letopis 0.19.0 → 0.20.1

package/README.md

@@ -6,14 +6,15 @@ Dot-цепочки над append-only Entity-хранилищем (TimescaleDB).
 ```ts
 import { connect } from 'letopis'
 
-const db = await connect({ dsn: 'postgres://…', schema: 'v1.booking' })
+const db = await connect({ dsn: 'postgres://…', schema: 'v1.booking' })  // пул, безличный
+const t  = await db.as(accountId)   // арендатор ВЫЗОВА: кто именно делает эти запросы (§10.6)
 
 // чтение: пути по графу
-const пути = await db.Мастер({ name: 'Вася' }).навык().Услуга().run()
+const пути = await t.Мастер({ name: 'Вася' }).навык().Услуга().run()
 // [ { Мастер: Row, навык: Row, Услуга: Row }, … ]
 
 // запись: операции — звенья, исполняет терминал
-await db.Организация(org).Мастер().create({ name: 'Вася', phone: '+7 900 …' }).rows()
+await t.Организация(org).Мастер().create({ name: 'Вася', phone: '+7 900 …' }).rows()
 ```
 
 ## Возможности
@@ -52,7 +53,7 @@ await db.Организация(org).Мастер().create({ name: 'Вася', p
 - Пароли (scrypt), api-ключи, key-secret, external identity (oauth/sso/telegram), TOTP, одноразовые коды (§9.1).
 - Сессии во внешнем Redis (клиент инжектируется, §9.1).
 - ACL: `Resource` / `Rule`, `enforceAcl` — предикаты строк вливаются в SQL до сортировки/лимита; наследование прав по классам (§9.2).
-- Изоляция арендатора `enforceAccount` (§10.6).
+- Изоляция арендатора `enforceAccount` **включена по умолчанию**; арендатора называет `db.as(account)` — свойство ВЫЗОВА, не подключения (§10.6).
 
 **Эксплуатация**
 - `up()` — dev-bootstrap одной функцией: Docker (TimescaleDB pg17 + Redis) + схема + сиды + connect (§1, §1.1).
@@ -82,6 +83,19 @@ await db.Организация(org).Мастер().create({ name: 'Вася', p
 
 ## 1. Быстрый старт
 
+```bash
+npm install letopis          # ESM-only, Node 20+; рантайм-зависимости: postgres + fastest-validator
+```
+
+Нужен PostgreSQL 17 с расширением TimescaleDB (`Entity` — hypertable). Локально его
+поднимает сам `up()` через Docker; Redis нужен только для сессий (`db.auth.sessions`),
+клиент инжектируется.
+
+> **Две разные «версии», не путать.** Semver пакета живёт в `package.json` /
+> `CHANGELOG.md`. Везде в этом руководстве `version` / `opts.version` — **версия
+> DDL-схемы**: целое ≥ 1, из него строится имя PG-схемы `v<version>.<schema>`,
+> бампается руками при breaking-изменении `ddl.sql`.
+
 Одна функция — весь путь от нуля: dev-контейнер (TimescaleDB + Redis), готовность,
 версионная схема с сидами, подключение:
 
@@ -96,9 +110,14 @@ const db = await up({ schema: 'booking', version: 1 })   // → PG-схема "v
 // [letopis.up] schema "v1.booking" applied (3 files)
 // [letopis.up] connected (schema "v1.booking")
 
-const [org]  = await db.Организация().create({ name: 'BarberPro' }).rows()
-const [вася] = await db.Организация(org).Мастер().create({ name: 'Вася', phone: '+7 900 …' }).rows()
-await db.close()
+// db — безличный пул: изоляция арендатора включена по умолчанию, поэтому цепочки идут
+// от ИМЕНИ аккаунта (§10.6). На старте единственный аккаунт — System из сида.
+const [sys] = await db.accounts.find({ category: 'System' })
+const t = await db.as(sys.id)
+
+const [org]  = await t.Организация().create({ name: 'BarberPro' }).rows()
+const [вася] = await t.Организация(org).Мастер().create({ name: 'Вася', phone: '+7 900 …' }).rows()
+await db.close()   // scope'ы делят пул с корнем — закрывать один раз
 ```
 
 Идемпотентно: живой postgres на `dsn` → docker пропускается; существующая схема не трогается.
@@ -122,6 +141,13 @@ const db = await connect({ dsn: 'postgres://postgres:test@localhost:15432/clockz
 
 ### 1.1 Своя схема с нуля + всё в контейнере одной командой
 
+> **⚠ `seeds` ОБЯЗАТЕЛЕН для своего домена.** Без него (`seeds` не передан) `up()` заливает
+> **демо-домен booking** — в любую схему, как бы она ни называлась: `up({schema:'myapp', version:1})`
+> даст `v1.myapp` с классами `Организация`/`Мастер`/`запись`, а не с вашими.
+> Передавайте `seeds: ['./myapp.sql']`, либо `seeds: false` — голая структура без классов
+> (тогда классы добавляйте через `db.schema.define()`, иначе `connect` упадёт `has no classes`).
+> Схема применяется ОДИН раз: если `v1.myapp` уже есть, накат пропускается (`fresh: true` — дропнуть и перелить).
+
 Три шага: **(1)** сид своей схемы → **(2)** `up()` поднимает контейнер и накатывает → **(3)** пишешь данные. Таблицы (`Schema`, `Account`, `Entity`, …) создаёт `ddl.sql` — своему сиду нужны только INSERT-ы; маркер `<SCHEMA-NAME>` подставит `up()`.
 
 **1. Сид `myapp.sql`** — классы в таблицу `Schema` + System-аккаунт:
@@ -184,13 +210,17 @@ const db = await up({
 })
 ```
 
-**3. Данные — работают сразу** (System-аккаунт из сида закрывает `account`/`owner`):
+**3. Данные — работают сразу.** Цепочки идут от имени аккаунта (`db.as`, §10.6); System-аккаунт
+из сида — валидное «имя» для дев-скриптов и он же дефолт колонок `account`/`owner`:
 
 ```ts
-const [n] = await db.Заметка().create({ title: 'Купить хлеб' }).rows()
-const [t] = await db.Тег().create({ name: 'дом' }).rows()
-await db.Заметка(n).помечена().create().Тег.set(t).rows()   // связь Note ↔ Tag (§6.1)
-const активные = await db.Заметка({ done: false }).rows()
+const [sys] = await db.accounts.find({ category: 'System' })
+const s = await db.as(sys.id)
+
+const [n] = await s.Заметка().create({ title: 'Купить хлеб' }).rows()
+const [t] = await s.Тег().create({ name: 'дом' }).rows()
+await s.Заметка(n).помечена().create().Тег.set(t).rows()   // связь Note ↔ Tag (§6.1)
+const активные = await s.Заметка({ done: false }).rows()
 await db.close()
 ```
 
@@ -278,6 +308,35 @@ GIN-кандидатам, затем перепроверка условий н
 | `links` | концы связей класса, формат v2 — массив объектов (см. ниже); legacy-строка `'Org'` = `{class:'Org'}`, `'Entity'` = старый полиморф |
 | `meta` | `{ abstract?, description? }` |
 
+#### Зарезервированные имена классов
+
+Шаг цепочки — это свойство Proxy, а терминалы/модификаторы/глаголы записи разбираются
+**до** резолва класса. Значит класс, чей `id` или `alias` совпал с таким именем, как шаг
+под этим именем **недостижим**: например класс с id `count` не получится пройти как
+`db.X(id).count()` — вызовется терминал подсчёта.
+
+| Уровень | Занятые имена |
+|---|---|
+| цепочка | `account` `after` `alias` `anonymize` `asOf` `avg` `count` `countBy` `create` `deep` `delete` `entity` `exact` `execute` `first` `ids` `limit` `max` `min` `offset` `owner` `purge` `rows` `run` `set` `sort` `sum` `tags` `then` `update` `versions` `withDeleted` |
+| батч `db.batch(n)` | `discard` `size` (+ `run` / `execute` из строки выше) |
+| корень `db` | `accounts` `acl` `as` `auth` `batch` `begin` `close` `commit` `credentials` `lock` `registry` `reloadSchema` `resources` `rollback` `rules` `schema` `sql` `watch` |
+
+Всего 52 имени. `then` занят во всех трёх Proxy — иначе цепочка выглядела бы thenable и
+ломала `await`. Фасады `accounts`/`credentials`/`resources`/`rules`/`schema`/`auth`/`acl`
+разбираются на корне `db` до резолва класса.
+
+- Гварды: `db.schema.define()` **отказывает** на таком имени; `connect()`/`up()` печатают
+  предупреждение (один раз на процесс) вида
+  `letopis: class name "count" is reserved by the chain API — use "Счётчик" for chain steps`.
+- Хватает **одного** свободного имени из пары `id`/`alias`: если занят `id`, класс ходится
+  по алиасу, и наоборот. Если заняты оба — класс недостижим как шаг, `gen-types` его в типы
+  не выдаст, а предупреждение скажет «rename it».
+- В демо-домене конфликтов нет: охранник на `.link()` снят в 0.20.0, поэтому класс
+  `link`/`связь` (абстрактный корень связок) ходится под любым из двух имён.
+- Список — константа `RESERVED_CLASS_NAMES`; её совпадение с реальными точками перехвата
+  в `chain.ts` (и `case`-метки, и ранние `if (prop === …)`) проверяет
+  `scripts/check-docs.mjs`, а `gen-types` не выдаёт таких шагов в типы.
+
 ### 3.1 Концы связей — Schema.links v2
 
 Каждый конец — объект (`Schema.links jsonb` — массив объектов):
@@ -358,6 +417,32 @@ v7-классы (Org/Staff/Customer/Location/Schedule/Folder) наследуют
 наследуется так же — дефолт объявляется один раз на корне иерархии; `links` НЕ наследуются:
 концы объявляет каждый класс сам. Валидатор и типы полей компилируются из слитых attributes.
 
+**Чтение ПОЛИМОРФНО: шаг по родителю отдаёт объединение с потомками любой глубины** —
+как и права ACL наследуются по иерархии (§ 9.2). Абстрактные классы благодаря этому
+перестают быть пустыми: `db.Контрагент()` → `Мастер` + `Клиент`, `db.связь()` → все
+классы-связки, `db.Сущность()` → всё дерево. Уникальность сущности в таких выборках —
+пара `(class, id)`; `Row.class` показывает конкретный класс строки.
+
+**`.exact()` — только свой класс, без потомков.** Нужен, когда наследование в домене
+использовано для переиспользования `attributes`, а не как «is-a» для выборки: в демо
+`запись` наследует `окно` (интервал и правило v5-id), но смена ≠ бронь, поэтому
+«смены мастера» — `db.Мастер(id).окно().exact()`, иначе в выдачу попадут и записи.
+
+```ts
+await db.Контрагент().count()            // Мастера + Клиенты
+await db.Контрагент().exact().count()    // 0 — abstract-класс своих строк не имеет
+await db.Мастер(id).окно().exact().rows()  // именно смены, без броней
+```
+
+**Запись полиморфной НЕ бывает**: `create()` пишет строго в свой класс, в abstract —
+ошибка `class "X" is abstract`. `update()`/`delete()`/`purge()` версионируют/сносят
+то, что нашёл путь, — каждую строку в её собственном классе.
+
+Права ACL проверяются **по конкретному классу каждой строки**: запрещённый потомок
+выпадает из выборки по родителю (deny на `Customer` не обходится шагом `db.Контрагент()`),
+у каждого разрешённого класса действует его собственный row-предикат. Если запрещено
+всё семейство — отказ шага целиком.
+
 ### 3.4 Примеры схем из таблицы `Schema`
 
 Демо-домен booking — **20 классов** в `lib/sql/seed.booking.sql` (**источник правды**:
@@ -644,7 +729,7 @@ import { ne, gt, gte, lt, lte, between, inList, like, ilike, starts, ends,
 ### Модификаторы цепочки
 
 ```ts
-db.окно().sort('data.start_datetime').limit(10).offset(20).rows()   // выборка
+db.окно().exact().sort('data.start_datetime').limit(10).offset(20).rows()   // выборка (exact: смены без броней)
 db.запись().sort('updated', 'desc').limit(50).rows()
 
 db.Клиент().tags('vip')                     // фильтр: tags ⊇ ['vip']
@@ -661,8 +746,9 @@ db.Мастер({…}).alias('Исполнитель')         // ключ ша
 | `asOf(t)` | вся цепочка | «как было на T» (§ 10.1) | — |
 | `after(cursor)` | вся цепочка | keyset-пагинация, требует `sort` (§ 10.2) | — |
 | `deep(max?)` | текущий шаг (self-hop) | рекурсивные дети, `$depth` (§ 10.4) | — |
+| `exact()` | текущий шаг | снять полиморфизм: только свой класс, без потомков (§ 3.3) | — (запись и так строго по своему классу) |
 | `tags(v)` | текущий шаг | фильтр по колонке | **значение** тегов при `create()` (string \| string[]) |
-| `account(v)` / `owner(v)` | текущий шаг | фильтр по колонке | **значение** при `create()` |
+| `account(v)` / `owner(v)` | текущий шаг | фильтр по колонке | **значение** при `create()`; арендатор всей цепочки — не здесь, а `db.as()` (§ 10.6) |
 | `.Класс.set(x)` / `.Класс.unset()` | слот связи — после глагола записи | — | записать / снять конец связи БЕЗ участия в фильтре целей (§ 6.1) |
 | `alias(name)` | текущий шаг | ключ в путях | — |
 
@@ -789,6 +875,10 @@ await db.Клиент(cid).purge().rows()                    // превью з
 await db.Клиент(cid).purge({ confirm: true }).rows()   // 2) физически: tombstone + всё поддерево (все версии)
 ```
 
+> **⚠ На живой сущности `.purge()` возвращает `[]` — БЕЗ ошибки.** Гейт двухфазный: пустой
+> результат значит «нечего стирать, сначала `.delete({confirm:true})`», а НЕ «стёрто».
+> Не считайте `[]` подтверждением: проверяйте `.withDeleted().first()` → `null`.
+
 **Двухфазно:** `.purge()` работает ТОЛЬКО по уже логически удалённому (tombstone) — живую сущность
 не трогает (сначала `.delete()`). Историю, в отличие от `.delete()`, НЕ сохраняет. Внутри — серверная
 `purge(partition,class,id)`: `SET LOCAL letopis.purge='on'` отключает append-only-триггер (через `WHEN`)
@@ -878,7 +968,8 @@ await db.rules.set({ account: 'authenticated:ACCOUNT', resource: 'shop:API', per
 ```
 
 Связка с Entity: `account`/`owner` NOT NULL, default — System-аккаунт; фильтры и значения —
-модификаторы `.account()/.owner()`; профиль владельца — `db.accounts.get(row.owner)`.
+хендл `db.as(account, { owner })` (§ 10.6) либо точечные модификаторы `.account()/.owner()`;
+профиль владельца — `db.accounts.get(row.owner)`.
 Сид `lib/sql/seed.auth.sql`: System + 16 Resource + 12 Rule.
 
 ### 9.1 Вход: `db.auth` — много кредов на аккаунт
@@ -896,41 +987,41 @@ const acc = await db.accounts.set({ categories: ['User'], data: { name: 'Вас
 
 // ПАРОЛЬ (почта/пароль и логин/пароль — одна механика, различает category)
 await db.auth.setPassword({ account: acc, identifier: 'vasya@salon.io', password: 'корень-огня-77' })
-// → Credential; в БД НЕ пароль, а слоёный хэш:                          [64.8 ms]
+// → Credential; в БД НЕ пароль, а слоёный хэш:                          [105 ms]
 //   meta.password = "scrypt$32768$8$1$EmyOQlletdEahwgoXendhw==$vGQB9LrwcDSIB0+…"
 await db.auth.verifyPassword({ identifier: 'vasya@salon.io', password: 'корень-огня-77' })
 // → { account: {id: '7277…', data: {name: 'Вася'}, enabled: true, …},
 //     credential: {category: 'PASSWORD', identifier: 'vasya@salon.io', …} }   [71.8 ms]
-await db.auth.verifyPassword({ identifier: 'vasya@salon.io', password: 'хм' })   // → null [82.8 ms]
+await db.auth.verifyPassword({ identifier: 'vasya@salon.io', password: 'хм' })   // → null [109 ms]
 // цена задана scrypt-ом (~70 ms) и выровнена: «нет такого identifier» не быстрее «пароль неверен»
 
 // API-КЛЮЧ: показывается ОДИН раз, в БД — только sha256
 const { key } = await db.auth.issueApiKey({ account: acc, name: 'CI' })
-// key = "lts_a61118c4af31868640529131927eb578211730bcd092856c"            [6.3 ms]
+// key = "lts_a61118c4af31868640529131927eb578211730bcd092856c"            [9.0 ms]
 // в БД: identifier = "ae9002e2cd4c…" (sha256), meta = {name: 'CI', prefix: 'lts_a61118c4'}
-await db.auth.verifyApiKey(key)                    // → { account, credential } [5.6 ms]
+await db.auth.verifyApiKey(key)                    // → { account, credential } [6.9 ms]
 
 // КЛЮЧ-СЕКРЕТ: key — открытый id пары, secret — только sha256
 const { key: k, secret } = await db.auth.issueKeySecret({ account: acc, name: 'integration' })
 // k = "96d327b741421f74", secret = "38f69922c9748aa8…" (48 hex)            [4.7 ms]
-await db.auth.verifyKeySecret(k, secret)           // → { account, credential } [3.4 ms]
+await db.auth.verifyKeySecret(k, secret)           // → { account, credential } [4.4 ms]
 
 // ВНЕШНЯЯ IDENTITY (oauth/sso/telegram): токен проверяет приложение, тут — связка
 await db.auth.link({ account: acc, category: 'TELEGRAM', identifier: '1635246915', meta: { username: 'roboteza' } })
 await db.auth.lookup({ category: 'TELEGRAM', identifier: '1635246915' })
-// → { account, credential }                                                [2.6 ms]
+// → { account, credential }                                                [5.3 ms]
 
 // TOTP (authenticator, RFC 6238): секрет в QR, активен после первой проверки
 const { secret, uri } = await db.auth.enrollTotp({ account: acc, issuer: 'clockz', label: 'anna@salon.io' })
 // secret = "RWVB3WWQ62LEED55AMU6L425C6KIT5EJ" (base32, 20 байт)            [5.6 ms]
 // uri = "otpauth://totp/anna%40salon.io?secret=…&issuer=clockz&algorithm=SHA1&digits=6&period=30"
-await db.auth.verifyTotp({ account: acc, code: '139999' })   // → true      [4.9 ms]
+await db.auth.verifyTotp({ account: acc, code: '139999' })   // → true      [7.2 ms]
 await db.auth.verifyTotp({ account: acc, code: '139999' })   // → false — replay того же шага отбит
 await db.auth.totpEnabled(acc)                               // → true (после первой проверки)
 
 // ОДНОРАЗОВЫЙ КОД (email/SMS/reset — доставка на приложении)
 const { code } = await db.auth.issueOtp({ account: acc, identifier: 'anna@salon.io', ttlSec: 600 })
-// code = "273746"; в БД sha256 + expires + attempts           [3.3 ms]
+// code = "273746"; в БД sha256 + expires + attempts           [4.8 ms]
 await db.auth.verifyOtp({ identifier: 'anna@salon.io', code })
 // → { account, credential }; код СОЖЖЁН (одноразовость)       [6.0 ms]; повторно → null
 // 5 неверных попыток тоже сжигают; повторный issue перезаписывает код (валиден последний)
@@ -996,13 +1087,16 @@ await db.acl.checkData(user, 'Org', 'READ')
 db.acl.reload()                                     // сброс кэша Resource/Rule фасада
 ```
 
-**`connect({ account, enforceAcl: true })`** — те же решения в цепочках: каждый шаг —
+**`connect({ enforceAcl: true })` + `db.as(субъект)`** — те же решения в цепочках: каждый шаг —
 `READ`, `create()`/`update()`/anonymize/батчи — `WRITE`, `delete()` — `DELETE` **по всем классам каскада**
 (deny в замыкании откатывает транзакцию); `watch()` отдаёт события только безусловных
-allow-классов (payload нечем проверить предикат). Правила фиксируются на connect.
+allow-классов (payload нечем проверить предикат). Субъекта даёт `db.as()`: у каждого scope
+**свой** memo-резолвер (ключ memo субъекта не содержит, поэтому один энфорсер = один субъект),
+а сам словарь `Resource`/`Rule` — общий снимок на подключение; правки словаря подхватывает
+`db.reloadSchema()` (§ 11.10).
 
 ```ts
-const u = await connect({ dsn, schema, account: user.id, enforceAcl: true })
+const u = await (await connect({ dsn, schema, enforceAcl: true })).as(user.id)
 await u.запись().rows()      // [7.6 ms] только owner = user.id — предикат в WHERE заранее
 await u.запись().count()     // честный count по суженному множеству
 await u.Организация().rows() // Error: letopis: acl denies READ on Org — no matching rule
@@ -1012,22 +1106,28 @@ await u.запись(чужаяId).update({ notes: '…' }).rows()     // → []
 // create той же v5-пары (id чужой записи) тоже НЕ перехватывает: → [] вместо новой версии
 ```
 
-Оверхед (полигон `v1.salondemo` ~980k, booking 440k×2; p50 из 20; `bench/acl.bench.mjs`):
+Оверхед (полигон `v1.salondemo` ~980k, booking 440k×2; p50 из 20; `bench/acl.bench.mjs`;
+все три хендла с `enforceAccount: false` — мерится цена **авторизации**, изоляция арендатора
+считается отдельно в § 10.6; полигон **проанализирован**, см. § 14.1):
 
 | Сцена | без ACL | allow (класс целиком) | allow с предикатом* |
 |---|---|---|---|
-| точечный `first(id)` | 2.9 ms | 4.2 ms | 6.1 ms |
-| фильтр `rows` limit 100 | 1394 ms | 1454 ms | 1362 ms |
-| keyset-страница всего класса 440k | 5495 ms | 5576 ms | 5364 ms |
-| `count()` класса 440k | 3196 ms | 3049 ms | 2874 ms |
-| цепочка `запись(id).Услуга()` | 5.5 ms | 6.6 ms | 5.1 ms |
-
-Безусловное правило — бесплатно (решение из кэша, SQL тот же). *Предикат здесь на
-селективности 100% (все строки booking — System-аккаунт, предикат никого не отсекает) —
-на тяжёлых сценах ACL в пределах шума с базой; в реальности предикат СУЖАЕТ выборку,
-и такие сцены становятся ДЕШЕВЛЕ, чем без ACL.
-`db.acl.checkData` — справочный (1.0 ms: SQL за категориями аккаунта на каждый вызов);
-горячий путь цепочек использует резолвер, скомпилированный на connect (микросекунды, memo).
+| точечный `first(id)` | 4.5 ms | 4.7 ms | 4.6 ms |
+| фильтр `rows` limit 100 | 10.9 ms | 11.1 ms | 11.4 ms |
+| keyset-страница всего класса 440k | 5425 ms | 5146 ms | 5305 ms |
+| `count()` класса 440k | 1373 ms | 1262 ms | 1392 ms |
+| цепочка `запись(id).Услуга()` | 6.0 ms | 6.4 ms | 5.8 ms |
+
+**ACL бесплатен на всех сценах** — отличия в пределах шума измерения (местами колонка с ACL
+даже «быстрее» базы). Решение берётся из memo, SQL безусловного правила совпадает с базовым.
+*Предикат здесь на селективности 100% (все строки booking — System-аккаунт, предикат никого
+не отсекает); в реальности он СУЖАЕТ выборку, и такие сцены становятся ДЕШЕВЛЕ, чем без ACL.
+`db.acl.checkData` — справочный (1.7 ms: SQL за категориями аккаунта на каждый вызов);
+горячий путь цепочек использует резолвер, скомпилированный при `db.as()` (микросекунды, memo).
+Цена самого `db.as()` под `enforceAcl` — **один** SELECT за свой аккаунт: словарь
+`Resource`/`Rule` снимается один раз на подключение и переиспользуется всеми scope (сбрасывает
+`db.reloadSchema()`), поэтому scope-per-request не платит за словарь на каждый HTTP-запрос.
+Без `enforceAcl` `db.as()` бесплатен вовсе: клон контекста, без SQL и без нового соединения.
 
 `enforceAccount` (§ 10.6) остаётся простым флагом-изоляцией без таблиц правил.
 
@@ -1080,7 +1180,7 @@ const стр2 = await db.запись().sort('updated', 'desc') //  можно
   .after(кур).limit(50).rows()
 
 // по data-пути ЛЮБОЙ глубины — field тот же, что в sort
-const дальше = await db.окно().sort('data.start_datetime')
+const дальше = await db.окно().exact().sort('data.start_datetime')
   .after(cursorOf(окно, 'data.start_datetime')).limit(20).rows()
 
 // бесконечная лента: .after(undefined) не добавляет условия — один код для всех страниц
@@ -1106,7 +1206,7 @@ do {
 await db.цена().sum('data.amounts.RUB')      // сумма всех прайсов (record-лист): number | null
 await db.Услуга().avg('data.duration')       // среднее
 await db.Услуга().countBy('data.duration')   // { '30': 2, '60': 1 } ({} на пустом)
-await db.окно().min('data.start_datetime')   // min/max — каст по типу поля из Schema
+await db.окно().exact().min('data.start_datetime')   // min/max — каст по типу поля из Schema
 ```
 
 Один проход в БД вместо перекачки строк в JS. Путь — `'data.<поле>'` или вложенный лист
@@ -1147,18 +1247,56 @@ const stop = await db.watch('запись', onEvent, {
 })
 ```
 
-### 10.6 Изоляция арендатора: `enforceAccount`
+### 10.6 Изоляция арендатора: `db.as()` + `enforceAccount`
+
+**Арендатор — свойство ВЫЗОВА, а не подключения.** Один пул обслуживает разных арендаторов,
+поэтому в `connect()` опции `account` нет: подключение безличное, а имя даёт `db.as(account)` —
+хендл того же пула, работающий от имени этого аккаунта.
 
 ```ts
-const db = await connect({ dsn, schema, account: tenantId, enforceAccount: true })
-await db.запись().rows()                 // ТОЛЬКО строки этого account (фильтр на каждом шаге)
-await db.Клиент().create({ name: 'X', phone: '+7…' })  // запись пришпилена к account
-db.запись().account(чужой).rows()        // ошибка: reads are pinned to account …
+const db = await connect({ dsn, schema })          // пул; enforceAccount по умолчанию TRUE
+const t  = await db.as(tenantId)                   // идентичность вызова (в вебе — на запрос)
+
+await t.запись().rows()                  // ТОЛЬКО строки этого account (фильтр на каждом шаге)
+await t.Клиент().create({ name: 'X', phone: '+7…' })  // запись пришпилена к account
+await t.запись().account(чужой).rows()   // ошибка: reads are pinned to account …
+
+await db.запись().rows()                 // ошибка: enforceAccount is on — call db.as(account) …
 ```
 
 Изоляцию гарантирует либа, а не дисциплина: забытый `.account()` в одном запросе
-больше не утечка данных соседнего салона. Это простой флаг «всё по одному арендатору»;
-гранулярные права (по классам, операциям, со срезами строк правилами) — ACL § 9.2.
+больше не утечка данных соседнего салона, а забытый `db.as()` — не тихая выдача всего, а
+внятная ошибка. Это простой флаг «всё по одному арендатору»; гранулярные права (по классам,
+операциям, со срезами строк правилами) — ACL § 9.2 (субъекта ему даёт тот же `db.as()`).
+
+`db.as()` дешёв: клон контекста на том же пуле, без нового соединения и без SQL (под
+`enforceAcl` — плюс компиляция правил под этого субъекта, § 9.2). Хендлы можно держать
+сколько нужно, `close()` зовётся один раз на пул. Второй аргумент задаёт `owner` новых
+строк: `db.as(account, { owner })` (по умолчанию `owner` = `account`).
+
+**Цена изоляции — отрицательная в реальной многоарендаторной базе.** Предикат `account`
+попадает не только в перепроверку, но и в подзапрос кандидатов, то есть **сужает выборку по
+индексу до основного скана**: изоляция не добавляет фильтр к полному проходу по классу, а
+заменяет его. Замерено на полигоне из 10 арендаторов (1 млн версий класса `Customer`, `count()`,
+p50 из 5; воспроизводится `node bench/tenants-seed.mjs && npx tsx bench/isolation.bench.mjs`):
+
+| Доля арендатора в классе | `db.as(арендатор)` | явный `.account()` | против всего класса (835 ms) |
+|---|---|---|---|
+| 50 % (250 000 сущн.) | 954 ms | 945 ms | равно |
+| 10 % (50 000) | 316 ms | 314 ms | быстрее ×2.6 |
+| 1 % (5 000) | 96 ms | 95 ms | быстрее ×8.7 |
+| 0.3 % (1 500) | 32 ms | 27 ms | **быстрее ×26.5** |
+
+Чем мельче арендатор, тем дешевле чтение. Колонки `db.as()` и `.account()` совпадают: SQL у них
+один — изоляция не берёт ничего сверх явного фильтра, она лишь ставит его на каждый шаг сама.
+Расплата только в вырожденном случае, когда один арендатор владеет почти всем классом: на
+`v1.salondemo` System владеет 100 %, и там `count()` под изоляцией — 2.6 с против 1.3 с.
+Вывод практический: чем больше у вас арендаторов, тем выгоднее держать изоляцию включённой.
+Все замеры — на проанализированной базе; без `ANALYZE` эта же сцена давала 54 с (§ 14.1).
+
+Административный доступ (миграции, дев-скрипты, отчёты по всем арендаторам) — явным
+`connect({ …, enforceAccount: false })`: там `db` читает и пишет без scope, а колонку
+`account` закрывает System-аккаунт схемы.
 
 ### 10.7 Анонимизация (GDPR): `.anonymize()`
 
@@ -1191,6 +1329,49 @@ node db/policies.mjs --dsn=… --schema=v1.booking                     # тек
 - Интервалы: `30d`, `2y`, `12h`, `6mon` или сырой PG (`'90 days'`). Повторный запуск
   переустанавливает политику.
 
+### 10.8a Обновление движка: ревизия DDL и `upgrade`
+
+Классы живут в таблице `Schema` и правятся на ходу (§ 10.9), а **движок** — это `ddl.sql`:
+таблицы, индексы, триггеры и серверные функции. Он тоже растёт: в 0.19.0, например, появились
+`purge`/`purge_closure`/`purge_account`. Схема, накатанная более старой версией либы, этих
+функций **не получает** — приложение обновляет пакет и падает сырым
+
+```
+PostgresError: function "v1.booking".purge(unknown, unknown, unknown, boolean) does not exist
+```
+
+Поэтому последняя строка `ddl.sql` штампует в схему метку ревизии
+(`COMMENT ON SCHEMA … IS 'letopis ddl_revision=N'`), а `connect()` сверяет её с константой
+`DDL_REVISION` либы и **один раз на схему за процесс** предупреждает:
+
+```
+letopis: движок схемы "v1.booking" отстал — ревизия не помечена (схема накатана либой до
+появления метки). Схема продолжит работать, но новых функций/триггеров в ней нет
+(например purge/purge_account из 0.19.0) … up({ …, upgrade: true }) либо
+node db/apply.mjs --dsn=… --schema=<имя> --version=<N> --upgrade
+```
+
+Предупреждение, а не отказ: правки аддитивны — то, что работало, продолжает работать.
+
+**Апгрейд** перекатывает **только** `ddl.sql`, сиды не трогает:
+
+```ts
+await up({ dsn, schema: 'booking', version: 1, upgrade: true })   // данные целы
+```
+```bash
+node db/apply.mjs --dsn=… --schema=booking --version=1 --upgrade
+```
+
+Это безопасно, потому что `ddl.sql` идемпотентен: функции — `CREATE OR REPLACE`, триггеры —
+`DROP IF EXISTS` + `CREATE`, таблицы и индексы — `IF NOT EXISTS`. Данные append-only не
+перезаписываются.
+
+**Ревизия ≠ версия схемы.** Ревизия — про аддитивные правки внутри одной версии движка, они
+доезжают апгрейдом. Несовместимая правка структуры таблиц — это смена `version` в имени схемы
+(`v1.booking` → `v2.booking`), то есть новая схема и перенос данных силами приложения.
+Совпадение маркера в `ddl.sql`, штампа `COMMENT` и константы `DDL_REVISION` проверяет
+`npm run check:docs`.
+
 ### 10.9 Миграции классов: `scripts/schema-sync.mjs`
 
 > Входит в npm-пакет (`files: ["scripts"]`); в установке путь — `node_modules/letopis/scripts/schema-sync.mjs`. Зависимости — `postgres` и `fastest-validator` (обе — deps пакета), `tsx` не нужен.
@@ -1276,10 +1457,17 @@ deadlock detected — letopis: transaction is aborted, retry the whole db.begin(
 **живой прогон** на едином полигоне `v1.salondemo` ~980 000 строк Entity (год окон-смен и
 записей: 440 000 записей-наследников окон ×2 версии, каталог из 600 услуг, 360 мастеров,
 40 000 клиентов, 1026 цен, 1260 навыков); воспроизводитель — `bench/api-reference-demo.mjs` (только
-читает полигон salon-seed, мутирует лишь свои сущности). Тот же полигон — под статьёй SALON.md.
+читает полигон salon-seed, мутирует лишь свои сущности).
 id сокращены: `…0911` = `00000000-0000-4000-8000-000000000911`; повторяющиеся
 `account`/`owner`/`partition` в ответах опущены.
 
+> **Как читать тайминги.** Значения перенесены из прогона демо **точным сопоставлением по
+> коду вызова**, полигон при этом проанализирован (`ANALYZE`, § 14.1 — без него те же запросы
+> медленнее на порядок). Часть примеров иллюстративна и в демо в такой форме не исполняется
+> (плейсхолдеры вроде `connect({ dsn, schema })`, переименованные переменные, разбитые на
+> строки цепочки) — у них цифра осталась от более раннего прогона и может быть пессимистичной.
+> Сводные, всегда свежие цифры — таблицы § 9.2 (ACL), § 10.6 (изоляция) и § 14 (перф).
+
 Разделы: [11.1 Модуль](#111-модуль-connect-и-экспорты) · [11.1a up](#111a-upopts) ·
 [11.2 EntityDb](#112-entitydb--корень) · [11.3 Chain: чтение](#113-chain--чтение) ·
 [11.4 Операторы](#114-операторы-фильтров) · [11.5 Запись](#115-запись-create--update--delete--anonymize) ·
@@ -1297,21 +1485,23 @@ id сокращены: `…0911` = `00000000-0000-4000-8000-000000000911`; по
 | `opts.dsn` | `string` | — | строка подключения `postgres://user:pass@host:port/db` |
 | `opts.schema` | `string` | — | ПОЛНОЕ имя PG-схемы с версией движка: `'v1.booking'` (создаёт `up({schema: 'booking', version: 1})` либо `db/apply.mjs --schema=booking --version=1`; либа префикс не достраивает) |
 | `opts.partition` | `string?` | `'entity'` | партиция данных: все чтения/записи этого подключения живут в ней |
-| `opts.account` | `uuid?` | System-аккаунт схемы | default-`account` (арендатор) новых строк |
-| `opts.owner` | `uuid?` | = `account` | default-`owner` (владелец) новых строк |
 | `opts.max` | `number?` | `10` | размер пула соединений postgres.js |
-| `opts.enforceAccount` | `boolean?` | `false` | жёсткая изоляция арендатора (§ 10.6): каждый шаг чтения фильтруется `account = opts.account`, записи пришпилены; явный чужой `.account()` — ошибка |
-| `opts.enforceAcl` | `boolean?` | `false` | ACL по Resource/Rule (§ 9.2): READ на каждый шаг, WRITE/DELETE на записи, предикаты строк в SQL заранее; **требует `account`**; deny-by-default |
+| `opts.enforceAccount` | `boolean?` | **`true`** | жёсткая изоляция арендатора (§ 10.6): каждый шаг чтения фильтруется по `account` scope-хендла, записи пришпилены; явный чужой `.account()` — ошибка; чтение/запись **с безличного корня — ошибка** с подсказкой на `db.as()` |
+| `opts.enforceAcl` | `boolean?` | `false` | ACL по Resource/Rule (§ 9.2): READ на каждый шаг, WRITE/DELETE на записи, предикаты строк в SQL заранее; субъект — аккаунт `db.as()`; deny-by-default. Выключенный печатает предупреждение один раз на процесс |
 | `opts.onQuery` | `((e: QueryEvent) => void)?` | — | хук на каждый запрос цепочки: `{mode, classes, ms, rows, slow}` (§ 10.10) |
 | `opts.slowMs` | `number?` | — | порог медленного запроса: `ms > slowMs` → `e.slow = true`; если `onQuery` не задан — `console.warn` |
 
 **Назначение и алгоритм.** Открывает пул postgres.js (timestamptz парсится **строкой**,
 чтобы не терять микросекунды в `asOf`/курсорах), одним SELECT загружает реестр классов из
 `Schema` (компилируя fastest-validator на класс), резолвит System-аккаунт как fallback для
-NOT NULL `Entity.account`. При `enforceAcl: true` дополнительно параллельно читает аккаунт,
-все Resource и включённые Rule и **компилирует синхронный резолвер решений** (класс,
-операция) → `AclDecision` с memo — правила фиксируются на весь срок жизни подключения.
-Реестр классов тоже фиксируется: новый класс в `Schema` увидит только новый `connect()`.
+NOT NULL `Entity.account`. Подключение **безличное**: арендатора и субъекта ACL называет
+`db.as(account)` (§ 10.6) — опций `account`/`owner` в `ConnectOpts` нет. При `enforceAcl: true`
+каждый `db.as()` параллельно читает свой аккаунт, все Resource и включённые Rule и
+**компилирует синхронный резолвер решений** (класс, операция) → `AclDecision` с memo.
+Реестр классов снимается один раз на `connect()` — но НЕ до конца жизни подключения: правки
+в `Schema` / `Resource` / `Rule` подхватываются `db.reloadSchema()` без реконнекта (со
+scope-хендла пересобирает и реестр, и его ACL-резолвер — [§11.2](#112-entitydb--корень)).
+Реконнект нужен только для смены `dsn`/`schema`/`partition` и флагов `enforce*`.
 
 **Примеры**
 
@@ -1325,26 +1515,62 @@ await dbSlow.запись().count()   // ~440k сущностей — дольш
 // {"mode":"count","classes":["booking"],"ms":3191.0,"rows":1,"slow":true}
 ```
 
-**Кейс: три подключения — обычное, изолированное, под ACL**
+**Кейс: три хендла — админский, изолированный, под ACL**
 
 ```ts
-const db  = await connect({ dsn, schema })                                        // [33.6 ms]
-const iso = await connect({ dsn, schema, account: acc.id, enforceAccount: true }) // [40.2 ms]
-const uc  = await connect({ dsn, schema, account: acc.id, enforceAcl: true })     // [54.7 ms]
-await db.Организация().count()    // → 30   — видит всех
-await iso.Организация().count()   // [5.1 ms] → 1 — только свой арендатор
+const db  = await connect({ dsn, schema, enforceAccount: false })                    // [32.6 ms]
+const iso = await (await connect({ dsn, schema })).as(acc.id)                        // [55.3 ms]
+const uc  = await (await connect({ dsn, schema, enforceAcl: true })).as(acc.id)      // [58.1 ms]
+await db.Организация().count()    // → 30   — админский видит всех
+await iso.Организация().count()   // [9.0 ms] → 1 — только свой арендатор
 await uc.Организация().rows()
 // Error: letopis: acl denies READ on Org — no matching rule (deny by default)
 await iso.close(); await uc.close()
 ```
 
+#### `uuidv5(name: string, ns = LETOPIS_NS): string` · `uuidv7(): string` · `LETOPIS_NS`
+
+| Экспорт | Тип | Описание |
+|---|---|---|
+| `uuidv5` | `(name: string, ns?: string) => string` | детерминированный (sha1) id из имени в пространстве `ns` |
+| `uuidv7` | `() => string` | time-ordered: старшие биты — метка времени (мс), дальше random |
+| `LETOPIS_NS` | `string` | пространство имён либы: `c7a2f9d4-3b61-4e8a-9f05-8d2c1e6b7a90` |
+
+**Назначение и алгоритм.** Это не хелперы «на всякий случай», а **публичный контракт**:
+для класса с `attributes.id = {type:'uuid', generate:5, from:[…]}` id считает схема, и
+формула открыта — тот же id можно получить на клиенте **до** записи (идемпотентный
+`create()`, проверка «занято ли» точечным `first()`, advisory-lock по будущему id).
+Строка-имя собирается так (`from` — в порядке объявления; конец связи → id цели,
+скалярное поле → его значение):
+
+```
+uuidv5(`${pgSchema}:${partition}:${class}:${from₁}:${from₂}:…`, LETOPIS_NS)
+```
+
+**Любое** изменение имени PG-схемы, партиции, id класса или ПОРЯДКА `from` даёт другой id —
+это часть контракта данных, менять как breaking-change (бамп `version` схемы).
+
+**Примеры**
+
+```ts
+import { uuidv5, uuidv7, LETOPIS_NS } from 'letopis'
+
+// id записи известен ДО создания: v5(Мастер, старт) — двойная бронь мертва самим id (§ 3.2)
+const bId = uuidv5(`v1.booking:entity:booking:${иван.id}:2026-08-01T07:00:00Z`)
+await db.запись(bId).first()          // «занято?» — точечно, без обхода
+uuidv5('x') === uuidv5('x', LETOPIS_NS)   // → true: ns по умолчанию
+uuidv7()                                   // → '0199f3c1-…' — сортируемый по времени
+```
+
+Полный разбор правил генерации (v4 / v7 / v5, наследование правила) — [§ 3.2](#32-id-считает-схема-attributesid).
+
 ### 11.1a up(opts)
 
 #### `up(opts: UpOpts): Promise<EntityDb>`
 
 | Параметр | Тип | Default | Описание |
 |---|---|---|---|
-| `opts.dsn` | `string?` | `postgres://postgres:test@localhost:15432/letopis` | строка подключения; хост не `localhost` → docker-шаги пропускаются (только ожидание готовности) |
+| `opts.dsn` | `string?` | `postgres://postgres:test@localhost:15432/letopis` | строка подключения. Docker-шаги решает **живая проба**, не имя хоста: postgres по `dsn` уже отвечает → контейнер не поднимается (`postgres is up … — docker skipped`), базы нет → создаётся. Контейнер создаётся только если проба не прошла И хост локальный; для нелокального хоста — только ожидание готовности |
 | `opts.schema` | `string` | — | **базовое** имя схемы БЕЗ версии и точек (`'booking'`) |
 | `opts.version` | `number` | — | версия движка, целое ≥ 1: итоговая PG-схема `"v<N>.<schema>"`; бамп руками при breaking-изменении DDL |
 | `opts.container` | `string?` | `'letopis-timescale'` | имя dev-контейнера |
@@ -1355,7 +1581,7 @@ await iso.close(); await uc.close()
 | `opts.fresh` | `boolean?` | `false` | дропнуть схему и накатить заново — **данные схемы теряются** |
 | `opts.quiet` | `boolean?` | `false` | без `[letopis.up]`-прогресса в консоли |
 | `opts.waitTimeoutMs` | `number?` | `120 000` | максимум ожидания готовности (первый запуск: pull образа + initdb) |
-| …остальные | `ConnectOpts` | — | `partition`/`account`/`enforceAcl`/`onQuery` и все опции `connect()` прокидываются насквозь |
+| …остальные | `ConnectOpts` | — | `partition`/`enforceAccount`/`enforceAcl`/`onQuery` и все опции `connect()` прокидываются насквозь; возвращённый `db` — такой же безличный корень (арендатора даёт `db.as()`, § 10.6) |
 
 **Назначение и алгоритм.** Одна точка входа: от пустой машины до готового `db`.
 (1) **Probe**: одна попытка `SELECT 1` по `dsn` — живой postgres (свой контейнер, CI-сервис,
@@ -1439,9 +1665,41 @@ import type {
 ### 11.2 EntityDb — корень
 
 `EntityDb` — Proxy: любое имя класса из `Schema` (id или алиас) — метод старта цепочки;
-плюс фиксированные члены `begin/commit/rollback/batch/watch/close/registry/sql` и фасады
+плюс фиксированные члены `as/begin/commit/rollback/batch/watch/close/registry/sql` и фасады
 `accounts/credentials/resources/rules` (§ 11.8), `auth` (§ 11.9), `acl` (§ 11.10).
 
+#### `db.as(account: uuid | { id }, opts?: { owner? }): Promise<EntityDb>`
+
+| Параметр | Тип | Default | Описание |
+|---|---|---|---|
+| `account` | `uuid \| { id }` | — | арендатор/субъект ЭТОГО вызова; пустое значение — ошибка `db.as(account) requires an account id` |
+| `opts.owner` | `uuid?` | = `account` | значение колонки `owner` для новых строк этого scope |
+
+**Назначение и алгоритм.** Возвращает хендл **того же пула**, работающий от имени `account`:
+арендатор — свойство вызова, не подключения (в `connect()` опции `account` нет). Клонирует
+контекст (как `db.begin()`), нового соединения не открывает; под `enforceAcl` дополнительно
+читает **свой аккаунт** (один SELECT) и компилирует резолвер **под этого субъекта** — у каждого
+scope свой, решения между арендаторами не переиспользуются. Словарь `Resource`/`Rule` при этом
+общий: снимается один раз на подключение, сбрасывается `db.reloadSchema()`. Батчи с корня не наследуются: очередь
+планов, общая для разных арендаторов, была бы утечкой записи. `close()` закрывает пул, поэтому
+зовётся один раз — и с корня, и с любого scope (это одно и то же соединение).
+
+Под `enforceAccount` (default `true`) чтение/запись возможны **только** с такого хендла:
+с безличного корня — ошибка с подсказкой (§ 10.6). В вебе scope живёт на запрос:
+`const t = await db.as(req.accountId)`.
+
+**Примеры**
+
+```ts
+const db = await connect({ dsn, schema })
+const t1 = await db.as(salon1)
+const t2 = await db.as(salon2, { owner: managerId })
+await t1.Клиент().count()      // только клиенты salon1
+await t2.Клиент().create({ name: 'X', phone: '+7…' }).rows()  // account = salon2, owner = managerId
+await db.Клиент().count()      // Error: enforceAccount is on — call db.as(account) …
+await db.close()               // один раз на пул
+```
+
 #### `db.<Класс>(filter?: Filter): Chain`
 
 | Параметр | Тип | Описание |
@@ -1457,10 +1715,10 @@ import type {
 **Примеры**
 
 ```ts
-await db.Услуга('…0000').first()             // [3.5 ms] по id  → Row {name: 'Стрижка 0', …}
+await db.Услуга('…0000').first()             // [4.8 ms] по id  → Row {name: 'Стрижка 0', …}
 await db.Услуга(['…0000', '…0006']).rows()   // [2.6 ms] по списку → ['Стрижка 0', 'Бритьё 6']
-await db.Организация(org).first()            // [2.2 ms] Row-объект ≡ его id → 'Салон «Стрижка» №0'
-await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()   // [36.0 ms] → 630  (фильтр по цене)
+await db.Организация(org).first()            // [3.9 ms] Row-объект ≡ его id → 'Салон «Стрижка» №0'
+await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()   // [56 ms] → 630  (фильтр по цене)
 await db.НетТакогоКласса().rows()
 // Error: letopis: unknown class "НетТакогоКласса". Known: Entity·Сущность, Org·Организация, …
 ```
@@ -1468,7 +1726,7 @@ await db.НетТакогоКласса().rows()
 **Кейс: одна сущность тремя формами фильтра**
 
 ```ts
-const поId      = await db.Услуга('…0000').first()            // [3.5 ms] → data.name = 'Стрижка 0'
+const поId      = await db.Услуга('…0000').first()            // [4.8 ms] → data.name = 'Стрижка 0'
 const поПолю    = await db.Услуга({ name: 'Стрижка 0' }).first() // тот же Row
 const поОбъекту = await db.Услуга(поId).first()               // Row как фильтр ≡ его id
 // все три → id '…0000', data.name = 'Стрижка 0' (цена — отдельным LINK «цена», § 11.9)
@@ -1489,10 +1747,10 @@ deadlock/serialization ошибка приходит сразу с подска
 **Примеры**
 
 ```ts
-const tr = await db.begin()                                   // [0.8 ms]
+const tr = await db.begin()                                   // [1.0 ms]
 await tr.Организация('…0901').Услуга().create({ name: 'Укладка', duration: 15 }).rows()
-// [9.0 ms] → [Row] — id вычислен схемой: uuidv5(Org, "Укладка") (§ 3.2); видно ТОЛЬКО внутри tr
-await tr.commit()                                             // [3.7 ms] — теперь видно всем
+// [10 ms] → [Row] — id вычислен схемой: uuidv5(Org, "Укладка") (§ 3.2); видно ТОЛЬКО внутри tr
+await tr.commit()                                             // [3.2 ms] — теперь видно всем
 ```
 
 **Кейс: атомарный перенос с откатом при провале** — § 11.6 (`tr.lock`), плюс rollback:
@@ -1518,7 +1776,7 @@ await db.цена(цУкл).first()        // снаружи → amounts.RUB = 7
 **Примеры**
 
 ```ts
-await db.commit(tr3)   // [4.0 ms] — то же, что tr3.commit()
+await db.commit(tr3)   // [3.4 ms] — то же, что tr3.commit()
 await db.commit()
 // Error: letopis: commit() needs a transaction: db.commit(tr) or tr.commit()   [0.1 ms]
 ```
@@ -1574,7 +1832,7 @@ await stop()
 падают ошибкой postgres.js.
 
 ```ts
-await db.close()   // [1.3 ms]
+await db.close()   // [2.0 ms]
 ```
 
 **Кейс** — завершение процесса: `close()` в `finally`/`SIGTERM`-хендлере после `stop()`
@@ -1596,7 +1854,7 @@ db.registry.resolve('запись')   // [99 µs] → ClassDef {id: 'booking', a
 
 ```ts
 await db.sql.unsafe('SELECT count(*)::int AS n FROM "v1.salondemo"."Entity"')
-// [37.3 ms] → [{ n: 980216 }]
+// [51 ms] → [{ n: 980216 }]
 ```
 
 **Кейс** — снятие плана тяжёлого запроса: `db.sql.unsafe('EXPLAIN (ANALYZE) …')` для
@@ -1628,8 +1886,8 @@ prev.links->>'Класс'`) кладётся точным равенством,
 **Примеры**
 
 ```ts
-await db.Организация('…0000').Мастер().count()   // [5.4 ms] → 12 (обратный hop)
-await db.навык().Услуга().count()                // [65.2 ms] → 1260 (LINK → HUB, прямой)
+await db.Организация('…0000').Мастер().count()   // [12 ms] → 12 (обратный hop)
+await db.навык().Услуга().count()                // [93 ms] → 1260 (LINK → HUB, прямой)
 ```
 
 **Кейс: маршрут «мастер → его навыки → услуги»** — см. `.run()` ниже (тот же прогон).
@@ -1646,7 +1904,7 @@ await db.навык().Услуга().count()                // [65.2 ms] → 126
 **Примеры**
 
 ```ts
-await db.Мастер({ name: 'Ольга 0.0' }).навык().Услуга().run()   // [18.8 ms]
+await db.Мастер({ name: 'Ольга 0.0' }).навык().Услуга().run()   // [23 ms]
 // → 2 пути (у Ольги 0.0 два навыка на разные услуги); первый:
 // [{
 //   Мастер: { id: '00000003-…-000', class: 'Staff', data: { name: 'Ольга 0.0', phone: '+7 921 0000000', specialization: 'парикмахер' }, links: { Org: '00000001-…-000' }, … },
@@ -1658,7 +1916,7 @@ await db.Мастер({ name: 'Ольга 0.0' }).навык().Услуга().ru
 **Кейс: отчёт «кто что умеет» одним запросом**
 
 ```ts
-const пути = await db.Мастер({ name: 'Ольга 0.0' }).навык().Услуга().run()  // [18.8 ms]
+const пути = await db.Мастер({ name: 'Ольга 0.0' }).навык().Услуга().run()  // [23 ms]
 пути.map((p) => `${p.Мастер.data.name} → ${p.Услуга.data.name}`)
 // → ['Ольга 0.0 → Стрижка 0', 'Ольга 0.0 → Массаж 7']
 ```
@@ -1673,7 +1931,7 @@ const пути = await db.Мастер({ name: 'Ольга 0.0' }).навык().
 **Примеры**
 
 ```ts
-const услуги = await db.Услуга().rows()   // [11.1 ms] → 600 Row
+const услуги = await db.Услуга().rows()   // [21 ms] → 600 Row
 // [0] = { id: '00000004-0000-4000-8000-000000000000', class: 'Service',
 //         data: { name: 'Стрижка 0', duration: 30, description: 'популярное' },
 //         links: { Org: '00000001-0000-4000-8000-000000000000' }, tags: [],
@@ -1683,7 +1941,7 @@ const услуги = await db.Услуга().rows()   // [11.1 ms] → 600 Row
 **Кейс: пути vs уникальные сущности**
 
 ```ts
-await db.навык().Услуга().count()          // [65.2 ms] → 1260 путей (навык → услуга)
+await db.навык().Услуга().count()          // [93 ms] → 1260 путей (навык → услуга)
 (await db.навык().Услуга().rows()).length  // [83.6 ms] → 600 уникальных услуг
 ```
 
@@ -1692,10 +1950,10 @@ await db.навык().Услуга().count()          // [65.2 ms] → 1260 пу
 Параметров нет. То же, что `rows()` с `LIMIT 1`: первая строка или `null`.
 
 ```ts
-await db.Мастер({ name: 'Олег 0.7' }).first()      // [5.6 ms]
+await db.Мастер({ name: 'Олег 0.7' }).first()      // [8.6 ms]
 // → { id: '…0007', class: 'Staff', data: { name: 'Олег 0.7', phone: '+7 921 0000007', specialization: 'колорист' },
 //     links: { Org: '…0000' }, tags: [], updated: '2025-08-01T00:00:00+00:00' }
-await db.Мастер({ name: 'Гэндальф' }).first()  // [5.7 ms] → null
+await db.Мастер({ name: 'Гэндальф' }).first()  // [7.2 ms] → null
 ```
 
 **Кейс: проверка «занято ли окно» перед бронью** — § 11.6 (перечитка под локом).
@@ -1706,7 +1964,7 @@ await db.Мастер({ name: 'Гэндальф' }).first()  // [5.7 ms] → nul
 (дешевле по трафику).
 
 ```ts
-await db.Мастер().ids()   // [4.3 ms] → 360 id
+await db.Мастер().ids()   // [6.7 ms] → 360 id
 // ['00000003-0000-4000-8000-000000000000', '…0001', '00000003-0000-4000-8000-000000000002', …]
 ```
 
@@ -1722,17 +1980,17 @@ await db.Мастер().ids()   // [4.3 ms] → 360 id
 для многошаговой — нет (см. кейс `.rows()`).
 
 ```ts
-await db.Организация('…0000').Мастер().count()   // [5.4 ms] → 12
-await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()   // [37.4 ms] → 630
+await db.Организация('…0000').Мастер().count()   // [12 ms] → 12
+await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()   // [56 ms] → 630
 await db.Локация({ coordinates: { lat: gte(55.5) } }).count()
-// [4.4 ms] → 26 — оператор на листе record-пути (глубина 2), каст numeric по Schema
+// [5.7 ms] → 26 — оператор на листе record-пути (глубина 2), каст numeric по Schema
 ```
 
 **Кейс: витрина каталога** — счётчики к фильтрам без выборки строк:
 
 ```ts
-await db.Услуга({ duration: lte(45) }).count()   // [3.3 ms] → 300  «быстрые»
-await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()    // [37.4 ms] → 630  «премиум»
+await db.Услуга({ duration: lte(45) }).count()   // [4.6 ms] → 300  «быстрые»
+await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()    // [56 ms] → 630  «премиум»
 ```
 
 #### `.limit(n): Chain` / `.offset(n): Chain`
@@ -1748,9 +2006,9 @@ await db.цена({ amounts: { RUB: gte(1300) } }).Услуга().count()    //
 **Примеры**
 
 ```ts
-await db.цена().sort('data.amounts.RUB', 'desc').limit(3).rows()            // [31.1 ms]
+await db.цена().sort('data.amounts.RUB', 'desc').limit(3).rows()            // [17 ms]
 // → [{ note: 'базовая', RUB: 8100 }, { note: 'базовая', RUB: 8000 }, { note: 'базовая', RUB: 7900 }]
-await db.цена().sort('data.amounts.RUB', 'desc').limit(3).offset(3).rows()  // [19.5 ms]
+await db.цена().sort('data.amounts.RUB', 'desc').limit(3).offset(3).rows()  // [19 ms]
 // → [{ RUB: 7800 }, { RUB: 7700 }, { RUB: 7600 }] — вторая страница
 ```
 
@@ -1771,10 +2029,10 @@ await db.цена().sort('data.amounts.RUB', 'desc').limit(3).offset(3).rows()
 **Примеры**
 
 ```ts
-await db.цена().sort('data.amounts.RUB', 'desc').limit(3).rows()   // [31.1 ms] → 8100, 8000, 7900
-await db.Услуга().sort('data.duration').limit(2).rows()        // [7.5 ms] asc по умолчанию
+await db.цена().sort('data.amounts.RUB', 'desc').limit(3).rows()   // [17 ms] → 8100, 8000, 7900
+await db.Услуга().sort('data.duration').limit(2).rows()        // [11 ms] asc по умолчанию
 // → [{ name: 'Стрижка 0', duration: 30 }, { name: 'Педикюр 4', duration: 30 }]
-await db.запись().sort('updated', 'desc').limit(2).rows()      // [6232.3 ms]
+await db.запись().sort('updated', 'desc').limit(2).rows()      // [5726 ms]
 // ЧЕСТНО: DISTINCT ON всех ~440k сущностей класса без фильтра — см. § 14
 ```
 
@@ -1795,7 +2053,7 @@ await db.запись().sort('updated', 'desc').limit(2).rows()      // [6232.3
 **Примеры**
 
 ```ts
-const истор = await db.цена('…0009').versions()          // [7.7 ms] (для t1 ниже)
+const истор = await db.цена('…0009').versions()          // [9.1 ms] (для t1 ниже)
 await db.цена('…0009').asOf(истор[0].updated).first()    // [3.0 ms]
 // → data.amounts.RUB = 2550  — цена ТОГДА
 await db.цена('…0009').first()
@@ -1817,7 +2075,7 @@ await db.цена('…0009').first()
 **Примеры**
 
 ```ts
-await db.цена('…0009').versions()   // [7.7 ms]
+await db.цена('…0009').versions()   // [9.1 ms]
 // → [{ RUB: 2550, updated: '2025-08-23T…' }, { RUB: 2650, updated: '2025-11-21T…' }]
 await db.Клиент('…0931').versions()   // жизнь с удалением и воскрешением:
 // → [{ name: 'Злата', updated: '…54.159646' },
@@ -1873,6 +2131,33 @@ for (;;) {
 }
 ```
 
+#### `.exact(): Chain`
+
+Параметров нет.
+
+**Назначение и алгоритм.** Снимает полиморфизм ТЕКУЩЕГО шага: в SQL уходит
+`class = '<свой>'` вместо `class = ANY('<свой>' + descendants)`. Нужен, когда наследование
+в домене — переиспользование `attributes`, а не «is-a» для выборки (§ 3.3). На классе без
+потомков — no-op. На запись не влияет: `create()` всегда пишет строго в свой класс.
+
+**Примеры**
+
+```ts
+await db.Контрагент().count()             // → 40367  Мастера + Клиенты (полиморфно)
+await db.Контрагент().exact().count()     // → 0      abstract-класс своих строк не имеет
+await db.окно().count()                   // → 494008 смены + записи-наследники
+await db.окно().exact().count()           // → 54005  именно смены
+await db.Мастер(и).окно().exact().rows()  // смены мастера, без его броней
+```
+
+**Кейс: «занят ли мастер»** — смены и брони живут в одной иерархии, поэтому проверка
+доступности всегда берёт `.exact()` на окне и отдельный шаг на записи:
+
+```ts
+const смены = await db.Мастер(и).окно().exact().rows()   // интервалы доступности
+const брони = await db.Мастер(и).запись().rows()         // что уже занято
+```
+
 #### `.deep(max = 32): Chain`
 
 | Параметр | Тип | Описание |
@@ -1887,10 +2172,10 @@ for (;;) {
 **Примеры**
 
 ```ts
-await db.Папка('…0000').Папка().deep().rows()    // [9.2 ms]
+await db.Папка('…0000').Папка().deep().rows()    // [22 ms]
 // → [{ name: 'Мужской зал', $depth: 1 }, { name: 'Женский зал', $depth: 1 },
 //    { name: 'Борода и усы', $depth: 2 }, { name: 'Уход', $depth: 3 }]
-await db.Папка('…0000').Папка().deep(1).rows()   // [7.4 ms] только прямые дети
+await db.Папка('…0000').Папка().deep(1).rows()   // [15 ms] только прямые дети
 // → [{ name: 'Мужской зал', $depth: 1 }, { name: 'Женский зал', $depth: 1 }]
 ```
 
@@ -1918,10 +2203,10 @@ const дерево = await db.Папка(корень).Папка().deep().rows(
 **Примеры**
 
 ```ts
-await db.цена().sum('data.amounts.RUB')      // [13.2 ms] → 2277000
-await db.Услуга().avg('data.duration')       // [3.0 ms] → 52.5
-await db.Локация({}).sum('data.coordinates.lat')   // [3.9 ms] лист record-пути (глубина 2) → 3327.925547539955
-await db.Услуга({ name: 'НетТакой' }).sum('data.duration')   // [5.0 ms] → null (пусто)
+await db.цена().sum('data.amounts.RUB')      // [9.0 ms] → 2277000
+await db.Услуга().avg('data.duration')       // [7.4 ms] → 52.5
+await db.Локация({}).sum('data.coordinates.lat')   // [4.0 ms] лист record-пути (глубина 2) → 3327.925547539955
+await db.Услуга({ name: 'НетТакой' }).sum('data.duration')   // [6.6 ms] → null (пусто)
 ```
 
 **Кейс: итог по каталогу без выгрузки строк** — `sum('data.amounts.RUB')` по 405 ценам за 4 ms;
@@ -1933,8 +2218,8 @@ await db.Услуга({ name: 'НетТакой' }).sum('data.duration')   // [5
 **числом**, string — строкой.
 
 ```ts
-await db.цена().min('data.amounts.RUB')   // [15.0 ms] → 300  (число, не '300')
-await db.цена().max('data.amounts.RUB')   // [14.8 ms] → 8100
+await db.цена().min('data.amounts.RUB')   // [7.1 ms] → 300  (число, не '300')
+await db.цена().max('data.amounts.RUB')   // [6.2 ms] → 8100
 ```
 
 **Кейс: границы ценового слайдера** — `min` + `max` двумя запросами по 3–4 ms.
@@ -1949,7 +2234,7 @@ await db.цена().max('data.amounts.RUB')   // [14.8 ms] → 8100
 объекта = значения поля, значения = счётчики (по путям).
 
 ```ts
-await db.запись().countBy('data.notes')   // [3266.3 ms] — ~440k сущностей
+await db.запись().countBy('data.notes')   // [1853 ms] — ~440k сущностей
 // → { 'подтверждена': 400000, 'по телефону: Вера': 3334, 'по телефону: Ольга': 3334, …,
 //     'по телефону: Марина': 3333 }  — 12 имён «по телефону» по ~3333 (ручные брони ~9%)
 ```
@@ -1967,7 +2252,7 @@ await db.запись().countBy('data.notes')   // [3266.3 ms] — ~440k сущ
 
 ```ts
 await db.Организация(org).alias('салон').Мастер({ name: 'Ольга 0.0' }).alias('мастер').run()
-// [6.7 ms] → ключи пути: ['салон', 'мастер']
+// [13 ms] → ключи пути: ['салон', 'мастер']
 ```
 
 **Кейс: self-join читаемо** — `db.Папка(a).alias('родитель').Папка().alias('дочка').run()`.
@@ -1982,8 +2267,8 @@ await db.Организация(org).alias('салон').Мастер({ name: '
 кандидаты + перепроверка). В записи — модификатор значения.
 
 ```ts
-await db.Клиент().tags('vip').count()                        // [24.7 ms] → 400 (vip-клиенты)
-await db.Клиент().tags(hasAny(['vip', 'telegram'])).count()  // [48.4 ms] → 800
+await db.Клиент().tags('vip').count()                        // [52 ms] → 400 (vip-клиенты)
+await db.Клиент().tags(hasAny(['vip', 'telegram'])).count()  // [78 ms] → 800
 ```
 
 **Кейс: пометить и найти** — § 5 (вставка с `.tags(['vip','telegram'])`, поиск `tags('vip')`);
@@ -1995,13 +2280,15 @@ await db.Клиент().tags(hasAny(['vip', 'telegram'])).count()  // [48.4 ms]
 |---|---|---|
 | `v` | `uuid \| { id }` | чтение: фильтр колонки `account`/`owner`; при `create()` — значение колонки |
 
-**Назначение и алгоритм.** Прямое равенство по uuid-колонке (btree). Под `enforceAccount`
-чужой `.account()` — ошибка; под `enforceAcl` конфликт с пришпиленной правилом колонкой —
-ошибка `acl pins` (§ 11.10).
+**Назначение и алгоритм.** Прямое равенство по uuid-колонке (btree). Модификатор патчит
+**только свой шаг** — арендатор всей цепочки задаётся не им, а хендлом `db.as()` (§ 10.6):
+под `enforceAccount` он фильтрует каждый шаг сам, а чужой `.account()` — ошибка `pinned`.
+Под `enforceAcl` конфликт с пришпиленной правилом колонкой — ошибка `acl pins` (§ 11.10).
+Смысл `.account()` остаётся прежним: точечный фильтр/значение на админском хендле.
 
 ```ts
 await db.Организация().account(SYS).count()   // [5.1 ms] → 30
-await db.Организация().owner(SYS).count()      // [3.9 ms] → 30
+await db.Организация().owner(SYS).count()      // [5.5 ms] → 30
 ```
 
 **Кейс: чей это салон** — профиль владельца строки: `db.accounts.get(row.owner)`; выборка
@@ -2020,7 +2307,7 @@ await db.Организация().owner(SYS).count()      // [3.9 ms] → 30
 `v: string | number | boolean | null` — «не равно» (`IS DISTINCT FROM` — null-безопасно).
 
 ```ts
-await db.Услуга({ name: ne('Стрижка 0') }).count()   // [4.9 ms] → 570
+await db.Услуга({ name: ne('Стрижка 0') }).count()   // [4.3 ms] → 570
 ```
 
 **Кейс:** всё, кроме выбранного, — «другие услуги» под карточкой текущей.
@@ -2030,7 +2317,7 @@ await db.Услуга({ name: ne('Стрижка 0') }).count()   // [4.9 ms]
 `v: number | string` — строго больше / больше-или-равно (числа и сравнимые строки-даты).
 
 ```ts
-await db.Услуга({ duration: gt(60) }).count()    // [6.4 ms] → 150
+await db.Услуга({ duration: gt(60) }).count()    // [4.4 ms] → 150
 await db.Услуга({ duration: gte(60) }).count()   // [4.3 ms] → 300
 ```
 
@@ -2042,8 +2329,8 @@ await db.Услуга({ duration: gte(60) }).count()   // [4.3 ms] → 300
 `v: number | string` — строго меньше / меньше-или-равно.
 
 ```ts
-await db.Услуга({ duration: lt(45) }).count()    // [5.1 ms] → 150
-await db.Услуга({ duration: lte(45) }).count()   // [3.3 ms] → 300
+await db.Услуга({ duration: lt(45) }).count()    // [6.5 ms] → 150
+await db.Услуга({ duration: lte(45) }).count()   // [4.6 ms] → 300
 ```
 
 **Кейс:** «экспресс до 45 минут включительно» = `lte(45)` → 300 услуг.
@@ -2053,7 +2340,7 @@ await db.Услуга({ duration: lte(45) }).count()   // [3.3 ms] → 300
 `a, b: number | string` — диапазон включительно (`a ≤ x ≤ b`).
 
 ```ts
-await db.Услуга({ duration: between(40, 65) }).count()   // [8.1 ms] → 300
+await db.Услуга({ duration: between(40, 65) }).count()   // [4.7 ms] → 300
 ```
 
 **Кейс:** слайдер длительности «40–65 минут» одной функцией вместо пары gte+lte.
@@ -2063,7 +2350,7 @@ await db.Услуга({ duration: between(40, 65) }).count()   // [8.1 ms] → 3
 `vs: (string | number)[]` — значение из списка (`IN`).
 
 ```ts
-await db.Услуга({ name: inList(['Стрижка 0', 'Массаж 7']) }).count()   // [4.4 ms] → 60
+await db.Услуга({ name: inList(['Стрижка 0', 'Массаж 7']) }).count()   // [5.3 ms] → 60
 ```
 
 **Кейс:** сравнение выбранных чекбоксами услуг: имена из UI → один запрос.
@@ -2073,8 +2360,8 @@ await db.Услуга({ name: inList(['Стрижка 0', 'Массаж 7']) }).
 `s: string` — SQL-шаблон (`%` — любое, `_` — один символ); `ilike` — без учёта регистра.
 
 ```ts
-await db.Услуга({ name: like('Стри%') }).count()          // [4.3 ms] → 60
-await db.Услуга({ name: ilike('%массаж%') }).count()       // [4.3 ms] → 60
+await db.Услуга({ name: like('Стри%') }).count()          // [6.6 ms] → 60
+await db.Услуга({ name: ilike('%массаж%') }).count()       // [4.8 ms] → 60
 ```
 
 **Кейс:** живой поиск в админке — `ilike('%' + ввод + '%')` прощает регистр
@@ -2085,8 +2372,8 @@ await db.Услуга({ name: ilike('%массаж%') }).count()       // [4.3 m
 `s: string` — начинается с / заканчивается на (сахар над `like(s+'%')` / `like('%'+s)`).
 
 ```ts
-await db.Услуга({ name: starts('Массаж') }).count()   // [3.7 ms] → 60
-await db.Услуга({ name: ends('7') }).count()          // [2.9 ms] → 60
+await db.Услуга({ name: starts('Массаж') }).count()   // [5.7 ms] → 60
+await db.Услуга({ name: ends('7') }).count()          // [5.0 ms] → 60
 ```
 
 **Кейс:** префиксная навигация по названию: `starts('Массаж')` → все «Массаж N» (60 в каталоге).
@@ -2097,9 +2384,9 @@ await db.Услуга({ name: ends('7') }).count()          // [2.9 ms] → 60
 идёт и в GIN-кандидаты). В демо-схеме массивов в `data` нет — операторы показаны на колонке `tags`.
 
 ```ts
-await db.Клиент().tags(has('vip')).count()                     // [54.5 ms] → 400
-await db.Клиент().tags(hasAny(['vip', 'telegram'])).count()    // [48.4 ms] → 800
-await db.Клиент().tags(hasAll(['vip', 'telegram'])).count()    // [11.0 ms] → 100
+await db.Клиент().tags(has('vip')).count()                     // [85 ms] → 400
+await db.Клиент().tags(hasAny(['vip', 'telegram'])).count()    // [78 ms] → 800
+await db.Клиент().tags(hasAll(['vip', 'telegram'])).count()    // [19 ms] → 100
 ```
 
 **Кейс:** сегменты по меткам: «vip ИЛИ из телеграма» = `tags(hasAny(['vip','telegram']))` → 800;
@@ -2110,8 +2397,8 @@ await db.Клиент().tags(hasAll(['vip', 'telegram'])).count()    // [11.0 ms
 `yes: boolean?` — поле присутствует (`true`, default) / отсутствует (`false`) в `data`.
 
 ```ts
-await db.Услуга({ description: exists() }).count()        // [3.7 ms] → 390
-await db.Услуга({ description: exists(false) }).count()   // [3.2 ms] → 210
+await db.Услуга({ description: exists() }).count()        // [7.9 ms] → 390
+await db.Услуга({ description: exists(false) }).count()   // [6.2 ms] → 210
 ```
 
 **Кейс:** контроль заполненности каталога — «услуги без ключа `description`» = `exists(false)` → 210
@@ -2122,7 +2409,7 @@ await db.Услуга({ description: exists(false) }).count()   // [3.2 ms] →
 Без параметров — поле `NULL` **или** отсутствует.
 
 ```ts
-await db.Услуга({ description: isNull() }).count()   // [3.1 ms] → 390
+await db.Услуга({ description: isNull() }).count()   // [6.1 ms] → 390
 ```
 
 **Кейс:** отличие от `exists(false)` — на полигоне видно числом: `isNull()` → 390 (ловит и явный
@@ -2134,8 +2421,8 @@ await db.Услуга({ description: isNull() }).count()   // [3.1 ms] → 390
 `v: скаляр | Op` — отрицание; скаляр ≡ «не равно» (как `ne`).
 
 ```ts
-await db.Услуга({ name: not(starts('Стрижка')) }).count()   // [3.7 ms] → 540
-await db.Услуга({ name: not('Стрижка 0') }).count()          // [3.5 ms] → 570
+await db.Услуга({ name: not(starts('Стрижка')) }).count()   // [5.2 ms] → 540
+await db.Услуга({ name: not('Стрижка 0') }).count()          // [4.3 ms] → 570
 ```
 
 **Кейс:** инверсия готового условия без переписывания: «всё, что НЕ стрижки» =
@@ -2147,7 +2434,7 @@ await db.Услуга({ name: not('Стрижка 0') }).count()          // [3.
 обычное И).
 
 ```ts
-await db.Услуга(or({ name: 'Стрижка 0' }, { duration: lt(45) })).count()   // [4.0 ms] → 150
+await db.Услуга(or({ name: 'Стрижка 0' }, { duration: lt(45) })).count()   // [5.7 ms] → 150
 ```
 
 **Кейс:** «Стрижка 0 или что-нибудь быстрое» — один запрос: Стрижка 0 (duration 30) уже среди
@@ -2182,11 +2469,11 @@ INSERT** с `updated = GREATEST(clock_timestamp(), prev + 1 µs)`; (5) конф
 **Примеры**
 
 ```ts
-await db.Организация().create({ name: 'Пилигрим' }).rows()   // [11.1 ms] INSERT + defaults из Schema
+await db.Организация().create({ name: 'Пилигрим' }).rows()   // [45 ms] INSERT + defaults из Schema
 // → [{ id: '019f5a53-…', class: 'Org', data: { name: 'Пилигрим', active: true, timezone: 'Europe/Moscow' }, links: {}, … }]
 
 await db.Организация().create({ id: '…0901', name: 'Демо-салон §11' }).rows()
-// [11.4 ms] явный id — можно: Org наследует v7 (§ 3.2); повторный create того же id → новая версия
+// [14 ms] явный id — можно: Org наследует v7 (§ 3.2); повторный create того же id → новая версия
 
 await db.Организация('…0901').Мастер().create({ id: '…0911', name: 'Мия', phone: '+7 909 000-09-11', specialization: 'массажист' }).rows()
 // [15.2 ms] контекст → links: { Org: '…0901' }
@@ -2198,7 +2485,7 @@ await db.Организация('…0901').Услуга().create({ name: 'Мас
 db.Услуга({ name: 'Массаж головы' }).create({ duration: 20 })   // [0.1 ms] — синхронно, до БД:
 // Error: letopis: create() takes no filter — Услуга(id).create(…) fixes the id, searching is update()
 
-await db.Организация('…0901').Услуга().create({ name: 'X', чепуха: 1 }).rows()   // [9.9 ms] — ошибка НА ТЕРМИНАЛЕ:
+await db.Организация('…0901').Услуга().create({ name: 'X', чепуха: 1 }).rows()   // [11 ms] — ошибка НА ТЕРМИНАЛЕ:
 // ValidationError: letopis: validation failed for "Service":
 //   The object '' contains forbidden keys: 'чепуха'.
 
@@ -2223,12 +2510,12 @@ db.Локация('…0921').Клиент()   // [0.1 ms] недопустимы
 **Примеры**
 
 ```ts
-await db.Клиент('…0931').запись({ start_datetime: between(t, t) }).update({ notes: 'подтверждена' }).rows()   // [645.4 ms]
+await db.Клиент('…0931').запись({ start_datetime: between(t, t) }).update({ notes: 'подтверждена' }).rows()   // [22 ms]
 // → [{ id: '4907d8cd-…', notes: 'подтверждена' }]
 // момент фильтруется between(t, t): скаляр-eq по date-полю = строковый containment, потому диапазон
 // (сотни мс: поиск целей идёт по всему классу записей ~440k без btree по data->>'start_datetime' — § 14)
 
-await db.Клиент('…0931').запись({}).update({ notes: 'день закрыт' }).rows()   // [600.4 ms] — ВСЕ записи в контексте
+await db.Клиент('…0931').запись({}).update({ notes: 'день закрыт' }).rows()   // [25 ms] — ВСЕ записи в контексте
 // → [{ id: '4907d8cd-…', notes: 'день закрыт' }, { id: 'e7f16a08-…', notes: 'день закрыт' }]
 
 await db.запись({ notes: 'нет-такого' }).update({ notes: 'x' }).rows()   // → [] — update НИКОГДА не создаёт
@@ -2249,7 +2536,7 @@ await db.запись('…d091').update({ notes: 'подтверждена' }).u
 // → ['выполнена']; versions: [null, 'подтверждена', 'выполнена']
 
 // хвост-чтение после операции — в той же транзакции
-await db.Клиент('…0931').update({ preferred_contact: 'phone' }).запись().count()   // [16.7 ms] → 1
+await db.Клиент('…0931').update({ preferred_contact: 'phone' }).запись().count()   // [23 ms] → 1
 
 // ОТКАТ: валидный update + невалидный create — весь план назад
 await db.Клиент('…0931').update({ notes: 'аудит 2026' }).запись().create({ чепуха: 1 }).rows()
@@ -2257,7 +2544,7 @@ await db.Клиент('…0931').update({ notes: 'аудит 2026' }).запис
 
 // fan-out: обновить клиента → снести ВСЕ его записи
 await db.Клиент('…0931').update({ notes: 'аудит 2026' }).запись().delete({ confirm: true }).rows()
-// [29.0 ms] → снесено 1 запись, с $deleted: true
+// [40 ms] → снесено 1 запись, с $deleted: true
 ```
 
 #### Слоты связей: `.Класс.set(target): Chain` / `.Класс.unset(): Chain`
@@ -2318,13 +2605,13 @@ tombstone-версия → рекурсивное удаление зависи
 **Примеры**
 
 ```ts
-await db.Клиент('…0931').delete().rows()   // [14.7 ms] ПРЕВЬЮ — кандидаты живы:
+await db.Клиент('…0931').delete().rows()   // [23 ms] ПРЕВЬЮ — кандидаты живы:
 // → [{ id: '…0931', class: 'Customer' }, { class: 'booking' }, { class: 'booking' }] — клиент + его записи (каскад)
 // после превью клиент жив: true
 
-await db.Клиент('…0931').delete({ confirm: true }).rows()   // [35.8 ms] — сервер нашёл зависимых:
+await db.Клиент('…0931').delete({ confirm: true }).rows()   // [49 ms] — сервер нашёл зависимых:
 // → те же три, каждый с $deleted: true
-await db.Клиент('…0931').delete({ confirm: true }).rows()   // [6.8 ms] повторно → []
+await db.Клиент('…0931').delete({ confirm: true }).rows()   // [49 ms] повторно → []
 ```
 
 **Кейс: отмена и воскрешение**
@@ -2352,7 +2639,7 @@ await db.Организация('…0901').Клиент().create({ id: cid, name
 **Примеры**
 
 ```ts
-await db.Клиент('…0931').anonymize(['name', 'phone']).rows()   // [12.7 ms]
+await db.Клиент('…0931').anonymize(['name', 'phone']).rows()   // [13 ms]
 // → [{ data: { name: '[erased]', phone: '[erased]', preferred_contact: 'phone' },
 //      tags: ['anonymized'] }]
 ```
@@ -2360,7 +2647,7 @@ await db.Клиент('…0931').anonymize(['name', 'phone']).rows()   // [12.7
 **Кейс: запрос на забвение**
 
 ```ts
-await db.Клиент('…0931').anonymize(['name', 'phone']).rows()      // [12.7 ms]
+await db.Клиент('…0931').anonymize(['name', 'phone']).rows()      // [13 ms]
 ;(await db.Клиент('…0931').versions()).map((r) => r.data.name)    // → ['Злата', 'Злата', 'Злата', '[erased]']
 await db.Клиент().tags('anonymized').count()                       // все стёртые — под контролем
 ```
@@ -2381,10 +2668,10 @@ await db.Клиент().tags('anonymized').count()                       // вс
 **Примеры**
 
 ```ts
-const tr = await db.begin()                    // [1.1 ms]
+const tr = await db.begin()                    // [1.0 ms]
 await tr.цена(цУкл).update({ amounts: { RUB: 9900 } }).rows()   // цУкл — базовая цена «Укладки»
 await tr.цена(цУкл).first()                    // внутри → amounts.RUB = 9900
-await tr.rollback()                            // [0.8 ms]
+await tr.rollback()                            // [1.1 ms]
 await db.цена(цУкл).first()                    // снаружи → amounts.RUB = 700, изменения нет
 ```
 
@@ -2406,7 +2693,7 @@ await db.цена(цУкл).first()                    // снаружи → amo
 **Примеры**
 
 ```ts
-await trA.lock('booking', staffId, start)   // [3.1 ms]
+await trA.lock('booking', staffId, start)   // [1.7 ms]
 await db.lock('x')
 // Error: letopis: lock() works only inside db.begin() transaction (pg_advisory_xact_lock)  [0.2 ms]
 ```
@@ -2418,7 +2705,7 @@ await db.lock('x')
 // id записи детерминирован (v5, § 3.2) — известен ДО создания:
 const bId = uuidv5(`v1.salondemo:entity:booking:${мастер.id}:${start}`)
 const trA = await db.begin(), trB = await db.begin()
-await trA.lock('booking', мастер.id, start)          // [3.1 ms] A первый
+await trA.lock('booking', мастер.id, start)          // [1.7 ms] A первый
 const гонкаB = (async () => {
   await trB.lock('booking', мастер.id, start)        // B ВИСИТ до конца trA
   const занято = await trB.запись(bId).first()       // перечитка под локом
@@ -2474,7 +2761,7 @@ b.Мастер(m).окно().create({ start_datetime: '2026-08-05T07:00:00Z', en
 b.Мастер(m).окно().create({ start_datetime: '2026-08-05T09:00:00Z', end_datetime: '…11:00Z' }).Локация.set(loc).Расписание.set(sch)
 b.Мастер(m).окно().create({ start_datetime: '2026-08-05T11:00:00Z', end_datetime: '…13:00Z' }).Локация.set(loc).Расписание.set(sch)
 b.size()             // [35 µs] → 3
-await b.run()        // [43.8 ms] — одна транзакция; окно — v5-класс → 3 честных INSERT, не склейка
+await b.run()        // [63 ms] — одна транзакция; окно — v5-класс → 3 честных INSERT, не склейка
 // → [[{ id: '06f67c88-…', start_datetime: '2026-08-05T07:00:00.000Z' }], [{ …09:00 }], [{ …11:00 }]]
 //   id каждого окна вычислен схемой: uuidv5(Staff, start_datetime) — § 3.2
 b.size()             // → 0
@@ -2517,7 +2804,7 @@ await db.Мастер(m).окно({ start_datetime: between('2026-08-06T11:00:00
 `category` → `= ANY(categories)`.
 
 ```ts
-await db.accounts.find({ category: 'Client', enabled: true })   // [2.4 ms] → 1 аккаунт
+await db.accounts.find({ category: 'Client', enabled: true })   // [4.1 ms] → 1 аккаунт
 ```
 
 **Кейс:** список арендаторов для биллинга: `find({ enabled: true })`, отключённые не в счёте.
@@ -2527,7 +2814,7 @@ await db.accounts.find({ category: 'Client', enabled: true })   // [2.4 ms] →
 `id: string` — точечный SELECT по PK.
 
 ```ts
-await db.accounts.get(acc.id)   // [1.9 ms] → Account | null
+await db.accounts.get(acc.id)   // [3.2 ms] → Account | null
 ```
 
 **Кейс:** профиль владельца строки Entity: `db.accounts.get(row.owner)`.
@@ -2547,7 +2834,7 @@ await db.accounts.get(acc.id)   // [1.9 ms] → Account | null
 
 ```ts
 const acc = await db.accounts.set({ categories: ['Client'], data: { название: 'ИП Ромашка' } })
-// [5.4 ms] → { id: '06d3bbfe-…', categories: ['Client'], data: { название: 'ИП Ромашка' },
+// [9.7 ms] → { id: '06d3bbfe-…', categories: ['Client'], data: { название: 'ИП Ромашка' },
 //               meta: {}, avatar: 'https://i.pravatar.cc/128?img=33', enabled: true, created: …, updated: … }
 await db.accounts.set({ id: acc.id, avatar: 'https://cdn.example/i.png' })   // [5.7 ms] update
 ```
@@ -2562,7 +2849,7 @@ await db.accounts.set({ id: acc.id, avatar: 'https://cdn.example/i.png' })   //
 
 ```ts
 await db.accounts.delete(времId)   // [16.4 ms] → true (пустой аккаунт)
-await db.accounts.delete(SYS)      // [6.0 ms]
+await db.accounts.delete(SYS)      // [5.5 ms]
 // Error: update or delete on table "Account" violates foreign key constraint "entity_account_fk"
 ```
 
@@ -2577,9 +2864,13 @@ await db.accounts.delete(SYS)      // [6.0 ms]
 Предохранители (до сноса): вызывать может лишь **Owner/System**; нельзя снести **последний enabled Owner**
 (лок-аут тенанта) и **свой** аккаунт сессии.
 
+Вызывать нужно **со scoped-хендла** — предохранители смотрят, кто именно зовёт:
+
 ```ts
-const dbSys = await connect({ dsn, schema: 'v1.notify', account: SYS })
+const dbSys = await (await connect({ dsn, schema: 'v1.notify' })).as(SYS)
 await dbSys.accounts.purge(tenantId)   // → true: Entity + Account + Credential снесены, место освобождено
+// с безличного корня: Error: accounts.purge requires an authenticated caller — call it from
+//                     a scoped handle: (await db.as(caller)).accounts.purge(id)
 ```
 
 #### `db.schema.define(def)` / `db.reloadSchema()` — живой подхват правок схемы
@@ -2612,7 +2903,7 @@ await db.schema.define({ id: 'Coupon', alias: 'Купон', category: 'HUB',
 | `f.withDeleted` | `boolean?` | включить мягко-удалённые (default — только живые `deleted IS NULL`) |
 
 ```ts
-await db.credentials.find({ account: acc.id })                      // [3.2 ms] → 1 живой
+await db.credentials.find({ account: acc.id })                      // [2.9 ms] → 1 живой
 await db.credentials.find({ account: acc.id, withDeleted: true })   // → 1 (после delete: 0 и 1)
 ```
 
@@ -2648,7 +2939,7 @@ await db.credentials.set({ account: acc.id, category: 'phone', identifier: '+7 9
 освобождается для других аккаунтов (§ 11.9).
 
 ```ts
-await db.credentials.delete(кред.id)   // [4.6 ms] → true; find() больше не видит
+await db.credentials.delete(кред.id)   // [4.0 ms] → true; find() больше не видит
 ```
 
 **Кейс:** отзыв api-ключа: `delete(credential.id)` → `verifyApiKey` мгновенно null
@@ -2669,10 +2960,10 @@ await db.credentials.delete(кред.id)   // [4.6 ms] → true; find() боль
 
 ```ts
 await db.resources.set({ alias: 'apiref.demo:API', category: 'API', pattern: { endpoint: 'demo.*' } })
-// [4.8 ms] → { alias: 'apiref.demo:API', category: 'API', pattern: { endpoint: 'demo.*' }, meta: null }
-await db.resources.get('apiref.demo:API')      // [2.6 ms] → тот же Resource
-await db.resources.find({ category: 'API' })   // [1.1 ms] → 14 ресурсов
-await db.resources.delete('apiref.demo:API')   // [5.2 ms] → true
+// [5.1 ms] → { alias: 'apiref.demo:API', category: 'API', pattern: { endpoint: 'demo.*' }, meta: null }
+await db.resources.get('apiref.demo:API')      // [2.5 ms] → тот же Resource
+await db.resources.find({ category: 'API' })   // [2.5 ms] → 14 ресурсов
+await db.resources.delete('apiref.demo:API')   // [4.9 ms] → true
 ```
 
 **Кейс:** полный словарь для нового тарифа — § 11.10 (6 ресурсов + 5 правил одним блоком).
@@ -2691,9 +2982,9 @@ await db.resources.delete('apiref.demo:API')   // [5.2 ms] → true
 
 ```ts
 await db.rules.set({ account: 'apiref.demo:API', resource: 'apiref.demo:API', permission: 'allow', weight: 90 })
-// [5.3 ms] → { account: …, resource: …, permission: 'allow', weight: 90, meta: null, enabled: true }
-await db.rules.find({ resource: 'apiref.demo:API' })              // [2.7 ms] → 1
-await db.rules.delete('apiref.demo:API', 'apiref.demo:API')       // [4.3 ms] → true
+// [5.9 ms] → { account: …, resource: …, permission: 'allow', weight: 90, meta: null, enabled: true }
+await db.rules.find({ resource: 'apiref.demo:API' })              // [2.8 ms] → 1
+await db.rules.delete('apiref.demo:API', 'apiref.demo:API')       // [3.7 ms] → true
 ```
 
 **Кейс:** временный бан группы: `set({ account: группа, resource: цель, permission: 'deny',
@@ -2725,7 +3016,7 @@ uuid-строку или объект с `.id`.
 
 ```ts
 await db.auth.setPassword({ account: acc, identifier: 'romashka@salon.io', password: 'лето-2026!' })
-// [87.5 ms] → Credential; в БД вместо пароля:
+// [105 ms] → Credential; в БД вместо пароля:
 //   meta.password = "scrypt$32768$8$1$+yEMcUTJIO7xEu/oDUAMXA==$b6…"
 ```
 
@@ -2748,11 +3039,11 @@ await db.auth.setPassword({ account: acc, identifier: 'romashka@salon.io', passw
 **Примеры**
 
 ```ts
-await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'лето-2026!' })  // [78.8 ms]
+await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'лето-2026!' })  // [109 ms]
 // → { account: { id: '06d3bbfe-…', categories: ['Client'], enabled: true, … },
 //     credential: { category: 'PASSWORD', identifier: 'romashka@salon.io', … } }
-await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'зима' })   // [71.1 ms] → null
-await db.auth.verifyPassword({ identifier: 'ghost@nowhere.io', password: 'x' })       // [64.4 ms] → null
+await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'зима' })   // [109 ms] → null
+await db.auth.verifyPassword({ identifier: 'ghost@nowhere.io', password: 'x' })       // [109 ms] → null
 // незнакомый identifier — то же время (dummy-verify)
 ```
 
@@ -2762,11 +3053,11 @@ await db.auth.verifyPassword({ identifier: 'ghost@nowhere.io', password: 'x' })
 await db.auth.setPassword({ account: acc, identifier: 'noconfirm@salon.io', password: 'пароль-77',
   category: 'EMAIL', confirmed: false })
 await db.auth.verifyPassword({ identifier: 'noconfirm@salon.io', password: 'пароль-77', category: 'EMAIL' })
-// [71.1 ms] → null — кред не подтверждён
-await db.auth.verifyPassword({ …то же…, requireConfirmed: false })   // [72.2 ms] → { account, credential }
+// [109 ms] → null — кред не подтверждён
+await db.auth.verifyPassword({ …то же…, requireConfirmed: false })   // [109 ms] → { account, credential }
 await db.accounts.set({ id: acc.id, enabled: false })
 await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'лето-2026!' })
-// [59.5 ms] → null — аккаунт выключен, пароль уже не важен
+// [109 ms] → null — аккаунт выключен, пароль уже не важен
 ```
 
 #### `db.auth.issueApiKey(a): Promise<{ key, credential }>`
@@ -2781,7 +3072,7 @@ await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'ле
 Сам ключ возвращается **один раз**; утечка БД ключи не раскрывает.
 
 ```ts
-const { key, credential } = await db.auth.issueApiKey({ account: acc, name: 'касса-1' })   // [5.5 ms]
+const { key, credential } = await db.auth.issueApiKey({ account: acc, name: 'касса-1' })   // [9.0 ms]
 // key = 'lts_ca41bf2a3614c3f228be2551a2ba998db5285f1a2bc3b859'  ← показать и забыть
 // в БД: identifier = '624b00355aba026f…' (sha256), meta = { name: 'касса-1', prefix: 'lts_ca41bf2a' }
 ```
@@ -2799,16 +3090,16 @@ const { key, credential } = await db.auth.issueApiKey({ account: acc, name: 'к
 Быстрый (без scrypt): ключ высокоэнтропийный, подбор бессмыслен.
 
 ```ts
-await db.auth.verifyApiKey(key)   // [4.5 ms] → { account: 06d3bbfe…, credential }
+await db.auth.verifyApiKey(key)   // [6.9 ms] → { account: 06d3bbfe…, credential }
 ```
 
 **Кейс: полный жизненный цикл ключа**
 
 ```ts
-const { key, credential } = await db.auth.issueApiKey({ account: acc, name: 'касса-1' })  // [5.5 ms]
-await db.auth.verifyApiKey(key)          // [4.5 ms] → { account, credential } — касса работает
+const { key, credential } = await db.auth.issueApiKey({ account: acc, name: 'касса-1' })  // [9.0 ms]
+await db.auth.verifyApiKey(key)          // [6.9 ms] → { account, credential } — касса работает
 await db.credentials.delete(credential.id)   // отзыв (мягкий)
-await db.auth.verifyApiKey(key)          // [2.1 ms] → null — мгновенно недействителен
+await db.auth.verifyApiKey(key)          // [6.9 ms] → null — мгновенно недействителен
 ```
 
 #### `db.auth.issueKeySecret(a): Promise<{ key, secret, credential }>`
@@ -2820,7 +3111,7 @@ await db.auth.verifyApiKey(key)          // [2.1 ms] → null — мгновен
 возвращается один раз.
 
 ```ts
-const { key, secret } = await db.auth.issueKeySecret({ account: acc, name: 'интеграция-1С' })  // [4.8 ms]
+const { key, secret } = await db.auth.issueKeySecret({ account: acc, name: 'интеграция-1С' })  // [4.5 ms]
 // key = 'f8ab4007e4570809'; secret = 'c25b8b906f69…' (48 hex, показан один раз)
 ```
 
@@ -2835,8 +3126,8 @@ const { key, secret } = await db.auth.issueKeySecret({ account: acc, name: 'ин
 **Алгоритм.** Кред по identifier = key, `timingSafeEqual(sha256(secret), meta.secret)`, ворота.
 
 ```ts
-await db.auth.verifyKeySecret(key, secret)          // [4.6 ms] → { account, credential }
-await db.auth.verifyKeySecret(key, 'f'.repeat(48))  // [2.2 ms] → null
+await db.auth.verifyKeySecret(key, secret)          // [4.4 ms] → { account, credential }
+await db.auth.verifyKeySecret(key, 'f'.repeat(48))  // [4.4 ms] → null
 ```
 
 **Кейс:** серверная интеграция (1С, платёжка): key хранится в конфиге открыто и светится
@@ -2878,8 +3169,8 @@ const { secret, uri } = await db.auth.enrollTotp({ account: acc, issuer: 'clockz
 
 ```ts
 const код = totpCode(secret)                                //  [659 µs] → '564517' (как в приложении)
-await db.auth.verifyTotp({ account: acc, code: код })       // [8.1 ms] → true — фактор активирован
-await db.auth.verifyTotp({ account: acc, code: код })       // [2.6 ms] → false — replay отбит
+await db.auth.verifyTotp({ account: acc, code: код })       // [7.2 ms] → true — фактор активирован
+await db.auth.verifyTotp({ account: acc, code: код })       // [7.2 ms] → false — replay отбит
 const прошлый = totpCode(secret, Date.now() - 30_000)       // код прошлого шага (окно ±1)
 await db.auth.verifyTotp({ account: acc, code: прошлый })   // → false — шаг ≤ lastStep
 ```
@@ -2889,8 +3180,8 @@ await db.auth.verifyTotp({ account: acc, code: прошлый })   // → false
 ```ts
 const { secret, uri } = await db.auth.enrollTotp({ account: acc, issuer: 'clockz' })  // [4.8 ms]
 await db.auth.totpEnabled(acc)                    // → false — QR показан, ждём подтверждения
-await db.auth.verifyTotp({ account: acc, code: изПриложения })   // [8.1 ms] → true
-await db.auth.totpEnabled(acc)                    // [2.2 ms] → true — теперь требуем код при входе
+await db.auth.verifyTotp({ account: acc, code: изПриложения })   // [7.2 ms] → true
+await db.auth.totpEnabled(acc)                    // [2.0 ms] → true — теперь требуем код при входе
 ```
 
 #### `db.auth.totpEnabled(account): Promise<boolean>`
@@ -2899,7 +3190,7 @@ await db.auth.totpEnabled(acc)                    // [2.2 ms] → true — те
 проверкой (`confirmed`). Приложение по нему решает, спрашивать ли второй фактор.
 
 ```ts
-await db.auth.totpEnabled(acc)   // [2.2 ms] → true
+await db.auth.totpEnabled(acc)   // [2.0 ms] → true
 ```
 
 #### `totpCode(secretBase32, atMs = Date.now()): string` — экспорт модуля
@@ -2936,7 +3227,7 @@ totpCode('G3RLJFOF4J4W7U2EC4GBBNNNYUIEGNWS')   // [659 µs] → '564517'
 
 ```ts
 const { code } = await db.auth.issueOtp({ account: acc, identifier: 'romashka@salon.io', ttlSec: 600 })
-// [6.1 ms] code = '255243'; в БД: meta = { code: '7566c91d8a5e…' (sha256), expires: '2026-07-13T07:24:44.435Z', attempts: 0 }
+// [4.8 ms] code = '255243'; в БД: meta = { code: '7566c91d8a5e…' (sha256), expires: '2026-07-13T07:24:44.435Z', attempts: 0 }
 ```
 
 #### `db.auth.verifyOtp(a): Promise<AuthResult | null>`
@@ -2955,17 +3246,17 @@ const { code } = await db.auth.issueOtp({ account: acc, identifier: 'romashka@sa
 **Примеры**
 
 ```ts
-await db.auth.verifyOtp({ identifier: 'romashka@salon.io', code: '000000' })   // [8.4 ms] → null (+1 попытка)
-await db.auth.verifyOtp({ identifier: 'romashka@salon.io', code })             // [11.0 ms] → { account, credential }
-await db.auth.verifyOtp({ identifier: 'romashka@salon.io', code })             // [2.4 ms] → null — сожжён
+await db.auth.verifyOtp({ identifier: 'romashka@salon.io', code: '000000' })   // [11 ms] → null (+1 попытка)
+await db.auth.verifyOtp({ identifier: 'romashka@salon.io', code })             // [11 ms] → { account, credential }
+await db.auth.verifyOtp({ identifier: 'romashka@salon.io', code })             // [11 ms] → null — сожжён
 ```
 
 **Кейс: сброс пароля**
 
 ```ts
-const { code } = await db.auth.issueOtp({ account: acc, identifier: почта, ttlSec: 600 })  // [6.1 ms]
+const { code } = await db.auth.issueOtp({ account: acc, identifier: почта, ttlSec: 600 })  // [4.8 ms]
 отправитьПисьмо(почта, code)                       // доставка — на приложении
-const кто = await db.auth.verifyOtp({ identifier: почта, code: изФормы })   // [11.0 ms]
+const кто = await db.auth.verifyOtp({ identifier: почта, code: изФормы })   // [11 ms]
 if (кто) await db.auth.setPassword({ account: кто.account, identifier: почта, password: новый })
 // протухший код (ttl 1 s в прогоне): verifyOtp → null   [9.3 ms]
 ```
@@ -2988,7 +3279,7 @@ if (кто) await db.auth.setPassword({ account: кто.account, identifier: п
 
 ```ts
 await db.auth.link({ account: acc, category: 'TELEGRAM', identifier: '777000111', meta: { username: 'romashka' } })
-// [4.9 ms] → { category: 'TELEGRAM', identifier: '777000111', meta: { username: 'romashka' }, confirmed: true }
+// [12 ms] → { category: 'TELEGRAM', identifier: '777000111', meta: { username: 'romashka' }, confirmed: true }
 await db.auth.link({ account: acc, category: 'TELEGRAM', identifier: '1635246915' })   // id занят ДРУГИМ аккаунтом:
 // Error: duplicate key value violates unique constraint "credential_identity_udx"   [3.9 ms]
 ```
@@ -3009,14 +3300,14 @@ await db.auth.link({ account: acc, category: 'TELEGRAM', identifier: '1635246915
 
 ```ts
 await db.auth.lookup({ category: 'TELEGRAM', identifier: '777000111' })
-// [5.2 ms] → { account: 06d3bbfe…, credential }
+// [5.3 ms] → { account: 06d3bbfe…, credential }
 ```
 
 **Кейс: вход через telegram-бота**
 
 ```ts
 // платформа подтвердила пользователя 777000111 (initData бота проверило приложение)
-const кто = await db.auth.lookup({ category: 'TELEGRAM', identifier: '777000111' })   // [5.2 ms]
+const кто = await db.auth.lookup({ category: 'TELEGRAM', identifier: '777000111' })   // [5.3 ms]
 if (!кто) { /* первая встреча: создать аккаунт + db.auth.link(…) */ }
 const token = await sess.start(кто.account)   // дальше обычная сессия
 ```
@@ -3048,7 +3339,7 @@ const sess = db.auth.sessions(new Redis('redis://localhost:16379'))   // [148 µ
 `sess:acc:<accountId>` для `revokeAll`. Дамп Redis действующих токенов не раскрывает.
 
 ```ts
-const token = await sess.start(acc, { ttlSec: 3600, meta: { device: 'iphone' } })   // [8.0 ms]
+const token = await sess.start(acc, { ttlSec: 3600, meta: { device: 'iphone' } })   // [18 ms]
 // token = 'fe0a7e83db6fcd1aa2c5002988da2b353602837db3bc0a813eddac863b9a1944'
 // в Redis: 'sess:8198bf2cd8d2ef2376d…' и 'sess:acc:06d3bbfe-d9a2-4…'
 ```
@@ -3059,7 +3350,7 @@ const token = await sess.start(acc, { ttlSec: 3600, meta: { device: 'iphone' } }
 (нет / истекла / отозвана). Суб-миллисекундный — на каждый HTTP-запрос.
 
 ```ts
-await sess.check(token)   // [0.7 ms]
+await sess.check(token)   // [1.7 ms]
 // → { account: '06d3bbfe-…', meta: { device: 'iphone' }, created: '2026-07-13T07:14:45.810Z' }
 await sess.check(протухший)   // [0.8 ms] → null (ttl 1 s истёк — Redis сам удалил)
 ```
@@ -3069,8 +3360,8 @@ await sess.check(протухший)   // [0.8 ms] → null (ttl 1 s истёк
 `token: string` — `DEL` ключа + `SREM` из индекса; `false`, если сессии уже нет.
 
 ```ts
-await sess.revoke(token)   // [1.9 ms] → true
-await sess.revoke(token)   // [0.7 ms] → false — повторно
+await sess.revoke(token)   // [3.9 ms] → true
+await sess.revoke(token)   // [3.9 ms] → false — повторно
 ```
 
 #### `sessions.revokeAll(account): Promise<number>`
@@ -3079,19 +3370,19 @@ await sess.revoke(token)   // [0.7 ms] → false — повторно
 сколько погашено.
 
 ```ts
-await sess.revokeAll(acc)   // [1.2 ms] → 2 — обе сессии (ipad + macbook) погасли
+await sess.revokeAll(acc)   // [2.5 ms] → 2 — обе сессии (ipad + macbook) погасли
 ```
 
 **Кейс: полный вход — пароль → сессия → запрос → выход (реальный прогон)**
 
 ```ts
 const визит = await db.auth.verifyPassword({ identifier: 'romashka@salon.io', password: 'лето-2026!' })
-// [71.3 ms] → { account, credential }
+// [109 ms] → { account, credential }
 const token = await sess.start(визит.account, { ttlSec: 86400, meta: { ip: '10.0.0.7' } })  // [1.2 ms]
 // … каждый запрос в middleware:
-const кто = await sess.check(token)   // [0.7 ms] → { account: '06d3bbfe…', meta: { ip: '10.0.0.7' }, … }
+const кто = await sess.check(token)   // [1.7 ms] → { account: '06d3bbfe…', meta: { ip: '10.0.0.7' }, … }
 // logout:
-await sess.revoke(token)              // [1.3 ms] → true
+await sess.revoke(token)              // [3.9 ms] → true
 // «выйти со всех устройств» после смены пароля: await sess.revokeAll(визит.account)
 ```
 
@@ -3120,10 +3411,10 @@ NULL — все); объекты — `API`-ресурсы, чья маска п
 **Примеры**
 
 ```ts
-await db.acl.check(acc, 'v2.booking.create')   // [5.0 ms]
+await db.acl.check(acc, 'v2.booking.create')   // [6.1 ms]
 // → { allow: true, rule: { account: 'apiref.client:ACCOUNT', resource: 'apiref.api.booking:API',
 //                          permission: 'allow', weight: 60, enabled: true } }
-await db.acl.check(acc, 'v2.admin.stats')      // [1.8 ms] — покрыло только дно-правило сида:
+await db.acl.check(acc, 'v2.admin.stats')      // [2.5 ms] — покрыло только дно-правило сида:
 // → { allow: false, rule: { account: 'any:ACCOUNT', resource: 'any:API', permission: 'deny', weight: 0, … },
 //     code: 403, message: 'Access denied - default for any ACCOUNT to any API' }
 ```
@@ -3151,18 +3442,18 @@ app.use(async (req, res, next) => {
 `booking` действует на `VipBooking`). Победа — как в `check`. У победившего allow остальные
 ключи pattern (реальные колонки Entity, `"$account"` → id субъекта) возвращаются как
 `filter` — готовый предикат строк. Справочный метод (SQL за категориями аккаунта на каждый
-вызов ~1–2 ms); горячий путь цепочек использует резолвер, скомпилированный на connect
+вызов ~1–2 ms); горячий путь цепочек использует резолвер, скомпилированный при `db.as()`
 (микросекунды, memo).
 
 **Примеры**
 
 ```ts
-await db.acl.checkData(acc, 'booking', 'READ')   // [2.7 ms]
+await db.acl.checkData(acc, 'booking', 'READ')   // [2.3 ms]
 // → { allow: true, rule: { resource: 'apiref.booking.own:READ', weight: 60, … },
 //     filter: { owner: '06d3bbfe-d9a2-4c1d-be44-04c40cb01108' } }   ← $account подставлен
-await db.acl.checkData(acc, 'Service', 'READ')   // [1.9 ms]
+await db.acl.checkData(acc, 'Service', 'READ')   // [2.1 ms]
 // → { allow: true, rule: { resource: 'apiref.service:READ', … } }   ← безусловный (без filter)
-await db.acl.checkData(acc, 'Org', 'READ')       // [2.0 ms]
+await db.acl.checkData(acc, 'Org', 'READ')       // [1.9 ms]
 // → { allow: false, message: 'no matching rule (deny by default)' }
 await db.acl.checkData(acc, 'VipBooking', 'READ')   // [23.4 ms — свежий connect]
 // → { allow: true, rule: { resource: 'apiref.booking.own:READ', … }, filter: { owner: '06d3bbfe-…' } }
@@ -3172,33 +3463,44 @@ await db.acl.checkData(acc, 'VipBooking', 'READ')   // [23.4 ms — свежий
 **Кейс: enforceAcl — те же решения в SQL цепочек (реальный прогон)**
 
 ```ts
-const uc = await connect({ dsn, schema, account: acc.id, enforceAcl: true })   // [66.9 ms] правила фиксируются
-await uc.запись().rows()    // [17.2 ms] → 3 Row — предикат owner=$account в WHERE ДО сортировки/лимита
-await uc.запись().count()   // [17.6 ms] → 3 — честный count по суженному множеству
-await uc.Услуга().count()   // [15.1 ms] → 602 — безусловный allow, класс целиком
+// enforceAccount: false — показаны ACL-предикаты, а не изоляция арендатора (§ 10.6)
+const uc = await (await connect({ dsn, schema, enforceAcl: true, enforceAccount: false })).as(acc.id)
+// [58.1 ms] снимок правил под ЭТОГО субъекта (обновить — reloadSchema)
+await uc.запись().rows()    // [26 ms] → 3 Row — предикат owner=$account в WHERE ДО сортировки/лимита
+await uc.запись().count()   // [26 ms] → 3 — честный count по суженному множеству
+await uc.Услуга().count()   // [30 ms] → 605 — безусловный allow, класс целиком
 await uc.Организация().rows()
 // Error: letopis: acl denies READ on Org — no matching rule (deny by default)   [0.3 ms]
 const [z] = await uc.запись().create({ start_datetime: t, end_datetime: e })
-  .Мастер.set(м).Локация.set(л).Расписание.set(р).Услуга.set(у).rows()   // [20.9 ms]
+  .Мастер.set(м).Локация.set(л).Расписание.set(р).Услуга.set(у).rows()   // [16.2 ms]
 z.owner === acc.id   // → true — owner пришпилен правилом
 await uc.запись().owner(SYS).create({ … }).rows()
-// Error: letopis: acl pins booking writes to owner 06d3bbfe-… — на терминале   [2.6 ms]
-await uc.запись('чужой-id').create({ … }).rows()   // [2.0 ms] — перехват чужого id мёртв: v5-класс id не принимает
+// Error: letopis: acl pins booking writes to owner 06d3bbfe-… — на терминале   [1.8 ms]
+await uc.запись('чужой-id').create({ … }).rows()   // [1.6 ms] — перехват чужого id мёртв: v5-класс id не принимает
 // Error: letopis: class "booking" computes id (uuid v5 from Staff, start_datetime) — remove the explicit id
-await uc.запись(свойId).delete({ confirm: true }).rows()   // [30.3 ms] → [{ id: 'ee65244b-…', $deleted: true }]
+await uc.запись(свойId).delete({ confirm: true }).rows()   // [27.8 ms] → [{ id: 'ee65244b-…', $deleted: true }]
 // watch: события только безусловных allow-классов —
 // uc.watch(cb) поймал ['Service']; booking скрыт (предикат не проверить по payload)
 ```
 
 #### `db.acl.reload(): void`
 
-Параметров нет. Сбрасывает кэш Resource/Rule фасада `db.acl` (следующий `check`/`checkData`
-перечитает словарь). На **enforceAcl-цепочки не влияет** — их резолвер скомпилирован на
-connect; подхватить новые правила = новый `connect()`. Реестр классов тоже фиксирован на
-connect — новый класс в lineage-проверках увидит только новое подключение.
+Параметров нет. Сбрасывает кэш Resource/Rule **фасада `db.acl`** (следующий `check`/`checkData`
+перечитает словарь). На **enforceAcl-цепочки не влияет** — это отдельная подсистема.
+
+**Два «reload», разные подсистемы — не путать:**
+
+| Вызов | Что пересобирает | На что НЕ влияет |
+|---|---|---|
+| `db.acl.reload()` | кэш Resource/Rule фасада `db.acl` (`check`/`checkData`) | энфорсер `enforceAcl`-цепочек, реестр классов |
+| `await db.reloadSchema()` | реестр классов из `Schema` **и** снимок `Resource`/`Rule` подключения (следующий `db.as()` получит свежий словарь); со scope-хендла — **и** его энфорсер `enforceAcl` (§ 11.2) | кэш фасада `db.acl` (сбрасывать отдельно); уже созданные энфорсеры ДРУГИХ scope |
+
+Реконнект нужен только для смены `dsn`/`schema`/`partition` и самих флагов `enforce*`
+(сменить арендатора реконнект НЕ требует — это новый `db.as()`).
 
 ```ts
-db.acl.reload()   // [187 µs]
+db.acl.reload()          // [187 µs] — словарь фасада
+await db.reloadSchema()  // классы + энфорсер цепочек, без реконнекта
 ```
 
 **Кейс:** админка сохранила правило → `reload()` в том же процессе, чтобы `check` следующего
@@ -3317,14 +3619,19 @@ AclDecision = { allow, rule?, filter?, code?, message? }         // filter —
 | `duplicate link slot "X"` | один конец задан слотом дважды в одной записи |
 | `set() split into create()/update() (0.16.0)` | старый глагол записи — create() вставляет, update() версионирует найденное |
 | `slot .delete() renamed to .unset() (0.16.0)` | старое имя слот-снятия |
-| `.link() removed (0.15.0)` | снесённый `.link()` — теперь слот `.Класс.set()` |
 | `execute() renamed to run() (0.11.0)` | старое имя терминала путей (и `batch.execute()`) |
 | `plan is queued in the batch — call batch.run()` | терминал на батч-цепочке с операциями |
 | `no path X → Y` / `LINK → LINK …` | недопустимый переход (синхронно при построении цепочки) |
-| `Entity.account is NOT NULL…` | нет account и System-аккаунта |
+| `enforceAccount is on — call db.as(account) to name the tenant of this call…` | чтение/запись с безличного корня при включённой изоляции: назвать арендатора вызова `db.as()` либо взять админский `connect({ enforceAccount: false })` (§ 10.6) |
+| `enforceAccount is on — reads are pinned to account X` / `writes are pinned to…` | `.account(чужой)` на scope-хендле — подменить арендатора нельзя (§ 10.6) |
+| `db.as(account) requires an account id (uuid or { id })` | `db.as()` без аккаунта (пустая строка / объект без `id`) |
+| `enforceAcl is on — call db.as(account) to name the subject` | цепочка под `enforceAcl` без субъекта (§ 9.2) |
+| `Entity.account is NOT NULL…` | нет ни `.account()`, ни scope `db.as()`, ни System-аккаунта в схеме |
 | `violates foreign key constraint "entity_*_fk"` | несуществующий класс/аккаунт; удаление класса с данными |
 | `lock() works only inside db.begin()` | лок вне транзакции |
 | `commit() needs a transaction` | commit на корневом db |
+| `schema "X" has no "Schema" table …` | `connect()` получил БАЗОВОЕ имя (`'booking'`) вместо полного `'v1.booking'` — либа префикс не достраивает; в тексте ошибки перечислены схемы letopis этой БД |
+| `schema "X" has no classes for partition "Y"` | схема есть, но таблица `Schema` пуста для партиции — нужен сид хотя бы одного класса (§ 1.1) |
 | `letopis.up: bad schema name "X"` / `bad version` | `up()`: имя с точкой/версией либо version не целое ≥ 1 |
 | `letopis.up: docker CLI not found…` | `up()`: docker не установлен, а postgres на dsn не отвечает |
 | `letopis.up: postgres not ready in N s…` / `redis not ready` | `up()`: контейнер не поднялся за `waitTimeoutMs` (подсказка: `docker logs`) |
@@ -3345,29 +3652,63 @@ AclDecision = { allow, rule?, filter?, code?, message? }         // filter —
 ## 14. Производительность
 
 Тайминги — живые прогоны демо на ЕДИНОМ полигоне `v1.salondemo` (`bench/salon-seed.mjs`,
-~980 000 строк: 440 000 записей ×2 версии, 600 услуг, 1026 цен, 1260 навыков). Статья
-(`bench/salon-article-demo.mjs`), API Reference (`bench/api-reference-demo.mjs`) и бенчи
-читают один и тот же полигон, мутируя лишь свои демо-сущности:
+980 328 строк: 440 006 записей ×2 версии, 600 услуг, 1026 цен, 1260 навыков; 13 чанков
+гипертаблицы, диапазон `updated` — год). Статья (`bench/salon-article-demo.mjs`), API Reference
+(`bench/api-reference-demo.mjs`) и бенчи читают один и тот же полигон, мутируя лишь свои
+демо-сущности.
+
+> **Цифры привязаны к размеру полигона — при его смене строки надо перемерять.** Тяжёлые сцены
+> линейны по числу строк, а обход графа — ещё и по числу чанков (см. ниже). Пример дрейфа:
+> строка про обход `запись→Мастер` показывала ≈6 с с версии 0.17.0, когда полигон был
+> 250 000 записей / 613 тыс. строк, и переезд на 440 006 записей / 980 328 строк её не обновил —
+> настоящее значение оказалось ≈30 с. Полигон обязан быть проанализирован (§ 14.1).
 
 | Операция | Время |
 |---|---|
-| фильтр/`count()` по каталогу (`ne`/`gt`/`between`/`like`) | 5–8 ms |
-| агрегация каталога `avg`/`min`/`max` | 5–15 ms |
-| `sum('data.amounts.RUB')` (класс цена, 1026 вариантов) | ≈13 ms |
-| `count()`/`rows()` каталога услуг (600) | 7–13 ms |
-| цена `sort('data.amounts.RUB')` + keyset-страница `after(cursor)` | 19–31 ms |
-| цепочка `навык→Услуга`, `count()` путей (1260) | ≈65 ms |
-| `countBy('data.notes')` по 440k записям | ≈3.3 s |
-| `sort('updated','desc').limit` по всему классу записей БЕЗ фильтра | ≈6 s |
-| `count()` всех 440 000 записей БЕЗ фильтра | ≈3.4 s |
-| обход `запись→Мастер` по всему классу записей | ≈6 s |
-| запись новой версии (`create`/`update`), в т.ч. со слотами | 8–21 ms |
-
-Слабое место — выборка/обход **всего класса записей без фильтра** (`DISTINCT ON` по всем
-440 000 сущностям: секунды); лечится селективным фильтром, контекст-шагом или курсором
-(keyset — миллисекунды даже на 440k). Каталог, агрегации и цепочки с фильтром — единицы—десятки ms.
-TOAST-порог (data > 2KB): 0 строк.
-
+| фильтр/`count()` по каталогу (`ne`/`gt`/`between`/`like`) | 4–7 ms |
+| агрегация каталога `avg`/`min`/`max` | 4–8 ms |
+| `sum('data.amounts.RUB')` (класс цена, 1026 вариантов) | ≈9 ms |
+| `count()`/`rows()` каталога услуг (600) | 6–21 ms |
+| цена `sort('data.amounts.RUB')` + keyset-страница `after(cursor)` | ≈17 ms |
+| фильтр `rows` limit 100 по 440k записям (`{notes: …}`) | ≈11 ms |
+| цепочка `навык→Услуга`, `count()` путей (1260) | ≈93 ms |
+| `countBy('data.notes')` по 440k записям | ≈1.9 s |
+| `count()` всех 440 000 записей БЕЗ фильтра | ≈1.4 s |
+| `sort('updated','desc').limit` по всему классу записей БЕЗ фильтра | ≈5.4 s |
+| обход `запись→Мастер` по всему классу записей | ≈30 s |
+| запись новой версии (`create`/`update`), в т.ч. со слотами | 8–25 ms |
+
+Слабое место — выборка/обход **всего класса записей без фильтра**; лечится селективным
+фильтром, контекст-шагом или курсором. Причины у двух худших строк разные:
+
+- `sort(…).limit` по классу (≈5.4 с) — `DISTINCT ON` обязан посчитать актуальную версию для
+  всех 440 000 сущностей прежде, чем сортировать. Упирается в объём, планировщику тут нечего
+  улучшать.
+- обход `запись→Мастер` (≈30 с) — forward-hop идёт коррелированным `JOIN LATERAL`: **одна
+  индексная проба на каждую строку внешнего шага**, и каждая проба обходит ВСЕ чанки
+  гипертаблицы (исключение по времени невозможно — ищем по `id`, не по `updated`). Отсюда
+  модель стоимости: `строки внешнего шага × чанки`. Замерено: одна проба обоих шагов — 0.924 мс
+  и 80 буферов (13 чанков × ~3 страницы × 2 шага), 440k проб → 17.7 млн обращений к буферам.
+
+  Форма запроса при этом **оптимальна**, а не «недоделана» — проверено замерами:
+  PostgreSQL не может её ни раскоррелировать, ни мемоизировать (корреляция сидит внутри
+  подзапроса с `DISTINCT ON`), и дело не в оценке кардинальности: подстановка класса литералом
+  вместо параметра и `SET enable_nestloop = off` план не меняют — `Nested Loop` без `Memoize`,
+  те же 17.7 млн буферов. Некоррелированный join обеих сторон по ключу измерен и оказался
+  **хуже в 18 раз** (561 с, 48.1 млн буферов).
+
+  Лечится не переписыванием запроса, а стороной, с которой начата цепочка:
+  `db.запись(id).Мастер()` — **7.5 мс**, `db.Мастер(id).запись()` — **11.7 мс** против 30 с
+  у `db.запись().Мастер()`. (В самой БД проба ещё дешевле, 0.9 мс; остальное — сборка SQL и
+  разбор ответа в клиенте.)
+
+Каталог, агрегации и цепочки с фильтром — единицы—десятки ms. TOAST-порог (data > 2KB): 0 строк.
+
+- **Цена полиморфизма.** Шаг по родителю сканирует всё семейство, поэтому дороже листа:
+  на том же полигоне `db.окно().exact().count()` ≈ 82 мс (54 008), `db.окно().count()` ≈ 1.6 с
+  (494 018), `db.Контрагент().count()` ≈ 0.23 с (40 371). Класс без потомков идёт быстрым
+  путём (равенство вместо `ANY`) и не дорожает вовсе: `db.Услуга().count()` ≈ 6 мс.
+  Тайминги в таблице выше сняты на классах-листьях и полиморфизмом не затронуты.
 - Containment и обход графа — GIN; операторы — на уже суженном наборе.
 - Начинайте цепочку с самого селективного шага (Организация/Мастер/Клиент, не `запись()`).
 - `count()` считает пути; число сущностей дешевле берётся `ids().length`.
@@ -3377,7 +3718,43 @@ TOAST-порог (data > 2KB): 0 строк.
 - Микро-бенч `npm run bench` (105k строк) + EXPLAIN-тесты (индексы обязаны быть в плане; ноль
   seq scan); партиционирование — `bench/dimensions.bench.mjs`, масштаб —
   `node bench/history.bench.mjs --entities=10000 --versions=100`, оверхед ACL —
-  `npx tsx bench/acl.bench.mjs` (таблица в § 9.2).
+  `npx tsx bench/acl.bench.mjs` (таблица в § 9.2), цена изоляции арендатора —
+  `node bench/tenants-seed.mjs && npx tsx bench/isolation.bench.mjs` (таблица в § 10.6;
+  свой полигон `v1.tenants` — 10 арендаторов с перекосом 50 %…0.3 %, единый `v1.salondemo`
+  этот вопрос не измеряет, там System владеет всем классом).
+
+### 14.1 `ANALYZE` обязателен после массовой заливки
+
+**Все тайминги выше верны только на проанализированной базе.** Без статистики те же запросы
+медленнее на порядок, и это самая дорогая ошибка эксплуатации из всех, что есть в этом
+руководстве.
+
+`Entity` — гипертаблица: строки живут в чанках, у родительской таблицы своих строк нет. Пока
+`ANALYZE` по ней не прошёл, планировщик подставляет дефолт «200 уникальных `id`». Ядро всех
+чтений либы — semi-join с подзапросом кандидатов (`e.id IN (SELECT c.id FROM Entity c WHERE …)`),
+и на оценке 200 вместо сотен тысяч он выбирает `Nested Loop` там, где нужен `Merge Semi Join`.
+
+Замерено на `v1.salondemo` (980k строк), один и тот же запрос:
+
+| Сцена | без статистики | после `ANALYZE` | |
+|---|---|---|---|
+| `count()` класса под изоляцией арендатора | 57.6 s | **3.2 s** | ×18 |
+| фильтр `rows` limit 100 по 440k | 1371 ms | **11 ms** | ×126 |
+| `count()` класса без фильтра | 2981 ms | **1373 ms** | ×2.2 |
+| keyset-страница по классу | 5610 ms | 5425 ms | без изменений |
+
+Выигрывают запросы **с предикатом** — там, где строится подзапрос кандидатов. Полные проходы
+по классу не меняются: они упираются в объём, а не в план.
+
+Статистику `n_distinct` PostgreSQL считает корректно сам (на этом полигоне `-0.35`, то есть
+уникальных `id` ≈ 35% строк — сущность живёт в среднем в трёх версиях). Никаких подсказок
+(`ALTER COLUMN … SET (n_distinct = …)`) добавлять не нужно — нужен сам факт запуска.
+
+- `up()` и `db/apply.mjs` делают `ANALYZE` при накате схемы сами.
+- **Своя массовая вставка — на вас**: после `COPY`, миграции или генератора данных вызовите
+  `ANALYZE "v1.myapp"."Entity"` (на 1 млн строк ≈ 9 с). Автовакуум доберётся сам, но не сразу,
+  и до этого приложение будет работать в разы медленнее без видимой причины.
+- Полезно и после массового `delete`/`purge`: доля живых строк меняется скачком.
 
 ---
 
@@ -3437,12 +3814,20 @@ await db.запись(bId).delete({ confirm: true }).rows()           // отм
 ## 16. Тесты
 
 ```bash
-cd lib && npm test    # 167/167 тестов против живого docker (timescale + redis), по файлам:
+cd lib && npm test    # весь набор против живого docker (timescale + redis); счёт кейсов — в CHANGELOG
+            #                 актуального релиза. По файлам:
             # acl           — Resource/Rule: маски/weight/deny-by-default, шаблоны строк
-            #                 с $account, enforceAcl (предикаты в SQL, каскад, watch)
+            #                 с $account, enforceAcl (предикаты в SQL, каскад, watch);
+            #                 полиморфное чтение по иерархии + .exact(); deny на потомке
+            #                 не обходится шагом по родителю (проверка на утечку)
             # api-full      — сквозной чек-лист ВСЕХ публичных методов API (15 групп)
             # auth          — db.auth: пароль/api-key/key-secret/TOTP/OTP/link+lookup,
             #                 глобальная идентичность, сессии на живом Redis (expire/revoke)
+            # parity        — паритет клиент ↔ триггер БД: один и тот же кейс исполняется
+            #                 через либу и голым INSERT, оба обязаны решить одинаково
+            #                 (abstract, неизвестный класс, обязательные/optional/союзные
+            #                 концы, посторонняя связь) + закреплена известная асимметрия:
+            #                 валидацию data делает только либа
             # plan          — план-модель: несколько операций, fan-out, self-update,
             #                 превью/confirm delete, ОТКАТ плана, слот-перевес, батч-гард
             # resilience    — ретраи 40P01/40001, реальный deadlock двух транзакций,
@@ -3459,9 +3844,12 @@ cd lib && npm test    # 167/167 тестов против живого docker (t
             #                 свои сиды/seeds:false, автосоздание базы, валидация
             # salon         — ТЕСТ-ПЛАН: имитация салона, ВСЕ 145 публичных API
             #                 (21 акт + матрица покрытия); слоты/pivot/entity
-            # wave2         — asOf/versions, keyset-курсор, gen-types, enforceAccount, anonymize
+            # wave2         — asOf/versions, keyset-курсор, enforceAccount, anonymize; gen-types:
+            #                 форма фасада, слоты, отсутствие снесённых имён + compile-гейт (tsc)
             # wave3         — or/not, агрегации, deep, watch
             # wave4         — compression-политики (чтение сжатого чанка), schema-sync, onQuery
+            # wave5         — физический purge (двухфазность, замыкание, accounts.purge),
+            #                 withDeleted, живой подхват схемы (schema.define/reloadSchema)
 npm run bench   # производительность на 105k строк (§ 14)
 ```