letopis 1.4.2 → 2.0.0

package/dist/validate.js

@@ -4,11 +4,17 @@
  * слова нарушений. Им пользуются загрузчик (этап 4) и ранние ошибки библиотеки; совпадение с базой
  * закрепляет дифференциальный тест validator-parity.
  *
+ * Исключение — `pattern` (ревью): шаблон задаёт арендатор, и движок V8 с перебором на шаблоне вроде
+ * `^(a+)+$` повесил бы процесс приложения. Такие правила (`db`) проверяет только база (`like_regex`,
+ * движок без катастрофического перебора); здесь шаблон лишь разбирается — то, что база не примет, и
+ * шаблон, неверный для JavaScript, — `invalid_class`. `anyOf`/`oneOf`, в ветке которых есть `pattern`,
+ * без него не решить (у `oneOf` вышло бы ложное нарушение) — их тоже проверяет только база.
+ *
  * Как и в базе, правило — «нет узла по пути, нарушающего условие»: обычное правило даёт одно
  * нарушение, сколько бы узлов его ни нарушили; дополнительные проверки (длина строки, uniqueItems,
  * смысл даты, перечисления объектов, число ключей) — по нарушению на каждый узел.
  */
-import { LetopisError } from './errors.js';
+import { lerr, lmsg } from './errors.js';
 import { SUPPORTED, translatePattern } from './jsonschema.js';
 const isObj = (v) => typeof v === 'object' && v !== null && !Array.isArray(v);
 const typeOf = (v) => (v === null ? 'null' : Array.isArray(v) ? 'array' : typeof v === 'object' ? 'object' : typeof v === 'number' ? 'number' : typeof v === 'string' ? 'string' : typeof v === 'boolean' ? 'boolean' : 'unknown');
@@ -56,6 +62,11 @@ const FORMAT_RE = {
     'date-time': /^[0-9]{4}-[0-9]{2}-[0-9]{2}T[0-9]{2}:[0-9]{2}:[0-9]{2}(\.[0-9]{1,6})?(Z|[+-][0-9]{2}:[0-9]{2})$/,
     email: /^[^@\s]+@[^@\s]+\.[^@\s]+$/,
 };
+/**
+ * Предел длины адреса для format: 'email' — 254 символа (RFC 5321). Длиннее — нарушение без шаблона: на подобранной
+ * строке (много точек в домене и лишний символ в конце) шаблон email перебирает квадратично (ревью).
+ */
+const EMAIL_MAX = 254;
 /** Смысл даты и времени, как pg_input_is_valid(…, 'date' | 'timestamptz') для уже проверенной формы. */
 function validDate(s, withTime) {
     const y = Number(s.slice(0, 4));
@@ -93,23 +104,24 @@ const prop = (sel, k) => (root) => sel(root).flatMap((n) => (isObj(n) && Object.
 const items = (sel) => (root) => sel(root).flatMap((n) => (Array.isArray(n) ? n : []));
 const others = (sel, known) => (root) => sel(root).flatMap((n) => (isObj(n) ? Object.keys(n).filter((k) => !known.includes(k)).map((k) => n[k]) : []));
 const keys = (sel) => (root) => sel(root).flatMap((n) => (isObj(n) ? Object.keys(n) : []));
-function fail(path, msg) {
-    throw new LetopisError('invalid_class', `${msg} (узел ${JSON.stringify(path)})`);
+/** Описание не компилируется (`invalid_class`): ключ каталога и параметры; путь узла — параметр node. */
+function fail(path, key, params) {
+    throw lerr(key, { ...params, node: JSON.stringify(path) });
 }
 /** Компиляция узла схемы в правила — порядок и состав как в jp_compile. */
 function compileNode(s, sel, path, inAny, out) {
     if (s === undefined || s === true || (isObj(s) && Object.keys(s).length === 0))
         return;
     if (!isObj(s))
-        fail(path, `описание узла ${JSON.stringify(path)} — не объект`);
+        fail(path, 'model.validator_node_not_object');
     const sch = s;
     for (const k of Object.keys(sch)) {
         if (!SUPPORTED.has(k) && !k.startsWith('x-'))
-            fail(path, `ключевое слово ${k} не поддерживается`);
+            fail(path, 'model.validator_keyword_unsupported', { keyword: k });
     }
     if (sch.type !== undefined) {
         const types = Array.isArray(sch.type) ? sch.type : [sch.type];
-        const tests = types.map((t) => TYPE_TEST[t] ?? fail(path, `неизвестный тип в узле ${JSON.stringify(path)}`));
+        const tests = types.map((t) => TYPE_TEST[t] ?? fail(path, 'model.validator_unknown_type'));
         out.push({ path, keyword: 'type', select: sel, test: (v) => tests.some((f) => f(v)) });
     }
     if (sch.enum !== undefined || sch.const !== undefined) {
@@ -117,8 +129,8 @@ function compileNode(s, sel, path, inAny, out) {
         const values = (sch.enum ?? [sch.const]);
         if (values.some((v) => typeof v === 'object' && v !== null)) {
             if (inAny)
-                fail(path, 'перечисление объектов внутри anyOf не поддерживается');
-            out.push({ path, keyword, select: sel, test: () => true, extra: (v) => (values.some((x) => jsonEqual(x, v)) ? null : 'значение не из перечисления') });
+                fail(path, 'model.validator_enum_objects_in_any_of');
+            out.push({ path, keyword, select: sel, test: () => true, extra: (v) => (values.some((x) => jsonEqual(x, v)) ? null : lmsg('model.issue_enum')) });
         }
         else {
             out.push({ path, keyword, select: sel, test: (v) => values.some((x) => typeOf(x) === typeOf(v) && jsonEqual(x, v)) });
@@ -137,36 +149,36 @@ function compileNode(s, sel, path, inAny, out) {
         out.push({ path, keyword: 'multipleOf', select: sel, test: num((v, b) => isMultiple(v, b), sch.multipleOf) });
     if (sch.pattern !== undefined) {
         const src = translatePattern(sch.pattern); // то, чего база не понимает, — своя ошибка invalid_class
-        let re;
         try {
-            re = new RegExp(src);
+            new RegExp(src); // только разбор, без исполнения на данных: проверку шаблона делает база (ревью, ReDoS)
         }
         catch {
             // шаблон, неверный уже для JavaScript (незакрытая скобка и т. п.): translatePattern его пропускает, RegExp — нет.
             // Текст V8 в сообщение не идёт: он зависит от версии движка
-            fail(path, `pattern ${JSON.stringify(sch.pattern)} — неверное регулярное выражение`);
+            fail(path, 'model.validator_bad_pattern', { pattern: JSON.stringify(sch.pattern) });
         }
-        out.push({ path, keyword: 'pattern', select: sel, test: (v) => typeof v !== 'string' || re.test(v) });
+        out.push({ path, keyword: 'pattern', select: sel, test: () => true, db: true });
     }
     if (sch.format !== undefined) {
         const f = sch.format;
-        const re = FORMAT_RE[f] ?? fail(path, `format ${f} не поддерживается`);
-        out.push({ path, keyword: 'format', select: sel, test: (v) => typeof v !== 'string' || re.test(v) });
+        const re = FORMAT_RE[f] ?? fail(path, 'model.validator_format_unsupported', { format: f });
+        const max = f === 'email' ? EMAIL_MAX : Infinity;
+        out.push({ path, keyword: 'format', select: sel, test: (v) => typeof v !== 'string' || (v.length <= max && re.test(v)) });
         if (f === 'date' || f === 'date-time') {
             if (inAny)
-                fail(path, `format ${f} внутри anyOf не поддерживается`);
+                fail(path, 'model.validator_format_in_any_of', { format: f });
             out.push({ path, keyword: 'format', select: sel, test: () => true,
-                extra: (v) => (typeof v !== 'string' || !re.test(v) || validDate(v, f === 'date-time') ? null : 'такой даты не бывает') });
+                extra: (v) => (typeof v !== 'string' || !re.test(v) || validDate(v, f === 'date-time') ? null : lmsg('model.issue_date')) });
         }
     }
     if (sch.minLength !== undefined || sch.maxLength !== undefined) {
         if (inAny)
-            fail(path, 'длина строки внутри anyOf не поддерживается');
+            fail(path, 'model.validator_string_length_in_any_of');
         const min = sch.minLength ?? 0;
         const max = sch.maxLength ?? Infinity;
         out.push({ path, keyword: sch.minLength !== undefined ? 'minLength' : 'maxLength', select: sel, test: () => true,
             extra: (v) => { if (typeof v !== 'string')
-                return null; const n = [...v].length; return n < min || n > max ? 'длина строки вне границ' : null; } });
+                return null; const n = [...v].length; return n < min || n > max ? lmsg('model.issue_string_length') : null; } });
     }
     if (sch.minItems !== undefined)
         out.push({ path, keyword: 'minItems', select: sel, test: (v) => !Array.isArray(v) || v.length >= sch.minItems });
@@ -174,9 +186,9 @@ function compileNode(s, sel, path, inAny, out) {
         out.push({ path, keyword: 'maxItems', select: sel, test: (v) => !Array.isArray(v) || v.length <= sch.maxItems });
     if (sch.uniqueItems === true) {
         if (inAny)
-            fail(path, 'uniqueItems внутри anyOf не поддерживается');
+            fail(path, 'model.validator_unique_items_in_any_of');
         out.push({ path, keyword: 'uniqueItems', select: sel, test: () => true,
-            extra: (v) => (Array.isArray(v) && v.some((x, i) => v.findIndex((y) => jsonEqual(x, y)) !== i) ? 'элементы повторяются' : null) });
+            extra: (v) => (Array.isArray(v) && v.some((x, i) => v.findIndex((y) => jsonEqual(x, y)) !== i) ? lmsg('model.issue_unique_items') : null) });
     }
     if (sch.items !== undefined)
         compileNode(sch.items, items(sel), [...path, '*'], inAny, out);
@@ -186,12 +198,12 @@ function compileNode(s, sel, path, inAny, out) {
     }
     if (sch.minProperties !== undefined || sch.maxProperties !== undefined) {
         if (inAny)
-            fail(path, 'minProperties внутри anyOf не поддерживается');
+            fail(path, 'model.validator_min_properties_in_any_of');
         const min = sch.minProperties ?? 0;
         const max = sch.maxProperties ?? Infinity;
         out.push({ path, keyword: sch.minProperties !== undefined ? 'minProperties' : 'maxProperties', select: sel, test: () => true,
             extra: (v) => { if (!isObj(v))
-                return null; const n = Object.keys(v).length; return n < min || n > max ? 'число ключей вне границ' : null; } });
+                return null; const n = Object.keys(v).length; return n < min || n > max ? lmsg('model.issue_property_count') : null; } });
     }
     const known = isObj(sch.properties) ? Object.keys(sch.properties) : [];
     if (isObj(sch.properties)) {
@@ -210,24 +222,32 @@ function compileNode(s, sel, path, inAny, out) {
     for (const kw of ['anyOf', 'oneOf']) {
         if (!Array.isArray(sch[kw]))
             continue;
-        const branches = sch[kw].map((b) => {
+        const compiled = sch[kw].map((b) => {
             const rules = [];
             compileNode(b, (root) => [root], path, true, rules);
-            return (node) => rules.every((r) => r.select(node).every((n) => r.test(n)));
+            return rules;
         });
+        // ветку с правилом базы здесь не решить: anyOf/oneOf целиком проверяет база (у oneOf иначе — ложное нарушение)
+        if (compiled.some((rules) => rules.some((r) => r.db))) {
+            out.push({ path, keyword: kw, select: sel, test: () => true, db: true });
+            continue;
+        }
+        const branches = compiled.map((rules) => (node) => rules.every((r) => r.select(node).every((n) => r.test(n))));
         out.push({ path, keyword: kw, select: sel, test: kw === 'anyOf'
                 ? (v) => branches.some((b) => b(v))
                 : (v) => branches.filter((b) => b(v)).length === 1 });
     }
 }
 /**
- * Превращает JSON Schema данных класса в функцию проверки — ту же проверку, что выполняет база при записи. Схема
+ * Превращает JSON Schema данных класса в функцию проверки — ту же проверку, что выполняет база при записи, кроме
+ * `pattern` (и `anyOf`/`oneOf` с ним в ветке): шаблоны задаёт арендатор, их проверяет только база. Схема
  * класса — `db.registry.resolve(имя).schema`.
  */
 export function compileValidator(schema) {
-    const rules = [];
-    compileNode(schema, (root) => [root], [], false, rules);
-    return (data) => {
+    const all = [];
+    compileNode(schema, (root) => [root], [], false, all);
+    const rules = all.filter((r) => !r.db);
+    const v = (data) => {
         const issues = [];
         for (const r of rules) {
             const nodes = r.select(data);
@@ -239,11 +259,23 @@ export function compileValidator(schema) {
                 }
             }
             else if (!nodes.every((n) => r.test(n))) {
-                issues.push({ path: r.path, keyword: r.keyword, message: `нарушено правило ${r.keyword}` });
+                issues.push({ path: r.path, keyword: r.keyword, message: lmsg('model.issue_rule', { keyword: r.keyword }) });
             }
         }
         return issues;
     };
+    if (rules.length < all.length)
+        LEAVES_TO_DB.add(v);
+    return v;
+}
+/** Валидаторы с правилами, которые проверяет только база. */
+const LEAVES_TO_DB = new WeakSet();
+/**
+ * Оставляет ли валидатор правила базе (`pattern` и `anyOf`/`oneOf` с ним): строки таких классов загрузчик, который
+ * пишет мимо триггеров, сверяет запросом к базе. Не входит в API пакета.
+ */
+export function leavesToDb(v) {
+    return LEAVES_TO_DB.has(v);
 }
 /**
  * Подставляет в данные значения по умолчанию (`default`) из JSON Schema класса, как база перед проверкой при каждой

package/dist/watch.d.ts

@@ -42,8 +42,8 @@ export interface WatchCtx {
 }
 /**
  * Будит ли сигнал подписку: свои классы (watched; null — все) и свой арендатор (mine — токен; null —
- * любой); сессии не будят; *, opaque без ключа и нагрузка не по режиму — будят. Незнакомый токен класса
- * будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
+ * любой); сессии не будят; переподключение слушателя, opaque без ключа и нагрузка не по режиму — будят. Незнакомый
+ * токен класса будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
  */
 export declare function wakes(s: Signal, watched: ReadonlySet<string> | null, mine: string | null): boolean;
 export declare class Subscription implements AsyncIterable<WatchEvent> {
@@ -58,12 +58,6 @@ export declare class Subscription implements AsyncIterable<WatchEvent> {
     private dirty;
     /** Пришёл сигнал: пустой ответ — ещё не горизонт, нужны короткие повторы. Таймер их не запускает (план 2.0, 7.4 №1). */
     private burst;
-    /**
-     * from: 'start' — пока подписка не догнала журнал, свои чтения она шлёт без времени курсора: весь журнал, без
-     * cursor_expired на старых событиях (план 2.0, 7.4 №3). Курсоры событий и sub.cursor время хранят: продолжение с них
-     * после прореживания — cursor_expired, как обещано.
-     */
-    private catchingUp;
     private off;
     private timer;
     private failure;
@@ -74,16 +68,11 @@ export declare class Subscription implements AsyncIterable<WatchEvent> {
     /** Вызовы next() — по очереди: параллельные получают разные события (доработки после точки Б). */
     private queue;
     constructor(ctx: WatchCtx, opts: WatchOptions);
-    /**
-     * Курсор подписки: позиция после последнего выданного события (или начальная точка). Догнав журнал, подписка обновляет
-     * в нём время и на пустых опросах, поэтому его, а не курсор события, сохраняют, чтобы продолжить после перезапуска:
-     * курсор события хранит время события, и когда оно выйдет за ярус all политики хранения, продолжение с него —
-     * cursor_expired.
-     */
+    /** Курсор подписки: позиция после последнего выданного события (или начальная точка) — с неё продолжают после перезапуска. */
     get cursor(): string | null;
     /**
-     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток
-     * (доработки после точки Б). У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
+     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток.
+     * У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
      * выполняется сразу; если запрос не удался, промис отклоняется с его ошибкой.
      */
     ready(): Promise<void>;

package/dist/watch.js

@@ -11,36 +11,30 @@
  * журнала: каждый видит только своё. Сигнал базы только будит подписку: свои классы и свой арендатор
  * (чужие — не будят; процесс без ключа сигналов арендатора не различает, в режиме opaque — и класса);
  * без LISTEN и на случай потери сигнала — запасной опрос.
- *
- * Курсор подписчика старше яруса all политики хранения его классов — cursor_expired: события могли
- * проредиться, нужно перечитать текущее состояние и подписаться заново. Время курсора подписки — время последнего
- * события, а догнавшей журнал подписки — время опроса (не позже самой старой ещё не отданной записи): подписка без
- * событий не стареет. Курсор события хранит время события.
  */
-import { LetopisError } from './errors.js';
+import { lerr } from './errors.js';
 import { toRow } from './sql.js';
-/** Курсор события: «tx:seq[:время][~снимок]». */
-const encode = (p) => `${p.tx}:${p.seq}${p.at ? `:${p.at}` : ''}${p.snap ? `~${p.snap}` : ''}`;
+/** Курсор события: «tx:seq[~снимок]». */
+const encode = (p) => `${p.tx}:${p.seq}${p.snap ? `~${p.snap}` : ''}`;
 function decode(c) {
     const [head, snap] = c.split('~');
-    const m = /^(\d+):(\d+)(?::(.+))?$/.exec(head);
+    const m = /^(\d+):(\d+)$/.exec(head);
     if (!m || (snap !== undefined && !/^\d+:\d+:[\d,]*$/.test(snap))) {
-        throw new LetopisError('invalid_query', `watch: курсор ${c} — ожидается курсор события`);
+        throw lerr('time.watch_cursor', { cursor: c });
     }
-    return { tx: m[1], seq: m[2], at: m[3] ?? null, ...(snap ? { snap } : {}) };
+    return { tx: m[1], seq: m[2], ...(snap ? { snap } : {}) };
 }
 /** Снимок ещё нужен: курсор не дошёл до его xmax. */
 const keepSnap = (snap, tx) => snap && BigInt(tx) < BigInt(snap.split(':')[1]) ? snap : undefined;
 /**
  * Будит ли сигнал подписку: свои классы (watched; null — все) и свой арендатор (mine — токен; null —
- * любой); сессии не будят; *, opaque без ключа и нагрузка не по режиму — будят. Незнакомый токен класса
- * будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
+ * любой); сессии не будят; переподключение слушателя, opaque без ключа и нагрузка не по режиму — будят. Незнакомый
+ * токен класса будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
  */
 export function wakes(s, watched, mine) {
     const ours = (t) => t === null || mine === null || t === mine;
     switch (s.kind) {
         case 'session':
-        case 'sessions':
             return false;
         case 'class':
             return (!watched || watched.has(s.cls)) && ours(s.tenant);
@@ -63,12 +57,6 @@ export class Subscription {
     dirty = true;
     /** Пришёл сигнал: пустой ответ — ещё не горизонт, нужны короткие повторы. Таймер их не запускает (план 2.0, 7.4 №1). */
     burst = false;
-    /**
-     * from: 'start' — пока подписка не догнала журнал, свои чтения она шлёт без времени курсора: весь журнал, без
-     * cursor_expired на старых событиях (план 2.0, 7.4 №3). Курсоры событий и sub.cursor время хранят: продолжение с них
-     * после прореживания — cursor_expired, как обещано.
-     */
-    catchingUp = false;
     off = null;
     timer = null;
     failure = null;
@@ -84,10 +72,8 @@ export class Subscription {
         this.batch = opts.batch ?? 500;
         this.pollMs = opts.pollMs ?? 1000;
         const from = opts.from ?? 'now';
-        if (from === 'start') {
-            this.pos = { tx: '0', seq: '0', at: null };
-            this.catchingUp = true;
-        }
+        if (from === 'start')
+            this.pos = { tx: '0', seq: '0' };
         else if (from !== 'now')
             this.pos = decode(from);
         else {
@@ -110,20 +96,15 @@ export class Subscription {
         }, this.pollMs);
         this.timer.unref?.();
     }
-    /**
-     * Курсор подписки: позиция после последнего выданного события (или начальная точка). Догнав журнал, подписка обновляет
-     * в нём время и на пустых опросах, поэтому его, а не курсор события, сохраняют, чтобы продолжить после перезапуска:
-     * курсор события хранит время события, и когда оно выйдет за ярус all политики хранения, продолжение с него —
-     * cursor_expired.
-     */
+    /** Курсор подписки: позиция после последнего выданного события (или начальная точка) — с неё продолжают после перезапуска. */
     get cursor() {
         if (this.buf.length)
             return this.given;
         return this.pos ? encode(this.pos) : null;
     }
     /**
-     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток
-     * (доработки после точки Б). У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
+     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток.
+     * У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
      * выполняется сразу; если запрос не удался, промис отклоняется с его ошибкой.
      */
     async ready() {
@@ -132,7 +113,7 @@ export class Subscription {
     }
     async head() {
         const [r] = await this.ctx.exec.run((q) => q.unsafe(`select tx::text as tx, seq::text as seq, snap::text as snap from ${this.ctx.S}.watch_head()`), { read: true });
-        return { tx: r.tx, seq: r.seq, at: null, snap: r.snap };
+        return { tx: r.tx, seq: r.seq, snap: r.snap };
     }
     /** Следующая пачка событий ниже горизонта; пусто — горизонт ещё не дошёл или событий нет. */
     async fetch() {
@@ -141,58 +122,18 @@ export class Subscription {
         const p = this.pos;
         const cols = `l.tx::text as tx, l.seq::text as seq, jsonb_build_object('id', l.id, 'rev', l.rev, 'class', l.class, 'tenant', l.tenant, `
             + `'owner', l.owner, 'links', l.links, 'data', l.data, 'tags', l.tags, 'at', l.at, 'author', l.author, 'agent', l.agent, `
-            + `'op', l.op, 'reason', l.reason, 'moved', l.moved) as row`;
-        // уход строки из классов подписки сменой класса без смены id (хвост ревью безопасности №3) — надгробием прежней
-        // версии в том же окне: полная пачка watch_read ограничивает окно своей последней строкой. Оба потока — одним
-        // оператором: общий снимок и горизонт, иначе курсор перескочил бы событие, зафиксированное между запросами
-        // (автоматическое ревью). Потоки сливаются по (tx, seq) до границы — последней строки потока, обрезанного лимитом.
-        // Третья строка (src 2) — время курсора, когда пачка неполная (подписка догнала журнал): «сейчас», но не позже самой
-        // старой записи подписки, которая уже зафиксирована, а горизонт ещё не прошла (её держит более старая транзакция;
-        // снимок «now» — без записей, которые подписка не отдаёт). Тот же снимок, что у watch_read
-        const S = this.ctx.S;
-        const both = await this.ctx.exec.run((q) => q.unsafe(`with r as (select l.* from ${S}.watch_read($1::text::xid8, $2::bigint, $3::text::timestamptz, $4::text[], $5::int, $6::text::pg_snapshot) l),
-            u as (select r.tx, r.seq from r where (select count(*) from r) = $5 order by r.tx desc, r.seq desc limit 1)
-       select 0 as src, ${cols} from r l
-       union all
-       select 1 as src, ${cols} from ${S}.watch_leaving($1::text::xid8, $2::bigint, $4::text[], $5::int, $6::text::pg_snapshot,
-         (select tx from u), (select seq from u)) l
-       union all
-       select 2 as src, null, null, jsonb_build_object('at', least(statement_timestamp(), min(l.at))) from ${S}.log l
-       where (select count(*) from r) < $5 and (l.tx, l.seq) > ($1::text::xid8, $2::bigint)
-         and l.tx >= pg_snapshot_xmin(pg_current_snapshot()) and ($4::text[] is null or l.class = any ($4::text[]))
-         and ($6::text::pg_snapshot is null or not pg_visible_in_snapshot(l.tx, $6::text::pg_snapshot))
-       having (select count(*) from r) < $5`, [p.tx, p.seq, this.catchingUp ? null : p.at, this.ctx.classesOf?.() ?? this.ctx.classes, this.batch, p.snap ?? null]), { read: true });
-        const before = (a, b) => BigInt(a.tx) < BigInt(b.tx) || (a.tx === b.tx && BigInt(a.seq) < BigInt(b.seq));
-        const order = (a, b) => (before(a, b) ? -1 : before(b, a) ? 1 : 0);
-        const read = both.filter((r) => r.src === 0).sort(order);
-        const away = both.filter((r) => r.src === 1).sort(order);
-        const caught = both.find((r) => r.src === 2);
-        let rows = read;
-        {
-            const upto = read.length === this.batch ? read[read.length - 1] : null;
-            if (away.length) {
-                let bound = upto;
-                const lastAway = away[away.length - 1];
-                if (away.length === this.batch && (!bound || before(lastAway, bound)))
-                    bound = lastAway;
-                rows = [...read, ...away].sort(order).filter((r) => !bound || !before(bound, r));
-            }
-        }
+            + `'op', l.op, 'reason', l.reason) as row`;
+        // строки — по (tx, seq), как их отдаёт watch_read
+        const rows = await this.ctx.exec.run((q) => q.unsafe(`select ${cols} from ${this.ctx.S}.watch_read($1::text::xid8, $2::bigint, $3::text[], $4::int, $5::text::pg_snapshot) l`, [p.tx, p.seq, this.ctx.classesOf?.() ?? this.ctx.classes, this.batch, p.snap ?? null]), { read: true });
         // пока события пачки не выданы, курсор подписки — позиция до пачки
         if (rows.length)
             this.given = encode(p);
         for (const r of rows) {
             const row = toRow(r.row);
             const snap = keepSnap(p.snap, r.tx);
-            this.pos = { tx: r.tx, seq: r.seq, at: row.at, ...(snap ? { snap } : {}) };
+            this.pos = { tx: r.tx, seq: r.seq, ...(snap ? { snap } : {}) };
             this.buf.push({ cursor: encode(this.pos), row, id: row.id, class: row.class, op: row.op, rev: row.rev, at: row.at });
         }
-        // догнала журнал — время курсора подписки (sub.cursor) обновляется и на пустых опросах: прореживать после него нечего,
-        // и подписка, к которой долго не было событий, не получает ложный cursor_expired. Курсоры событий хранят время события
-        if (caught && away.length < this.batch) {
-            this.pos = { ...(this.pos ?? p), at: String(caught.row.at) };
-            this.catchingUp = false;
-        }
         return rows.length;
     }
     /**
@@ -240,6 +181,11 @@ export class Subscription {
                 this.burst = false;
                 empty = 0;
             }
+            // подписку закрыли, пока шли запрос или пауза (будильник тогда ещё не выставлен — close() будить было некого): ждать
+            // нельзя, будильника не будет — таймер снят, сигналы отписаны (план 2.0, 7.4 №8; находка обхода сервисов — поток
+            // SSE после выхода не закрывался)
+            if (this.closed)
+                return { value: undefined, done: true };
             await new Promise((r) => {
                 this.wake = () => {
                     this.wake = null;

package/dist/write.d.ts

@@ -1,4 +1,4 @@
-import { type ClassInfo, type Registry } from './registry.js';
+import type { ClassInfo, Registry } from './registry.js';
 import { type AggSpec, type BuiltQuery, type ReadMode, type Step } from './sql.js';
 import type { Tx } from './tx.js';
 import type { ChainMods, Row } from './types.js';
@@ -26,27 +26,16 @@ export type PlanOp = ({
     kind: 'update';
     data: Record<string, unknown>;
     rev?: number;
+    all?: true;
 } | {
     kind: 'upsert';
     data: Record<string, unknown>;
 } | {
     kind: 'delete';
     confirm: boolean;
-} | {
-    kind: 'anonymize';
-    fields: string[];
-} | {
-    kind: 'reclass';
-    cls: string;
-    data?: Record<string, unknown>;
+    all?: true;
 } | {
     kind: 'restore';
-} | {
-    kind: 'purge';
-    confirm: boolean;
-} | {
-    kind: 'rekey';
-    data: Record<string, unknown>;
 }) & {
     reason?: string;
 };
@@ -77,8 +66,12 @@ export declare function splitPatch(patch: Record<string, unknown>): {
     rest: Record<string, unknown>;
     incs: IncSpec[];
 };
-/** Всё, что проверяется без базы, — до отправки первого оператора (§2.5). */
-export declare function precheckPlan(reg: Registry, steps: Step[]): void;
+/**
+ * Всё, что проверяется без базы, — до отправки первого оператора (§2.5). Фильтры шагов и поля sort() и агрегатов
+ * (неизвестное поле — invalid_query, план 2.0, этап 3, п. 3) — precheckStep построителя; order и agg — модификатор и
+ * агрегат чтения за последним глаголом (терминал цепочки).
+ */
+export declare function precheckPlan(reg: Registry, steps: Step[], order?: string, agg?: AggSpec): void;
 export interface WriteCtx {
     reg: Registry;
     schema: string;