letopis 1.4.1 → 2.0.0

package/CHANGELOG.md

@@ -1,11 +1,568 @@
 # Changelog
 
-Формат: [Keep a Changelog](https://keepachangelog.com/), версии — semver.
+Формат: [Keep a Changelog](https://keepachangelog.com/), версии — semver. Что обещают патч, минор и мажор, — раздел
+«Версии и совместимость» в README; шаг версии сверяет `npm run check:semver`. С 1.4.2 у правки ядра (библиотеки и SQL)
+в конце пункта указан источник находки: «Источник: тест», «пример», «сервис», «ревью», «soak» или «внедрение».
+
+## [2.0.0] — 2026-11-03
+
+План 2.0, редакция 2 (`reports/PLAN-LETOPIS-2.0.md`, §2.1): 1.5.0 не выпускается — его работа (этап 3: права, один
+процесс, ошибки и агент) входит в 2.0.0; 2.0.0 — вырезка редких фич и строгий режим (этап 4).
+
+**Совместимости с 1.x нет.** 2.0 ставится только заново: схему letopis 1.x `up()` и `connect()` отклоняют до любых
+изменений, `up({ schema, fresh: true })` пересоздаёт её, данные 1.x не переносятся. Код на API 1.x правят по разделам
+«Снято» и «Строгий режим» ниже. Накат схемы проверяется в пределах 2.x: следующий выпуск 2.x проверит накат с 2.0.
+
+### Снято (несовместимо)
+- Английский язык: `README.en.md`, `AGENT-CHEATSHEET.en.md`, `llms-full.txt` и его генератор
+  `scripts/gen-llms-full.mjs` (с `npm run llms:full`), корневые `README.en.md` и `CONTRIBUTING.en.md`; английские тексты
+  ошибок и подсказок каталога `lib/src/messages` (записи — только шаблон `ru`, подсказка — строка; тип `Lang` больше не
+  экспортируется); опция `lang` у `connect()`, `up()` и `createMcpServer()`, второй аргумент `describeText(model,
+  { lang })` и флаг `--lang` у команд CLI; английские описания инструментов MCP, их параметров и инструкции сервера.
+  Тексты ошибок, справки и описаний — только на русском; `err.docs` ведёт в раздел «Ошибки» `README.md`. Ошибку базы с
+  ключом библиотека отдаёт с текстом, который собрала база, — тем же, что видит сырой SQL; ключ и параметры — в
+  `err.key` и `err.params`, как прежде. Таблицы операторов в README, шпаргалке и главе «Чтение» сайта обновляет
+  `npm run ops:tables` (`scripts/gen-ops-tables.mjs`), сверяет `check:docs` (сверка `ops` вместо `llms-full`);
+  `check:docs` больше не сверяет английские версии (разделы «Tests», «Reserved names», «Errors», структуру) и `en` у
+  записей каталога. `lib/llms.txt` — по-русски.
+- Импорт из 0.21: команда `letopis import` с её флагами (`--from`, `--from-schema`, `--tenant`, `--partition`,
+  `--keyless`, `--rename`, `--update`), модуль `src/import.ts`, тест `import` и фикстура 0.21
+  (`test/fixtures/gen-v021.mjs`, `v021.sql`), бенч против 0.21 и импорт полигона (`bench/compare.bench.mjs`,
+  `bench/seed-021.mjs`, `bench/import-salon.mjs`, `npm run test:import-salon`, итоги `compare` и `import-salon`, серия
+  `021` в `bench/core-write.mjs`) и dev-зависимость `letopis-0`. Снят `MIGRATION.md`: переход с 0.21 больше не
+  описывается — глава «Переход с 0.21» README (следующие главы — на номер меньше), раздел шпаргалки и ограничения импорта
+  сняты, глава «Производительность» — без сравнения с 0.21. Эталоны 0.21 для тестов прав и слияния (`test/oracle/`)
+  остались.
+- Охранники API, снятого в 1.0.0, и код ошибки `removed` (записи каталога `api.removed`, `api.removed_option`,
+  `api.removed_many`, `api.replacement_*`, `access.replacement_*`, `write.replacement_load_trust`,
+  `model.cli_trust_removed`; функция `removed()` и `REMOVED_IN`): экспорты `uuidv7` и `LETOPIS_NS`; опции `connect()`
+  `partition`, `enforceAccount`, `enforceAcl`, `container`, `image`, `dataDir`, `redisPort`, `version`
+  (`REMOVED_OPTIONS`); методы цепочки `run`, `execute`, `account` и батча `execute`; свойства корня `reloadSchema`,
+  `accounts`, `credentials`, `resources`, `rules`, `compact`; `db.auth.sessions`, `db.acl.reload`, `watch(cb)` и
+  `watch(класс, cb)`; `load({ trust })` и `letopis load --trust`. Снятые имена больше не зарезервированы: `account`,
+  `execute`, `compact` и другие — обычные имена классов и ролей; `run` остался — это метод батча (теперь в
+  `BATCH_METHODS`). Неизвестную опцию называет `checkOptions` с похожими именами, неизвестный флаг CLI отклоняет разбор
+  аргументов. Раздел `removed` контракта API и его сверка в `check:semver` («новый охранник — мажор») убраны: снятое
+  имя исчезает из экспортов и списков методов, и `check:semver` требует мажор по ним.
+- `letopis check` — проверки кода до запуска на TypeScript Compiler API (`src/check.ts`, флаги `--models` и `--json`,
+  записи каталога `model.check_*`, тест `check`) — и необязательная peer-зависимость `typescript` (для сборки она
+  осталась dev-зависимостью). `letopis sync --check` остался: тест `cli` (бывший `check` без правил `letopis check`).
+- `db.describe()`, экспорт `describeText`, тип `ModelDescription` и команда `letopis describe` (флаг `--format`):
+  описание модели с примерами цепочек осталось только в инструменте MCP `letopis_model` — внутренний модуль
+  `src/describe.ts`, его нет в `exports`; поле `methods` описания и подписи текста `time.describe_*` сняты. Тест
+  `describe-examples` стал `mcp-model`: цепочки `examples` из ответа `letopis_model`, а также метаданные классов с
+  наследованием и условия `anyOf` и `oneOf` — проверки описания из `telemetry`.
+- Сброс `db.reset({ level, confirm, tenant })`: опция `up({ allowReset })` (и флаг `--allow-reset` у `db/apply.mjs`),
+  функции базы `reset` и `reset_mark`, коды ошибок `reset_disabled`
+  (LT019) и `confirm_mismatch` (LT020), эндпоинт прав `letopis.reset`, служебная запись журнала вида `reset` (класс
+  `#reset`) и служебные сигналы `*` и `session:*` — их слал только сброс (`session:<тег>` погашенной сессии остался;
+  `*` и `session:*` от посторонней роли — теперь просто нагрузка не по режиму); типы `ResetOptions` и `ResetResult`.
+  `maintain({ now })` пускала только установка с `allowReset`; сама опция снята вместе с прореживанием (ниже). Первая
+  заливка больше не считает «пустой» схему с
+  записями сброса. Тесты: `reset` снят, сброс в `cache`, `signals`, `initial-load` (схема заново — `install(…, { fresh:
+  true })`), `hash`, `verify`, `roles`, `security-final` и `scenario-salon` — тоже.
+- Совместимость с 1.x: 2.0 ставится только заново, ревизия движка — 8. `up()` на схеме letopis 1.x — ревизии 7 и
+  ниже или без штампа ревизии в комментарии схемы — отказывает `invalid_data` (ключ каталога `boot.schema_1x`) до любых
+  изменений, в том числе с `upgrade: true`; подсказка — `up({ schema, fresh: true })`: схема пересоздаётся, данные 1.x
+  не переносятся. `connect()` к такой схеме теперь тоже отказывает — до входа по ключу (было предупреждение «обновите:
+  up({ upgrade: true })»). Сняты миграции 0006 (колонка `log.changed`) и 0007 (внешний ключ `secret.account`) — в
+  свежей установке их ставит `sql/10-core.sql`; каталог `sql/migrate/` остался для миграций 2.x, их накатывает
+  `up({ upgrade: true })` в пределах 2.x, правило имени — README каталога. Сняты тест `upgrade` с dev-зависимостями —
+  пакетами прежних выпусков 1.0.1, 1.1.0, 1.4.1 и 1.4.2 (`npm uninstall`) — и бенч против 1.0.1 с его итогами в
+  `bench/results/`. Из файлов ядра ушло то, что служило только накату со схем 1.x: `drop … if exists` прежних сигнатур
+  функций (`family_lock`, `links_shape`, `targets_bad`, `check_links`, `signal`, `move_row`, `verify`, `row_visible`,
+  `acl_ok`, `version_changes`, `version_leaves`, `issue_session`, `auth_issue_otp`, `login_otp`, `derived_clear`,
+  `agg_classes`, `projector_behind`, `maintain`, `watch_head`, `watch_read`), функций сброса `reset` и `reset_mark`,
+  индекса `log_class_at` и строкового триггера `entity_ai` (теперь `create or replace trigger`), пометка удалёнными
+  строк `LOCK` других аккаунтов при накате (их заводили креды 1.1). В библиотеке — запасные вызовы для схем 1.x: нет
+  `signal_mode()` — режим `class`, у `maintain()` нет третьего аргумента — прежний вызов. Предупреждение `connect()`
+  «функции схемы поставила версия до 1.4.0» (штамп без версии движка) стало «поставила неизвестная версия letopis»
+  (`boot.stamp_unknown` вместо `boot.stamp_before_140`). Правило «каждый выпуск проверяет накат с предыдущего»
+  действует с 2.0: следующий выпуск 2.x проверит накат с 2.0. Тест `up`: «план 2.0, 7.10 №5» (схема 1.x — отказ `up()`
+  и `connect()` с подсказкой, `fresh` проходит) и механизм наката миграций 2.x; тест 7.10 №3 (хаб с зарезервированным
+  именем переживает `up()` с предупреждением) перенесён из `upgrade` в `up` — хаб заводит роль владельца мимо проверки
+  базы, а не пакет 1.4.2; `engine-races` №3в — без пометки строк `LOCK` накатом.
+- Агрегаты в базе и проекторы (план 1.1, §2.4). Агрегаты: опция класса `aggregate` (тип `AggregateDef` в
+  `letopis/model`, тип `AggregateInfo` и поле `aggregate` у `ClassInfo`), `db.rebuildAggregates()`, триггеры
+  `entity_total_ai`, `entity_total_au`, `entity_total_ad` и функции `agg_*`. Проекторы: `db.projector()` с типами
+  `Projector`, `ProjectorOptions`, `ProjectorChange`, `ProjectorOut`, `ProjectorRow`, `ProjectorReport`,
+  `ProjectorStatus`, `ProjectorFailure`, опция класса `derivedBy` (производные классы; поле `derivedBy` у `ClassInfo`),
+  чекпоинты — строки `secret` вида `PROJECTOR`, функции `projector_state`, `projector_advance`, `derived_*`,
+  `projector_unread` и параметр `p_leaving` у `watch_read`. Сняты файлы `sql/88-derived.sql`, `src/project.ts` и
+  раздел каталога сообщений `derived`. Коды ошибок `derived_class` (LT021), `aggregate_field` (LT022),
+  `projector_pending` (LT023), `rebuild_required` и `projector_busy`. Метасхема `Class` не принимает `derivedBy` и
+  `aggregate` (`invalid_data`); описание модели в `letopis_model` — без них. Вид креда `PROJECTOR` больше не служебный.
+  `targets_bad` больше не отличает цель производного класса, `class_admit` не берёт блокировку семейств классов-целей
+  концов (её брали только ради пометки `derivedBy`), `syncModels` упорядочивает модели только по родителям. Имена
+  `projector` и `rebuildAggregates` больше не зарезервированы. Тексты отказов: «класс меняет предков или алиас» (было
+  «предков, алиас или derivedBy»), пересоздание класса с историей строк — «с прежними parent, alias и history». Второй
+  пул `connect({ admin })` — для `load`, `maintain` и `syncModels`. Сняты тесты `projector` и `aggregate`,
+  атаки №33, №34, №38, №39, №44, №50, №52, №53, №55 и №57 (номера остальных прежние), случаи проектора и
+  `rebuildAggregates` в `disconnect`, `messages`, `one-process` и `watch-contract` (7.4 №5, №6), агрегатов — в
+  `initial-load` (7.4 №10) и `sync`; бенч `bench/derived.bench.mjs` с итогами `derived*`. README — без глав «Агрегаты в
+  базе», «Рецепт: баланс агрегатом», «Проекторы», «Рецепт: дневная выручка», «Проектор» и ограничений проекторов и
+  агрегатов, глава «Производительность» — без замеров производных данных; шпаргалка — без разделов о них и граблей
+  №19–20 (раздел «Агенты и MCP» — теперь 11). Агрегаты чтения (`sum`, `avg`, `min`, `max`, `countBy`) остались. Долгий
+  прогон `bench/soak.mjs` переписан без агрегата и проектора (ниже, «Обвязка и проверка»).
+- `diff()` и `blame()` (план 1.1, §2.1): терминалы цепочки, типы `DiffResult`, `DiffChange`, `DiffOptions`,
+  `BlameResult`, `BlameField`, `BlameOptions`, файл `sql/75-history.sql` (функции `jsonb_changes`, `row_changes`,
+  `change_paths`, `row_leaves`, `version_paths`, `history_segments`, `diff_versions`, `blame`) и колонка журнала
+  `log.changed`; записи каталога `api.version_or_moment`, `api.version_number`, `api.moment`. Журнал выдан приложению
+  всеми колонками: `select * from log` под RLS работает. Инструмент MCP `letopis_history` отдаёт только версии:
+  `kind` стал необязательным и принимает только `versions`, параметров `from`, `to`, `at`, `limit` нет (записи
+  `mcp.history_param`, `mcp.blame_follow`); причину записи агента показывают версии. Тест `history` — только причина
+  изменения (7.2 №5 и №8), `mcp` №9 — причина в версиях; бенч
+  `bench/history.bench.mjs` с итогом снят. Имена `diff` и `blame` больше не зарезервированы.
+- Политика хранения истории и прореживание журнала (§2.11): у класса `history` — только `true` или `false` (объект —
+  `invalid_data` метасхемы `Class`), тип `HistoryPolicy` (`letopis`, `letopis/model`), опция `up({ history })` и
+  подстановка `@HISTORY_DEFAULT@`, функции базы `history_default`, `history_policy`, `history_iv`, `history_horizon`,
+  `history_keep`, `thin_batch`, метки `thin`, `thin_now` и `default_policy` строки ключа, тексты отказов про ярусы
+  (`sql-core.history_*`, `sql-core.system_history_policy`). `maintain()` журнал больше не трогает: одной транзакцией
+  удаляет сессии, коды и строки-замки удалённых классов и проверяет очередь сигналов; опции `maintain({ now, batches,
+  limit })`, тип `MaintainOptions`, поля отчёта `thinned`, `batches` и `more`, флаг `--batches` у `letopis maintain`,
+  параметры `maintain()` базы и запись `sql-time.maintain_now` сняты. Обрезка истории: `db.trimHistory()`, функция базы
+  `trim_history` и служебная запись журнала вида `trim` (записи `sql-time.trim_*`). Код ошибки `cursor_expired` (LT016):
+  курсор подписки больше не устаревает — версии журнала стирает только удаление аккаунта, а оно `cursor_expired` не
+  давало; время в курсоре не нужно, курсор — `tx:seq[~снимок]`; параметр `p_at` у `watch_read`
+  снят. Отказ смены `history` без права на все строки — «класс … включает или выключает журнал (history)». Настройки
+  `autovacuum_*_scale_factor = 0.02` у журнала сняты вместе с прореживанием. Сняты тест `retention`, тесты `maintain`
+  7.3 №4 (очистка в первой пачке), `time` 6.4 (обрезка), обрезка в `load` (7.6.1 №9), `security-final` и акте 14
+  `scenario-salon`; `engine-class` №17 и атака `engine-attacks` №43 — про `history: false`. Имя `trimHistory` больше
+  не зарезервировано.
+- Хэши версий и `verify()`: колонки `hash` (генерируемая) и `prev_hash` у `entity` и `log`, функции `snapshot` и
+  `version_hash`, `verify()` базы (право `letopis.verify`), `db.verify()` с типами `VerifyResult` и `VerifyIssue`,
+  команда `letopis verify` (`--data`), опция `load({ verify })` и флаг `letopis load --verify` (записи каталога
+  `write.load_db_invalid`, `write.load_db_target`), записи `sql-time.verify_*`. Режим истории загрузчика пишет версии
+  вставками по 5000 строк в прежнем порядке (по номеру версии), без волн с хэшами. Сняты тесты `hash` и `verify`, атака
+  `engine-attacks` №19 (правку в обход триггеров находил `verify()`; номер заново не занимается); вместо `verify()` в
+  тестах гонок и сценариях журнал сверяет помощник обвязки `journalIssues` (номера версий подряд, строка — последняя
+  версия). Бенч `bench/gencols.bench.mjs` мерит только `link_ids`. Имя `verify` больше не зарезервировано.
+- Смена ключа и класса, затирание полей и стирание истории объекта: глаголы цепочки `rekey()`, `reclass()`,
+  `anonymize()` и `purge()` (с полями строки ответа `moved`, `$versions` и `$purged`), `db.rekeyClass()`,
+  `versions({ follow })` и параметр `follow` у `letopis_history`; функции базы `rekey`, `rekey_class`, `reclass`,
+  `move_row`, `links_replace`, `purge` и `watch_leaving`, колонка `moved` у `entity` и `log` с индексом `log_moved`,
+  служебная запись журнала вида `purge`. Класс, ключ и id строки неизменны: смена класса правкой — сырым
+  `UPDATE … SET class`, в том числе у строк `Class` и строк прав, — `immutable_key` («класс строки … неизменен», запись
+  `sql-write.class_immutable`); объект другого класса или с другим ключом — новый объект. Коды ошибок `use_reclass`
+  (LT011) и `reclass_denied` (LT012) сняты, номера заново не заняты; `isolation_level` — только у удаления,
+  `not_deleted` — только у `restore`. Записи каталога `write.anonymize_*`, `write.rekey_*`, `write.not_deleted_purge`,
+  `sql-write.class_row_kind`, `sql-write.system_row_reclass`, `sql-write.reclass_*`, `sql-write.use_reclass`,
+  `sql-write.rekey_needs_all`, `sql-write.refs_*`, `sql-write.target_not_found`, `sql-write.row_write_denied`,
+  `sql-write.class_write_denied`, `sql-time.purge_*`, `sql-time.rekey_*`, `sql-time.no_delete_class`,
+  `sql-time.no_write_class` и `sql-time.refs_denied*` сняты. Подписка читает журнал одной функцией `watch_read`:
+  событий ухода строки из классов подписки сменой класса больше нет. Историю строк не стереть: класс, у которого она
+  есть, не удаляется (класс, который придётся удалять, заводят с `history: false`), алиас предка удалённых потомков с
+  историей строк не меняется; версии журнала стирает только удаление аккаунта (`db.auth.purgeAccount`). Тексты отказов
+  удаления и пересоздания класса — без совета стереть историю. Сняты тест `rekey`, тесты `time` 6.1 (через смену id) и
+  6.3, `chain-write` 4.8 и обезличивание, `read-contract` 7.1 №1 и №2, `watch-contract` 7.4 №4, `signals` 7.3 №16,
+  гонка `engine-races` №5, атака `engine-attacks` №42 (номер заново не занимается), события ухода в `watch`, «находка 1»
+  о `rekeyClass` в `security-final`, акт 16 `scenario-salon` и случай `load` 7.6.1 №9 после стирания истории; без смены
+  ключа и класса — `write-contract` 7.2 №2, `cache` №14, акт 13 `scenario-salon`, `chain-api`. Атака №5 и новый тест
+  `engine-write` — смена класса правкой даёт `immutable_key` у строки без ключа, с ключом и строки `Class`;
+  `write-contract` 7.2 №4 переводит строку в другой класс от роли владельца. README — без глав «Сменить ключ или класс»
+  (вместо неё — «Ключ и класс неизменны»), «Обезличить» и «Стереть историю»; шпаргалка — без смены ключа,
+  обезличивания, стирания истории и `follow`. Имена `rekey`, `reclass`, `anonymize`, `purge` и `rekeyClass` больше не
+  зарезервированы.
+
+### Строгий режим (этап 4; несовместимо)
+- Строгие типы цепочек (7.10 №1, №6). `connect({ models })` и `connect<Models>()` с объявлениями `letopis types` дают
+  `TypedDb` без индексных сигнатур: шаг от корня — только класс или алиас моделей и системных классов (встроенный набор
+  `SystemModels`: `Class`, `Account`, `member`, `Resource`, `rule`; своя модель с тем же именем — вместо встроенной);
+  переходы выводятся из концов, как в `resolveHop`; слоты — только роли записываемого класса: `set(id | строка |
+  цепочка)`, `add` и `remove` — у множественного конца, `unset` — у необязательного; поля фильтров, `or()` и агрегатов —
+  поля класса (`sum` и `avg` — числовые). `letopis types` выдаёт ещё `<Класс>Model` — имя, алиас, концы с классами
+  целей и предки — и список `Models`: строгие типы работают и без моделей Zod. Новый экспорт `loose(db)` — то же
+  подключение без строгих типов для имён, известных только во время выполнения; типы `SystemModels`, `OrOp`, `ChainRef`.
+  `entity()` и значение слота принимают любую цепочку (`ChainRef`), `createMcpServer` и `syncModels` — подключение со
+  строгими типами. Модели без литеральных имён (`AnyModel[]`) строгих типов не дают — подключение `Db`, как прежде.
+  `db.as()`, `db.begin()`, `db.batch()` и `entity()` отдают цепочки без строгих типов.
+- `update()` и `delete({ confirm: true })`, а ни у одного шага нет фильтра, id, `tags()`, `owner()` или `limit()` (и
+  раньше в цепочке нет `create()` или `upsert()`, а у `update` — `data.id`), — `invalid_query` до записи (запись
+  каталога `write.no_filter`): в цепочке, в батче (`run()` не пишет ни одного плана) и в `db.begin()` (транзакция
+  цела). Все строки шага — опция `{ all: true }`; превью `delete()` — без условий. Раньше такая правка шла по всем
+  строкам шага (7.10 №2). `update(патч, { rev, all: true })` с несколькими целями — по-прежнему `rev_ambiguous`.
+- Неизвестная опция `connect()`, `up()`, `db.load()`, `db.watch()` и `createMcpServer()` — `invalid_data` с похожими
+  именами (`api.unknown_option`, `err.params.similar`) до подключения и прочих проверок; в работе 1.5 (этап 3) было
+  предупреждение (7.10 №4). `db.load()` сверяет опции и до пула администратора `connect({ admin })`.
+- Неизвестное поле фильтра (и внутри `or()`), `sort('data.…')` или агрегата — `invalid_query` с похожими именами
+  (`query.unknown_field`, `err.params.similar`; план 2.0, этап 3, п. 3): поле не описано ни в одном классе шага —
+  классе, его потомках (если шаг не `exact()`), у роли — классах её целей; в фильтре годится и роль конца. В работе 1.5
+  было предупреждение `console.warn` с хвостом «(в 2.0 — ошибка invalid_query)», один раз на имя за процесс; хвост и
+  опция `future` у `lwarn` сняты. Сверяется только первый ключ пути (путь внутрь поля-объекта — нет), как и прежде.
+  У строк системного класса `Class` поля — свойства метасхемы описания класса (`kind`, `alias`, `parent`, `fields` и
+  другие), а не описание самого `Class` с одним `name`: прежнее предупреждение на `Class({ kind })` было ложным, отказа
+  нет. План записи проверяет фильтры, `sort()` целей и агрегат до первого оператора (`precheckStep` в `precheckPlan`):
+  опечатка в фильтре цели не ломает `db.begin()`; чтение — до запроса.
+- `after()` перед `count()` и агрегатами чтения `sum`, `avg`, `min`, `max`, `countBy` — `invalid_query`
+  (`api.after_not_paged`) до запроса; раньше курсор там молча не учитывался (7.10 №7).
+- Хаб с зарезервированным именем (`RESERVED_CLASS_NAMES`) отклоняют `hub()` (`model.hub_name_reserved`), `syncModels`
+  — модель, собранную мимо `hub()` (`model.sync_hub_name_reserved`), — и база (`class_admit`,
+  `sql-write.hub_name_reserved`); связь с таким именем база отклоняла и раньше. Хаб, заведённый мимо проверки базы,
+  `up()` оставляет и называет в предупреждении (`boot.reserved_hubs`), а правку его описания база отклоняет (7.10 №3).
+- Документы: README — раздел «Строгий режим» (глава 4, вместо «Типы цепочек»), правила `update` и удаления, курсор,
+  «Зарезервированные имена», «Ошибки» и «Ограничения»; шпаргалка и `llms.txt` — так же. Правка с `{ rev }` больше не
+  называется «строгим режимом». Неизвестное поле фильтра, `sort()` и агрегата — отказ (выше), README, шпаргалка и
+  `llms.txt` — так же.
+
+### Сервисы-примеры и сайт (на урезанном API)
+- Сервисы `services/` переведены на 2.0 и снова пройдены в Chrome по `CHECK.md` (3 ноября 2026 года). wallet: баланс —
+  поле счёта с `min(0)`, операция — один план `Wallet(счёт).Movement().create(…).Wallet().update({ balance: inc(amount) })`
+  с причиной у обоих глаголов, перевод — две операции в `db.begin()` под замками в порядке id, нехватка средств —
+  `invalid_data` по `minimum`; выписка по месяцам — запрос `group by` в транзакции сессии вместо проектора; агрегат,
+  производный класс `Statement`, перестройка и `verify` сняты. documents: подписание без `reclass` — одна транзакция
+  `db.begin({ reason })` создаёт `Contract` с данными черновика и удаляет `Draft` (договор — новый объект: класс входит в
+  v5-id), лента версий — версии обоих id; надгробие подписанного черновика не попадает в корзину (`restore` — 409),
+  новый черновик с номером договора — 422; смена номера, `diff`/`blame`, ярусы, обрезка, обезличивание, стирание,
+  `verify` и `follow` сняты, остались версии с причинами, `asOf`, `withDeleted`, превью удаления, `restore`, первая
+  заливка архива и `maintain()`. helpdesk: «Удалить из компании» снимает только членство (без `anonymize`) — строки
+  человека в компании база передаёт компании. salon: перенос брони — одна транзакция под замками мастеров: бронь
+  перечитывается `forUpdate()`, новая бронь на новом слоте с теми же концами, прежняя удаляется (время начала в ключе,
+  ключ неизменен — у новой брони новый id); надгробие переноса узнаётся по причине версии, история — `versions()` одного
+  id без `follow`. Сценарии: wallet 21 из 21, documents 24 из 24, helpdesk 74 из 74, salon 27 из 27.
+- Сайт `guide/`: 51 исполняемый пример, снимки перезаписаны. Сняты примеры `derived/01–04`,
+  `history/02-follow-rekey-reclass`, `history/03-retention-maintain-trim`, `ops/01-verify-corrupt`, `ops/02-reset` и
+  глава «Агрегаты и проекторы» (главы перенумерованы: 12 «Массовая загрузка» … 16 «Все нюансы»); переписаны
+  `history/01-versions-asof`, `delete/02-restore`, `write/04-key-class-immutable`, `errors/03-strict-mcp-errors`
+  (строгий режим), `ops/02-sql-cache-signals`, `ops/03-cli`, `watch/02-quiet-cursor` (курсор не устаревает); новый
+  `ops/01-maintain` — отчёт `{ skipped, sessions, codes, queue }`. Раздел «Строгий режим» в главе моделей, нюансы
+  строгого режима с отметкой «ловит код», глоссарий без английской колонки и терминов снятого, ER-схемы и справочник —
+  из `db.registry` вместо `db.describe()`; покрытие API — 323 из 323.
+
+### Обвязка и проверка
+- Долгий прогон `bench/soak.mjs` (план 2.0, §7.7) — без агрегата, производного класса и проектора, ярусов с засевкой
+  старой истории, `trimHistory`, `maintain({ batches })` и `verify`. Нагрузка прежняя по составу: писатели — заказ
+  горячего магазина и приращение его суммы `inc(amount)` одним планом, `inc` горячих счётчиков, правка последнего
+  заказа; читатели (цепочки с `limit`, ключ, `asOf`); подписка надолго и «открыл-закрыл»; `maintain()` раз в минуту;
+  вход по паролю и по коду с выходом; `db.as()` по 40 арендаторам; заведение и удаление классов. В конце вместо
+  `verify({ data: true })` — сверка журнала запросом (номера версий подряд, строка — последняя версия; тот же запрос,
+  что `journalIssues` обвязки тестов). В итоге `soak.md` — применимые критерии §7.7 (1–4, 6 и сверка журнала вместо 5);
+  снятые (5 — `verify`, 7 — отставание проектора, прореживание под записью) — строкой «снят в 2.0.0».
+- Глава «Производительность» README — на сериях `core-*` (точка А) и `chain-read`, без чисел полигона salon; числа в
+  «Когда нужен загрузчик» и «Ограничениях» — из `core-write`.
+- Текст отказа `maintain()` внутри `db.begin()` (`time.maintain_in_tx`): «maintain() идёт своей транзакцией, не внутри
+  db.begin()» — было «пачками в своих транзакциях»: прореживания пачками больше нет.
+- Итоговая сверка документов с кодом. README: опции `up()` (`login`, `migrationsDir`, поле результата `login`) и
+  `connect()` (`admin`), `watch({ batch })`, поле `id` у `acl.list()`, границы строгого режима (сужает шаг глагола и шаги
+  до него, пустой `tags([])` не сужает, в батче отказ — при `run()`, связь с зарезервированным именем отклоняет база,
+  строгие типы — только у подключения с моделями); без «проверки» у администраторского подключения, «до 1.5.0»,
+  «ревизии 7» и перехода масок `Resource` с 1.x. Шпаргалка: строгий режим строкой в «Модели за минуту», опции `up()`,
+  `connect()` и `load()` полностью, отчёт `maintain()`, класс с историей строк не удаляется, без события ухода из классов
+  подписки, «Грабли 2.0». `llms.txt`, `lib/sql/README.md` (2.0, `@OWNER_NAME@`), `CONTRIBUTING.md`; пометки «снято в
+  2.0.0» в `BACKLOG.md` и `COMPARISON.md`.
+- `docs/checkpoint-guide.md` — пометка: исторический снимок, часть примеров снята в 2.0.0, числа устарели. Итог
+  `npm run prerelease` — `docs/checkpoint-2.0.0.md`.
+
+### Этап 3 (бывший 1.5.0)
+
+### Добавлено
+- Обёртка прав `db.acl` (7.9 №1): `grant({ role | everyone: true, read, write, delete, api, weight })`, `deny(…)`,
+  `revoke(…)`, `roles(аккаунт, роли)` и `list()` — те же строки `Resource`, `rule` и `member` текущего арендатора с
+  детерминированными alias (`role:staff:ACCOUNT`, `everyone:ACCOUNT`, `class:Product:READ`, `api:reports.*:API`),
+  ключ правила — пара группа и объект, вес по умолчанию 50 — сильнее «можно всё» от `createTenant`. Повтор ничего не
+  меняет; права на запись правил, RLS и триггеры проверяет база; внутри `db.begin()` — в её транзакции. `everyone:
+  true` вместо `role` — правило для всех аккаунтов арендатора; `revoke({ everyone: true, read: '*', write: '*',
+  delete: '*' })` снимает «можно всё» от `createTenant` — права только по ролям (агентский прогон: снять его обёрткой
+  было нельзя, только удалением строк `rule` по id). `list()` отдаёт `{ role, everyone, group, op, target, condition,
+  permission, weight, enabled }` (`enabled: false` — правило выключено, база его не применяет) и на администраторском
+  подключении — только правила арендатора сессии (роль без RLS видит строки всех арендаторов). Типы `AclRule`,
+  `AclRuleSpec`, `AclTarget`.
+- Один процесс для малых приложений (7.9 №3, №4): `up({ login: { user, password } })` заводит роль приложения или
+  обновляет её пароль и выдаёт `letopis_app` — имя и пароль квотирует база, привилегированную роль `up()` не трогает,
+  строка подключения роли — `r.login.dsn` (тип `LoginOptions`); `connect({ dsn, admin, token })` открывает второй пул
+  (не больше двух соединений) при первой надобности — для `load`, `maintain` и `syncModels` с той же сессией,
+  цепочки и `db.sql` остаются в пуле приложения под RLS.
+- Все тексты ошибок библиотеки и базы — ключи каталога `lib/src/messages`: около 500 мест; `check:docs` следит, чтобы
+  литеральных текстов не осталось. Отказ инструмента MCP отдаёт `hint` и `similar`. Отказы `up()` с подходящим кодом —
+  `LetopisError` (`invalid_data`, `admin_required`), а не обычный `Error`.
+- Тексты `up()` — ключи каталога: ошибки и предупреждения `up()`, в том числе заведения арендатора `tenant`, и ход
+  установки в консоли. Отказы без подходящего кода (версия сервера, кодировка базы, срок ожидания, ревизия схемы новее
+  или старше пакета, нет пакета PGlite) остаются обычным `Error` с префиксом `letopis.up:`, текст — тоже из каталога.
+  На ключи каталога переведены и тексты для пользователя и агента: предупреждение `connect()` о штампе движка, хвост
+  «откатите транзакцию и повторите весь блок `db.begin()`» у 40P01 и 40001, отчёт `letopis sync` и пометка
+  `letopis types`, пояснения к данным в ответах MCP, первая строка отказа инструмента, подсказка `confirm` превью, окно
+  и поле формы подтверждения удаления.
+- `letopis types --system` — объявления и для классов арендатора System: системных и классов сидов пакета (например,
+  `booking`); без флага, как прежде, — только классы арендатора сессии.
+- Тест исправления 7.5 №3, у которого его не было: установка без ADMIN OPTION на готовую роль владельца —
+  `admin_required` (код 42501 подтверждён на PostgreSQL 18.6); без исправления он падает.
+- Каталог сообщений (каркас): `lib/src/messages` — ключ `<раздел>.<имя>` → код ошибки, шаблон с параметрами `{имя}` и
+  подсказка; у каждого кода — заголовок и подсказка (`codes.ts`), из них же строится страница ошибок сайта. Русские
+  тексты прежние. У `LetopisError` новые поля: `hint` — что делать, `docs` — ссылка на строку
+  кода в разделе «Ошибки» README на GitHub по тегу версии, `key` и `params` — ключ и параметры. База кладёт ключ и
+  параметры в `DETAIL`: перегрузки `lt_fail(ключ, параметры, detail)` и `lt_raise(код, ключ, параметры, detail)`,
+  `lt_text()` и `message_catalog()` — разделы `sql-*` каталога подставляет обычный `up()`, без новой ревизии; сырой SQL
+  видит прежний русский текст. На ключи переведены образцы: неизвестный класс или роль, `ValidationError`,
+  `connect({ schema })`, поле `sort()`, `auth.switch()` у `db.as()`, а в базе — нет членства в арендаторе, данные не
+  проходят описание класса, последний владелец арендатора; затем — все остальные места (пункт выше и пункт об
+  остатке ниже). `check:docs` сверяет полноту каталога (`messages`) и литеральные тексты ошибок (`literals`; список
+  `PENDING_LITERALS` пуст). Код `deleted` загрузчика вошёл в контракт API.
+- Каталог сообщений, остаток: ключи каталога и у нарушений данных из базы — запись (`validate_data`, `inc`),
+  ужесточение класса (`err.detail.rows[].problem`), загрузчик (строки классов с `pattern`). Нарушение базы несёт
+  ключ каталога и параметры (`key`, `params`): библиотека их убирает, форма прежняя — `{ path, keyword, message }`
+  и `problem`; сырой SQL видит прежний русский текст и рядом ключ. Повторяемый конфликт с ключом (`40001`, `40P01`)
+  остаётся ошибкой базы с тем же SQLSTATE — на нём держатся повторы. `check:docs` (`literals`) ловит в `lib/sql`
+  ещё `raise` с литеральным текстом и литерал в `problem`. Источник: ревью.
+- Новый код `internal`: строка-замок семейства не создана или не найдена (`lock_row`, `family_lock`). Раньше — голый
+  `XX000` с русским текстом без префикса, теперь `letopis: internal: строка-замок … не создана` с ключом в `DETAIL`, а
+  в библиотеке — `LetopisError` с кодом `internal` и подсказкой «сообщите о ней». Голые
+  `XX000` самого PostgreSQL — как прежде. Источник: ревью.
+- Похожие имена (7.9 №6): общий `similar()` (`errors.ts`, его берёт и `letopis/mcp`). Неизвестный класс или роль в
+  цепочке — `invalid_class`, к тексту дописаны похожие имена реестра («— похожие: Shop»), они же в
+  `err.params.similar`. Неизвестное поле фильтра, `sort()` или агрегата — предупреждение `console.warn` с похожими
+  именами, один раз на имя; неизвестная опция `connect()`, `up()`, `load()`, `watch()` и `createMcpServer()` — тоже было
+  предупреждение; в 2.0.0 и то и другое стало отказом (раздел «Строгий режим» выше).
+- Примеры цепочек в описании модели (7.9 №9): у каждого класса в ответе инструмента MCP `letopis_model` — `examples`,
+  рабочие цепочки из реестра: `create` (поля ключа и обязательные поля с образцами значений, обязательные концы —
+  слотами; нет у абстрактного и системного класса), `find` (по ключу или обязательному полю) и
+  `neighbors` (по концам класса и к классам, чьи концы ведут на него); `'<id Класс>'` — место для id. Образец значения —
+  `examples` из JSON Schema поля, `const`, `default`, `enum`, иначе по типу и формату. Модель больше `maxBytes`
+  приходит сначала без `examples`, затем краткой. Тест `mcp-model` исполняет каждую цепочку на демо-схеме.
+- Один словарь фильтров (7.9 №8): реестр операторов `OPERATORS` в `src/ops.ts` — имя фабрики в TypeScript, ключ
+  JSON-фильтра MCP, вид его значения и смысл. Из реестра строятся таблица `OPS` и список операторов в описании
+  `letopis_query`, таблица «TypeScript — MCP — смысл» в README (вместо прежней из семи строк) и в шпаргалке, в
+  справочнике сайта и в главе «Чтение» сайта (без колонки MCP, вместо ручной таблицы из семи строк); в абзаце о MCP
+  README и в описании `letopis_query` справочника вместо ручного списка ключей — ссылка на неё. Таблицы с реестром
+  сверяет `check:docs`. Тест `llms`: реестр совпадает с фабриками пакета, ответами `letopis_query` и таблицами README,
+  шпаргалки и главы «Чтение» сайта.
+- `letopis sync --check` (план 2.0, этап 3, п. 8; 7.9 №10) — сухой прогон с кодом 1, если он нашёл изменения: шаг CI
+  перед `--apply`; вместе с `--apply` — справка и код 2. Тест `cli`.
+
+### Исправлено
+- Кэш результатов копил счётчик на каждую погашенную сессию: сигнал `session:<тег>` заводил запись в карте счётчиков
+  кэша каждого подключения, даже если сессия через это подключение не читала. Процесс, который впускает и выпускает
+  пользователей (вход по паролю и по коду, `revokeAll`), рос на 0,7–0,9 МБ в час на подключение до предела в 100 000
+  записей. Теперь счётчик сессии заводит снимок запроса через кэш, а сигнал меняет только заведённые; ответы погашенной
+  сессии сбрасываются, как прежде (план 2.0, 7.7). Источник: soak.
+- Валидатор на TypeScript (`compileValidator`, проверка до записи в цепочках и загрузчике) исполнял шаблон `pattern`
+  из описания класса — его задаёт арендатор — движком V8 на данных: шаблон с катастрофическим перебором (`^(a+)+$` на
+  строке из 40 «a» и «!») вешал процесс приложения на часы. Теперь `pattern`, а также `anyOf` и `oneOf` с ним в ветке,
+  валидатор только разбирает (неверный шаблон — по-прежнему `invalid_class`), а проверяет база (`like_regex`, движок
+  PostgreSQL без такого перебора): при записи цепочкой — триггер, нарушение — тот же `ValidationError` (`invalid_data`);
+  в `db.begin()` оно, как другие ошибки базы, обрывает транзакцию. Загрузчик пишет мимо триггеров, поэтому строки
+  классов с `pattern` он сверяет запросом к базе на пачку до записи — нарушение в отчёте с номером строки, как прежде;
+  у классов без `pattern` запросов на пачку по-прежнему нет. Источник: ревью.
+- Администраторское подключение (`allowBypassRls: true`) с сессией пользователя без прав не могло записать правило:
+  строки `Resource` оно заводило (RLS на нём не действует), а `rule` со слотами `.Group.set()` и `.Object.set()` на
+  них и `db.acl.grant` отвечали `target_not_found`. База проверяла, видит ли цели концов актор сессии, хотя роль
+  подключения видит любую строку. Так было у арендатора без «можно всё» (`grantAll: false`) и после снятия этого
+  правила. Теперь видимость целей по правам актора проверяется только у роли сеанса под RLS; суперпользователь, роль с
+  `BYPASSRLS` и член роли-владельца её пропускают. Существование цели,
+  её арендатор и класс проверяются, как прежде. Функцию обновляет обычный `up()`, новой ревизии нет. Рецепт — раздел
+  README «Права только по ролям» (агентский прогон плана 2.0, этап 3, п. 9). Источник: внедрение.
+- Валидатор на TypeScript проверял `format: 'email'` шаблоном, который на подобранной строке (много точек в домене
+  и `@` в конце) перебирает квадратично: строка в мегабайт занимала процесс на минуты. Теперь адрес длиннее 254
+  символов (предел адреса по RFC 5321) — нарушение `format` без шаблона. Проверка в базе прежняя: длину она не
+  ограничивает, а движок PostgreSQL такого перебора не делает. Источник: ревью.
+- Тесты исправлений 1.4.2, у которых их не было: 7.4 №7 — новый файл `disconnect` (обрыв TCP до и после COMMIT и на
+  открытии транзакции, `pg_terminate_backend` процесса, ждущего блокировку, — в транзакции загрузчика, первой заливки и
+  при открытии `db.begin()`: промис отклонён ошибкой связи, необработанных ошибок в процессе нет, следующая операция
+  пула проходит); 7.5 №3 — `impersonation` (`auth.switch` при имперсонации сырым SQL — `LetopisError` `acl_denied`,
+  LT006, а не сырая ошибка LT000). Без исправлений тесты падают — проверено откатом.
+- Подключение по ключу (`connect({ apiKey })`, ключ сервиса) один раз обменивало ключ на сессию со сроком 7 суток и
+  больше его не обменивало: после недели простоя процесс получал `no_session` на запись и навсегда, пока его не
+  перезапустят, а чтение под истёкшей сессией шло как анонимное и молча отдавало пустые ответы. Так было у `svc` всех
+  четырёх сервисов-примеров. Теперь после простоя дольше минуты подключение до операции продлевает сессию и узнаёт,
+  жива ли она: по ключу — обменивает ключ заново (один обмен на все ждущие вызовы), с тем же рабочим арендатором, что
+  выбрал `auth.switch()`, и повторяет операцию (`runTx`, `db.begin()`); по токену — `no_session` на любую операцию
+  вместо пустого чтения. Ошибка продления другого рода (реплика только для чтения) работе не мешает, как прежде;
+  `refreshSession: false` — без проверки. Источник: сервис.
+- `up()` от установщика без суперпользователя (роль с `CREATEROLE` и правом `create` на базе — поддержанный случай)
+  падал на `ANALYZE` с 42501 «permission denied for schema»: таблицы принадлежат роли владельца, а установщик состоит в
+  ней без наследования прав. С правом `usage` на схему PostgreSQL пропускал бы таблицы с WARNING, а `analyzed` называл
+  бы их собранными. Теперь `ANALYZE` идёт транзакцией от роли владельца, как у загрузчика; в `analyzed` — только
+  таблицы, где статистика появилась, оставшиеся без неё — предупреждение в `warnings`. `up({ fresh: true })` от такого
+  установщика падал «must be owner of schema» — схему теперь удаляет роль владельца. Источник: ревью.
+- `npm run prerelease -- --only=…` и `-- --skip=…` затирали таблицу итогов в `docs/checkpoint-<x.y.z>.md`: в ней
+  оставались только шаги последнего запуска, хотя после падения повторяют упавший шаг и следующие. Теперь таблица
+  копится: строки шагов запуска заменяются, строки остальных остаются из прежних прогонов с датой и коммитом своего
+  прогона (колонка «Прогон»), шапка перечисляет прогоны, чьи строки в таблице; таблица прежнего вида читается как один
+  прогон. Запуск без шагов итог не пишет. Тест — `prerelease` (план 2.0, 7.8 №3).
+- `node scripts/gen-api-contract.mjs --check` (его зовёт `check:docs`) и `guide/scripts/gen-api.ts --check` сравнивали
+  файлы побайтно и на Windows с `core.autocrlf=true` были красными на актуальных `docs/api-contract.json` и страницах
+  справочника сайта (CRLF в рабочей копии). Теперь сравнение — по LF, а `gen-api-contract.mjs` пишет файл с концами
+  строк самого файла.
+- Загрузчик проверял шаблоны `pattern` (их процесс не исполняет — ревью, ReDoS) запросом к базе с `class_row` и полным
+  `validate_data` на каждую строку, в режиме истории — на каждую версию: засевка полигона salon (980 180 строк-версий)
+  шла на 42 % медленнее 1.0.1, 40 % времени загрузки — эта проверка (замер против 1.0.1). Теперь одинаковые класс и данные
+  проверяются один раз, строки классов читаются один раз на пачку (`materialized`), а полный разбор `validate_data`
+  идёт только у строк, которых не пропустил общий `validator` класса (правил `extra` в нём нет, но сюда доходят строки,
+  прошедшие валидатор на TypeScript, — у него те же правила, кроме `pattern`). Нарушения и первые 100 строк отчёта —
+  прежние, шаблоны по-прежнему исполняет только база. Засевка — 5671–5682 строки/с против 6245–6613 у 1.0.1 (−9…−14 %
+  в двух прогонах, было −42 %). Источник: тест.
+- Чтение по одному id (по ключу или по id) собиралось как `id = any ($n::uuid[])`. Общий план подготовленного запроса
+  для `= any` PostgreSQL считает на ~10 элементов, и при неудачной выборке ANALYZE запрос навсегда оставался на планах
+  под каждый вызов — 0,5–0,8 мс планирования на чтение; та же ловушка у 1.0.1. Теперь один id — `id = $n::uuid`: общий
+  план стоит как план вызова и выбирается всегда (−18 % на схеме, где запрос застревал). «+27,7 %» замера против 1.0.1
+  «чтение по ключу» (прогон 2 ноября) был перебросом кэша планов между сторонами, а не кодом. Источник: тест.
+- Подписка, закрытая (`close()`, `return()`), пока шёл её запрос журнала, не завершала `for await`: `close()` будит только
+  ждущий опрос, а после запроса цикл засыпал до будильника, которого уже не будет — таймер снят, сигналы отписаны. Так
+  поток SSE сервисов-примеров не закрывался после выхода. Теперь перед ожиданием подписка проверяет, не закрыта ли она.
+  Тест — `watch-contract` (план 2.0, 7.4 №8: запрос держит блокировка журнала, пока подписку закрывают; без исправления
+  цикл висит). Источник: сервис.
+- Сервисы-примеры после обхода в браузере (сценарии `CHECK.md` четырёх сервисов через chrome-devtools-mcp, 2 ноября;
+  ядро не менялось). В кошельке выписка после «Перестроить выписку» шла в порядке строк таблицы — теперь по месяцам
+  (новые сверху) и номерам счетов. Время версий в
+  салоне и кошельке («История брони», «Последние операции», «История баланса», проход проектора) — местное, как в
+  «Под капотом»: сервер отдаёт `at` целиком, а не подстроку UTC. В helpdesk помощник считал открытыми только `new` и
+  `open` (счётчик и очередь — ещё `pending`); обновление очереди по событию сворачивало догруженные «Показать ещё»
+  страницы — теперь `GET /api/tickets?limit=N` перечитывает столько строк, сколько показано; у поля ответа и флажка
+  заметки — `id` и `name`; после отключения второго фактора текст «все сессии аккаунта закрыты» (гашение креда, который
+  не ключ, закрывает все сессии аккаунта, кроме сессии сервиса), так же — страница helpdesk сайта. Диалоги четырёх
+  сервисов (`components/ui/dialog.tsx`) снимают фокус с открывшей кнопки до `aria-hidden` Base UI и возвращают его после
+  закрытия (`finalFocus`) — предупреждение Chrome «Blocked aria-hidden on an element because its descendant retained
+  focus». `CHECK.md`: проверка — на свежем стенде (`down -v`); в кошельке чужая транзакция держит горизонт не дольше
+  30 с; в helpdesk запись «Под капотом» об отключении второго фактора остаётся в закрытой сессии. Сценарии —
+  проверки полного `at` (кошелёк, салон), порядка выписки и `limit` очереди; без исправлений они
+  падают — проверено откатом. Повторный обход: поток событий SSE подписывался через фасад сервиса и переживал выход —
+  вкладка получала события прежнего салона, а с cookie новой сессии того же браузера показывала её данные под прежней
+  шапкой; теперь веб-сессия закрывает свои потоки (`services/shared/sessions.mjs`, `events.mjs`), а интерфейсы при
+  обрыве потока заново спрашивают `/api/me` и, если вошёл другой или никто, перезагружают страницу (проверка сценария
+  салона «выход закрывает поток событий своей сессии», без исправления падает). Строки очереди helpdesk и реестра
+  «Документов» фокусируемы (`tabIndex`, Enter и пробел открывают карточку): карточка открывается с клавиатуры, фокус
+  после закрытия возвращается на строку. Уход со страницы (переход на `/logout`) закрывает поток сразу — перезагрузка по
+  обрыву потока больше не перебивает начатый переход.
+
+## [1.4.2] — 2026-11-01
+
+План 2.0 (`reports/PLAN-LETOPIS-2.0.md`): правила версий, проверка перед выпуском, исправления.
+
+### Добавлено
+- Правила версий — подраздел «Версии и совместимость» в README (обе версии): патч — только исправления без новой
+  ревизии движка и без новых отказов; минор — новые возможности и новая ревизия с `up({ upgrade: true })`; мажор —
+  удаление, переименование, смена сигнатур и новые отказы.
+- `npm run check:semver` (`scripts/check-semver.mjs`): контракт API и ревизия движка текущего дерева против тега
+  прошлого выпуска — исчезло → мажор, появилось или выросла ревизия → минор, тексты ошибок → патч; шаг версии обязан
+  быть не меньше. Входит в `check:docs` (в CI checkout с полной историей) и в `release.yml` до публикации. Сборка
+  контракта вынесена в `scripts/contract.mjs`; в `docs/api-contract.json` появилось поле `codes` — коды ошибок.
+- `npm run prerelease` (`scripts/prerelease.mjs`) — полная локальная проверка одной командой, строго по очереди:
+  typecheck, сверка документов, весь `npm test`, примеры сайта со снимками, ER-схемы, покрытие, сборка сайта,
+  песочница, сценарии четырёх сервисов, проверка пакета с живым прогоном. Первый красный шаг останавливает прогон;
+  итог — таблица в `docs/checkpoint-<x.y.z>.md`. Тесты в CI не гоняются (решение владельца 01.11.2026).
+- Долгий прогон `npm run soak` (`bench/soak.mjs`, план 2.0, этап 2): смешанная нагрузка одного процесса на часы —
+  писатели с агрегатом и `inc`, читатели, подписки, проектор, `maintain()` с прореживанием под записью, вход и выход,
+  `db.as()`, заведение и удаление классов; замер раз в 5 минут, в конце — критерии §7.7 и `verify({ data: true })`.
+  Быстрый режим на 15 минут — шаг `soak` в `npm run prerelease`.
+- Метрика стабилизации: у правки ядра в CHANGELOG — источник находки, `release-notes.mjs` считает их в теле релиза.
+- Тест `upgrade` №3: накат схемы 1.4.1 (dev-зависимость `letopis-141`) обычным `up()` без миграций; правило — каждый
+  выпуск проверяет накат с предыдущего. Тесты `semver` и `prerelease` проверяют сами сценарии (план 2.0, 7.8).
+- `CONTRIBUTING.md` (и английская версия), шаблон issue об ошибке, форма отчёта о внедрении
+  `docs/adoption/TEMPLATE.md`.
+
+### Исправлено
+- Строки-замки удалённых классов не убирались: запись строки `Class` заводит две строки `LOCK` в `secret` (замок
+  семейства и его шлюз), а удаление класса их оставляло — приложение, которое заводит и удаляет классы на лету, копило
+  их без предела. Теперь `maintain()` убирает строки-замки семейств, чей корневой класс удалён (или удалён его
+  арендатор); строку, которую держит транзакция, — следующим вызовом; класс с тем же именем заводит их заново
+  (7.7 №8). Источник: soak.
+- `maintain()` мог безвозвратно стереть историю: если класс System заводили позже одноимённого класса арендатора,
+  строки журнала арендатора попадали в отбор дважды, и промежуточные версии ярусов стирались. Теперь политику выбирают
+  прореживание, `verify` и срок курсора подписки так же, как класс строки: свой класс арендатора, иначе System
+  (план 2.0, 7.3 №1). Источник: ревью.
+- История удалённого объекта стирается целиком и тогда, когда до `reclass` он был в классе без политики: версии
+  прежнего класса больше не остаются и не показывают объект живым в срезе (7.3 №2). Источник: ревью.
+- Стирание истории удалённого ждёт `restore()`, начатый в другой транзакции, и после него историю не трогает: раньше
+  цепочка восстановленного объекта начиналась не с версии 1 (7.3 №3). Источник: ревью.
+- `maintain()` чистит истёкшие сессии и коды один раз за вызов, в первой пачке, а не в каждой из пачек (до 100):
+  у функции базы `maintain` третий аргумент `p_cleanup`; схема, которую ещё не обновил `up()`, получает прежний
+  вызов (7.3 №4). Источник: ревью.
+
+- Два `create` одного ключа в батче проходили молча: обе строки ответа были одной и той же строкой. Теперь повтор —
+  `exists`, и батч откатывается целиком (7.2 №1). Источник: ревью.
+- Строки ответа `reclass`, `restore` и `rekey` — в порядке целей (`sort()` до глагола, иначе id), как обещает README;
+  в 1.4.1 так стало только у `update` и `anonymize` (7.2 №2). Источник: ревью.
+- Цепочка с глаголом и читающим хвостом в значении слота (`.Cat.add(db.Cat().create(…).Parent())`) падала с
+  `TypeError`; вложенный план не проходил проверки до базы. Теперь работает, а модификатор сразу после её глагола —
+  `invalid_query`, как у терминала (7.2 №3). Источник: ревью.
+- Кэш результатов отдавал общие объекты: правка `rows[0].data` у ответа `.cache()` портила следующие ответы. Теперь
+  кэш хранит и отдаёт копии (7.2 №5). Источник: ревью.
+
+- Подписка без событий опрашивала журнал сериями по 40 коротких повторов на каждый тик таймера — около 4 запросов в
+  секунду вместо одного за `pollMs`. Теперь короткие повторы идут только после сигнала (7.4 №1). Источник: ревью.
+- `close()` подключения не закрывал живые подписки: с чужим пулом (`connect({ sql })`) они опрашивали журнал и после
+  `close()`. Теперь подписки закрываются, ожидающий `next()` получает `done: true` (7.4 №8). Источник: ревью.
+
+- `reclass` класса без ключа (id тот же) сигналил только новый класс: ответы кэша и подписки прежнего класса не
+  сбрасывались и отдавали строку, которая из него ушла. Теперь сигнал идёт по обоим классам, как у пути через
+  триггер (7.4 №4). Источник: ревью.
+
+- `letopis types` падал на кириллическом имени класса (`invalid_class`, хотя такой идентификатор в TypeScript допустим),
+  а для класса без полей, класса с `anyOf`/`oneOf` и открытой схемы выдавал неверный TypeScript
+  (`export interface XData Record<string, unknown>`). Теперь имена — буквы Unicode, не-объекты — `export type`, ветки
+  `anyOf` из одних `required` у класса с полями — условие, а не форма (7.5 №1). Источник: ревью.
+- `hub('X', { fields: z.object(…) })` без других ключей описания читался как короткая форма — класс с единственным
+  полем `fields`. Теперь это полная форма (7.5 №2). Источник: ревью.
+- Понятные ошибки вместо сырых: `connect({ owner })` с ролью, которой нет, — `invalid_data`; `anonymize(['опечатка'])` —
+  «поля нет в классе»; `up()` на готовой роли владельца без ADMIN OPTION — объяснение, что нужно; `auth.switch` при
+  имперсонации сырым SQL — `acl_denied` из каталога, а не неизвестный код; `--trust` — `LetopisError` (7.5 №3).
+  Источник: ревью.
+- CLI: `letopis <команда> --help` возвращает код 0, неизвестная команда — справку с кодом 2 ещё до подключения к базе
+  (7.5 №4). Источник: ревью.
+- Сравнение имени проектора в `88-derived.sql` — той же коллацией, что индекс `secret_kind_ident` (7.5 №5). Источник:
+  ревью.
+
+- Срез `asOf` по классу и по концам показывал объект в классе, из которого он уже ушёл (`reclass` класса без ключа
+  сохраняет id): последняя версия выбиралась среди версий классов шага. Теперь она выбирается среди всех версий id, и
+  класс проверяется у неё — как уже делала ветка по id; то же в `trimHistory` по классам (7.1 №1). Источник: ревью.
+- `after()` в `versions()` молча не действовал: страница «после курсора» повторяла первую. Теперь курсор листает версии
+  в порядке `sort()`. Курсор версии несёт её `rev` (`cursorOf` кладёт его сам), поэтому версии одного объекта с равным
+  полем сортировки не теряются. Без `sort()` — `invalid_query`, как у `rows()`. `count()`, агрегаты, `diff()` и
+  `blame()` курсор не учитывают, README теперь это описывает (7.1 №4). Источник: ревью.
+- `paths()` с `after()` терял пути с общим последним узлом: курсор помнил только этот узел, и следующая страница
+  начиналась после всех путей к нему. Теперь `cursorOf(путь, поле)` кладёт в курсор id всех узлов (`path`), а пути
+  упорядочены по ним после поля и последнего узла. Ключи объекта пути идут в порядке шагов, как в примере README;
+  прежде они шли в порядке jsonb — по длине имени (7.1 №3). Источник: ревью.
+- `versions({ follow: true })`, `diff({ follow: true })` и `blame()` после `rekey` смешивали историю перенесённого
+  объекта с объектом, которого потом завели на прежнем id (тот же ключ): брались все версии всех связанных id.
+  Теперь история идёт по отрезкам между переносами — надгробие переноса кончает отрезок, первая версия на новом id
+  начинает (функция базы `history_segments`, обычный `up()`); у нового объекта своя история с его создания (7.1 №2).
+  Источник: ревью.
+- `blame()` на каждом новом соединении первые пять вызовов шли с квадратичной сложностью: свой план функции базы
+  `version_paths` по фильтру видимости оценивал версии в 2 строки и искал предыдущую версию по одному id, проверяя
+  номер фильтром, — около 250 мс на 1000 версиях и секунды на 10 000. Теперь обе версии ищутся по `(id, rev)` на
+  каждую пару: 21 мс с первого вызова (`bench/results/history.json`; ошибку нашёл замер `bench/history.bench.mjs`
+  при проверке 7.1 №2). Источник: тест.
+- Проектор не строил данных арендатора, который стал участником после первой проекции: изменения шли только с
+  курсора, строки, заведённые до вступления, в проекцию не попадали. Теперь чекпоинт хранит состав участников
+  (`tenants`), и новый участник получает начальную перестройку пачками (7.4 №5). Источник: ревью.
+- Проектор на подключении без LISTEN не перечитывал состав участников: сигнала о новых классах нет, и арендатор,
+  вступивший после запуска, не участвовал вовсе. Теперь состав читается в начале `run()` и не реже раза в 5 с (7.4 №6).
+  Источник: ревью.
+- Реестры классов `db.as()` копились без предела: процесс, который ходит от имени многих арендаторов, держал реестр
+  каждого и перечитывал их все на каждый сигнал классов. Теперь их не больше 1000 на подключение, давно не нужный
+  вытесняется; фасад с вытесненным реестром работает — реестр возвращается и перечитывается (7.4 №8). Источник: ревью.
+- Загрузчик с `existing: 'update'` писал в строку другого класса, если у неё тот же id: объект класса без ключа после
+  `reclass` сохраняет id, и повторный импорт по `$ext` правил его данными, проверенными по схеме прежнего класса, мимо
+  триггеров. Теперь такая строка — `exists` с классом объекта в тексте (7.2 №4). Источник: ревью.
+
+- Имя поля, в котором есть `@S@` (например, `a@S@b`), портилось в запросе цепочки: построитель подставлял на это место
+  имя схемы, и фильтр, `sort()` или агрегат по такому полю ничего не находили (7.1 №5). Источник: ревью.
+
+- После обрыва соединения транзакция проектора, `db.begin()` при открытии и загрузчик слали `rollback` в мёртвое
+  соединение и возвращали его в пул — postgres.js 3.4 ронял процесс необработанным `TypeError`. Теперь, как в
+  `runTx`: после обрыва в соединение не пишут и в пул его не возвращают, промис отклоняется (7.4 №7). Источник: ревью.
+
+- `watch({ from: 'start' })` после первой полной пачки событий старше яруса `all` падал с `cursor_expired`, хотя
+  обещан весь журнал. Теперь, пока подписка не догнала журнал, свои чтения она шлёт без срока курсора; курсоры
+  событий и `sub.cursor` время хранят, и продолжение с них после прореживания — по-прежнему `cursor_expired` (7.4 №3).
+  Источник: ревью.
+
+- Подписка на класс не получала события его потомков, заведённых после `watch()`: список потомков фиксировался при
+  подписке, и курсор уходил за их события. Теперь классы с потомками берутся из текущего реестра (7.4 №2).
+  Источник: ревью.
+
+### Изменено
+- CI: у задания `test` нет сервиса PostgreSQL (живой прогон пакета в CI выключен, база не нужна), комментарии
+  `ci.yml` описывают то, что задания делают.
 
 ## [1.4.1] — 2026-11-01
 
 Исправления, найденные прогоном примеров документации для людей (`guide/`).
 
+По правилам версий, введённым в 1.4.2, часть изменений этого выпуска требовала минора (ревизия движка 7 с миграцией
+`0007`, новый метод `auth.session`), а новые отказы (`invalid_query` для модификатора после глагола, `acl_denied` для
+удаления `Account` System, код 1 у `letopis types` и `letopis describe` без сессии) и убранный код `not_implemented` —
+мажора.
+
 ### Добавлено
 - `db.auth.session(token)` — сведения о сессии по её токену для сервиса: чья сессия (`account`), в каком арендаторе
   она работает (`tenant`), цело ли там членство (`member`; в собственном арендаторе — всегда `true`), когда она