letopis 1.3.0 → 1.4.0

package/AGENT-CHEATSHEET.en.md

@@ -1,4 +1,4 @@
-# letopis 1.3 — agent cheatsheet
+# letopis 1.4 — agent cheatsheet
 
 One page instead of [README.en.md](README.en.md), for an AI agent that writes code on top of the package. It ships in
 the package next to the README; in Russian: [Русская версия](AGENT-CHEATSHEET.md). Migration from 0.21:
@@ -49,6 +49,9 @@ const r = await up({ dsn: ADMIN, schema: 'myapp',                  // schema 'v2
   schema: `up()` without the option keeps it; after a change, restart the processes. The signal key (precise cache
   clearing) goes to services — the `letopis.signals` permission. The `up()` result also has `signals` and `warnings`
   (PostgreSQL below 18.2 — upgrade).
+- After a package update, call `up()`: only it re-applies the schema functions. `connect()` warns if the engine stamp
+  in the schema comment (package version and a hash of its SQL) does not match the package: an older schema — `up()`,
+  a newer one — update the package.
 - `tenant` — the first tenant and user without a seed of your own: the tenant gets the rule "authenticated users may
   do everything" (`grantAll`, on by default, weight 10); the user gets a membership with the roles `user.roles`
   (`['owner']` by default), a password for signing in with the login `login`, and a session in the tenant. Repeating

package/AGENT-CHEATSHEET.md

@@ -1,4 +1,4 @@
-# letopis 1.3 — шпаргалка для агента
+# letopis 1.4 — шпаргалка для агента
 
 Одна страница вместо [README.md](README.md) — для ИИ-агента, который пишет код поверх пакета. Лежит в пакете рядом с
 README; английская версия — [AGENT-CHEATSHEET.en.md](AGENT-CHEATSHEET.en.md). Переход с 0.21 — [MIGRATION.md](MIGRATION.md);
@@ -45,6 +45,9 @@ const r = await up({ dsn: ADMIN, schema: 'myapp',                  // схема
   `session:<16 hex>` — погашенная сессия, `session:*` и `*` — сбросы (`reset`). Режим хранится в схеме: `up()` без
   опции его не меняет; после смены — перезапуск процессов. Ключ сигналов (точный сброс кэша) получают сервисы — право
   `letopis.signals`. Результат `up()`: ещё `signals` и `warnings` (PostgreSQL ниже 18.2 — обновить).
+- После обновления пакета вызывайте `up()`: функции схемы накатывает только он. `connect()` предупреждает, если штамп
+  движка в комментарии схемы (версия пакета и хэш его SQL) не совпадает с пакетом: схема старее — `up()`, новее —
+  обновить пакет.
 - `tenant` — первый арендатор и пользователь без своего сида: арендатор получает правило «аутентифицированным можно
   всё» (`grantAll`, по умолчанию да, вес 10), пользователь — членство с ролями `user.roles` (по умолчанию `['owner']`),
   пароль для входа по логину `login` и сессию в арендаторе. Повтор с тем же именем и логином ничего не дублирует и роли

package/CHANGELOG.md

@@ -2,6 +2,94 @@
 
 Формат: [Keep a Changelog](https://keepachangelog.com/), версии — semver.
 
+## [1.4.0] — 2026-10-29
+
+letopis 1.4 — доработки после выпуска 1.3.0. Вошли:
+- хвост ревью безопасности доработок после 1.2.0 — все девять замечаний, плюс находка автоматического ревью:
+  администратора база определяла по роли входа, а не по действующей роли сеанса;
+- штамп версии движка в схеме: `connect()` замечает схему, которую после обновления пакета не накатили;
+- опция проектора `lockRetries`.
+
+Версия `1.4.0` (во время работы — `1.4.0-alpha.0`, не публиковалась). Схема 1.3.0 обновляется повторным `up()`:
+ревизия движка прежняя (6), функции накатываются заново. До наката `connect()` новой версии предупреждает о схеме без
+штампа и советует `up({ schema })`. Новое в API:
+- опция проектора `lockRetries` и поле отчёта `ProjectorReport.locked`;
+- штамп движка в комментарии схемы и предупреждение `connect()` о схеме другой версии.
+
+Поведение, которое стоит проверить при обновлении:
+- на подключении, где роль приложения поставлена поверх привилегированной роли входа (`SET ROLE`, параметр запуска
+  `role`), пользователи больше не получают права `letopis.*`;
+- новый источник агрегата должен без условий читать и тот, кто описал агрегат, иначе `acl_denied`; агрегат можно
+  описать заново от того, кто читает;
+- предки и алиас класса System больше не дают прав на строки одноимённого класса арендатора;
+- запись, дождавшаяся удаления своего класса, получает `invalid_class` «класс … удалён».
+
+### Added — проектор: изоляция арендаторов при чужой блокировке
+- Опция проектора `lockRetries` (решение владельца, кандидат 6 из 10 «`lockTimeout` не изолирует арендаторов»). Задаёт,
+  сколько проходов подряд запись одного арендатора может упираться в `lockTimeout`. Дальше арендатор выбывает с кодом
+  `55P03`, и пачка идёт для остальных; его изменения пропускаются до `rebuild({ tenant })`. По умолчанию 0: арендатор
+  не выбывает, и проход повторяется для всех, как раньше. Счёт ведёт процесс, удачная запись арендатора его
+  сбрасывает.
+- Отчёт `run()` называет арендаторов, на чьей строке вставала пачка: новое поле `ProjectorReport.locked`.
+- `rebuild({ tenant, chunked: true })` пережидает чужую блокировку строки арендатора (кандидат 5 из 10). Раньше
+  `startTenant` отдавал вызывающему сырую ошибку 55P03, хотя состояние не портилось. Так же ведёт себя чтение
+  чекпоинта в конце перестройки, а пропущенные из-за блокировки проходы идут в `skipped`.
+
+### Added — штамп движка в схеме
+- `up()` пишет в комментарий схемы, кроме ревизии, штамп движка: версию пакета и 16 знаков sha256 исходного текста
+  файлов `sql/NN-*.sql` (`'letopis ddl_revision=6 engine=1.4.0 sql=…'`). Ревизия у 1.1–1.4 одна, а функции разные, и
+  `connect()` раньше не замечал схему, которую после обновления пакета не накатили (так было при 1.1 → 1.2).
+- `connect()` при той же ревизии сверяет штамп с файлами своего пакета и при расхождении предупреждает
+  (`console.warn`). Схема без штампа (до 1.4) или со штампом более старой версии — совет `up({ schema })`. Штамп более
+  новой версии — совет обновить пакет: `up()` старой версией вернул бы прежние функции. Новая версия пакета без правок
+  SQL штамп не меняет. Если файлов SQL рядом со сборкой нет, сверка молча пропускается.
+
+### Security — хвост ревью безопасности доработок после 1.2.0
+- `purge` и `trimHistory` проверяют, прочёл ли проектор источника каждую версию строки, а не одну (кандидат 5 из 10).
+  Раньше `purge` смотрел только надгробие, а обрезка — самую позднюю по `(tx, seq)` версию у стыка. Но у более поздней
+  версии бывает меньший xid, а снимок перестройки учитывает транзакции, зафиксированные до него. Поэтому непрочитанной
+  могла остаться версия, которую проверка пропускала, и `purge` или обрезка стирали её. Проверку делает функция
+  владельца `projector_unread(uuid, uuid, int)`, прежняя `projector_behind` удаляется при накате.
+- Удаление класса больше не расходится с параллельной записью (кандидат 5 из 10, «гонка смены алиаса и удаления
+  потомка»). Удаление проверяет, что у класса нет строк, потомков и истории, но раньше проверка не видела строку, которую
+  писатель ещё не зафиксировал: строка оставалась без класса, а вместе с ней появлялась история удалённого класса, от
+  которой зависит запрет смены алиаса предка. Теперь так:
+  - удаление класса берёт исключительную блокировку его семейства, поэтому ждёт писателей и видит их строки;
+  - создание класса и смена `parent` берут разделяемую блокировку семейства родителя, поэтому родитель не удаляется мимо
+    нового потомка;
+  - писатель, дождавшийся блокировки, проверяет, что класс ещё есть (`invalid_class`, «класс … удалён»). Так делают
+    вставка, правка, `reclass`, `restore`, `rekey` и запись проектора.
+- План прав берёт один класс на имя — тот, что находит `class_row`: свой класс арендатора, иначе класс System (замечание
+  `/security-review` ниже порога). Раньше в план попадали оба одноимённых класса, и побеждало разрешение любого из них.
+  Поэтому предки и алиас класса System, заведённого после класса арендатора, давали права на строки класса арендатора.
+- Правка класса System без права `letopis.projector` больше не упирается в производных потомков у арендаторов со своим
+  одноимённым классом (кандидат 5 из 10, лишняя строгость): их потомки наследуют класс арендатора, а не класс System.
+- Подписка подключения в обход RLS получает события ухода строки из классов подписки (кандидат 6 из 10). Раньше без
+  сессии `watch_leaving` их не отдавал (`acl_actor` — null), хотя `watch_read` такому подключению отдаёт журнал всех
+  арендаторов. Теперь роль сеанса (суперпользователь, `BYPASSRLS`, член роли-владельца) видит все события ухода, с
+  автором.
+- Администратором и подключением в обход RLS база считает действующую роль сеанса, а не роль входа (находка
+  автоматического ревью коммита). Внутри функции владельца `session_user` — роль входа, даже если поверх неё поставлена
+  роль приложения (`SET ROLE` или параметр запуска `role`). Так бывает у пула с одной привилегированной ролью входа: там
+  `connect()` видит роль приложения, а `admin_role()` с 1.0 видела суперпользователя. Поэтому любой пользователь
+  арендатора на таком подключении получал права `letopis.*` (`verify`, `reset`, `letopis.projector` и другие), а
+  подписка — события ухода чужих арендаторов. Новая функция владельца `session_role()` берёт роль `SET ROLE`, иначе роль
+  входа; через неё работают `admin_role()` и `watch_leaving`.
+- Новый источник агрегата проверяется и по тому, кто описал агрегат (кандидат 6 из 10, решение владельца). Раньше право
+  `READ` проверялось только у того, кто заводит потомка источника (или переносит класс под него сменой `parent`). Тот,
+  кто описал агрегат без права на строки будущего потомка, читал бы в истории цели вклад каждой из них. Теперь
+  описавший тоже должен без условий читать все строки нового источника, иначе `acl_denied`; агрегат можно описать
+  заново от того, кто их читает. Описавший — автор версии строки `Class` цели, с которой описание агрегата (своё или
+  унаследованное) стало нынешним; журнал строк `Class` не стирается. Объём проверки — как при описании: у агрегата
+  класса арендатора — классы арендатора, у агрегата класса System — классы System; класс арендатора под агрегатом System
+  проверяет только заводящий.
+
+### Fixed — хвост ревью безопасности доработок после 1.2.0
+- `syncModels` отклоняет модели по кругу до записи: `invalid_class` называет круг (кандидат 4 из 10). Пример — агрегат
+  над собственным потомком: потомок ждёт родителя, а цель ждёт источник агрегата. Раньше обход молча ставил потомка
+  раньше предка, и база отвечала «предок … не найден». В два шага такой агрегат отклоняет уже база: потомок наследует
+  агрегат над самим собой, и выходит «цикл агрегатов».
+
 ## [1.3.0] — 2026-10-28
 
 letopis 1.3 — доработки после выпуска 1.2.0 (`docs/checkpoint-1.3.md`). Вошли три направления:

package/README.en.md

@@ -1,4 +1,4 @@
-# letopis 1.3
+# letopis 1.4
 
 **letopis** is a Node.js library: a store of versioned entities on PostgreSQL 18. Every change is saved as a version
 in a journal. So every object has a history, a state as of any date and a change subscription. The database itself
@@ -369,6 +369,13 @@ package. So a startup script that calls `up()` on every start will stop after a
 `upgrade: true`. `up({ dsn, schema, upgrade: true })` applies the migrations from `sql/migrate/` and re-applies the
 functions; the data is kept.
 
+The revision does not change with every version: 1.1–1.4 share one, while their functions differ. So `up()` also writes
+an engine stamp into the schema comment: the package version and a hash of its SQL files. If the stamp does not match
+the package files, `connect()` warns. When the schema was applied by an older version (or by a version before 1.4,
+which has no stamp), it suggests `up({ schema })`. When a newer version has already upgraded the schema, it suggests
+updating the package: `up()` from the older version would bring the old functions back. A new package version without
+SQL changes keeps the stamp, and there is no warning.
+
 The first `up()` after moving to 1.2 builds the journal index `log_class_tenant_at (class, tenant, at)` instead of
 `log_class_at`: an `asOf` and `withDeleted` slice by class no longer reads the journal of other tenants with the same
 class name. While the index is being built, writes to the journal wait. On a large installation, build it in advance
@@ -567,13 +574,21 @@ const Movement = link('Movement', { amount: z.number().int() }, { ends: { Wallet
   key; the `via` end is single and accepts the target class; the `sum` field is a number; aggregates do not form a
   cycle; the target and the source are not system or derived classes. A source class is described before the
   aggregate: an aggregate over a class that does not exist yet is refused. For a tenant class, the source is looked up
-  among the tenant's classes. `syncModels` describes sources before targets itself. The `of` class is not deleted while
-  an aggregate of a class of the same tenant names it: first the aggregate is removed from the target's description.
+  among the tenant's classes. `syncModels` describes sources before targets itself, and models in a circle (an
+  aggregate over the class's own descendant, a cycle of aggregates) it refuses before writing (`invalid_class` naming
+  the circle). The `of` class is not deleted while an aggregate of a class of the same tenant names it: first the
+  aggregate is removed from the target's description.
 - Rows get into an aggregate only with the knowledge of someone who reads them all: the field also counts rows that
   the author cannot see. Only someone who reads all rows of the source and its descendants without conditions can
   describe or change an aggregate. Only someone who reads all rows of a class and its descendants without conditions,
   both before the change and after it, can make the class a source (a new descendant of a source, a `parent` change).
   Otherwise `acl_denied`.
+- A new source is also checked against whoever described the aggregate: they too must read all rows of the class
+  without conditions. The describer is the author of the version of the target's `Class` row from which the aggregate
+  description became the current one. If they cannot read those rows, the class does not become a source
+  (`acl_denied`) until someone who can read them describes the aggregate again. For an aggregate of a System class, the
+  describer is checked against System classes, as at description time. A tenant class under a System aggregate is
+  checked only for whoever creates it.
 - The option is inherited, and a descendant replaces it as a whole. Adding or changing an aggregate is a tightening:
   writes to the target and to the sources wait while the field is recalculated for all rows.
 - `db.rebuildAggregates(class)` recalculates the field from the current rows, for repair. A version is written only
@@ -1883,7 +1898,13 @@ sales.close()                                    // stop() after the current bat
 - `lockTimeout` is how long a projector transaction waits for another transaction's row lock (5000 ms; 0 — no limit).
   Otherwise a transaction of any tenant holding a total row or an end target would hold the batch of all tenants.
   Longer than that, the batch rolls back, the cursor stays, and `run()` does not reject but skips the pass
-  (`skipped`) and repeats it.
+  (`skipped`) and repeats it. The report names the tenant whose row stopped the batch (`locked`).
+  `rebuild({ tenant, chunked: true })` waits such a lock out.
+- `lockRetries` is how many passes in a row the writes of one tenant may run into `lockTimeout` before it drops out
+  (0 by default — it never drops out). The dropped tenant gets the code `55P03`, and the batch goes on for the others;
+  its changes are skipped until `rebuild({ tenant })`. The process keeps the count, and a successful write of the
+  tenant resets it. Note: a long exclusive lock on the family of a System class (a tightening of its description) will
+  hit every tenant in turn.
 - Every edit that `out` sends to the database is a separate edit of a row, and the speed of a projector is set by the
   number of edits, not by the number of changes. The folding of `inc` brings the edits of a row down to one per batch,
   so the handle from the example above (`out.inc` for every change) caught up with 6 thousand changes per second with
@@ -2340,12 +2361,12 @@ give `invalid_data`.
 
 | Member | What it does |
 |---|---|
-| options `ProjectorOptions` | `from`, `into`: classes with descendants; `version`: an integer from 1; `handle(changes, out)`; `withBefore`; `onExpired: 'rebuild' \| 'error'` (`'rebuild'` rebuilds in batches); `batch`: changes in a batch (500, from 1 to 10,000); `pollMs`: fallback polling (1000 ms); `lockTimeout`: waiting for another transaction's row lock (5000 ms, 0 — no limit); `tenants`: ids of the participant tenants |
+| options `ProjectorOptions` | `from`, `into`: classes with descendants; `version`: an integer from 1; `handle(changes, out)`; `withBefore`; `onExpired: 'rebuild' \| 'error'` (`'rebuild'` rebuilds in batches); `batch`: changes in a batch (500, from 1 to 10,000); `pollMs`: fallback polling (1000 ms); `lockTimeout`: waiting for another transaction's row lock (5000 ms, 0 — no limit); `lockRetries`: passes in a row before a tenant with another transaction's lock drops out (0 — never); `tenants`: ids of the participant tenants |
 | `run({ once })` | catch up with the journal (`once`) or follow it until `stop()` → `ProjectorReport` |
 | `rebuild({ chunked, tenant })` | rebuild from the current state: atomically, in batches or for one tenant → `ProjectorReport` |
 | `status()` | → `ProjectorStatus`: `{ name, state, version, cursor, at, lag, failed, rebuildingTenants }`; `failed` is `{ [tenant id]: ProjectorFailure }`, where `ProjectorFailure` is `{ cursor, code, message }` |
 | `stop()`, `close()` | stop `run()` after the current batch; the same plus unsubscribing from signals |
-| `ProjectorReport` | `{ batches, changes, created, updated, deleted, unchanged, skipped, rebuilds }` |
+| `ProjectorReport` | `{ batches, changes, created, updated, deleted, unchanged, skipped, rebuilds, locked }` |
 | `ProjectorChange` | `{ cursor, id, class, tenant, op, rev, at, author, row }` and, when present, `agent`, `reason`, `moved`, `before`, `rebuild` |
 | `ProjectorOut` | `upsert(class, row, { tenant })`, `inc(class, row, deltas, { tenant })`, `delete(class, key or id, { tenant })`, `get(class, key or id, { tenant })` → `Row \| null`; a row is a `ProjectorRow` in the loader format |
 
@@ -2493,7 +2514,7 @@ runs) showed no write or read regressions against 1.1: two outliers did not repe
 
 ## 18. Limitations
 
-This section lists what letopis 1.3 deliberately does not do or does with caveats, and where you need to watch the
+This section lists what letopis 1.4 deliberately does not do or does with caveats, and where you need to watch the
 behavior.
 
 **Platform**

package/README.md

@@ -1,4 +1,4 @@
-# letopis 1.3
+# letopis 1.4
 
 **letopis** — библиотека для Node.js, хранилище версионированных сущностей на PostgreSQL 18. Каждое изменение
 сохраняется версией в журнале. Поэтому у любого объекта есть история, состояние на любую дату и подписка на
@@ -362,6 +362,12 @@ const adm = await connect({ dsn: ADMIN, schema: r.schema, token: r.tenant!.token
 получит `upgrade: true`. `up({ dsn, schema, upgrade: true })` применяет миграции из `sql/migrate/` и повторно
 накатывает функции; данные сохраняются.
 
+Ревизия меняется не с каждой версией: у 1.1–1.4 она одна, а функции разные. Поэтому `up()` пишет в комментарий схемы
+ещё и штамп движка: версию пакета и хэш его файлов SQL. Если штамп не совпадает с файлами пакета, `connect()`
+предупреждает. Когда схему накатила более старая версия (или версия до 1.4, у которой штампа нет), он советует
+`up({ schema })`. Когда схему уже обновила более новая версия, он советует обновить пакет: `up()` старой версией вернул
+бы прежние функции. Новая версия пакета без правок SQL штамп не меняет, и предупреждения нет.
+
 Первый `up()` после перехода на 1.2 строит индекс журнала `log_class_tenant_at (class, tenant, at)` вместо
 `log_class_at`: срез `asOf` и `withDeleted` по классу больше не читает журнал других арендаторов с тем же именем
 класса. Пока индекс строится, запись в журнал ждёт. На большой установке постройте его заранее, не останавливая
@@ -550,12 +556,18 @@ const Movement = link('Movement', { amount: z.number().int() }, { ends: { Wallet
 - Описание проверяет база (`invalid_class`): поле есть в схеме, оно числовое и не входит в ключ; конец `via` —
   одиночный и принимает класс цели; поле `sum` — число; агрегаты не образуют цикл; цель и источник — не системные и
   не производные классы. Класс-источник описывают раньше агрегата: агрегат над классом, которого ещё нет, отклоняется.
-  У класса арендатора источник ищут среди классов арендатора. `syncModels` сам описывает источники раньше целей.
+  У класса арендатора источник ищут среди классов арендатора. `syncModels` сам описывает источники раньше целей, а
+  модели по кругу (агрегат над собственным потомком, цикл агрегатов) отклоняет до записи (`invalid_class` с кругом).
   Класс `of` не удаляется, пока его называет агрегат класса того же арендатора: сначала агрегат убирают из описания цели.
 - Строки попадают в агрегат только с ведома того, кто читает их все: поле считает и строки, которые автору не видны.
   Описать или изменить агрегат может только тот, кто без условий читает все строки источника и его потомков. Сделать
   класс источником (новый потомок источника, смена `parent`) может только тот, кто без условий читает все
   строки этого класса и его потомков — и до правки, и после. Иначе `acl_denied`.
+- Новый источник проверяется и по тому, кто описал агрегат: он тоже должен без условий читать все строки класса.
+  Описавший — автор версии строки `Class` цели, с которой описание агрегата стало нынешним. Если он их не читает, класс
+  источником не станет (`acl_denied`), пока агрегат не опишет заново тот, кто читает. У агрегата класса System
+  описавший проверяется по классам System, как и при описании. Класс арендатора под агрегатом System проверяется
+  только у того, кто его заводит.
 - Опция наследуется, потомок заменяет её целиком. Добавить или изменить агрегат — ужесточение: запись в цель и в
   источники ждёт, пока поле пересчитывается у всех строк.
 - `db.rebuildAggregates(класс)` пересчитывает поле из текущих строк — для ремонта. Версия пишется только там, где
@@ -1817,7 +1829,13 @@ sales.close()                                    // stop() после текущ
   проектор раньше.
 - `lockTimeout` — сколько транзакция проектора ждёт чужую блокировку строки (5000 мс; 0 — без предела). Транзакция
   любого арендатора, которая держит строку итога или цель конца, иначе держала бы пачку всех арендаторов. Дольше —
-  пачка откатывается, курсор остаётся, `run()` не отклоняется, а пропускает проход (`skipped`) и повторяет его.
+  пачка откатывается, курсор остаётся, `run()` не отклоняется, а пропускает проход (`skipped`) и повторяет его. Отчёт
+  называет арендатора, на чьей строке встала пачка (`locked`). `rebuild({ tenant, chunked: true })` такую блокировку
+  пережидает.
+- `lockRetries` — сколько проходов подряд запись одного арендатора может упираться в `lockTimeout`, прежде чем он
+  выбудет (по умолчанию 0 — не выбывает). Выбывший получает код `55P03`, и пачка идёт для остальных; его изменения
+  пропускаются до `rebuild({ tenant })`. Счёт ведёт процесс, удачная запись арендатора его сбрасывает. Учтите: долгая
+  исключительная блокировка семейства класса System (ужесточение описания) упрётся в каждого арендатора по очереди.
 - Каждая правка, которую `out` отправляет в базу, — отдельная правка строки, и скорость проектора задаёт число
   правок, а не число изменений. Свёртка `inc` сводит правки строки к одной за пачку, поэтому handle из примера выше
   (`out.inc` на каждое изменение) на машине замеров догонял 6 тысяч изменений в секунду при `batch` 500 и 33 тысячи
@@ -2258,12 +2276,12 @@ npx letopis import --from postgres://…/old --from-schema v1.salon --dsn postgr
 
 | Член | Что делает |
 |---|---|
-| опции `ProjectorOptions` | `from`, `into` — классы с потомками; `version` — целое от 1; `handle(changes, out)`; `withBefore`; `onExpired: 'rebuild' \| 'error'` (`'rebuild'` — пачками); `batch` — изменений в пачке (500, от 1 до 10 000); `pollMs` — запасной опрос (1000 мс); `lockTimeout` — ожидание чужой блокировки строки (5000 мс, 0 — без предела); `tenants` — id арендаторов-участников |
+| опции `ProjectorOptions` | `from`, `into` — классы с потомками; `version` — целое от 1; `handle(changes, out)`; `withBefore`; `onExpired: 'rebuild' \| 'error'` (`'rebuild'` — пачками); `batch` — изменений в пачке (500, от 1 до 10 000); `pollMs` — запасной опрос (1000 мс); `lockTimeout` — ожидание чужой блокировки строки (5000 мс, 0 — без предела); `lockRetries` — проходов подряд до выбывания арендатора с чужой блокировкой (0 — не выбывает); `tenants` — id арендаторов-участников |
 | `run({ once })` | догнать журнал (`once`) или следовать за ним до `stop()` → `ProjectorReport` |
 | `rebuild({ chunked, tenant })` | перестроить с текущего состояния: атомарно, пачками или одного арендатора → `ProjectorReport` |
 | `status()` | → `ProjectorStatus`: `{ name, state, version, cursor, at, lag, failed, rebuildingTenants }`; `failed` — `{ [id арендатора]: ProjectorFailure }`, где `ProjectorFailure` — `{ cursor, code, message }` |
 | `stop()`, `close()` | остановить `run()` после текущей пачки; то же и отписаться от сигналов |
-| `ProjectorReport` | `{ batches, changes, created, updated, deleted, unchanged, skipped, rebuilds }` |
+| `ProjectorReport` | `{ batches, changes, created, updated, deleted, unchanged, skipped, rebuilds, locked }` |
 | `ProjectorChange` | `{ cursor, id, class, tenant, op, rev, at, author, row }` и, если есть, `agent`, `reason`, `moved`, `before`, `rebuild` |
 | `ProjectorOut` | `upsert(класс, строка, { tenant })`, `inc(класс, строка, приращения, { tenant })`, `delete(класс, ключ или id, { tenant })`, `get(класс, ключ или id, { tenant })` → `Row \| null`; строка — `ProjectorRow` в формате загрузчика |
 
@@ -2408,7 +2426,7 @@ p50 — от −0,28 до +0,21 мс. Бенч против 1.0.1 (`bench/vs-101
 
 ## 18. Ограничения
 
-Здесь собрано то, что letopis 1.3 сознательно не делает или делает с оговорками, и где за поведением нужно следить.
+Здесь собрано то, что letopis 1.4 сознательно не делает или делает с оговорками, и где за поведением нужно следить.
 
 **Платформа**
 

package/dist/index.js

@@ -24,6 +24,7 @@ import { Subscription } from './watch.js';
 import { Projector } from './project.js';
 import { SIGNAL_MODES, Signals, bucket, throttle } from './signals.js';
 import { describe as describeModel, maintain as runMaintain, rebuildAggregates as runRebuildAggregates, rekeyClass as runRekeyClass, reset as runReset, scheduleMaintain, trimHistory as runTrim, verify as runVerify, } from './admin.js';
+import { stampDrift } from './up.js';
 export { DDL_REVISION } from './types.js';
 export { uuidv5, v5Name, v5Id, idOf } from './uuid.js';
 export { LetopisError, ValidationError, fromDbError } from './errors.js';
@@ -267,6 +268,12 @@ export async function connect(opts) {
             throw new LetopisError('invalid_data', `connect: схемы ${opts.schema} нет — установите её: up({ schema })`);
         if (rev < DDL_REVISION)
             console.warn(`letopis: движок схемы ${opts.schema} ревизии ${rev}, библиотека ждёт ${DDL_REVISION} — обновите: up({ schema: '${opts.schema}', upgrade: true })`);
+        else if (rev === DDL_REVISION) {
+            // ревизия та же, а функции схемы ставила другая версия движка — штамп в комментарии схемы (99-revision.sql)
+            const drift = await stampDrift(opts.schema, String(rv.c ?? ''));
+            if (drift)
+                console.warn(drift);
+        }
         // режим сигналов установки (план 1.1, §2.2); схема, накатанная до него (нет signal_mode()), — class
         const [sm] = await sql.unsafe(`select ${S}.signal_mode() as m`).catch((e) => {
             if (e.code === '42883')

package/dist/project.d.ts

@@ -103,6 +103,12 @@ export interface ProjectorOptions {
      * пачка откатывается, курсор остаётся, run() не отклоняется, а пропускает проход и повторяет его.
      */
     lockTimeout?: number;
+    /**
+     * Сколько проходов подряд запись одного арендатора может упираться в lockTimeout, прежде чем он выбудет (код 55P03,
+     * дальше — rebuild({ tenant })), а пачка пойдёт для остальных; по умолчанию 0 — не выбывает, проход повторяется для всех.
+     * Счёт — в процессе, удачная запись арендатора его сбрасывает.
+     */
+    lockRetries?: number;
     /**
      * Явный список арендаторов проектора: участники — только они (и только те, у кого каждый класс into помечен
      * derivedBy). Без списка участник — любой арендатор с такими классами.
@@ -118,10 +124,12 @@ export interface ProjectorReport {
     updated: number;
     deleted: number;
     unchanged: number;
-    /** Пачек, пропущенных из-за блокировки: проектор работает в другом процессе. */
+    /** Пачек, пропущенных из-за блокировки: проектор работает в другом процессе или строку держит чужая транзакция. */
     skipped: number;
     /** Перестроек. */
     rebuilds: number;
+    /** Арендаторы, чья запись упиралась в чужую блокировку строки дольше lockTimeout (по порядку, без повторов). */
+    locked: string[];
 }
 /** Выбывший арендатор: база отклонила запись его результатов. */
 export interface ProjectorFailure {
@@ -182,6 +190,9 @@ export declare class Projector {
     private readonly batch;
     private readonly pollMs;
     private readonly lockMs;
+    private readonly lockRetries;
+    /** Проходов подряд, в которых запись арендатора упиралась в lockTimeout (lockRetries). */
+    private readonly lockHits;
     private readonly only;
     constructor(env: ProjectorEnv, name: string, def: ProjectorOptions);
     /**
@@ -312,6 +323,8 @@ export declare class Projector {
      * true }). true — работа ещё осталась.
      */
     private tenantWork;
+    /** Повторять fn, пока строку держит чужая транзакция дольше lockTimeout (55P03): пауза 20 мс, проход — в skipped. */
+    private untilFree;
     /** Ждать сигнал источников, остановку или запасной опрос. */
     private sleep;
 }

package/dist/project.js

@@ -50,7 +50,7 @@ function withFailed(meta, failed) {
         delete next.failed;
     return next;
 }
-const emptyReport = () => ({ batches: 0, changes: 0, created: 0, updated: 0, deleted: 0, unchanged: 0, skipped: 0, rebuilds: 0 });
+const emptyReport = () => ({ batches: 0, changes: 0, created: 0, updated: 0, deleted: 0, unchanged: 0, skipped: 0, rebuilds: 0, locked: [] });
 function change(row, cursor, rebuild = false) {
     return {
         cursor, id: row.id, class: row.class, tenant: row.tenant, op: rebuild ? 'create' : row.op, rev: row.rev, at: row.at,
@@ -211,6 +211,9 @@ export class Projector {
     batch;
     pollMs;
     lockMs;
+    lockRetries;
+    /** Проходов подряд, в которых запись арендатора упиралась в lockTimeout (lockRetries). */
+    lockHits = new Map();
     only;
     constructor(env, name, def) {
         this.env = env;
@@ -238,6 +241,9 @@ export class Projector {
         this.lockMs = def.lockTimeout ?? 5000;
         if (!Number.isInteger(this.lockMs) || this.lockMs < 0)
             throw new LetopisError('invalid_data', `проектор ${name}: lockTimeout — целое число мс, 0 и больше`);
+        this.lockRetries = def.lockRetries ?? 0;
+        if (!Number.isInteger(this.lockRetries) || this.lockRetries < 0)
+            throw new LetopisError('invalid_data', `проектор ${name}: lockRetries — целое число, 0 и больше`);
         if (!Number.isInteger(this.batch) || this.batch < 1 || this.batch > 10_000)
             throw new LetopisError('invalid_data', `проектор ${name}: batch — от 1 до 10 000`);
         if (env.onSignal) {
@@ -338,14 +344,19 @@ export class Projector {
             const started = rep.rebuilds;
             for (;;) {
                 // занятая строка (lockTimeout) — как занятая блокировка проектора: подождать и повторить пачку
-                const r = await this.tenantChunk(rep, tenant).catch((e) => { if (lockWait(e))
-                    return 'busy'; throw e; });
+                const r = await this.tenantChunk(rep, tenant).catch((e) => {
+                    if (!lockWait(e))
+                        throw e;
+                    rep.skipped++;
+                    return 'busy';
+                });
                 if (r === 'busy')
                     await new Promise((res) => setTimeout(res, 20));
                 if (r !== 'done')
                     continue;
-                // ошибка данных арендатора — как у перестройки одной транзакцией: отказ, арендатор выбывший
-                const f = (await this.tx(async (q) => this.state(q))).failed?.[tenant];
+                // ошибка данных арендатора — как у перестройки одной транзакцией: отказ, арендатор выбывший; чекпоинт держит
+                // пачка run() другого процесса дольше lockTimeout — подождать
+                const f = (await this.untilFree(rep, () => this.tx(async (q) => this.state(q)))).failed?.[tenant];
                 if (f)
                     throw new LetopisError(f.code, f.message);
                 // последнюю пачку мог записать run() другого процесса (он продвигает начатые перестройки): перестройка этого
@@ -723,6 +734,27 @@ export class Projector {
             catch (e) {
                 // причина — первая ошибка базы группы (следом за ней база отвечает лишь «транзакция прервана»)
                 const cause = out.aborted ?? e;
+                // строку арендатора держит чужая транзакция дольше lockTimeout (хвост ревью доработок после 1.2.0): отчёт
+                // называет арендатора; с lockRetries после стольких проходов подряд он выбывает, и пачка идёт для остальных,
+                // иначе откатывается вся пачка и проход повторяется
+                if (failed && lockWait(cause)) {
+                    if (!rep.locked.includes(tenant))
+                        rep.locked.push(tenant);
+                    const hits = (this.lockHits.get(tenant) ?? 0) + 1;
+                    if (this.lockRetries === 0 || hits < this.lockRetries) {
+                        this.lockHits.set(tenant, hits);
+                        throw e;
+                    }
+                    this.lockHits.delete(tenant);
+                    await q.unsafe('rollback to savepoint letopis_projector');
+                    await q.unsafe('release savepoint letopis_projector');
+                    failed[tenant] = {
+                        cursor: list[0].cursor || start,
+                        code: '55P03',
+                        message: `проектор ${this.name}: строку арендатора ${tenant} держит чужая транзакция — ${hits} проходов подряд дольше lockTimeout`,
+                    };
+                    continue;
+                }
                 if (!failed || !out.owns(e) || !tenantFault(cause))
                     throw e;
                 await q.unsafe('rollback to savepoint letopis_projector');
@@ -737,6 +769,7 @@ export class Projector {
             }
             if (failed)
                 await q.unsafe('release savepoint letopis_projector');
+            this.lockHits.delete(tenant);
             rep.created += out.stats.created;
             rep.updated += out.stats.updated;
             rep.deleted += out.stats.deleted;
@@ -1002,6 +1035,9 @@ export class Projector {
      */
     async startTenant(rep, tenant, auto) {
         for (;;) {
+            // строку арендатора (его производные строки удаляются) держит чужая транзакция дольше lockTimeout — как занятая
+            // блокировка проектора: run() повторит на следующем проходе, rebuild() подождёт (хвост ревью доработок после 1.2.0:
+            // rebuild({ tenant, chunked: true }) отдавал сырую 55P03)
             const r = await this.tx(async (q) => {
                 if (!(await this.lock(q)))
                     return 'busy';
@@ -1033,6 +1069,12 @@ export class Projector {
                     delete next.resync;
                 await this.advance(q, meta.cursor, withFailed(next, failed));
                 return 'ok';
+            }).catch((e) => {
+                if (!lockWait(e))
+                    throw e;
+                if (!auto)
+                    rep.skipped++;
+                return 'busy';
             });
             if (r !== 'busy' || auto) {
                 if (r === 'busy')
@@ -1127,6 +1169,20 @@ export class Projector {
         this.tenantsPending = more;
         return more;
     }
+    /** Повторять fn, пока строку держит чужая транзакция дольше lockTimeout (55P03): пауза 20 мс, проход — в skipped. */
+    async untilFree(rep, fn) {
+        for (;;) {
+            try {
+                return await fn();
+            }
+            catch (e) {
+                if (!lockWait(e))
+                    throw e;
+                rep.skipped++;
+            }
+            await new Promise((res) => setTimeout(res, 20));
+        }
+    }
     /** Ждать сигнал источников, остановку или запасной опрос. */
     sleep() {
         return new Promise((resolve) => {

package/dist/sync.js

@@ -12,13 +12,19 @@ export async function syncModels(db, models, opts = {}) {
     const res = { applied: Boolean(opts.apply), created: [], updated: [], unchanged: [], skipped: [], lost: models.flatMap((m) => m.lostRules()) };
     const S = `"${db.schema.replace(/"/g, '""')}"`;
     // предок раньше потомка; класс-источник агрегата раньше цели: агрегат над классом, которого ещё нет, база отклоняет.
-    // Цикл агрегатов база отклоняет сама — обход его только не зацикливает
+    // Круг (агрегат над собственным потомком, цикл агрегатов) так не упорядочить — отказ до записи с самим кругом (хвост
+    // ревью доработок после 1.2.0: раньше обход молча ставил потомка раньше предка)
     const ordered = [];
-    const visiting = new Set();
+    const path = [];
     const visit = (m) => {
-        if (ordered.includes(m) || visiting.has(m))
+        if (ordered.includes(m))
             return;
-        visiting.add(m);
+        const at = path.indexOf(m);
+        if (at >= 0) {
+            throw new LetopisError('invalid_class', `syncModels: модели зависят друг от друга по кругу: ${[...path.slice(at), m].map((x) => x.name).join(' → ')} — `
+                + 'родителя и источник агрегата база ждёт раньше класса');
+        }
+        path.push(m);
         if (m.parent && models.includes(m.parent))
             visit(m.parent);
         for (const a of Object.values(m.describe().aggregate ?? {})) {
@@ -26,7 +32,7 @@ export async function syncModels(db, models, opts = {}) {
             if (src)
                 visit(src);
         }
-        visiting.delete(m);
+        path.pop();
         ordered.push(m);
     };
     models.forEach(visit);

package/dist/up.d.ts

@@ -57,6 +57,23 @@ export interface InstallResult {
 export declare const quoteIdent: (name: string) => string;
 /** Файлы ядра по номеру: `10-core.sql` … `99-revision.sql`; сиды демо-домена сюда не входят. */
 export declare function engineFiles(upTo?: number): Promise<string[]>;
+/** Штамп движка: версия пакета и хэш файлов ядра (`99-revision.sql` пишет его в комментарий схемы). */
+export interface EngineStamp {
+    version: string;
+    sql: string;
+}
+/**
+ * Штамп движка этого пакета. Хэш — по исходному тексту файлов ядра до подстановок (переводы строк — LF): одна и та же
+ * сборка даёт один штамп при любых опциях установки, а версия пакета без правок SQL штамп не меняет.
+ */
+export declare function engineStamp(): Promise<EngineStamp>;
+/** Сравнение версий semver (метаданные сборки не учитываются): меньше нуля, ноль, больше нуля. */
+export declare function compareVersions(a: string, b: string): number;
+/**
+ * Штамп схемы (комментарий схемы) против файлов ядра пакета — текст предупреждения или null. Ревизия та же, а
+ * функции поставила другая версия движка: после обновления пакета не накатили up() (так было при 1.1 → 1.2).
+ */
+export declare function stampDrift(schema: string, comment: string): Promise<string | null>;
 export declare function substitute(text: string, vars: Record<string, string>): string;
 export declare function install(sql: postgres.Sql, opts: InstallOptions): Promise<InstallResult>;
 /** Миграции с номером выше ревизии from и не выше DDL_REVISION: `0004-описание.sql`, по номеру. */

package/dist/up.js

@@ -11,6 +11,7 @@
  * выполняет ANALYZE только для таблиц без статистики.
  */
 import { readFile, readdir } from 'node:fs/promises';
+import { createRequire } from 'node:module';
 import { fileURLToPath } from 'node:url';
 import { join, resolve } from 'node:path';
 import { createHash, randomBytes } from 'node:crypto';
@@ -34,6 +35,65 @@ export async function engineFiles(upTo = 99) {
     const files = (await readdir(SQL_DIR)).filter((f) => /^\d{2}-[a-z0-9.-]+\.sql$/.test(f));
     return files.filter((f) => Number(f.slice(0, 2)) <= upTo).sort();
 }
+let stamp;
+/**
+ * Штамп движка этого пакета. Хэш — по исходному тексту файлов ядра до подстановок (переводы строк — LF): одна и та же
+ * сборка даёт один штамп при любых опциях установки, а версия пакета без правок SQL штамп не меняет.
+ */
+export async function engineStamp() {
+    if (stamp)
+        return stamp;
+    const h = createHash('sha256');
+    for (const f of await engineFiles())
+        h.update(`${f}\n${(await readFile(join(SQL_DIR, f), 'utf8')).replace(/\r\n/g, '\n')}\n`);
+    const version = createRequire(import.meta.url)('../package.json').version;
+    return (stamp = { version, sql: h.digest('hex').slice(0, 16) });
+}
+/** Сравнение версий semver (метаданные сборки не учитываются): меньше нуля, ноль, больше нуля. */
+export function compareVersions(a, b) {
+    const parse = (v) => {
+        const [core, pre] = v.split('+')[0].split(/-(.*)/s);
+        return { core: core.split('.').map(Number), pre: pre ? pre.split('.') : [] };
+    };
+    const x = parse(a);
+    const y = parse(b);
+    for (let i = 0; i < 3; i++)
+        if ((x.core[i] ?? 0) !== (y.core[i] ?? 0))
+            return (x.core[i] ?? 0) - (y.core[i] ?? 0);
+    if (!x.pre.length || !y.pre.length)
+        return y.pre.length - x.pre.length; // выпуск старше своих предварительных версий
+    for (let i = 0; i < Math.max(x.pre.length, y.pre.length); i++) {
+        const p = x.pre[i];
+        const q = y.pre[i];
+        if (p === undefined || q === undefined)
+            return p === undefined ? -1 : 1;
+        if (p === q)
+            continue;
+        const pn = /^\d+$/.test(p);
+        const qn = /^\d+$/.test(q);
+        if (pn && qn)
+            return Number(p) - Number(q);
+        if (pn !== qn)
+            return pn ? -1 : 1;
+        return p < q ? -1 : 1;
+    }
+    return 0;
+}
+/**
+ * Штамп схемы (комментарий схемы) против файлов ядра пакета — текст предупреждения или null. Ревизия та же, а
+ * функции поставила другая версия движка: после обновления пакета не накатили up() (так было при 1.1 → 1.2).
+ */
+export async function stampDrift(schema, comment) {
+    const code = await engineStamp().catch(() => null); // файлов ядра рядом со сборкой нет — сверять не с чем
+    if (!code || /\bsql=([0-9a-f]+)/.exec(comment)?.[1] === code.sql)
+        return null;
+    const was = /\bengine=(\S+)/.exec(comment)?.[1];
+    if (was && compareVersions(was, code.version) > 0) {
+        return `letopis: схему ${schema} обновила letopis ${was}, библиотека старее (${code.version}) — обновите пакет: up() этой версией вернул бы прежние функции`;
+    }
+    const by = !was ? 'версия до 1.4.0' : was === code.version ? `другая сборка letopis ${was}` : `letopis ${was}`;
+    return `letopis: функции схемы ${schema} поставила ${by}, библиотека — ${code.version}: накатите up({ schema: '${schema}' })`;
+}
 export function substitute(text, vars) {
     return text.replace(/@([A-Z_]+)@/g, (m, k) => {
         if (!(k in vars))
@@ -88,6 +148,10 @@ export async function install(sql, opts) {
         // режим сигналов — после set role: сохранённый режим лежит в строке ключа secret владельца
         SIGNALS: 'class',
     };
+    // штамп движка — в комментарий схемы (99-revision.sql): по нему connect() узнаёт схему, не накатанную этой версией
+    const st = await engineStamp();
+    vars.ENGINE_VERSION = st.version;
+    vars.ENGINE_SQL = st.sql;
     // Схема создаётся до set role: у владельца может не быть права CREATE в базе.
     await sql.unsafe(`create schema if not exists ${quoteIdent(opts.schema)} authorization ${quoteIdent(owner)}`);
     const files = await engineFiles(opts.upTo);

package/llms.txt

@@ -2,7 +2,7 @@
 
 > Versioned entity store for Node.js on PostgreSQL 18. Every change is a version in a journal (history, reads as of a date, cursor subscriptions). Integrity, tenant isolation and access rules are enforced by the database itself (triggers and row-level security), so they hold for raw SQL too. Data is read and written with chains like `db.Shop(shop).Product().rows()`.
 
-Key facts for writing code with letopis 1.3:
+Key facts for writing code with letopis 1.4:
 
 - ESM package, Node 22+, PostgreSQL 18+ with pgcrypto, database encoding UTF8. Runtime dependency: `postgres`. Zod 4 is an optional peer dependency needed only by `letopis/model`; `@modelcontextprotocol/server`, only by `letopis/mcp`.
 - Install a schema with `up({ dsn, schema })` from an admin role; the schema is named `v2.<name>`. The application connects with a LOGIN role that is a member of `letopis_app`: `connect({ dsn, schema: 'v2.<name>', token | apiKey })`. A role that bypasses RLS is refused (`bypass_rls`) unless `allowBypassRls: true`.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "letopis",
-  "version": "1.3.0",
+  "version": "1.4.0",
   "description": "Letopis (летопись): versioned entity store on PostgreSQL 18 — integrity, history, tenants and access control enforced by the database itself, dot-notation chains on top",
   "keywords": [
     "postgres",

package/sql/50-acl.sql

@@ -228,9 +228,13 @@ begin
                                         and jsonb_typeof(x.pattern->'class') <> 'string', false) as bad) m
     where x.deny or not m.bad
   ), cl as (
-    select c.data->>'name' as name, c.data->>'alias' as alias, c.data->'resolved'->'ancestors' as anc
+    -- один класс на имя — тот, что строки арендатора находят по имени (class_row): свой, иначе System. Одноимённый
+    -- класс System, заведённый после класса арендатора, в план не входит: его предки и алиас давали бы права на строки
+    -- класса арендатора (хвост ревью доработок после 1.2.0)
+    select distinct on (c.data->>'name') c.data->>'name' as name, c.data->>'alias' as alias, c.data->'resolved'->'ancestors' as anc
     from @SCHEMA@.entity c
     where c.class = 'Class' and c.tenant in (p_tenant, '@SYSTEM@'::uuid)
+    order by c.data->>'name', c.tenant = '@SYSTEM@'::uuid
   ), k as (
     select cl.name,
            array(select jsonb_array_elements_text(cl.anc))

package/sql/60-write.sql

@@ -760,6 +760,14 @@ begin
       perform @SCHEMA@.lt_fail('invalid_class', format('имя %s занято системным классом', p_data->>'name'));
     end if;
   end if;
+  -- родитель — под разделяемой блокировкой своего семейства (хвост ревью доработок после 1.2.0): удаление класса берёт
+  -- исключительную, поэтому родитель не удалится мимо нового потомка, а удалённый, пока ждали, class_prepare не найдёт
+  if p_data->>'parent' is not null then
+    tc := @SCHEMA@.class_row(p_data->>'parent', p_tenant);
+    if tc.id is not null then
+      perform @SCHEMA@.family_lock(tc, false);
+    end if;
+  end if;
   select c.data, c.validator into data, validator from @SCHEMA@.class_prepare(p_data, p_tenant) c;
   if data->>'kind' = 'link' and (data->>'name') = any (@SCHEMA@.reserved_names()) then
     perform @SCHEMA@.lt_fail('invalid_class', format('имя связи %s совпадает с методом цепочки', data->>'name'));
@@ -798,12 +806,15 @@ begin
       data->>'name'));
   end if;
   -- предок производного класса (ревью безопасности №3): правка предка пересчитывает описание потомка (class_evolve) —
-  -- поля, ключ, history, — поэтому класс с производными потомками (своего арендатора, у класса System — всех) меняет
-  -- тоже только администратор
+  -- поля, ключ, history, — поэтому класс с производными потомками (своего арендатора, у класса System — всех, кроме
+  -- арендаторов со своим одноимённым классом: их потомки наследуют свой класс) меняет тоже только администратор
   if prevd is not null and not @SCHEMA@.letopis_allowed('letopis.projector') then
     select x.data->>'name' into dkid from @SCHEMA@.entity x
     where x.class = 'Class' and x.data->>'name' <> data->>'name'
-      and (x.tenant = p_tenant or p_tenant = '@SYSTEM@'::uuid)
+      and (x.tenant = p_tenant
+           or p_tenant = '@SYSTEM@'::uuid
+              and x.tenant <> all (array(select y.tenant from @SCHEMA@.entity y
+                                         where y.class = 'Class' and y.data->>'name' = data->>'name' and y.tenant <> '@SYSTEM@'::uuid)))
       and x.data->'resolved'->'ancestors' ? (data->>'name') and x.data->'resolved' ? 'derivedBy'
     order by x.data->>'name' limit 1;
     if dkid is not null then
@@ -962,9 +973,12 @@ begin
   if cls.id is null then
     perform @SCHEMA@.lt_fail('invalid_class', format('класс %s не найден', NEW.class));
   end if;
-  -- разделяемая блокировка корня семейства, затем описание перечитывается под ней
+  -- разделяемая блокировка корня семейства, затем описание перечитывается под ней (класс могли удалить, пока ждали)
   perform @SCHEMA@.family_lock(cls, false);
   cls := @SCHEMA@.class_row(NEW.class, NEW.tenant);
+  if cls.id is null then
+    perform @SCHEMA@.lt_fail('invalid_class', format('класс %s удалён', NEW.class));
+  end if;
   res := cls.data->'resolved';
   if coalesce((res->>'abstract')::boolean, false) then
     perform @SCHEMA@.lt_fail('invalid_class', format('класс %s абстрактный', NEW.class));
@@ -1091,6 +1105,9 @@ begin
   end if;
   perform @SCHEMA@.family_lock(cls, false);
   cls := @SCHEMA@.class_row(NEW.class, OLD.tenant);
+  if cls.id is null then
+    perform @SCHEMA@.lt_fail('invalid_class', format('класс %s удалён', NEW.class));
+  end if;
   res := cls.data->'resolved';
   if coalesce((res->>'abstract')::boolean, false) then
     perform @SCHEMA@.lt_fail('invalid_class', format('класс %s абстрактный', NEW.class));
@@ -1212,6 +1229,10 @@ begin
     -- прав после acl_bump видит новый класс
     perform @SCHEMA@.agg_source_admit(n.data->>'name', @SCHEMA@.agg_new_mark(null, n.data->'resolved'))
     from added n where n.class = 'Class' and n.data->'resolved' ? 'aggregatedBy';
+    -- и описавшему агрегат (хвост ревью доработок после 1.2.0): заведя потомка источника, читающий всё пользователь
+    -- иначе открыл бы его строки тому, кто описал агрегат без права на них
+    perform @SCHEMA@.agg_author_admit(n.data->>'name', n.tenant, null, n.data->'resolved')
+    from added n where n.class = 'Class' and n.data->'resolved' ? 'aggregatedBy';
     -- новая цель агрегатов (план 1.1, §2.4): метки её источников (aggregatedBy) — заново
     perform @SCHEMA@.agg_mark(n.tenant, @SCHEMA@.agg_of(n.data->'resolved'))
     from added n where n.class = 'Class' and n.data->'resolved' ? 'aggregate';
@@ -1269,6 +1290,7 @@ begin
     -- класс становится источником агрегата (смена parent; ревью коммита этапа 4б): право READ без условий на его строки
     -- и после правки — по новым предкам (до правки проверил class_admit)
     perform @SCHEMA@.agg_source_admit(n_row.data->>'name', @SCHEMA@.agg_new_mark(o_row.data->'resolved', n_row.data->'resolved'));
+    perform @SCHEMA@.agg_author_admit(n_row.data->>'name', n_row.tenant, o_row.data->'resolved', n_row.data->'resolved');
     perform @SCHEMA@.class_evolve(o_row, n_row);
   end loop;
   -- отключённый аккаунт: сессии гаснут (этап 5, п. 2), каждая — сигнал кэшу
@@ -1316,6 +1338,8 @@ begin
     if d.tenant = n.tenant then
       perform @SCHEMA@.agg_source_admit(d.data->>'name', @SCHEMA@.agg_new_mark(d.data->'resolved', prep.data->'resolved'));
     end if;
+    -- и описавшему агрегат — в объёме описания (agg_author_admit сам пропускает класс арендатора под агрегатом System)
+    perform @SCHEMA@.agg_author_admit(d.data->>'name', d.tenant, d.data->'resolved', prep.data->'resolved');
     classes := classes || (d.data->>'name');
     if d.data->'resolved'->'aggregate' is distinct from prep.data->'resolved'->'aggregate' then
       agg_names := agg_names || @SCHEMA@.agg_of(d.data->'resolved') || @SCHEMA@.agg_of(prep.data->'resolved');
@@ -1438,6 +1462,7 @@ declare
   lvl_mems jsonb;
   drows jsonb;
   own uuid[];
+  cl @SCHEMA@.entity;
 begin
   select * into c from @SCHEMA@.ctx();
   -- права в замыкании (этап 5, п. 6): DELETE на каждую удаляемую каскадом строку, WRITE — на строку,
@@ -1453,6 +1478,13 @@ begin
   if denied is not null then
     perform @SCHEMA@.lt_fail('derived_class', format('класс %s производный: его строки удаляет проектор', denied));
   end if;
+  -- удаление класса (хвост ревью безопасности доработок после 1.2.0): проверки ниже — нет строк, потомков и истории —
+  -- не видят строку, которую писатель ещё не зафиксировал, и она осталась бы без класса, а с ней история удалённого
+  -- класса, от которой зависит смена алиаса предка. Писатели строк и создание потомка держат разделяемую блокировку
+  -- семейства: исключительная ждёт их, и следующие операторы проверок видят зафиксированное
+  for cl in select g.* from gone g where g.class = 'Class' order by @SCHEMA@.family_name(g.tenant, g.data), g.id loop
+    perform @SCHEMA@.family_lock(cl, true);
+  end loop;
   for r in select g.id, g.tenant, g.data->>'name' as name, g.data->'resolved' ? 'derivedBy' as derived from gone g where g.class = 'Class' loop
     -- производный класс удаляет только администратор (class_admit)
     if r.derived and not @SCHEMA@.letopis_allowed('letopis.projector') then
@@ -1808,6 +1840,9 @@ begin
   end if;
   perform @SCHEMA@.family_lock(cls, false);
   cls := @SCHEMA@.class_row(p_class, o.tenant);
+  if cls.id is null then
+    perform @SCHEMA@.lt_fail('invalid_class', format('класс %s удалён', p_class));
+  end if;
   res := cls.data->'resolved';
   if coalesce((res->>'abstract')::boolean, false) then
     perform @SCHEMA@.lt_fail('invalid_class', format('класс %s абстрактный', p_class));

package/sql/88-derived.sql

@@ -143,6 +143,9 @@ begin
     -- как у писателей приложения: разделяемая блокировка семейства, описание — свежее под ней
     perform @SCHEMA@.family_lock(cls, false);
     cls := @SCHEMA@.class_row(cname, tid);
+    if cls.id is null then
+      perform @SCHEMA@.lt_fail('invalid_class', format('класс %s удалён', cname) || w);
+    end if;
     res := cls.data->'resolved';
     if res->>'derivedBy' is distinct from p_name then
       perform @SCHEMA@.lt_fail('derived_class', format('класс %s не производный проектора %s', cname, p_name) || w);
@@ -581,6 +584,82 @@ begin
   end if;
 end $$;
 
+-- Кто описал агрегат p_field цели p_target (строка Class): автор версии строки Class, с которой развёрнутое описание
+-- агрегата (своё или унаследованное) стало нынешним; надгробие обрывает описание — пересоздавший класс описал агрегат
+-- заново. Журнал строк Class не прореживается и не стирается (purge и обрезка их не берут). Сид и пути владельца без
+-- сессии пишут автора System.
+create or replace function @SCHEMA@.agg_author(p_target @SCHEMA@.entity, p_field text) returns uuid
+language sql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return (select l.author from @SCHEMA@.log l
+        where l.id = p_target.id and l.op not in ('purge', 'trim', 'reset', 'delete')
+          and l.data->'resolved'->'aggregate'->p_field is not distinct from p_target.data->'resolved'->'aggregate'->p_field
+          and (select case when p.op = 'delete' then null else p.data->'resolved'->'aggregate'->p_field end
+               from @SCHEMA@.log p
+               where p.id = l.id and p.rev < l.rev and p.op not in ('purge', 'trim', 'reset')
+               order by p.rev desc limit 1) is distinct from p_target.data->'resolved'->'aggregate'->p_field
+        order by l.rev desc limit 1);
+
+-- Аккаунт p_account читает без условий все строки класса p_class арендатора p_tenant: план READ — как у acl_subject
+-- (аккаунт включён и лежит в System, арендатор — сам аккаунт или по членству), но без отказа: нет аккаунта или
+-- членства — права нет.
+create or replace function @SCHEMA@.agg_author_reads(p_account uuid, p_tenant uuid, p_class text) returns boolean
+language plpgsql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  a jsonb;
+  m jsonb;
+begin
+  select e.data into a from @SCHEMA@.entity e
+  where e.id = p_account and e.class = 'Account' and e.tenant = '@SYSTEM@'::uuid and coalesce((e.data->>'enabled')::boolean, true);
+  if a is null then
+    return false;
+  end if;
+  if p_tenant <> p_account then
+    select x.data into m from @SCHEMA@.entity x
+    where x.id = @SCHEMA@.v5_id(p_tenant, 'member', array[p_account::text, p_tenant::text]) and x.class = 'member' and x.tenant = p_tenant;
+    if m is null then
+      return false;
+    end if;
+  end if;
+  return coalesce(@SCHEMA@.acl_plan_for(p_account, p_tenant,
+      array(select jsonb_array_elements_text(coalesce(a->'categories', '[]'::jsonb))),
+      case when p_tenant = p_account then array['owner']
+           else array(select jsonb_array_elements_text(coalesce(m->'roles', '[]'::jsonb))) end,
+      'READ') -> p_class = '{}'::jsonb, false);
+end $$;
+
+-- Класс p_class арендатора p_tenant становится источником агрегатов — новые метки aggregatedBy описания p_new против
+-- p_old (хвост ревью безопасности доработок после 1.2.0, решение владельца): его строки войдут в агрегат, и описавший
+-- агрегат читал бы в истории цели вклад каждой из них, — поэтому право READ без условий на все строки класса нужно и
+-- описавшему, иначе acl_denied. Объём — тот же, что при описании (class_admit, agg_classes): у агрегата класса
+-- арендатора — классы арендатора, у агрегата класса System — классы System. Класс арендатора под агрегатом System
+-- описавший не проверял и при описании: его, как и прежде, проверяет только тот, кто заводит (agg_source_admit).
+-- Описавший System (сид, путь владельца без сессии) не проверяется.
+create or replace function @SCHEMA@.agg_author_admit(p_class text, p_tenant uuid, p_old jsonb, p_new jsonb) returns void
+language plpgsql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  mk jsonb;
+  tc @SCHEMA@.entity;
+  who uuid;
+begin
+  for mk in select x from jsonb_array_elements(coalesce(p_new->'aggregatedBy', '[]'::jsonb)) x
+            where not coalesce(p_old->'aggregatedBy', '[]'::jsonb) @> jsonb_build_array(x)
+            order by x->>'class', x->>'field' loop
+    tc := @SCHEMA@.class_row(mk->>'class', p_tenant);
+    continue when tc.id is null or (tc.tenant = '@SYSTEM@'::uuid and p_tenant <> '@SYSTEM@'::uuid);
+    who := @SCHEMA@.agg_author(tc, mk->>'field');
+    continue when who is null or who = '@SYSTEM@'::uuid;
+    if not @SCHEMA@.agg_author_reads(who, tc.tenant, p_class) then
+      perform @SCHEMA@.lt_fail('acl_denied', format('класс %s становится источником агрегата %s.%s, а описавший агрегат не читает все его строки (право READ без условий): агрегат описывает заново тот, кто их читает',
+        p_class, mk->>'class', mk->>'field'));
+    end if;
+  end loop;
+end $$;
+
 -- Метки источников заново: классы арендатора p_tenant (System — всех), в предках которых есть одно из имён p_names;
 -- изменившееся описание — новой версией строки Class (журнал, сигнал).
 create or replace function @SCHEMA@.agg_mark(p_tenant uuid, p_names text[]) returns void
@@ -1142,7 +1221,8 @@ begin
   foreach f in array array['agg_fields(jsonb)', 'agg_of(jsonb)', 'agg_zero(jsonb, jsonb)', 'agg_num(jsonb)', 'agg_where_ok(jsonb, jsonb)',
     'agg_guard(jsonb, jsonb, jsonb, boolean)', 'agg_keep(text, uuid, jsonb, jsonb)', 'agg_check_source(jsonb, jsonb, text, jsonb)',
     'agg_cycle(uuid, jsonb)', 'agg_prepare(jsonb, jsonb, uuid)', 'agg_source(jsonb, uuid)', 'agg_marked(jsonb, jsonb)',
-    'agg_new_mark(jsonb, jsonb)', 'agg_source_admit(text, jsonb)', 'agg_mark(uuid, text[])', 'agg_lock_sources(jsonb, jsonb, uuid)',
+    'agg_new_mark(jsonb, jsonb)', 'agg_source_admit(text, jsonb)', 'agg_author(@SCHEMA@.entity, text)',
+    'agg_author_reads(uuid, uuid, text)', 'agg_author_admit(text, uuid, jsonb, jsonb)', 'agg_mark(uuid, text[])', 'agg_lock_sources(jsonb, jsonb, uuid)',
     'agg_classes(text, uuid, boolean)', 'agg_compute(jsonb, uuid, uuid)',
     'agg_check(text, uuid, jsonb)', 'agg_write(@SCHEMA@.entity, jsonb, boolean)', 'agg_token(text)', 'agg_held()',
     'agg_hold_begin(text)', 'agg_hold_end(boolean)', 'agg_merge(jsonb, jsonb)', 'agg_flush(jsonb)', 'agg_kind(text, uuid)',

package/sql/90-time.sql

@@ -80,13 +80,22 @@ begin
   return false;
 end $$;
 
+-- Действующая роль сеанса, под которой вызывающий работает вне функций владельца: роль SET ROLE (и параметра запуска
+-- role), иначе роль входа. Внутри функции владельца current_user — владелец, а session_user — роль входа, даже если
+-- поверх неё поставлена роль приложения: привилегированный вход с ролью приложения выглядел бы администратором
+-- (автоматическое ревью коммита 1734d21). Подменить её нельзя: SET ROLE проверяет членство.
+create or replace function @SCHEMA@.session_role() returns name
+language sql stable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return coalesce(nullif(current_setting('role'), 'none'), session_user)::name;
+
 -- Роль подключения — администраторская (суперпользователь или может стать владельцем): verify,
 -- reset и maintain доступны ей и без сессии (CLI, обслуживание по расписанию).
 create or replace function @SCHEMA@.admin_role() returns boolean
 language sql stable
 set search_path = pg_catalog, @SCHEMA@, pg_temp
-return exists (select 1 from pg_roles where rolname = session_user and rolsuper)
-    or pg_has_role(session_user, '@OWNER_NAME@', 'SET');
+return exists (select 1 from pg_roles where rolname = @SCHEMA@.session_role() and rolsuper)
+    or pg_has_role(@SCHEMA@.session_role(), '@OWNER_NAME@', 'SET');
 
 -- Право letopis.* актора сессии по правилам System или администраторская роль подключения.
 create or replace function @SCHEMA@.letopis_allowed(p_endpoint text) returns boolean
@@ -209,6 +218,9 @@ begin
   end if;
   perform @SCHEMA@.family_lock(cls, false);
   cls := @SCHEMA@.class_row(l.class, l.tenant);
+  if cls.id is null then
+    perform @SCHEMA@.lt_fail('invalid_class', format('класс %s удалён', l.class));
+  end if;
   res := cls.data->'resolved';
   if coalesce((res->>'abstract')::boolean, false) then
     perform @SCHEMA@.lt_fail('invalid_class', format('класс %s абстрактный', l.class));
@@ -256,12 +268,16 @@ end $$;
 -- все версии удаляются, а на место версии 1 встаёт запись purge с числом стёртых версий и хэшем
 -- последней. Право DELETE на класс по последнему снимку. История системных классов — аудит прав и
 -- схемы: её не стирают.
--- Проектор источника ещё не прочёл версию (p_tx, p_seq) строки арендатора p_tenant класса из p_classes (ревью
--- безопасности №3, №5 — purge; хвост ревью №3 — обрезка истории). Проектор касается арендатора, у которого есть его
--- производный класс (derivedBy — имя проектора): брошенный проектор с удалёнными производными классами не держит.
--- Курсор «tx:seq~снимок»: транзакции, видимые в снимке, учла перестройка. Чекпоинт без from (до 1.2.0) касается всех
--- классов.
-create or replace function @SCHEMA@.projector_behind(p_tenant uuid, p_classes text[], p_tx xid8, p_seq bigint) returns boolean
+-- Проектор источника ещё не прочёл одну из версий p_id арендатора p_tenant с номером до p_rev включительно (null — все
+-- версии): курсор не прошёл её позицию (tx, seq), и снимок перестройки её не учёл (ревью безопасности №3, №5 — purge;
+-- хвост ревью №3 — обрезка истории). Проверяется каждая версия (хвост ревью доработок после 1.2.0): у более поздней
+-- версии бывает меньший xid, а снимок перестройки учитывает транзакции, зафиксированные до него, — непрочитанной может
+-- оказаться и версия между самой поздней по (tx, seq) и последней. Проектор касается арендатора, у которого есть его
+-- производный класс (derivedBy — имя проектора): брошенный проектор с удалёнными производными классами не держит, — и
+-- строки, у которой хоть одна из этих версий — в классах его источника: уход из семейства источников сменой класса он
+-- тоже читает. Курсор «tx:seq~снимок»; чекпоинт без from (до 1.2.0) касается всех классов. Записи purge, trim и reset —
+-- не версии.
+create or replace function @SCHEMA@.projector_unread(p_tenant uuid, p_id uuid, p_rev int) returns boolean
 language sql stable
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 return exists (select 1 from @SCHEMA@.secret s
@@ -272,11 +288,18 @@ return exists (select 1 from @SCHEMA@.secret s
                  and exists (select 1 from @SCHEMA@.entity x where x.class = 'Class' and x.tenant = p_tenant
                              and x.data->'resolved'->>'derivedBy' = s.ident)
                  and (not s.meta ? 'from'
-                      or exists (select 1 from unnest(p_classes) c
-                                 where coalesce((@SCHEMA@.class_row(c, p_tenant)).data->'resolved'->'ancestors', jsonb_build_array(c))
+                      or exists (select 1 from (select distinct v.class from @SCHEMA@.log v
+                                                where v.id = p_id and (p_rev is null or v.rev <= p_rev)
+                                                  and v.op not in ('purge', 'trim', 'reset')) c
+                                 where coalesce((@SCHEMA@.class_row(c.class, p_tenant)).data->'resolved'->'ancestors', jsonb_build_array(c.class))
                                        ?| array(select jsonb_array_elements_text(s.meta->'from'))))
-                 and (p_tx, p_seq) > (split_part(k.head, ':', 1)::xid8, split_part(k.head, ':', 2)::bigint)
-                 and not coalesce(pg_visible_in_snapshot(p_tx, k.snap::pg_snapshot), false));
+                 and exists (select 1 from @SCHEMA@.log v
+                             where v.id = p_id and (p_rev is null or v.rev <= p_rev) and v.op not in ('purge', 'trim', 'reset')
+                               and (v.tx, v.seq) > (split_part(k.head, ':', 1)::xid8, split_part(k.head, ':', 2)::bigint)
+                               and not coalesce(pg_visible_in_snapshot(v.tx, k.snap::pg_snapshot), false)));
+
+-- до 1.4 проверялась одна позиция: надгробие у purge, самая поздняя по (tx, seq) версия у стыка обрезки
+drop function if exists @SCHEMA@.projector_behind(uuid, text[], xid8, bigint);
 
 create or replace function @SCHEMA@.purge(p_id uuid, p_confirm boolean default false) returns jsonb
 language plpgsql volatile security definer
@@ -301,9 +324,9 @@ begin
   if not @SCHEMA@.acl_row_ok(@SCHEMA@.acl_plan('DELETE'), l.class, l.id, l.owner, l.tenant, l.tags, l.data, l.links) then
     perform @SCHEMA@.lt_fail('acl_denied', format('нет права DELETE на класс %s', l.class));
   end if;
-  -- проектор источника, чей курсор ещё не прошёл надгробие (в том числе надгробие этой транзакции), об удалении не
-  -- узнал бы — вклад строки остался бы в итогах навсегда (ревью безопасности №3, №5)
-  if @SCHEMA@.projector_behind(l.tenant, array[l.class], l.tx, l.seq) then
+  -- проектор источника, который ещё не прочёл какую-то версию строки (в том числе надгробие этой транзакции), об
+  -- удалении не узнал бы — вклад строки остался бы в итогах навсегда (ревью безопасности №3, №5)
+  if @SCHEMA@.projector_unread(l.tenant, p_id, null) then
     perform @SCHEMA@.lt_fail('projector_pending', 'проектор источника ещё не прочёл удаление: purge — после его run()');
   end if;
   select count(*)::int into n from @SCHEMA@.log x where x.id = p_id;
@@ -340,7 +363,6 @@ declare
   r @SCHEMA@.log;
   first @SCHEMA@.log;
   nxt record;
-  late record;
   j int;
   h bytea;
   k int;
@@ -385,15 +407,11 @@ begin
     select x.* into first from @SCHEMA@.log x where x.id = r.id order by x.rev limit 1;
     -- до момента — только сама запись trim: стирать нечего
     continue when j = 1 and first.op = 'trim';
-    -- проектор источника, чей курсор ещё не прошёл первую оставшуюся версию: читая её, он возьмёт прошлую версию для
-    -- before, а её уже не будет — свёртка прибавила бы новую, не вычитая прежнюю (хвост ревью безопасности №3). Класс —
-    -- обеих версий у стыка: строка могла уйти из семейства источников сменой класса
-    select x.rev, x.class into nxt from @SCHEMA@.log x where x.id = r.id and x.rev > j order by x.rev limit 1;
-    -- позиция — самая поздняя по (tx, seq) среди стираемых версий и первой оставшейся: у более поздней версии бывает
-    -- меньший xid (автоматическое ревью)
-    select x.tx, x.seq into late from @SCHEMA@.log x where x.id = r.id and x.rev <= nxt.rev order by x.tx desc, x.seq desc limit 1;
-    if @SCHEMA@.projector_behind(r.tenant, array[(select x.class from @SCHEMA@.log x where x.id = r.id and x.rev = j), nxt.class],
-                                 late.tx, late.seq) then
+    -- проектор источника, который ещё не прочёл стираемые версии или первую оставшуюся: читая её, он возьмёт прошлую
+    -- версию для before, а её уже не будет — свёртка прибавила бы новую, не вычитая прежнюю (хвост ревью безопасности
+    -- №3); каждая версия до первой оставшейся — у более поздней версии бывает меньший xid
+    select x.rev into nxt from @SCHEMA@.log x where x.id = r.id and x.rev > j order by x.rev limit 1;
+    if @SCHEMA@.projector_unread(r.tenant, r.id, nxt.rev) then
       perform @SCHEMA@.lt_fail('projector_pending', 'проектор источника ещё не прочёл версии: trimHistory — после его run()');
     end if;
     select x.hash into h from @SCHEMA@.log x where x.id = r.id and x.rev = j;
@@ -456,6 +474,9 @@ begin
   cls := @SCHEMA@.class_row(o.class, o.tenant);
   perform @SCHEMA@.family_lock(cls, false);
   cls := @SCHEMA@.class_row(o.class, o.tenant);
+  if cls.id is null then
+    perform @SCHEMA@.lt_fail('invalid_class', format('класс %s удалён', o.class));
+  end if;
   res := cls.data->'resolved';
   if res ? 'derivedBy' then
     perform @SCHEMA@.lt_fail('derived_class', format('класс %s производный: его строки пишет проектор %s', o.class, res->>'derivedBy'));
@@ -1061,7 +1082,10 @@ end $$;
 -- окна p_upto — последняя строка полной пачки watch_read), а строки — синтетические надгробия прежней версии: класс,
 -- концы и данные прежние; номер, время, автор, tx и seq — версии смены класса; вид delete; агента и причины нет. Только
 -- если нового класса нет в p_classes, а прежнюю версию актор видит (row_visible с его планом READ): о строке, которой он
--- не читал, подписчик не узнает. Функция владельца: версию с новым классом актору видеть не нужно.
+-- не читал, подписчик не узнает. Функция владельца: версию с новым классом актору видеть не нужно. Подключение в обход
+-- RLS (суперпользователь, BYPASSRLS, член роли-владельца с наследованием — connect() пускает его только с
+-- allowBypassRls) видит в watch_read журнал всех арендаторов, поэтому и события ухода получает все, с автором (хвост
+-- ревью доработок после 1.2.0). Роль — действующая роль сеанса (session_role): та, к которой watch_read применяет RLS.
 create or replace function @SCHEMA@.watch_leaving(p_tx xid8, p_seq bigint, p_classes text[], p_limit int,
   p_snap pg_snapshot default null, p_upto_tx xid8 default null, p_upto_seq bigint default null)
 returns setof @SCHEMA@.log
@@ -1071,12 +1095,15 @@ as $$
 declare
   horizon xid8 := pg_snapshot_xmin(pg_current_snapshot());
   a jsonb;
+  bypass boolean;
 begin
   if p_classes is null then
     return;
   end if;
-  a := @SCHEMA@.acl_actor('READ');
-  if a is null then
+  bypass := exists (select 1 from pg_roles r where r.rolname = @SCHEMA@.session_role() and (r.rolsuper or r.rolbypassrls))
+            or pg_has_role(@SCHEMA@.session_role(), '@OWNER_NAME@', 'USAGE');
+  a := case when not bypass then @SCHEMA@.acl_actor('READ') end;
+  if a is null and not bypass then
     return;
   end if;
   -- новую версию актор не видит — надгробие при любом p_classes и без автора: перебором классов подписки он узнал бы её
@@ -1086,15 +1113,15 @@ begin
     from @SCHEMA@.log l
     cross join lateral (select x.* from @SCHEMA@.log x where x.id = l.id and x.rev < l.rev and x.op not in ('purge', 'trim', 'reset')
                         order by x.rev desc limit 1) p
-    cross join lateral (select @SCHEMA@.row_visible(l.tenant, l.class, l.id, l.owner, l.tags, l.data, l.links,
+    cross join lateral (select bypass or @SCHEMA@.row_visible(l.tenant, l.class, l.id, l.owner, l.tags, l.data, l.links,
                                (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan') as seen) v
     where (l.tx, l.seq) > (p_tx, p_seq) and l.tx < horizon
       and (p_upto_tx is null or (l.tx, l.seq) <= (p_upto_tx, p_upto_seq))
       and l.op = 'reclass' and l.moved is null and (not (l.class = any (p_classes)) or not v.seen)
       and p.class = any (p_classes) and p.op <> 'delete'
       and (p_snap is null or not pg_visible_in_snapshot(l.tx, p_snap))
-      and @SCHEMA@.row_visible(p.tenant, p.class, p.id, p.owner, p.tags, p.data, p.links,
-                               (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan')
+      and (bypass or @SCHEMA@.row_visible(p.tenant, p.class, p.id, p.owner, p.tags, p.data, p.links,
+                                          (a->>'tenant')::uuid, (a->>'account')::uuid, a->'plan'))
     order by l.tx, l.seq limit p_limit;
 end $$;
 
@@ -1116,8 +1143,8 @@ declare f text;
 begin
   foreach f in array array[
     'history_default()', 'history_policy(jsonb)', 'history_iv(text)', 'history_horizon(jsonb)',
-    'history_keep(jsonb, timestamp, timestamp, timestamp)', 'admin_role()', 'letopis_allowed(text)', 'session_expires()', 'signal_mode()', 'signal_key()', 'class_stamp()',
-    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid)', 'projector_behind(uuid, text[], xid8, bigint)', 'purge(uuid, boolean)', 'trim_history(uuid[], text[], timestamptz)',
+    'history_keep(jsonb, timestamp, timestamp, timestamp)', 'session_role()', 'admin_role()', 'letopis_allowed(text)', 'session_expires()', 'signal_mode()', 'signal_key()', 'class_stamp()',
+    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid)', 'projector_unread(uuid, uuid, int)', 'purge(uuid, boolean)', 'trim_history(uuid[], text[], timestamptz)',
     'rekey(uuid, jsonb, jsonb)', 'rekey_class(text, jsonb)', 'account_purge(uuid)', 'reset_mark(uuid, text, uuid)',
     'reset(text, text, uuid, int)', 'thin_batch(timestamptz, int)', 'maintain(timestamptz, int)', 'verify(boolean)',
     'watch_read(xid8, bigint, timestamptz, text[], int, pg_snapshot, boolean)', 'watch_leaving(xid8, bigint, text[], int, pg_snapshot, xid8, bigint)', 'watch_head()'] loop

package/sql/99-revision.sql

@@ -1,3 +1,4 @@
 -- letopis 1.0 — штамп ревизии движка (план, §2.2, этап 1, п. 11): последний оператор наката.
--- Номер совпадает с DDL_REVISION в lib/src/types.ts (проверяет check-docs).
-comment on schema @SCHEMA@ is 'letopis ddl_revision=6';
+-- Номер совпадает с DDL_REVISION в lib/src/types.ts (проверяет check-docs). С 1.4 в штампе ещё версия пакета и хэш
+-- файлов ядра (engine, sql): connect() предупреждает, если функции схемы ставила другая версия движка той же ревизии.
+comment on schema @SCHEMA@ is 'letopis ddl_revision=6 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';

package/sql/README.md

@@ -17,6 +17,8 @@
 | `@HISTORY_DEFAULT@` | политика хранения по умолчанию `up({ history })` литералом JSON или `'null'` — константа установки |
 | `@RESERVED_NAMES@` | методы цепочки — `RESERVED_CLASS_NAMES` из `lib/src/types.ts`, литералами через запятую |
 | `@SIGNALS@` | режим сигналов `class`, `tenant`, `opaque` или `none` (план 1.1, §2.2): опция `up({ signals })`, иначе сохранённый в `meta.signals` строки ключа `secret`, иначе `class` — константа установки |
+| `@ENGINE_VERSION@` | версия пакета (`lib/package.json`) — штамп движка в комментарии схемы (`99-revision.sql`) |
+| `@ENGINE_SQL@` | 16 знаков sha256 исходного текста файлов `NN-*.sql` до подстановок (переводы строк — LF): `connect()` сверяет его с файлами своего пакета |
 
 ## Колонки снимка версии