letopis 1.2.0 → 1.3.0

package/sql/60-write.sql

@@ -545,6 +545,18 @@ begin
   return jsonb_build_object('rows', vis, 'others', jsonb_array_length(p_rows) - jsonb_array_length(vis));
 end $$;
 
+-- Класс для текста отказа (ревью безопасности №3): наименьший класс среди строк p_rows (строки целиком, to_jsonb), которые
+-- актор видит; не видит ни одной — null, и текст класса не называет. Строки берутся из самих данных, а не из таблицы:
+-- удалённые каскадом в этом же операторе её уже не найдут.
+create or replace function @SCHEMA@.visible_class(p_rows jsonb) returns text
+language sql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return (select min(r->>'class') from jsonb_array_elements(p_rows) r, (select @SCHEMA@.acl_actor('READ') as a) x
+        where x.a is not null
+          and @SCHEMA@.row_visible((r->>'tenant')::uuid, r->>'class', (r->>'id')::uuid, (r->>'owner')::uuid,
+                                   array(select jsonb_array_elements_text(r->'tags')), r->'data', r->'links',
+                                   (x.a->>'tenant')::uuid, (x.a->>'account')::uuid, x.a->'plan'));
+
 -- Безопасно ли изменение описания класса (этап 1, п. 10): новые необязательные поля и концы,
 -- метаданные, алиас, политика истории, кэш. Всё остальное — ужесточение с проверкой строк, в том числе
 -- любая правка условий anyOf и oneOf (1.0.1: прежде они не сравнивались, и строки не перепроверялись),
@@ -585,6 +597,7 @@ declare
   outv jsonb := '[]'::jsonb;
   a jsonb := @SCHEMA@.acl_actor('READ');
   vis boolean;
+  ref jsonb;
 begin
   for r in select e.* from @SCHEMA@.entity e
            where e.class = any (p_classes) and (e.tenant = p_tenant or p_tenant = '@SYSTEM@'::uuid)
@@ -610,13 +623,17 @@ begin
     if problem is null and p_incoming then
       inc := @SCHEMA@.incoming_conflicts(r.id, r.class, r.tenant);
       if inc <> '[]'::jsonb then
-        -- id ссылающейся строки — только если актор её видит (доработки после точки Б)
-        select @SCHEMA@.row_visible(x.tenant, x.class, x.id, x.owner, x.tags, x.data, x.links,
-                                    (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan') into vis
-        from @SCHEMA@.entity x where x.id = (inc->0->>'id')::uuid;
-        problem := case when coalesce(vis, false)
-          then format('на строку ссылается роль %s строки %s, которая не принимает класс', inc->0->>'role', inc->0->>'id')
-          else format('на строку ссылается роль %s строки, которой актор не видит, и она не принимает класс', inc->0->>'role') end;
+        -- роль и id ссылающейся строки — только если актор её видит (доработки после точки Б; ревью безопасности №3:
+        -- о невидимой — ни роли, ни id); видимые ссылающиеся строки — первыми, затем по id
+        select i.v, coalesce(@SCHEMA@.row_visible(x.tenant, x.class, x.id, x.owner, x.tags, x.data, x.links,
+                                                  (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan'), false) as seen
+          into ref, vis
+        from jsonb_array_elements(inc) i(v)
+        left join @SCHEMA@.entity x on x.id = (i.v->>'id')::uuid
+        order by seen desc, i.v->>'id' limit 1;
+        problem := case when vis
+          then format('на строку ссылается роль %s строки %s, которая не принимает класс', ref->>'role', ref->>'id')
+          else 'на строку ссылается строка, которой актор не видит, и она не принимает класс' end;
       end if;
     end if;
     if problem is not null then
@@ -678,14 +695,38 @@ begin
   end loop;
 end $$;
 
--- Есть ли в журнале версии строк класса p_name арендатора p_tenant (у класса System — любого арендатора); записи purge,
--- trim и reset — не версии (доработки после точки Б: удаление и пересоздание класса, остаток Н2 ревью №2).
+-- Есть ли в журнале версии строк класса p_name арендатора p_tenant; записи purge, trim и reset — не версии (доработки
+-- после точки Б: удаление и пересоздание класса, остаток Н2 ревью №2). У класса System — строки любого арендатора, кроме
+-- арендаторов со своим классом с тем же именем: их строки — строки своего класса, как их резолвит class_row (ревью
+-- безопасности №3: история такого класса не мешает администратору создать и удалить класс System)
 create or replace function @SCHEMA@.class_has_history(p_name text, p_tenant uuid) returns boolean
 language sql stable
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 return exists (select 1 from @SCHEMA@.log l
-               where l.class = p_name and (l.tenant = p_tenant or p_tenant = '@SYSTEM@'::uuid)
-                 and l.op not in ('purge', 'trim', 'reset'));
+               where l.class = p_name and l.op not in ('purge', 'trim', 'reset')
+                 and (l.tenant = p_tenant
+                      or p_tenant = '@SYSTEM@'::uuid
+                         and l.tenant <> all (array(select x.tenant from @SCHEMA@.entity x
+                                                    where x.class = 'Class' and x.data->>'name' = p_name
+                                                      and x.tenant <> '@SYSTEM@'::uuid))));
+
+-- Хранят ли историю строк удалённые потомки класса p_name: надгробия строк Class (последняя версия их id — удаление),
+-- у которых в resolved.ancestors есть p_name (ревью безопасности №3). Правила находят старые версии строк и по алиасам
+-- предков, а надгробие потомка их не записывает: пока такая история есть, предок не меняет алиас ни правкой, ни
+-- удалением и созданием заново. У класса System — кроме арендаторов со своим одноимённым классом, как class_has_history
+create or replace function @SCHEMA@.class_orphan_history(p_name text, p_tenant uuid) returns boolean
+language sql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return exists (select 1 from @SCHEMA@.log t
+               where t.class = 'Class' and t.op = 'delete' and t.data->>'name' <> p_name
+                 and t.data->'resolved'->'ancestors' ? p_name
+                 and (t.tenant = p_tenant
+                      or p_tenant = '@SYSTEM@'::uuid
+                         and t.tenant <> all (array(select x.tenant from @SCHEMA@.entity x
+                                                    where x.class = 'Class' and x.data->>'name' = p_name
+                                                      and x.tenant <> '@SYSTEM@'::uuid)))
+                 and not exists (select 1 from @SCHEMA@.log z where z.id = t.id and z.rev > t.rev)
+                 and @SCHEMA@.class_has_history(t.data->>'name', t.tenant));
 
 -- Проверки строки Class сверх метасхемы (этап 1, п. 6): признак system, имя системного класса,
 -- имена связей против методов цепочки, однозначность имени конца во всей схеме, право на агрегаты,
@@ -705,6 +746,7 @@ declare
   src text;
   chk jsonb;
   m jsonb;
+  dkid text;
 begin
   if p_tenant <> '@SYSTEM@'::uuid then
     if (p_data->>'name') = any (array['Class', 'Account', 'member', 'Resource', 'rule']) then
@@ -755,6 +797,20 @@ begin
     perform @SCHEMA@.lt_fail('acl_denied', format('класс %s производный: его описание задаёт только администратор (право letopis.projector)',
       data->>'name'));
   end if;
+  -- предок производного класса (ревью безопасности №3): правка предка пересчитывает описание потомка (class_evolve) —
+  -- поля, ключ, history, — поэтому класс с производными потомками (своего арендатора, у класса System — всех) меняет
+  -- тоже только администратор
+  if prevd is not null and not @SCHEMA@.letopis_allowed('letopis.projector') then
+    select x.data->>'name' into dkid from @SCHEMA@.entity x
+    where x.class = 'Class' and x.data->>'name' <> data->>'name'
+      and (x.tenant = p_tenant or p_tenant = '@SYSTEM@'::uuid)
+      and x.data->'resolved'->'ancestors' ? (data->>'name') and x.data->'resolved' ? 'derivedBy'
+    order by x.data->>'name' limit 1;
+    if dkid is not null then
+      perform @SCHEMA@.lt_fail('acl_denied', format('класс %s — предок производного класса %s: его описание задаёт только администратор (право letopis.projector)',
+        data->>'name', dkid));
+    end if;
+  end if;
   -- агрегат развёрнутого описания (свой или унаследованный), новый или изменённый против прежнего — описание
   -- агрегата, новый потомок цели, смена parent, — задаёт только тот, кто без условий читает все строки каждого
   -- класса-источника: класса of и его потомков (agg_classes: классы арендатора, у класса System — классы System).
@@ -762,6 +818,13 @@ begin
   if data->'resolved' ? 'aggregate' then
     for e in select key, value from jsonb_each(data->'resolved'->'aggregate') order by key loop
       continue when prevd->'resolved'->'aggregate'->e.key is not distinct from e.value;
+      -- класс-источник должен уже быть (ревью безопасности №3, /security-review): пока его нет, проверять право READ не
+      -- на чем, а когда класс заведёт другой пользователь, проверялись бы только его права — и описавший агрегат читал бы
+      -- в истории цели вклад каждой строки источника. Поэтому источник описывают раньше агрегата
+      if cardinality(@SCHEMA@.agg_classes(e.value->>'of', p_tenant, p_tenant = '@SYSTEM@'::uuid)) = 0 then
+        perform @SCHEMA@.lt_fail('invalid_class', format('агрегат %s.%s: класса-источника %s и его потомков %s нет — источник описывают раньше агрегата',
+          data->>'name', e.key, e.value->>'of', case when p_tenant = '@SYSTEM@'::uuid then 'в System' else 'у арендатора' end));
+      end if;
       -- сам класс of первым, потомки — по имени
       foreach src in array array(select n from unnest(@SCHEMA@.agg_classes(e.value->>'of', p_tenant, p_tenant = '@SYSTEM@'::uuid)) n
                                  order by n = (e.value->>'of') desc, n) loop
@@ -793,6 +856,13 @@ begin
           or prevd->'resolved'->'derivedBy' is distinct from data->'resolved'->'derivedBy') then
     perform @SCHEMA@.class_acl_admit(data->>'name', p_tenant);
   end if;
+  -- алиас класса, у которого удалённые потомки хранят историю строк (ревью безопасности №3): правила находят их старые
+  -- версии и по алиасам предков, а надгробие потомка их не записывает — алиас меняется после purge() их строк
+  if prevd is not null and prevd->>'alias' is distinct from data->>'alias'
+     and @SCHEMA@.class_orphan_history(data->>'name', p_tenant) then
+    perform @SCHEMA@.lt_fail('invalid_class', format('удалённые потомки класса %s хранят историю строк: алиас меняется после purge() их строк',
+      data->>'name'));
+  end if;
   -- политика хранения истории (доработки после точки Б): по ней maintain() прореживает журнал строк класса, а
   -- history: false выключает журнал. Одним правом WRITE на Class автор правки стирал бы аудит строк, на которые у него
   -- нет прав, поэтому смена развёрнутой history существующего класса требует права READ и DELETE без условий на все
@@ -951,12 +1021,17 @@ begin
   -- старую историю под чужие правила. Поэтому, если журнал арендатора хранит версии строк класса с этим именем, класс
   -- создаётся только заново и с тем же описанием, что в надгробии его строки Class. Надгробия нет (история осталась от
   -- класса System, удалённого раньше, или строку Class стёрли мимо триггеров) — отказ: сначала purge() строк
-  if NEW.class = 'Class' and @SCHEMA@.class_has_history(NEW.data->>'name', NEW.tenant)
+  -- Так же — если историю хранят удалённые потомки класса (их правила находят старые версии и по алиасу предка), и
+  -- политика хранения прежняя: по ней maintain() прореживает старые версии (ревью безопасности №3; у описаний без ключа
+  -- history в resolved — значение по умолчанию true)
+  if NEW.class = 'Class'
+     and (@SCHEMA@.class_has_history(NEW.data->>'name', NEW.tenant) or @SCHEMA@.class_orphan_history(NEW.data->>'name', NEW.tenant))
      and not (coalesce(last.op = 'delete', false)
               and last.data->'resolved'->'ancestors' is not distinct from NEW.data->'resolved'->'ancestors'
               and last.data->>'alias' is not distinct from NEW.data->>'alias'
-              and last.data->'resolved'->'derivedBy' is not distinct from NEW.data->'resolved'->'derivedBy') then
-    perform @SCHEMA@.lt_fail('invalid_class', format('журнал хранит историю строк класса %s: создать его можно только заново и с прежними parent, alias и derivedBy (или сначала стереть её purge())',
+              and last.data->'resolved'->'derivedBy' is not distinct from NEW.data->'resolved'->'derivedBy'
+              and coalesce(last.data->'resolved'->'history', 'true'::jsonb) is not distinct from coalesce(NEW.data->'resolved'->'history', 'true'::jsonb)) then
+    perform @SCHEMA@.lt_fail('invalid_class', format('журнал хранит историю строк класса %s или его удалённых потомков: создать его можно только заново и с прежними parent, alias, derivedBy и history (или сначала стереть её purge())',
       NEW.data->>'name'));
   end if;
   ts := @SCHEMA@.now_ts();
@@ -1361,6 +1436,8 @@ declare
   mems jsonb;
   lvl_accs uuid[];
   lvl_mems jsonb;
+  drows jsonb;
+  own uuid[];
 begin
   select * into c from @SCHEMA@.ctx();
   -- права в замыкании (этап 5, п. 6): DELETE на каждую удаляемую каскадом строку, WRITE — на строку,
@@ -1381,9 +1458,30 @@ begin
     if r.derived and not @SCHEMA@.letopis_allowed('letopis.projector') then
       perform @SCHEMA@.lt_fail('acl_denied', format('класс %s производный: его описание задаёт только администратор (право letopis.projector)', r.name));
     end if;
-    if exists (select 1 from @SCHEMA@.entity x where x.class = r.name and (x.tenant = r.tenant or r.tenant = '@SYSTEM@'::uuid))
+    -- класс-источник агрегата (автоматическое ревью коммита 5290be1): пока его называет агрегат класса того же
+    -- арендатора, класс не удаляется — иначе класс с этим именем завёл бы потом другой пользователь, и право READ
+    -- описавшего агрегат на его строки уже не проверить (класс of проверяется только при описании агрегата). Агрегаты
+    -- классов System описывает системный администратор: он читает всё
+    if r.tenant <> '@SYSTEM@'::uuid then
+      select x.data->>'name' || '.' || a.key into denied
+      from @SCHEMA@.entity x cross join lateral jsonb_each(x.data->'resolved'->'aggregate') a
+      where x.class = 'Class' and x.tenant = r.tenant and x.data->'resolved' ? 'aggregate' and a.value->>'of' = r.name
+      order by 1 limit 1;
+      if denied is not null then
+        perform @SCHEMA@.lt_fail('invalid_class', format('класс %s — источник агрегата %s: сначала уберите агрегат из описания цели',
+          r.name, denied));
+      end if;
+    end if;
+    -- у класса System — строки и потомки любого арендатора, кроме арендаторов со своим одноимённым классом: их строки и
+    -- потомки относятся к своему классу (class_row; ревью безопасности №3)
+    own := case when r.tenant = '@SYSTEM@'::uuid
+                then array(select x.tenant from @SCHEMA@.entity x
+                           where x.class = 'Class' and x.data->>'name' = r.name and x.tenant <> '@SYSTEM@'::uuid)
+                else '{}'::uuid[] end;
+    if exists (select 1 from @SCHEMA@.entity x
+               where x.class = r.name and (x.tenant = r.tenant or r.tenant = '@SYSTEM@'::uuid and x.tenant <> all (own)))
        or exists (select 1 from @SCHEMA@.entity x where x.class = 'Class' and x.data->>'parent' = r.name
-                  and (x.tenant = r.tenant or r.tenant = '@SYSTEM@'::uuid)) then
+                  and (x.tenant = r.tenant or r.tenant = '@SYSTEM@'::uuid and x.tenant <> all (own))) then
       perform @SCHEMA@.lt_fail('invalid_class', format('у класса %s есть строки или потомки', r.name));
     end if;
     -- и история строк (остаток Н2; доработки после точки Б): удалённый класс с историей, созданный заново с другими
@@ -1439,12 +1537,15 @@ begin
     )
     select coalesce(array_agg(d.id), '{}'), coalesce(array_agg(distinct d.class), '{}'),
            coalesce(array_agg(distinct d.class || ' ' || d.tenant::text), '{}'),
-           min(d.class) filter (where not @SCHEMA@.acl_row_ok(dplan, d.class, d.id, d.owner, d.tenant, d.tags, d.data, d.links)),
+           jsonb_agg(to_jsonb(d)) filter (where not @SCHEMA@.acl_row_ok(dplan, d.class, d.id, d.owner, d.tenant, d.tags, d.data, d.links)),
            coalesce(array_agg(d.id) filter (where d.class = 'Account'), '{}'),
            coalesce(jsonb_agg(jsonb_build_object('tenant', d.tenant, 'user', d.links->>'User')) filter (where d.class = 'member'), '[]'::jsonb)
-      into lvl, lvl_classes, lvl_pairs, denied, lvl_accs, lvl_mems from d;
-    if denied is not null then
-      perform @SCHEMA@.lt_fail('acl_denied', format('нет права DELETE на класс %s в каскаде удаления', denied));
+      into lvl, lvl_classes, lvl_pairs, drows, lvl_accs, lvl_mems from d;
+    -- класс отказавшей строки называется, только если актор её видит (ревью безопасности №3)
+    if drows is not null then
+      denied := @SCHEMA@.visible_class(drows);
+      perform @SCHEMA@.lt_fail('acl_denied', case when denied is not null then format('нет права DELETE на класс %s в каскаде удаления', denied)
+                                                   else 'нет права DELETE на строки в каскаде удаления' end);
     end if;
     accs := accs || lvl_accs;
     mems := mems || lvl_mems;
@@ -1453,7 +1554,9 @@ begin
     -- unset: снять конец, новая версия
     for r in select x.* from @SCHEMA@.entity x where x.id = any (unsets) order by x.id for update loop
       if not @SCHEMA@.acl_row_ok(wplan, r.class, r.id, r.owner, r.tenant, r.tags, r.data, r.links) then
-        perform @SCHEMA@.lt_fail('acl_denied', format('нет права WRITE на класс %s: снятие конца при удалении', r.class));
+        perform @SCHEMA@.lt_fail('acl_denied', case when @SCHEMA@.visible_class(jsonb_build_array(to_jsonb(r))) is not null
+                                                     then format('нет права WRITE на класс %s: снятие конца при удалении', r.class)
+                                                     else 'нет права WRITE на ссылающуюся строку: снятие конца при удалении' end);
       end if;
       newlinks := '{}'::jsonb;
       for k in select key, value from jsonb_each(r.links) loop
@@ -1627,7 +1730,10 @@ begin
     -- строки производного класса пишет только проектор: перевод их ссылок мимо него оставил бы проекцию
     -- несогласованной (ревью безопасности №3, №3)
     if (@SCHEMA@.class_row(r.class, r.tenant)).data->'resolved' ? 'derivedBy' then
-      perform @SCHEMA@.lt_fail('derived_class', format('на строку ссылается строка производного класса %s: её пишет проектор', r.class));
+      perform @SCHEMA@.lt_fail('derived_class',
+        case when p_plan is null or @SCHEMA@.visible_class(jsonb_build_array(to_jsonb(r))) is not null
+             then format('на строку ссылается строка производного класса %s: её пишет проектор', r.class)
+             else 'на строку ссылается строка производного класса: её пишет проектор' end);
     end if;
     if p_plan is not null and not @SCHEMA@.acl_row_ok(p_plan, r.class, r.id, r.owner, r.tenant, r.tags, r.data, r.links) then
       perform @SCHEMA@.lt_fail('acl_denied', 'нет права WRITE на ссылающиеся строки');
@@ -1886,8 +1992,8 @@ begin
     'apply_defaults(jsonb, jsonb)', 'links_shape(jsonb, jsonb)', 'targets_bad(jsonb, boolean, jsonb)', 'check_links(jsonb, jsonb, uuid, boolean, jsonb)', 'key_id(jsonb, text, uuid, jsonb, jsonb)',
     'log_version(@SCHEMA@.entity)', 'sys_update(uuid, jsonb, jsonb, jsonpath, text, text)', 'tombstone(@SCHEMA@.entity, text, uuid)',
     'links_replace(jsonb, uuid, uuid)', 'move_row(@SCHEMA@.entity, uuid, text, jsonb, jsonb, text, jsonb)', 'reclass(uuid, text, jsonb)',
-    'incoming_conflicts(uuid, text, uuid)', 'visible_detail(jsonb, uuid)', 'class_change_safe(jsonb, jsonb)',
-    'family_conflicts(text[], uuid, boolean)', 'reserved_names()', 'class_acl_admit(text, uuid)', 'class_rows_admit(text, uuid, text[], text)', 'class_has_history(text, uuid)', 'class_admit(jsonb, uuid)',
+    'incoming_conflicts(uuid, text, uuid)', 'visible_detail(jsonb, uuid)', 'visible_class(jsonb)', 'class_change_safe(jsonb, jsonb)',
+    'family_conflicts(text[], uuid, boolean)', 'reserved_names()', 'class_acl_admit(text, uuid)', 'class_rows_admit(text, uuid, text[], text)', 'class_has_history(text, uuid)', 'class_orphan_history(text, uuid)', 'class_admit(jsonb, uuid)',
     'trg_entity_bi()', 'trg_entity_bu()', 'trg_entity_ai()', 'trg_entity_au()', 'history_on(text, uuid)', 'signal_token(text, text, bytea)', 'signal_raw(text[])', 'signal(text[], uuid[])', 'class_evolve(@SCHEMA@.entity, @SCHEMA@.entity)',
     'trg_entity_bd()', 'trg_entity_ad()', 'owner_to_tenant(uuid, uuid)', 'ref_action(jsonb, jsonb, uuid[])', 'delete_preview(uuid[])', 'merge(jsonb, jsonb)', 'inc(jsonb, text[], numeric, numeric)', 'links_patch(jsonb, jsonb)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);

package/sql/88-derived.sql

@@ -5,8 +5,8 @@
 -- читает журнал всех арендаторов функцией watch_read и пишет строки производных классов (derivedBy)
 -- только функцией derived_apply. Чекпоинт — строка secret вида PROJECTOR (account = System, ident —
 -- имя проектора): курсор журнала со снимком, версия проектора, состояние, выбывшие арендаторы. Курсор
--- сдвигается в той же транзакции, что и запись результатов; писатель один — транзакционная
--- advisory-блокировка (19542, «схема:имя») на каждую пачку. Функции кредов вид PROJECTOR не видят
+-- сдвигается в той же транзакции, что и запись результатов; писатель один — строка-замок secret вида LOCK
+-- («схема:projector:имя», lock_try в 60-write.sql) на каждую пачку. Функции кредов вид PROJECTOR не видят
 -- (80-auth.sql). Приложению функции файла не выданы: их вызывает только роль владельца.
 
 -- Чекпоинт проектора: строка создаётся при первом обращении и блокируется до конца транзакции. Чекпоинт — только

package/sql/90-time.sql

@@ -256,6 +256,28 @@ end $$;
 -- все версии удаляются, а на место версии 1 встаёт запись purge с числом стёртых версий и хэшем
 -- последней. Право DELETE на класс по последнему снимку. История системных классов — аудит прав и
 -- схемы: её не стирают.
+-- Проектор источника ещё не прочёл версию (p_tx, p_seq) строки арендатора p_tenant класса из p_classes (ревью
+-- безопасности №3, №5 — purge; хвост ревью №3 — обрезка истории). Проектор касается арендатора, у которого есть его
+-- производный класс (derivedBy — имя проектора): брошенный проектор с удалёнными производными классами не держит.
+-- Курсор «tx:seq~снимок»: транзакции, видимые в снимке, учла перестройка. Чекпоинт без from (до 1.2.0) касается всех
+-- классов.
+create or replace function @SCHEMA@.projector_behind(p_tenant uuid, p_classes text[], p_tx xid8, p_seq bigint) returns boolean
+language sql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return exists (select 1 from @SCHEMA@.secret s
+               cross join lateral (select split_part(s.meta->>'cursor', '~', 1) as head,
+                                          nullif(split_part(s.meta->>'cursor', '~', 2), '') as snap) k
+               where s.kind = 'PROJECTOR' and s.account = '@SYSTEM@'::uuid and s.deleted_at is null
+                 and coalesce(s.meta->>'cursor', '') <> ''
+                 and exists (select 1 from @SCHEMA@.entity x where x.class = 'Class' and x.tenant = p_tenant
+                             and x.data->'resolved'->>'derivedBy' = s.ident)
+                 and (not s.meta ? 'from'
+                      or exists (select 1 from unnest(p_classes) c
+                                 where coalesce((@SCHEMA@.class_row(c, p_tenant)).data->'resolved'->'ancestors', jsonb_build_array(c))
+                                       ?| array(select jsonb_array_elements_text(s.meta->'from'))))
+                 and (p_tx, p_seq) > (split_part(k.head, ':', 1)::xid8, split_part(k.head, ':', 2)::bigint)
+                 and not coalesce(pg_visible_in_snapshot(p_tx, k.snap::pg_snapshot), false));
+
 create or replace function @SCHEMA@.purge(p_id uuid, p_confirm boolean default false) returns jsonb
 language plpgsql volatile security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
@@ -280,21 +302,8 @@ begin
     perform @SCHEMA@.lt_fail('acl_denied', format('нет права DELETE на класс %s', l.class));
   end if;
   -- проектор источника, чей курсор ещё не прошёл надгробие (в том числе надгробие этой транзакции), об удалении не
-  -- узнал бы — вклад строки остался бы в итогах навсегда (ревью безопасности №3, №5). Проектор касается арендатора, у
-  -- которого есть его производный класс (derivedBy — имя проектора): брошенный проектор с удалёнными производными
-  -- классами purge не держит. Курсор «tx:seq~снимок»: транзакции, видимые в снимке, учла перестройка. Чекпоинт без from
-  -- (до 1.2.0) касается всех классов.
-  if exists (select 1 from @SCHEMA@.secret s
-             cross join lateral (select split_part(s.meta->>'cursor', '~', 1) as head,
-                                        nullif(split_part(s.meta->>'cursor', '~', 2), '') as snap) k
-             where s.kind = 'PROJECTOR' and s.account = '@SYSTEM@'::uuid and s.deleted_at is null
-               and coalesce(s.meta->>'cursor', '') <> ''
-               and exists (select 1 from @SCHEMA@.entity x where x.class = 'Class' and x.tenant = l.tenant
-                           and x.data->'resolved'->>'derivedBy' = s.ident)
-               and (not s.meta ? 'from' or coalesce((@SCHEMA@.class_row(l.class, l.tenant)).data->'resolved'->'ancestors',
-                                                    jsonb_build_array(l.class)) ?| array(select jsonb_array_elements_text(s.meta->'from')))
-               and (l.tx, l.seq) > (split_part(k.head, ':', 1)::xid8, split_part(k.head, ':', 2)::bigint)
-               and not coalesce(pg_visible_in_snapshot(l.tx, k.snap::pg_snapshot), false)) then
+  -- узнал бы — вклад строки остался бы в итогах навсегда (ревью безопасности №3, №5)
+  if @SCHEMA@.projector_behind(l.tenant, array[l.class], l.tx, l.seq) then
     perform @SCHEMA@.lt_fail('projector_pending', 'проектор источника ещё не прочёл удаление: purge — после его run()');
   end if;
   select count(*)::int into n from @SCHEMA@.log x where x.id = p_id;
@@ -330,6 +339,8 @@ declare
   dplan jsonb;
   r @SCHEMA@.log;
   first @SCHEMA@.log;
+  nxt record;
+  late record;
   j int;
   h bytea;
   k int;
@@ -374,6 +385,17 @@ begin
     select x.* into first from @SCHEMA@.log x where x.id = r.id order by x.rev limit 1;
     -- до момента — только сама запись trim: стирать нечего
     continue when j = 1 and first.op = 'trim';
+    -- проектор источника, чей курсор ещё не прошёл первую оставшуюся версию: читая её, он возьмёт прошлую версию для
+    -- before, а её уже не будет — свёртка прибавила бы новую, не вычитая прежнюю (хвост ревью безопасности №3). Класс —
+    -- обеих версий у стыка: строка могла уйти из семейства источников сменой класса
+    select x.rev, x.class into nxt from @SCHEMA@.log x where x.id = r.id and x.rev > j order by x.rev limit 1;
+    -- позиция — самая поздняя по (tx, seq) среди стираемых версий и первой оставшейся: у более поздней версии бывает
+    -- меньший xid (автоматическое ревью)
+    select x.tx, x.seq into late from @SCHEMA@.log x where x.id = r.id and x.rev <= nxt.rev order by x.tx desc, x.seq desc limit 1;
+    if @SCHEMA@.projector_behind(r.tenant, array[(select x.class from @SCHEMA@.log x where x.id = r.id and x.rev = j), nxt.class],
+                                 late.tx, late.seq) then
+      perform @SCHEMA@.lt_fail('projector_pending', 'проектор источника ещё не прочёл версии: trimHistory — после его run()');
+    end if;
     select x.hash into h from @SCHEMA@.log x where x.id = r.id and x.rev = j;
     with d as (delete from @SCHEMA@.log x where x.id = r.id and x.rev <= j returning 1)
     select count(*)::int into k from d;
@@ -1034,6 +1056,48 @@ begin
     order by l.tx, l.seq limit p_limit;
 end $$;
 
+-- Уход строки из классов подписки сменой класса без смены id (хвост ревью безопасности №3): версия пишется уже с новым
+-- классом, и подписка по классам её не видит. Здесь — те же окно, горизонт и снимок, что у watch_read (и верхняя граница
+-- окна p_upto — последняя строка полной пачки watch_read), а строки — синтетические надгробия прежней версии: класс,
+-- концы и данные прежние; номер, время, автор, tx и seq — версии смены класса; вид delete; агента и причины нет. Только
+-- если нового класса нет в p_classes, а прежнюю версию актор видит (row_visible с его планом READ): о строке, которой он
+-- не читал, подписчик не узнает. Функция владельца: версию с новым классом актору видеть не нужно.
+create or replace function @SCHEMA@.watch_leaving(p_tx xid8, p_seq bigint, p_classes text[], p_limit int,
+  p_snap pg_snapshot default null, p_upto_tx xid8 default null, p_upto_seq bigint default null)
+returns setof @SCHEMA@.log
+language plpgsql stable security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  horizon xid8 := pg_snapshot_xmin(pg_current_snapshot());
+  a jsonb;
+begin
+  if p_classes is null then
+    return;
+  end if;
+  a := @SCHEMA@.acl_actor('READ');
+  if a is null then
+    return;
+  end if;
+  -- новую версию актор не видит — надгробие при любом p_classes и без автора: перебором классов подписки он узнал бы её
+  -- класс (автоматическое ревью доработок после 1.2.0)
+  return query select l.seq, l.tx, p.id, l.rev, p.class, p.cv, p.tenant, p.owner, p.links, p.data, p.tags, l.at,
+      case when v.seen then l.author end, null::text, 'delete'::text, null::text, null::uuid, null::bytea, null::bytea, null::jsonb
+    from @SCHEMA@.log l
+    cross join lateral (select x.* from @SCHEMA@.log x where x.id = l.id and x.rev < l.rev and x.op not in ('purge', 'trim', 'reset')
+                        order by x.rev desc limit 1) p
+    cross join lateral (select @SCHEMA@.row_visible(l.tenant, l.class, l.id, l.owner, l.tags, l.data, l.links,
+                               (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan') as seen) v
+    where (l.tx, l.seq) > (p_tx, p_seq) and l.tx < horizon
+      and (p_upto_tx is null or (l.tx, l.seq) <= (p_upto_tx, p_upto_seq))
+      and l.op = 'reclass' and l.moved is null and (not (l.class = any (p_classes)) or not v.seen)
+      and p.class = any (p_classes) and p.op <> 'delete'
+      and (p_snap is null or not pg_visible_in_snapshot(l.tx, p_snap))
+      and @SCHEMA@.row_visible(p.tenant, p.class, p.id, p.owner, p.tags, p.data, p.links,
+                               (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan')
+    order by l.tx, l.seq limit p_limit;
+end $$;
+
 -- Точка подписки «с этого момента»: курсор — горизонт завершённых транзакций, снимок — чтобы не
 -- отдавать транзакции, зафиксированные до подписки, но ещё не ушедшие за горизонт.
 drop function if exists @SCHEMA@.watch_head();
@@ -1053,10 +1117,10 @@ begin
   foreach f in array array[
     'history_default()', 'history_policy(jsonb)', 'history_iv(text)', 'history_horizon(jsonb)',
     'history_keep(jsonb, timestamp, timestamp, timestamp)', 'admin_role()', 'letopis_allowed(text)', 'session_expires()', 'signal_mode()', 'signal_key()', 'class_stamp()',
-    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid)', 'purge(uuid, boolean)', 'trim_history(uuid[], text[], timestamptz)',
+    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid)', 'projector_behind(uuid, text[], xid8, bigint)', 'purge(uuid, boolean)', 'trim_history(uuid[], text[], timestamptz)',
     'rekey(uuid, jsonb, jsonb)', 'rekey_class(text, jsonb)', 'account_purge(uuid)', 'reset_mark(uuid, text, uuid)',
     'reset(text, text, uuid, int)', 'thin_batch(timestamptz, int)', 'maintain(timestamptz, int)', 'verify(boolean)',
-    'watch_read(xid8, bigint, timestamptz, text[], int, pg_snapshot, boolean)', 'watch_head()'] loop
+    'watch_read(xid8, bigint, timestamptz, text[], int, pg_snapshot, boolean)', 'watch_leaving(xid8, bigint, text[], int, pg_snapshot, xid8, bigint)', 'watch_head()'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
@@ -1065,6 +1129,6 @@ end $$;
 grant execute on function @SCHEMA@.restore(uuid), @SCHEMA@.purge(uuid, boolean), @SCHEMA@.trim_history(uuid[], text[], timestamptz),
   @SCHEMA@.rekey(uuid, jsonb, jsonb), @SCHEMA@.rekey_class(text, jsonb), @SCHEMA@.account_purge(uuid),
   @SCHEMA@.reset(text, text, uuid, int), @SCHEMA@.maintain(timestamptz, int), @SCHEMA@.verify(boolean),
-  @SCHEMA@.session_expires(), @SCHEMA@.watch_read(xid8, bigint, timestamptz, text[], int, pg_snapshot, boolean), @SCHEMA@.watch_head(),
+  @SCHEMA@.session_expires(), @SCHEMA@.watch_read(xid8, bigint, timestamptz, text[], int, pg_snapshot, boolean), @SCHEMA@.watch_leaving(xid8, bigint, text[], int, pg_snapshot, xid8, bigint), @SCHEMA@.watch_head(),
   @SCHEMA@.history_default(), @SCHEMA@.history_policy(jsonb), @SCHEMA@.history_iv(text),
   @SCHEMA@.signal_mode(), @SCHEMA@.signal_key(), @SCHEMA@.class_stamp() to @APP@;

package/sql/README.md

@@ -53,7 +53,7 @@
 | LT020 | `confirm_mismatch` | подтверждение сброса не совпадает с именем схемы (этап 6) |
 | LT021 | `derived_class` | строки производного класса (`derivedBy`) пишет и удаляет только его проектор; на них не ссылаются концы (план 1.1, §2.4) |
 | LT022 | `aggregate_field` | агрегатное поле (`aggregate`) считает база: приложение и сырой SQL его не передают и не меняют (план 1.1, §2.4) |
-| LT023 | `projector_pending` | `purge` удалённого объекта, чьё надгробие ещё не прочёл проектор его класса (ревью безопасности №3, №5) |
+| LT023 | `projector_pending` | `purge` удалённого объекта, чьё надгробие ещё не прочёл проектор его класса (ревью безопасности №3, №5), или `trim_history`, чью первую оставшуюся версию он ещё не прочёл (хвост ревью №3) |
 
 ## Порядок файлов