg.token = jwt.trim();
@@ -22,3 +23,61 @@ export async function tokenSetCmd(jwt) {
             "before `layero deploy`."));
     }
 }
+/**
+ * `layero token create <имя>` — долгоживущий токен для CI и агентов.
+ *
+ * 🚨 Это и есть неинтерактивный путь входа, которого не хватало. `layero login`
+ * требует человека с браузером; в CI работать было нечем, а единственной
+ * подсказкой была команда `token set <jwt>` — «раздобудьте токен где-нибудь
+ * ещё». Ручка на сервере существовала, у CLI её не было.
+ *
+ * ⚠️ По умолчанию токен умеет читать и деплоить, но не умеет необратимого:
+ * удалить проект, сменить адрес, передать владение, выписать себе новый
+ * токен. `--scope admin` запрашивается явно.
+ */
+export async function tokenCreateCmd(name, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const scopes = (opts.scope ?? "")
+        .split(",")
+        .map((s) => s.trim())
+        .filter(Boolean);
+    const created = await api.createApiToken({ name, scopes: scopes.length ? scopes : undefined });
+    if (mode.json || opts.json) {
+        emit({ event: "token_created", id: created.id, name: created.name,
+            token: created.token, scopes: created.scopes });
+        return;
+    }
+    // Сырой токен показывается ЕДИНСТВЕННЫЙ раз: в базе лежит только хеш.
+    console.log(`${chalk.green("✓")} токен «${created.name}» (${created.scopes.join(", ")})\n`);
+    console.log(created.token);
+    console.log(chalk.dim("\n  Показывается один раз. В CI: LAYERO_TOKEN=<токен> npx layero@latest deploy"));
+}
+export async function tokenListCmd(opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    const list = await api.listApiTokens();
+    if (mode.json || opts.json) {
+        emit({ event: "tokens", tokens: list });
+        return;
+    }
+    if (!list.length) {
+        console.log(chalk.dim("токенов нет — layero token create <имя>"));
+        return;
+    }
+    for (const t of list) {
+        const used = t.last_used_at ? `использован ${t.last_used_at.slice(0, 10)}` : "не использован";
+        console.log(`${chalk.bold(t.name)}  ${t.hint}  [${t.scopes.join(", ")}]  ${used}`);
+        console.log(chalk.dim(`  id: ${t.id}`));
+    }
+}
+export async function tokenRevokeCmd(id, opts) {
+    const mode = detectMode();
+    const api = new ApiClient(await loadConfig());
+    await api.revokeApiToken(id);
+    if (mode.json || opts.json) {
+        emit({ event: "token_revoked", id });
+        return;
+    }
+    console.log(`${chalk.green("✓")} токен отозван`);
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "layero",
-  "version": "0.8.25",
+  "version": "0.9.0",
   "description": "Layero CLI — publish a local site with one command. No git, no GitHub, agent-friendly (Cursor, Claude Code).",
   "license": "MIT",
   "type": "module",