letopis 1.4.1 → 2.0.0

package/sql/70-read.sql

@@ -17,8 +17,7 @@
 --
 -- Источник — текущее состояние (entity) или журнал: версии, действовавшие на момент p_at (срез
 -- asOf), либо надгробия удалённых (p_dead, для withDeleted). Возвращается rev версии: строки
--- журнала читаются по паре (id, rev) через уникальный индекс log_id_rev. Записи purge, trim и reset
--- (этап 6) — не версии объекта: на момент после них объекта в срезе нет.
+-- журнала читаются по паре (id, rev) через уникальный индекс log_id_rev.
 
 -- Цели концов строки: всех (p_roles is null) или только перечисленных ролей.
 create or replace function @SCHEMA@.role_ids(p_links jsonb, p_roles text[]) returns uuid[]
@@ -53,9 +52,10 @@ as $$
       where r.class = any (p_classes) and r.at <= coalesce(p_at, 'infinity'::timestamptz)) c
   cross join lateral (
       select y.* from (select x.* from @SCHEMA@.log x where x.id = c.id offset 0) y
-      where y.class = any (p_classes) and y.at <= coalesce(p_at, 'infinity'::timestamptz)
+      where y.at <= coalesce(p_at, 'infinity'::timestamptz)
       order by y.rev desc limit 1) w
-  where @SCHEMA@.link_ids(w.links) @> array[p_src]
+  -- класс — у последней версии на момент, а не среди версий классов шага (план 2.0, 7.1 №1)
+  where w.class = any (p_classes) and @SCHEMA@.link_ids(w.links) @> array[p_src]
 $$;
 
 -- id строк классов p_classes: по вложению в data (GIN entity_data), по целям концов (GIN entity_ends),
@@ -121,32 +121,36 @@ begin
         from @SCHEMA@.log l
         where l.id = any (p_ids) and l.at <= coalesce(p_at, 'infinity'::timestamptz)
         order by l.id, l.rev desc) v
-      where v.class = any (p_classes) and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+      where v.class = any (p_classes) and (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
   elsif p_ends is not null then
     -- по целям концов — от версий, ссылавшихся на первую цель (GIN log_ends); арендатор — после пробы
     return query select v.id, v.rev from @SCHEMA@.log_refs_at(p_classes, p_ends[1], p_at) v
       where (v.tenant = any (v_tenants) or v.class = 'member')
-        and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+        and (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and @SCHEMA@.link_ids(v.links) @> p_ends
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
   else
-    -- арендатор id неизменен, записи purge и trim несут арендатора объекта: условие до distinct on не меняет, какая
+    -- арендатор id неизменен: условие до distinct on не меняет, какая
     -- версия id последняя (индекс log_class_tenant_at)
+    -- кандидаты — по классу (индекс log_class_tenant_at), последняя версия id на момент — любого класса, и класс
+    -- проверяется у неё (план 2.0, 7.1 №1)
     return query select v.id, v.rev from (
-        select distinct on (l.id) l.id, l.rev, l.op, l.class, l.tenant, l.owner, l.tags, l.data, l.links
-        from @SCHEMA@.log l
-        where l.class = any (p_classes) and l.tenant = any (v_tenants) and l.at <= coalesce(p_at, 'infinity'::timestamptz)
-        order by l.id, l.rev desc) v
-      where (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+        select distinct l.id from @SCHEMA@.log l
+        where l.class = any (p_classes) and l.tenant = any (v_tenants) and l.at <= coalesce(p_at, 'infinity'::timestamptz)) c
+      cross join lateral (
+        select y.id, y.rev, y.op, y.class, y.tenant, y.owner, y.tags, y.data, y.links
+        from @SCHEMA@.log y where y.id = c.id and y.at <= coalesce(p_at, 'infinity'::timestamptz)
+        order by y.rev desc limit 1) v
+      where v.class = any (p_classes) and (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
     -- свои членства в других арендаторах: версии, ссылавшиеся на аккаунт (GIN log_ends)
     if v_member then
       return query select v.id, v.rev from @SCHEMA@.log_refs_at(array['member'], c_account, p_at) v
         where not (v.tenant = any (v_tenants))
-          and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+          and (v.op = 'delete') = p_dead
           and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
           and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
     end if;
@@ -187,7 +191,7 @@ begin
     return query select s.src, v.id, v.rev
       from (select distinct u.x as src from unnest(p_src) u(x)) s
       cross join lateral @SCHEMA@.log_refs_at(p_classes, s.src, p_at) v
-      where (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+      where (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
         and (p_roles is null or @SCHEMA@.role_has(v.links, p_roles, s.src))
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
@@ -237,14 +241,14 @@ begin
         select s.src, v.id, v.rev, 1, array[s.src, v.id]
         from (select distinct u.x as src from unnest(p_src) u(x)) s
         cross join lateral @SCHEMA@.log_refs_at(p_classes, s.src, p_at) v
-        where v.op not in ('delete', 'purge', 'trim', 'reset')
+        where v.op <> 'delete'
           and (p_roles is null or @SCHEMA@.role_has(v.links, p_roles, s.src))
           and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan)
       union all
         select d.src, v.id, v.rev, d.depth + 1, d.seen || v.id
         from d
         cross join lateral @SCHEMA@.log_refs_at(p_classes, d.id, p_at) v
-        where d.depth < p_max and not (v.id = any (d.seen)) and v.op not in ('delete', 'purge', 'trim', 'reset')
+        where d.depth < p_max and not (v.id = any (d.seen)) and v.op <> 'delete'
           and (p_roles is null or @SCHEMA@.role_has(v.links, p_roles, d.id))
           and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan))
       select distinct on (d.src, d.id) d.src, d.id, d.rev, d.depth from d order by d.src, d.id, d.depth;

package/sql/80-auth.sql

@@ -17,7 +17,7 @@ return interval '10 minutes';
 
 create or replace function @SCHEMA@.auth_kind_ok(p_kind text) returns boolean
 language sql immutable parallel safe
-return p_kind ~ '^[A-Z][A-Z0-9_]{1,31}$' and p_kind not in ('SESSION', 'APIKEY', 'KEYSECRET', 'OTP', 'TOTP', 'KEY', 'PROJECTOR', 'LOCK');
+return p_kind ~ '^[A-Z][A-Z0-9_]{1,31}$' and p_kind not in ('SESSION', 'APIKEY', 'KEYSECRET', 'OTP', 'TOTP', 'KEY', 'LOCK');
 
 -- Действующая сессия обязательна (иначе no_session).
 create or replace function @SCHEMA@.auth_session_required(p_account uuid) returns void
@@ -25,7 +25,7 @@ language plpgsql immutable
 as $$
 begin
   if p_account is null then
-    perform @SCHEMA@.lt_fail('no_session', 'нет действующей сессии');
+    perform @SCHEMA@.lt_fail('sql-access.no_session');
   end if;
 end $$;
 
@@ -42,7 +42,7 @@ declare
 begin
   select * into c from @SCHEMA@.ctx();
   if c.account is null then
-    perform @SCHEMA@.lt_fail('no_session', 'нет действующей сессии');
+    perform @SCHEMA@.lt_fail('sql-access.no_session');
   end if;
   if c.account = p_account and c.service is null then
     select (s.meta->>'login_at')::timestamptz, coalesce(s.meta->'methods', '[]'::jsonb) into login_at, methods
@@ -57,12 +57,12 @@ begin
     end if;
   end if;
   if not coalesce((@SCHEMA@.acl_api_for(c.tenant, c.categories, c.roles, 'auth.credential', true)->>'allow')::boolean, false) then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end if;
   -- креды System, сервисов и системных администраторов выдаёт только системный администратор: иначе
   -- сервис привязал бы себе вход под ними (ревью этапа 5)
   if not @SCHEMA@.auth_target_ok(p_account) and not @SCHEMA@.auth_is_sysadmin() then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end if;
 end $$;
 
@@ -77,7 +77,7 @@ declare
 begin
   select * into c from @SCHEMA@.ctx();
   if p_account is distinct from c.account and not @SCHEMA@.auth_target_ok(p_account) and not @SCHEMA@.auth_is_sysadmin() then
-    perform @SCHEMA@.lt_fail('acl_denied', 'креды и сессии этого аккаунта меняет только он сам или системный администратор');
+    perform @SCHEMA@.lt_fail('sql-access.self_or_sysadmin');
   end if;
 end $$;
 
@@ -203,7 +203,7 @@ begin
   perform @SCHEMA@.auth_session_required(c.account);
   perform @SCHEMA@.acl_require('auth.session');
   if not @SCHEMA@.auth_target_ok(p_account) then
-    perform @SCHEMA@.lt_fail('acl_denied', 'сессии для этого аккаунта не выпускаются');
+    perform @SCHEMA@.lt_fail('sql-access.no_sessions_for_account');
   end if;
   return @SCHEMA@.new_session(p_account, p_ttl, jsonb_build_object('methods', to_jsonb(p_methods), 'service', c.account));
 end $$;
@@ -248,14 +248,14 @@ begin
     p_confirmed := null;
   end if;
   if not @SCHEMA@.auth_kind_ok(p_kind) or coalesce(p_ident, '') = '' or p_hash !~ '^scrypt\$' then
-    perform @SCHEMA@.lt_fail('invalid_data', 'пароль: вид, идентификатор и хэш scrypt$… обязательны');
+    perform @SCHEMA@.lt_fail('sql-access.password_args');
   end if;
   select s.id, s.account into cur from @SCHEMA@.secret s
   where s.kind = p_kind and s.deleted_at is null
     and casefold(s.ident) collate pg_unicode_fast = casefold(p_ident) collate pg_unicode_fast
   for update;
   if cur.id is not null and cur.account <> p_account then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end if;
   if cur.id is not null then
     update @SCHEMA@.secret s
@@ -270,7 +270,7 @@ begin
       values (p_account, p_kind, p_ident, convert_to(p_hash, 'UTF8'), jsonb_build_object('confirmed', coalesce(p_confirmed, false)))
       returning id into cid;
     exception when unique_violation then
-      perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+      perform @SCHEMA@.lt_fail('sql-access.bind_denied');
     end;
   end if;
   return cid;
@@ -308,7 +308,7 @@ begin
       null; -- совпал префикс: новый ключ
     end;
   end loop;
-  perform @SCHEMA@.lt_raise('40001', 'conflict', 'не удалось выпустить ключ с уникальным префиксом');
+  perform @SCHEMA@.lt_raise('40001','sql-access.apikey_prefix_conflict', '{}'::jsonb);
 end $$;
 
 -- Вход по ключу API для db.auth.verifyApiKey: { account, token } или null (login_apikey — для
@@ -390,13 +390,13 @@ declare
 begin
   perform @SCHEMA@.acl_require('auth.otp');
   if p_kind !~ '^OTP(_[A-Z0-9]{1,27})?$' or coalesce(p_ident, '') = '' or p_digits not between 4 and 10 then
-    perform @SCHEMA@.lt_fail('invalid_data', 'код: вид OTP или OTP_<имя>, идентификатор, 4–10 знаков');
+    perform @SCHEMA@.lt_fail('sql-access.otp_args');
   end if;
   if not @SCHEMA@.auth_enabled(p_account) then
-    perform @SCHEMA@.lt_fail('target_not_found', 'аккаунт не найден');
+    perform @SCHEMA@.lt_fail('sql-access.account_not_found');
   end if;
   if not @SCHEMA@.auth_target_ok(p_account) and not @SCHEMA@.auth_is_sysadmin() then
-    perform @SCHEMA@.lt_fail('acl_denied', 'коды входа для System, сервисов и системных администраторов выпускает только системный администратор');
+    perform @SCHEMA@.lt_fail('sql-access.otp_sysadmin_only');
   end if;
   code := lpad((('x' || encode(@PGCRYPTO@.gen_random_bytes(7), 'hex'))::bit(56)::bigint % (10::bigint ^ p_digits)::bigint)::text, p_digits, '0');
   update @SCHEMA@.secret s set deleted_at = clock_timestamp()
@@ -564,7 +564,7 @@ begin
     p_confirmed := false;
   end if;
   if not @SCHEMA@.auth_kind_ok(p_kind) or p_kind = 'PASSWORD' or coalesce(p_ident, '') = '' then
-    perform @SCHEMA@.lt_fail('invalid_data', 'identity: вид (TELEGRAM, GOOGLE, …) и идентификатор обязательны');
+    perform @SCHEMA@.lt_fail('sql-access.identity_args');
   end if;
   begin
     insert into @SCHEMA@.secret (account, kind, ident, meta)
@@ -572,7 +572,7 @@ begin
                                           || jsonb_build_object('confirmed', coalesce(p_confirmed, false)))
     returning id into cid;
   exception when unique_violation then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end;
   return cid;
 end $$;
@@ -617,7 +617,7 @@ begin
            coalesce((s.meta->>'confirmed')::boolean, false), coalesce((s.meta->>'enabled')::boolean, true),
            s.meta - 'confirmed' - 'enabled' - 'attempts' - 'last_step', s.created_at, s.expires_at
     from @SCHEMA@.secret s
-    where s.account = p_account and s.kind not in ('SESSION', 'KEY', 'PROJECTOR', 'LOCK') and s.deleted_at is null
+    where s.account = p_account and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
       and (s.expires_at is null or s.expires_at > clock_timestamp())
     order by s.created_at, s.id;
 end $$;
@@ -639,7 +639,7 @@ begin
   perform @SCHEMA@.auth_session_required(c.account);
   select s.account, s.kind,
          (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true) as live
-  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'PROJECTOR', 'LOCK') and s.deleted_at is null;
+  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null;
   if cr.account is null then
     return false;
   end if;
@@ -655,7 +655,7 @@ begin
     if not exists (select 1 from @SCHEMA@.secret s
                    where s.account = cr.account and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null and s.id <> p_id
                      and (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)) then
-      perform @SCHEMA@.lt_fail('acl_denied', 'последний действующий ключ сервиса не отзывается: сначала выпустите новый');
+      perform @SCHEMA@.lt_fail('sql-access.last_service_key');
     end if;
   end if;
   update @SCHEMA@.secret s set deleted_at = clock_timestamp() where s.id = p_id and s.deleted_at is null;
@@ -679,7 +679,7 @@ declare
   acc uuid;
 begin
   perform @SCHEMA@.acl_require('auth.credential');
-  select s.account into acc from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'PROJECTOR', 'LOCK') and s.deleted_at is null;
+  select s.account into acc from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null;
   if acc is null then
     return false;
   end if;
@@ -755,20 +755,21 @@ declare
   s record;
 begin
   if nullif(current_setting('letopis.account', true), '') is not null then
-    perform @SCHEMA@.lt_fail('invalid_query', 'auth.switch — для собственной сессии, не при имперсонации');
+    -- код из каталога базы (invalid_query в нём нет — lt_fail дал бы LT000 и сырую ошибку; план 2.0, 7.5 №3)
+    perform @SCHEMA@.lt_fail('sql-access.switch_impersonating');
   end if;
   select x.id, x.account into s from @SCHEMA@.secret x
   where x.kind = 'SESSION' and x.deleted_at is null and x.material = sha256(convert_to(coalesce(tok, ''), 'UTF8'))
     and (x.expires_at is null or x.expires_at > clock_timestamp())
   for update;
   if s.id is null or not @SCHEMA@.auth_enabled(s.account) then
-    perform @SCHEMA@.lt_fail('no_session', 'нет действующей сессии');
+    perform @SCHEMA@.lt_fail('sql-access.no_session');
   end if;
   if p_tenant <> s.account and not (
        exists (select 1 from @SCHEMA@.entity x
                where x.id = @SCHEMA@.v5_id(p_tenant, 'member', array[s.account::text, p_tenant::text]) and x.class = 'member' and x.tenant = p_tenant)
        and @SCHEMA@.auth_enabled(p_tenant)) then
-    perform @SCHEMA@.lt_fail('tenant_denied', 'нет членства в арендаторе');
+    perform @SCHEMA@.lt_fail('sql-access.no_membership');
   end if;
   update @SCHEMA@.secret x
      set meta = case when p_tenant = s.account then x.meta - 'tenant' else x.meta || jsonb_build_object('tenant', p_tenant) end
@@ -849,10 +850,6 @@ begin
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
 end $$;
--- до этапа 5 выпуск сессии сервисом принимал два аргумента; ранние сигнатуры OTP этапа 5
-drop function if exists @SCHEMA@.issue_session(uuid, interval);
-drop function if exists @SCHEMA@.auth_issue_otp(uuid, text, text, interval, int);
-drop function if exists @SCHEMA@.login_otp(text, text, text, int);
 grant execute on function
   @SCHEMA@.issue_session(uuid, interval, text[]), @SCHEMA@.auth_password_get(text, text),
   @SCHEMA@.auth_set_password(uuid, text, text, text, boolean, boolean), @SCHEMA@.auth_issue_apikey(uuid, text, interval),