letopis 1.4.0 → 1.4.1

package/sql/60-write.sql

@@ -1217,7 +1217,8 @@ begin
   select n.id, n.rev, n.class, n.cv, n.tenant, n.owner, n.links, n.data, n.tags, n.at, n.author, n.agent, n.op, n.reason, n.moved, n.prev_hash
   from added n
   join (select k.class, k.tenant from (select distinct a.class, a.tenant from added a) k
-        where @SCHEMA@.history_on(k.class, k.tenant)) h on h.class = n.class and h.tenant = n.tenant;
+        where @SCHEMA@.history_on(k.class, k.tenant)) h on h.class = n.class and h.tenant = n.tenant
+  order by n.at, n.id;  -- порядок seq — порядок входа, а не плана соединения
   -- сигнал — по паре «класс, арендатор»
   select array_agg(k.class), array_agg(k.tenant) into sc, st from (select distinct a.class, a.tenant from added a) k;
   perform @SCHEMA@.signal(sc, st);
@@ -1273,7 +1274,8 @@ begin
   from new_rows n
   join old_rows o on o.id = n.id and o.rev <> n.rev
   join (select k.class, k.tenant from (select distinct a.class, a.tenant from new_rows a) k
-        where @SCHEMA@.history_on(k.class, k.tenant)) h on h.class = n.class and h.tenant = n.tenant;
+        where @SCHEMA@.history_on(k.class, k.tenant)) h on h.class = n.class and h.tenant = n.tenant
+  order by n.id;  -- порядок seq не зависит от плана: правка многих строк пишет версии в порядке id
   -- сигнал — по парам нового и прежнего класса: при смене класса без ключа ответы прежнего класса в
   -- кэше других процессов устарели бы (в 1.0.1 сигнал шёл только по новому)
   select array_agg(k.class), array_agg(k.tenant) into sc, st
@@ -1385,6 +1387,24 @@ begin
   return null;
 end $$;
 
+-- Перед удалением строки Account (ревизия 7, решение владельца). Строки secret аккаунта — сессии, хэши паролей и ключей,
+-- секреты TOTP, внешние учётные записи — уносит каскад внешнего ключа secret.account в конце оператора, раньше триггера
+-- после него, поэтому сессии гаснут с сигналом session:<хэш> здесь: процессы сбрасывают кэш ответов этих сессий.
+-- Срабатывает для всех ролей, в том числе владельца: аккаунты удаляют и функции владельца — каскад trg_entity_ad и
+-- account_purge. Строка Account у System не удаляется: ей принадлежат служебные строки secret (KEY — ключ прав и
+-- сигналов, LOCK — строки-замки, PROJECTOR — чекпоинты проекторов), которые каскад стёр бы, а без них установка не пишет.
+create or replace function @SCHEMA@.trg_entity_bd_account() returns trigger
+language plpgsql security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+begin
+  if OLD.id = '@SYSTEM@'::uuid then
+    perform @SCHEMA@.lt_fail('acl_denied', 'аккаунт System не удаляется: ему принадлежат служебные строки установки');
+  end if;
+  perform @SCHEMA@.auth_kill(OLD.id, null);
+  return OLD;
+end $$;
+
 -- Действие со строкой, которая ссылается на удаляемые id (p_ids), по правилам её концов (p_ends):
 -- cascade сильнее restrict, restrict сильнее unset; null — строка на них не ссылается. Общее правило
 -- для триггера удаления и превью delete_preview() (этап 4, п. 6): превью не расходится с удалением.
@@ -1456,9 +1476,7 @@ declare
   dplan jsonb;
   wplan jsonb;
   denied text;
-  accs uuid[];
   mems jsonb;
-  lvl_accs uuid[];
   lvl_mems jsonb;
   drows jsonb;
   own uuid[];
@@ -1526,19 +1544,21 @@ begin
   perform @SCHEMA@.agg_mark(g.tenant, @SCHEMA@.agg_of(g.data->'resolved'))
   from gone g where g.class = 'Class' and g.data->'resolved' ? 'aggregate';
   v_author := coalesce(c.author, '@SYSTEM@'::uuid);
-  -- надгробия: последний снимок следующей версией с видом delete — одной вставкой на уровень
+  -- надгробия: последний снимок следующей версией с видом delete — одной вставкой на уровень, в порядке id: без
+  -- order by порядок seq (а с ним итог delete() и время at) зависел от плана соединения и менялся от прогона к
+  -- прогону; время now_ts() (volatile) планировщик вычисляет уже после сортировки
   insert into @SCHEMA@.log (id, rev, class, cv, tenant, owner, links, data, tags, at, author, agent, op, reason, moved, prev_hash, changed)
   select g.id, g.rev + 1, g.class, g.cv, g.tenant, g.owner, g.links, g.data, g.tags,
          greatest(@SCHEMA@.now_ts(), g.at + interval '1 microsecond'), v_author, c.agent, 'delete', v_reason, null, g.hash, '[]'::jsonb
   from gone g
   join (select d.class, d.tenant from (select distinct x.class, x.tenant from gone x) d
-        where @SCHEMA@.history_on(d.class, d.tenant)) h on h.class = g.class and h.tenant = g.tenant;
+        where @SCHEMA@.history_on(d.class, d.tenant)) h on h.class = g.class and h.tenant = g.tenant
+  order by g.id;
   -- пары «класс, арендатор» для сигнала — строкой «класс арендатор» (пробела нет ни в имени, ни в uuid)
   select coalesce(array_agg(g.id), '{}'), coalesce(array_agg(distinct g.class), '{}'),
          coalesce(array_agg(distinct g.class || ' ' || g.tenant::text), '{}'),
-         coalesce(array_agg(g.id) filter (where g.class = 'Account'), '{}'),
          coalesce(jsonb_agg(jsonb_build_object('tenant', g.tenant, 'user', g.links->>'User')) filter (where g.class = 'member'), '[]'::jsonb)
-    into lvl, classes, pairs, accs, mems from gone g;
+    into lvl, classes, pairs, mems from gone g;
   all_ids := lvl;
   while cardinality(lvl) > 0 loop
     -- кто ссылается на уровень: действие по правилам концов (общее с превью)
@@ -1566,20 +1586,19 @@ begin
       from d
       join (select dd.class, dd.tenant from (select distinct x.class, x.tenant from d x) dd
             where @SCHEMA@.history_on(dd.class, dd.tenant)) h on h.class = d.class and h.tenant = d.tenant
+      order by d.id  -- надгробия уровня в порядке id, как и на уровне 0
     )
     select coalesce(array_agg(d.id), '{}'), coalesce(array_agg(distinct d.class), '{}'),
            coalesce(array_agg(distinct d.class || ' ' || d.tenant::text), '{}'),
            jsonb_agg(to_jsonb(d)) filter (where not @SCHEMA@.acl_row_ok(dplan, d.class, d.id, d.owner, d.tenant, d.tags, d.data, d.links)),
-           coalesce(array_agg(d.id) filter (where d.class = 'Account'), '{}'),
            coalesce(jsonb_agg(jsonb_build_object('tenant', d.tenant, 'user', d.links->>'User')) filter (where d.class = 'member'), '[]'::jsonb)
-      into lvl, lvl_classes, lvl_pairs, drows, lvl_accs, lvl_mems from d;
+      into lvl, lvl_classes, lvl_pairs, drows, lvl_mems from d;
     -- класс отказавшей строки называется, только если актор её видит (ревью безопасности №3)
     if drows is not null then
       denied := @SCHEMA@.visible_class(drows);
       perform @SCHEMA@.lt_fail('acl_denied', case when denied is not null then format('нет права DELETE на класс %s в каскаде удаления', denied)
                                                    else 'нет права DELETE на строки в каскаде удаления' end);
     end if;
-    accs := accs || lvl_accs;
     mems := mems || lvl_mems;
     classes := classes || lvl_classes;
     pairs := pairs || lvl_pairs;
@@ -1605,14 +1624,11 @@ begin
   end loop;
   -- выход из членства (и удаление аккаунта, которое снимает его членства): строки арендатора, которыми
   -- владел участник, переходят арендатору (§2.10) — новой версией
-  for r in select distinct (m->>'tenant')::uuid as tenant, (m->>'user')::uuid as usr from jsonb_array_elements(mems) m loop
+  for r in select distinct (m->>'tenant')::uuid as tenant, (m->>'user')::uuid as usr from jsonb_array_elements(mems) m order by 1, 2 loop
     perform @SCHEMA@.owner_to_tenant(r.tenant, r.usr);
   end loop;
-  -- удалённый аккаунт: сессии гаснут, креды удаляются (идентификаторы освобождаются)
-  for r in select distinct u as acc from unnest(accs) u loop
-    perform @SCHEMA@.auth_kill(r.acc, null);
-    update @SCHEMA@.secret x set deleted_at = clock_timestamp() where x.account = r.acc and x.deleted_at is null;
-  end loop;
+  -- удалённый аккаунт (ревизия 7): сессии погасил с сигналом триггер до удаления (trg_entity_bd_account), его строки
+  -- secret стёр каскад внешнего ключа secret.account — идентификаторы входа свободны
   perform @SCHEMA@.signal(array_agg(split_part(x.p, ' ', 1)), array_agg(split_part(x.p, ' ', 2)::uuid))
   from (select distinct p from unnest(pairs) p) x;
   if classes && array['rule', 'Resource', 'member', 'Account', 'Class'] then
@@ -1700,6 +1716,9 @@ create or replace trigger entity_au after update on @SCHEMA@.entity referencing
   for each statement when (current_user <> '@OWNER_NAME@') execute function @SCHEMA@.trg_entity_au();
 create or replace trigger entity_bd before delete on @SCHEMA@.entity
   for each statement when (current_user <> '@OWNER_NAME@') execute function @SCHEMA@.trg_entity_bd();
+-- удаление аккаунта — для всех ролей, в том числе владельца (каскад trg_entity_ad, account_purge): ревизия 7
+create or replace trigger entity_bd_account before delete on @SCHEMA@.entity
+  for each row when (OLD.class = 'Account') execute function @SCHEMA@.trg_entity_bd_account();
 create or replace trigger entity_ad after delete on @SCHEMA@.entity referencing old table as gone
   for each statement when (current_user <> '@OWNER_NAME@') execute function @SCHEMA@.trg_entity_ad();
 -- в режиме репликации (session_replication_role = replica) триггеры тоже работают
@@ -1708,6 +1727,7 @@ alter table @SCHEMA@.entity enable always trigger entity_bu;
 alter table @SCHEMA@.entity enable always trigger entity_ai;
 alter table @SCHEMA@.entity enable always trigger entity_au;
 alter table @SCHEMA@.entity enable always trigger entity_bd;
+alter table @SCHEMA@.entity enable always trigger entity_bd_account;
 alter table @SCHEMA@.entity enable always trigger entity_ad;
 
 -- ========================= смена класса с ключом =========================
@@ -2030,7 +2050,7 @@ begin
     'incoming_conflicts(uuid, text, uuid)', 'visible_detail(jsonb, uuid)', 'visible_class(jsonb)', 'class_change_safe(jsonb, jsonb)',
     'family_conflicts(text[], uuid, boolean)', 'reserved_names()', 'class_acl_admit(text, uuid)', 'class_rows_admit(text, uuid, text[], text)', 'class_has_history(text, uuid)', 'class_orphan_history(text, uuid)', 'class_admit(jsonb, uuid)',
     'trg_entity_bi()', 'trg_entity_bu()', 'trg_entity_ai()', 'trg_entity_au()', 'history_on(text, uuid)', 'signal_token(text, text, bytea)', 'signal_raw(text[])', 'signal(text[], uuid[])', 'class_evolve(@SCHEMA@.entity, @SCHEMA@.entity)',
-    'trg_entity_bd()', 'trg_entity_ad()', 'owner_to_tenant(uuid, uuid)', 'ref_action(jsonb, jsonb, uuid[])', 'delete_preview(uuid[])', 'merge(jsonb, jsonb)', 'inc(jsonb, text[], numeric, numeric)', 'links_patch(jsonb, jsonb)'] loop
+    'trg_entity_bd()', 'trg_entity_bd_account()', 'trg_entity_ad()', 'owner_to_tenant(uuid, uuid)', 'ref_action(jsonb, jsonb, uuid[])', 'delete_preview(uuid[])', 'merge(jsonb, jsonb)', 'inc(jsonb, text[], numeric, numeric)', 'links_patch(jsonb, jsonb)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;

package/sql/80-auth.sql

@@ -795,6 +795,43 @@ begin
     where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant);
 end $$;
 
+-- Сведения о сессии по токену (db.auth.session): сервис, у которого есть токен пользователя (например, из
+-- cookie), узнаёт, чья это сессия, жива ли она и в каком арендаторе работает, не подключаясь по этому токену.
+-- Право auth.session, как у issue_session. Неверный, погашенный или истёкший токен и отключённый аккаунт — null:
+-- причина не различается, как в ctx(). Сессия ищется только среди SESSION: ключ API или код с тем же sha256 не
+-- подойдут. member — проверка членства из ctx() без исключения: членство в рабочем арендаторе цело и арендатор
+-- включён; собственный арендатор — всегда true.
+create or replace function @SCHEMA@.auth_session_info(p_token text) returns jsonb
+language plpgsql stable security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  c record;
+  s record;
+  t uuid;
+begin
+  select * into c from @SCHEMA@.ctx();
+  perform @SCHEMA@.auth_session_required(c.account);
+  perform @SCHEMA@.acl_require('auth.session');
+  select x.account, x.meta, x.expires_at into s from @SCHEMA@.secret x
+  where x.kind = 'SESSION' and x.deleted_at is null and x.material = sha256(convert_to(coalesce(p_token, ''), 'UTF8'))
+    and (x.expires_at is null or x.expires_at > clock_timestamp());
+  if s.account is null or not @SCHEMA@.auth_enabled(s.account) then
+    return null;
+  end if;
+  t := coalesce((s.meta->>'tenant')::uuid, s.account);
+  return jsonb_build_object(
+    'account', s.account,
+    'tenant', t,
+    'member', t = s.account or (
+      exists (select 1 from @SCHEMA@.entity x
+              where x.id = @SCHEMA@.v5_id(t, 'member', array[s.account::text, t::text]) and x.class = 'member' and x.tenant = t)
+      and @SCHEMA@.auth_enabled(t)),
+    'expiresAt', s.expires_at,
+    'loginAt', s.meta->'login_at',
+    'methods', coalesce(s.meta->'methods', '[]'::jsonb));
+end $$;
+
 do $$
 declare f text;
 begin
@@ -807,7 +844,7 @@ begin
     'login_otp(text, text, text)', 'totp_code(bytea, bigint)', 'auth_enroll_totp(uuid)', 'auth_verify_totp(uuid, text, int)',
     'auth_totp_enabled(uuid)', 'auth_link(uuid, text, text, jsonb, boolean)', 'auth_lookup(text, text, boolean)',
     'auth_credentials(uuid)', 'auth_revoke_credential(uuid, boolean)', 'auth_set_flags(uuid, boolean, boolean)',
-    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()'] loop
+    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()', 'auth_session_info(text)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
@@ -824,4 +861,4 @@ grant execute on function
   @SCHEMA@.auth_totp_enabled(uuid), @SCHEMA@.auth_link(uuid, text, text, jsonb, boolean), @SCHEMA@.auth_lookup(text, text, boolean),
   @SCHEMA@.auth_credentials(uuid), @SCHEMA@.auth_revoke_credential(uuid, boolean), @SCHEMA@.auth_set_flags(uuid, boolean, boolean),
   @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_all(uuid), @SCHEMA@.auth_switch(uuid),
-  @SCHEMA@.auth_tenants() to @APP@;
+  @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;

package/sql/88-derived.sql

@@ -272,6 +272,7 @@ begin
     from g
     join (select d.class, d.tenant from (select distinct y.class, y.tenant from g y) d
           where @SCHEMA@.history_on(d.class, d.tenant)) h on h.class = g.class and h.tenant = g.tenant
+    order by g.id  -- надгробия в порядке id, как в trg_entity_ad
   )
   select count(*)::int, coalesce(array_agg(distinct g.class || ' ' || g.tenant::text), '{}') into n, pairs from g;
   if n > 0 then

package/sql/90-time.sql

@@ -622,7 +622,7 @@ end $$;
 -- последнего включённого владельца. Данные и журнал арендатора-цели стираются физически; в чужих
 -- арендаторах членства снимаются (надгробия), владение строками переходит арендаторам (§2.10);
 -- остались ссылки на аккаунт — delete_restricted. Строка Account удаляется с надгробием (история
--- аккаунтов — аудит), сессии гаснут, креды удаляются.
+-- аккаунтов — аудит), сессии гаснут с сигналом, строки secret аккаунта стирает каскад внешнего ключа.
 create or replace function @SCHEMA@.account_purge(p_account uuid) returns jsonb
 language plpgsql volatile security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
@@ -658,6 +658,14 @@ begin
   if a.id is null or p_account = '@SYSTEM@'::uuid then
     perform @SCHEMA@.lt_fail('target_not_found', 'аккаунт не найден');
   end if;
+  -- владелец стирает арендатора, в котором работает: его членство уйдёт вместе с данными, а надгробия и
+  -- передача владения ниже перечитывают ctx() — остаток операции идёт в личном арендаторе вызывающего,
+  -- и его сессия больше не указывает на стёртого арендатора (иначе tenant_denied и откат всего вызова)
+  if c.tenant = p_account then
+    perform set_config('letopis.tenant', c.account::text, true);
+    update @SCHEMA@.secret s set meta = s.meta - 'tenant'
+    where s.id = c.session and s.kind = 'SESSION' and s.meta->>'tenant' = p_account::text;
+  end if;
   -- последний владелец: в каждом чужом арендаторе, где цель — владелец, должен остаться другой
   for t in select x.tenant from @SCHEMA@.entity x
            where x.class = 'member' and x.links->>'User' = p_account::text and x.tenant <> p_account
@@ -679,7 +687,7 @@ begin
     perform @SCHEMA@.tombstone(m);
     n_mem := n_mem + 1;
   end loop;
-  for t in select distinct x.tenant from @SCHEMA@.entity x where x.owner = p_account and x.owner <> x.tenant loop
+  for t in select distinct x.tenant from @SCHEMA@.entity x where x.owner = p_account and x.owner <> x.tenant order by x.tenant loop
     n_own := n_own + @SCHEMA@.owner_to_tenant(t.tenant, p_account);
   end loop;
   select coalesce(jsonb_agg(jsonb_build_object('id', x.id, 'class', x.class, 'tenant', x.tenant)), '[]'::jsonb) into blockers
@@ -687,10 +695,10 @@ begin
   if blockers <> '[]'::jsonb then
     perform @SCHEMA@.lt_fail('delete_restricted', 'на аккаунт ссылаются другие строки', @SCHEMA@.visible_detail(blockers, c.tenant));
   end if;
+  -- сессии аккаунта гасит с сигналом триггер до удаления (trg_entity_bd_account, срабатывает и для владельца), а его
+  -- строки secret — сессии и креды — стирает каскад внешнего ключа secret.account (ревизия 7)
   delete from @SCHEMA@.entity x where x.id = p_account;
   perform @SCHEMA@.tombstone(a);
-  perform @SCHEMA@.auth_kill(p_account, null);
-  delete from @SCHEMA@.secret s where s.account = p_account;
   -- данные арендатора-цели — его парами; Account и member — классы прав, их сигнал сбрасывает всё
   perform @SCHEMA@.signal(classes || array['Account', 'member'],
     array(select p_account from unnest(classes)) || array['@SYSTEM@'::uuid, '@SYSTEM@'::uuid]);
@@ -897,7 +905,9 @@ begin
   with d as (delete from @SCHEMA@.secret x where x.kind = 'SESSION'
              and (x.deleted_at is not null or x.expires_at <= clock_timestamp()) returning 1)
   select count(*)::int into s from d;
-  with d as (delete from @SCHEMA@.secret x where x.kind = 'OTP'
+  -- коды всех видов, которые выпускает auth_issue_otp: OTP и OTP_<имя> (тот же шаблон вида), — использованные,
+  -- заменённые, исчерпавшие попытки (deleted_at) и истёкшие
+  with d as (delete from @SCHEMA@.secret x where x.kind ~ '^OTP(_[A-Z0-9]{1,27})?$'
              and (x.deleted_at is not null or x.expires_at <= clock_timestamp()) returning 1)
   select count(*)::int into o from d;
   return jsonb_build_object('sessions', s, 'codes', o, 'queue', pg_notification_queue_usage())

package/sql/95-seed.system.sql

@@ -78,6 +78,12 @@ declare
   o_signals uuid;
   op text;
 begin
+  -- аккаунт System — раньше строки ключа: служебные строки secret (KEY, LOCK, PROJECTOR) принадлежат ему, а внешний
+  -- ключ secret.account (ревизия 7) требует строку аккаунта в entity. Счётчик прав sys_create повышает, только когда
+  -- строка ключа уже есть, — на свежей установке и после reset({ all }) ей неоткуда взяться, и начальный v — 0
+  perform @SCHEMA@.sys_create('@SYSTEM@'::uuid, 'Account', '@SYSTEM@'::uuid, '{}',
+    '{"name": "System", "categories": ["System"], "enabled": true}');
+
   -- Ключ подписи пропуска прав и счётчик изменений прав (50-acl.sql: acl_token, acl_bump); от ключа же
   -- выводится ключ сигналов. Режим сигналов (up({ signals })) хранится в meta этой строки: установщик
   -- читает его перед накатом, поэтому повторный up() без опции режим не меняет, а reset({ all }) кладёт
@@ -87,9 +93,6 @@ begin
   on conflict (id) do update set meta = k.meta || '{"signals": "@SIGNALS@"}'
   where k.meta->>'signals' is distinct from '@SIGNALS@';
 
-  perform @SCHEMA@.sys_create('@SYSTEM@'::uuid, 'Account', '@SYSTEM@'::uuid, '{}',
-    '{"name": "System", "categories": ["System"], "enabled": true}');
-
   -- Строка Class, описывающая саму себя, и системные классы. Полная метасхема и развёрнутое
   -- описание resolved — в 40-class.sql (этап 1, п. 6).
   perform @SCHEMA@.sys_create(@SCHEMA@.v5_id('@SYSTEM@'::uuid, 'Class', array['Class']), 'Class', '@SYSTEM@'::uuid, '{}',

package/sql/99-revision.sql

@@ -1,4 +1,4 @@
 -- letopis 1.0 — штамп ревизии движка (план, §2.2, этап 1, п. 11): последний оператор наката.
 -- Номер совпадает с DDL_REVISION в lib/src/types.ts (проверяет check-docs). С 1.4 в штампе ещё версия пакета и хэш
 -- файлов ядра (engine, sql): connect() предупреждает, если функции схемы ставила другая версия движка той же ревизии.
-comment on schema @SCHEMA@ is 'letopis ddl_revision=6 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';
+comment on schema @SCHEMA@ is 'letopis ddl_revision=7 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';

package/sql/migrate/0007-secret-account-fk.sql

@@ -0,0 +1,12 @@
+-- Ревизия 7 (1.4.1-alpha.0, решение владельца): строки secret принадлежат аккаунту — строке entity. Удалённый аккаунт
+-- уносит свои строки каскадом внешнего ключа: сессии, хэши паролей и ключей, секреты TOTP, внешние учётные записи. До
+-- ревизии 7 удаление аккаунта лишь помечало их deleted_at, а maintain() убирает только сессии и коды OTP — остальное
+-- хранилось вечно. Сначала стираются строки, чьих аккаунтов в entity уже нет, затем ставится ключ (как в 10-core.sql).
+delete from @SCHEMA@.secret s where not exists (select 1 from @SCHEMA@.entity e where e.id = s.account);
+do $$
+begin
+  if not exists (select 1 from pg_constraint where conrelid = '@SCHEMA@.secret'::regclass and conname = 'secret_account_fkey') then
+    alter table @SCHEMA@.secret add constraint secret_account_fkey
+      foreign key (account) references @SCHEMA@.entity (id) on delete cascade;
+  end if;
+end $$;