letopis 1.4.2 → 3.0.0

package/CHANGELOG.md

@@ -4,6 +4,745 @@
 «Версии и совместимость» в README; шаг версии сверяет `npm run check:semver`. С 1.4.2 у правки ядра (библиотеки и SQL)
 в конце пункта указан источник находки: «Источник: тест», «пример», «сервис», «ревью», «soak» или «внедрение».
 
+## [3.0.0] — 2026-11-03
+
+Мажор: безопасность по умолчанию и журнал событий. Удаление и восстановление без сверки с тем, что видел пользователь,
+теперь отказ, а не молчаливое действие; `createTenant` проверяет свой первый аргумент; вместо голых `TypeError` и
+вводящих в заблуждение отказов — ошибки letopis с подсказкой. Ревизия движка 9 → 11: схему 2.x обновляет
+`up({ schema, upgrade: true })` (миграции `sql/migrate/0010-impersonation-no-account.sql` — новое тело `ctx()`, и
+`sql/migrate/0011-key-lock.otp-enabled.sql` — новые тела функций входа по ключу, отзыва креда, OTP и TOTP; раздел
+«Исправления»).
+
+### Переход на 3.0
+Что ломается и как переписать:
+
+- **`delete({ confirm: true })` без `expect`** — отказ `invalid_query`, ключ `write.confirm_without_expect`, ничего не
+  удалено. Удаляйте ровно показанное превью:
+
+  ```ts
+  const preview = await db.Item(id).delete().rows();          // показать пользователю
+  await db.Item(id).delete({ confirm: true, expect: preview }).rows();
+  ```
+
+  Где удаление без превью — осознанный замысел (служебная чистка, удаление, подтверждённое в окне без показа
+  каскада), — `delete({ confirm: true, all: true })`: удалить текущий состав целей без сверки (без фильтра — все
+  строки класса, как прежде `all: true`). Правило одно для цепочек, `db.begin()`, `db.batch()` и `db.as()`.
+- **`restore()` без `expect`** — отказ `invalid_query`, ключ `write.restore_without_expect`, ничего не восстановлено, и
+  для явных id тоже (`db.Item(id).restore()`): между удалением и восстановлением объект могли вернуть, изменить и удалить
+  снова — `restore()` вернул бы надгробие, которого пользователь не видел. Передавайте надгробия:
+
+  ```ts
+  const gone = await db.Item(id).delete({ confirm: true, expect: preview }).rows();
+  await db.Item(id).restore({ expect: gone }).rows();
+  // или по корзине: const tomb = await db.Item(id).withDeleted().rows(); restore({ expect: tomb })
+  ```
+
+  Вернуть то, что можно, — `restore({ expect, partial: true })`; осознанно вернуть все удалённые цели шага без сверки —
+  `restore({ all: true })`. Предупреждение `write.restore_no_filter` снято: без `expect` и `all` теперь отказ.
+- **`createTenant(admin, …)`** — `admin` обязан быть пулом `postgres()` (функция с `begin` и `unsafe`); строка DSN,
+  подключение `connect()` letopis, `undefined` или другой объект — отказ `invalid_query`, ключ
+  `api.create_tenant_admin` (раньше — `TypeError: sql.begin is not a function`). Имя схемы нормализуется как в
+  `connect()` и `up()`: `createTenant(admin, 'salon', …)` работает со схемой `v2.salon` (раньше — сырая ошибка
+  PostgreSQL `42P01`).
+- Типы опций: `delete(opts?: DeleteOptions)` и `restore(opts: RestoreOptions)` (новые экспортируемые типы) —
+  `delete({ confirm: true })` без `expect` и `all`, а также `restore()` без аргумента TypeScript отклоняет при
+  компиляции. `confirm` — литерал `true`, а не `boolean`.
+- `svc.as(id)` с id аккаунта, которого нет (не заводили или удалён), — `target_not_found`, ключ
+  `sql-core.impersonation_no_account` «аккаунт … не найден» (раньше — `acl_denied` «действовать от имени этого аккаунта
+  нельзя», как запрет прав). Запрет (System, сервис, системный администратор, выключенный аккаунт) — как прежде
+  `acl_denied`.
+- Связь, переданная полем данных (`create({ …, Member: id })`), — `invalid_data` с новым ключом `write.link_in_data`
+  вместо `api.validation_failed_end`: текст сам называет ключи и синтаксис `.Роль.set(id)`. Ключ находит и имя класса
+  на конце, если роль называется иначе. Код ошибки прежний.
+- `connect({ apiKey | service | token })` со значением `null`, `''` (или не строкой) — отказ `invalid_data`, ключ
+  `api.connect_empty_credential`, до подключения (раньше — подключение без сессии и `no_session` на первой записи;
+  частый случай — повторный `up()` вернул `serviceKey: null`). Опция со значением `undefined` — как прежде, опции нет.
+  Источник: ревью.
+
+### Логирование
+- Журнал событий: `connect({ log, logLevel, redact })` и `up({ log, logLevel, redact })`. `log` — функция
+  `(event) => void` или объект с методами `debug`/`info`/`warn`/`error` (pino, `console`): вызов
+  `logger[level](event, event.event)`. `logLevel` — `'debug' | 'info' | 'warn' | 'error' | 'off'`, по умолчанию
+  `'info'`; ниже порога событие не собирается. `LETOPIS_LOG=<уровень>` — если `log` не передан, события пишутся
+  JSON-строками в stderr. CLI: `letopis <команда> --log[=уровень]`.
+- Событие: `{ ts, level, event, op, ms, tenant, account, tx, chain, rows, code, key, detail }`, у ошибок ещё `cause`.
+  Секреты (пароли, токены, ключ сервиса, пароль в DSN, значения секретов) маскируются всегда; `redact: string[]` —
+  дополнительные имена полей. `onQuery` остаётся; каждый SQL — ещё и событие `sql` уровня `debug`.
+- События: `connect`, `close`, `up`, `migrate`, `sync`, `read`, `cache.hit`, `cache.miss`, `write`, `delete.preview`,
+  `delete`, `restore`, `tx.begin`, `tx.commit`, `tx.rollback`, `tx.retry`, `auth.login`, `auth.logout`, `auth.revoke`,
+  `auth.switch`, `watch.start`, `watch.stop`, `signal`, `maintain`, `warning`, `error`, `sql`. Уровни: `write`,
+  `delete`, `restore`, `auth.*`, `up`, `migrate`, `sync`, `maintain` — `info`; `warning`, `tx.retry` — `warn`;
+  `error` — `error`, а у штатного отказа — `warn` (ниже); `read`, `cache.*`, `tx.begin`, `tx.commit`, `sql`,
+  `delete.preview` — `debug` (`tx.commit` транзакции с записью — `info`, ниже). Каталог событий —
+  `lib/src/messages/log.ts`, слой — `lib/src/log.ts`.
+- Ошибка PostgreSQL в событии `error` (сама или причиной ошибки letopis, поле `cause`) — только SQLSTATE и имена объектов
+  схемы (`constraint`, `table`, `column`, `schema`, `datatype`, `routine`); её текст, `DETAIL`, `WHERE`, `HINT` и
+  внутренний запрос в журнал не пишутся: в них бывают значения параметров и данных («Key (email)=(…)»,
+  «invalid input syntax for type uuid: "…"»). У ошибки letopis параметры шаблона `value` и `text` в `msg` — `***`
+  (`query.bad_uuid`, `api.db_bad_value`, курсоры), у строк в `detail` (превью удаления `write.preview_changed`, снимки
+  `restore`) поле `data` — `***`. Сама ошибка, которую получает приложение, не меняется. Те же правила — у предупреждений
+  `time.maintain_failed` и `log.notify_failed`. Источник: ревью.
+- Штатный отказ — событие `error` уровня `warn`: коды `exists`, `conflict`, `target_not_found`, `not_deleted`,
+  `delete_restricted`, `acl_denied`, `tenant_denied`, `no_session`, `duplicate`, `deleted`, `confirmation_required` и
+  `invalid_data` с нарушениями данных (`err.issues`); прочие — уровня `error`. Источник: ревью.
+- Фиксация в журнале: в `db.begin()` события записи (`write`, `delete`, `restore`, `raw`, `acl.change`, `auth.*` с
+  записью) несут поле `tx`; `tx.commit` такой транзакции — уровня `info` с `detail.writes` (число операций записи),
+  без записи — `debug`; `tx.rollback` — `info` с `detail.writes`. Событие записи с `tx` фиксацию не доказывает —
+  доказывает `tx.commit` с тем же `tx`; вне `db.begin()` событие записи пишется после `COMMIT`. `tx.commit` у
+  `db.transaction(fn)` (сырой SQL) — всегда `info`. Источник: ревью.
+- Событие `up` — `detail.schema` (фактическое имя схемы) и `detail.requested`, если имя передано без префикса версии
+  (`'salon'` → `'v2.salon'`); ответ `up()` — поле `schema`, как прежде. Источник: ревью.
+
+### Добавлено
+- `delete({ confirm: true, all: true })` и `restore({ all: true })` — осознанное действие без сверки (см. «Переход на
+  3.0»). Экспорт типов `DeleteOptions`, `RestoreOptions`.
+- `syncModels` до записи проверяет имена ролей концов: имя роли одно на арендатора, и роль, занятая системным классом
+  (`User`, `Tenant` — класс `member`, ведут на `Account`; `Group`, `Object` — класс `rule`, ведут на `Resource`), может
+  вести только туда же. Иначе `invalid_class`, ключ `model.end_role_system` «имя роли Group в классе Item занято
+  системным классом rule (там Group ведёт на Resource) — выберите другое имя роли, например Team»; роль, которая в другом
+  классе арендатора ведёт на другой класс, — `model.end_role_taken` (раньше — только отказ базы
+  `sql-write.end_other_class` «конец Group в классе rule ведёт на другой класс»). Источник: ревью.
+- `sort('code')` — имя поля данных без префикса — отказ с подсказкой «— может быть, data.code?» (ключ
+  `query.sort_field_data`); имя без `data.` не принимается: колонки `at`, `rev`, `id` и поле данных с тем же именем
+  разошлись бы. Источник: ревью.
+- `api-contract.json` (машинный контракт API и ошибок) входит в пакет. Источник: ревью.
+
+### Изменено
+- `versions()` — по-прежнему терминал (промис строк), но метод цепочки на его результате (`versions().rows()`,
+  `versions().sort(…)`) — `invalid_query`, ключ `api.versions_terminal`, с подсказкой «модификаторы — до
+  `versions()`» вместо `TypeError: … rows is not a function`. Источник: внедрение.
+- Инструмент MCP `letopis_write` (op `delete`) удаляет с `expect` — превью, которое подтвердил человек; расхождение под
+  блокировкой — `conflict` (`write.preview_changed`), ничего не удалено. Параметры инструмента прежние.
+- `db.acl.revoke()` и `db.acl.roles(account, null)` удаляют правила и членство как осознанное действие
+  (`{ confirm: true, all: true }`); поведение прежнее.
+- Подсказки об удалённом арендаторе, пользователе и членстве в `createTenant` (`boot.tenant_deleted` и соседние) и кода
+  `not_deleted` называют `restore({ expect })` с надгробием из `withDeleted().rows()`.
+- Текст кода `conflict` в каталоге перечисляет все случаи: `update` с `{ rev }` (`write.rev_conflict`),
+  `delete({ confirm: true, expect })` с изменившимся превью или исчезнувшими целями (`write.preview_changed`,
+  `detail.preview: []`), `restore({ expect })` объекта, который меняли после удаления (`write.restore_stale`).
+  Подсказка `acl_denied` называет `db.acl.grant` (класс `rule`). Источник: ревью.
+- Описание пакета в `package.json` — по-русски; агенту — `AGENT-CHEATSHEET.md` и `llms.txt` в пакете, исходный код
+  доступен (PolyForm Noncommercial 1.0.0).
+
+### Удалено
+- Ключ каталога `api.validation_failed_end` (заменён `write.link_in_data`) и предупреждение `write.restore_no_filter`.
+
+### Исправления
+- Типы `hub(имя, поля)` и `link(имя, поля)` без третьего аргумента: короткая форма с полями и без опций проходит
+  проверку типов (раньше TypeScript выбирал перегрузку полного описания и отклонял поле как лишнее ключевое слово;
+  при выполнении форма работала). Источник: пример.
+- Вход по ключу (`connect({ apiKey })`, `db.auth.verifyApiKey`, `db.auth.verifyKeySecret`) и отзыв ключа
+  (`db.auth.revokeCredential`) синхронизированы по строке ключа: вход берёт её `for share`, отзыв — `for update`. Раньше
+  сессия, открытая входом параллельно с отзывом, переживала отзыв: её токен оставался действующим. Теперь отзыв ждёт
+  фиксации такого входа и гасит его сессию, а вход после отзыва ключа не находит. Источник: ревью.
+- Код OTP и фактор TOTP, отключённые `setFlags(id, { enabled: false })`, не принимаются: `verifyOtp` — `null`,
+  `verifyTotp` и вход с `totp` — отказ, `totpEnabled` — `false`, и для смены своих кредов отключённый TOTP не требуется.
+  Раньше проверка кодов флаг не учитывала, и верный код отключённого OTP выдавал сессию. Источник: ревью.
+- `setFlags(id, { enabled: false })` гасит сессии отключённого креда (ключ — открытые им, прочие виды — сессии
+  аккаунта, как при отзыве) и берёт строку креда `for update`: вход по ключу, начатый параллельно, отключение дожидается
+  и гасит его сессию. Последний действующий ключ сервиса не отключается (`acl_denied`, как при отзыве). Раньше
+  сессии, выданные кредом до отключения, оставались действующими. Источник: ревью.
+- Загрузчик сверяет цель вне загрузки со всеми ролями, где встречается её id: id объекта `Org` в ролях `OrgRef → Org`
+  и `StaffRef → Staff` — `target_not_found` по второй роли. Раньше проверялась только первая ссылка на id, неверная
+  вторая записывалась (триггеры загрузку не страхуют). Источник: ревью.
+- Загрузчик: класс строки, удалённый между первым чтением реестра и блокировкой семейства, — отказ `invalid_class`
+  (`write.load_class_not_found`), ничего не записано. Раньше строки писались по прежнему описанию удалённого класса.
+  Источник: ревью.
+- Слот со вложенной цепочкой с глаголом и читающим хвостом (`.OrgRef.set(db.Org(id).Ref().create(…).Org())`) получал
+  у непустого результата id `undefined` — конец не ставился. Теперь — id строк хвоста. Источник: ревью.
+- Чтение семейства, где потомок переопределил тип поля (`Item.price` — число, `Gift.price` — строка `'free'`):
+  `sort('data.price')`, сравнения (`gt`, `between`, `inList` …) и агрегаты `min`, `max`, `sum`, `avg` больше не падают
+  ошибкой приведения. Если у классов шага тип поля разный, значение, которое не приводится к типу поля класса шага, —
+  `null`: при сортировке по возрастанию стоит после прочих, условию сравнения не отвечает, агрегат его пропускает;
+  приводимое (`'7'`) сравнивается как число. Курсор `after()` такой строки — как курсор `null`. Источник: ревью.
+- `lostRules()` и `syncModels().lost` сообщают о проверках `z.object(…).refine()`, `.superRefine()`, `.check()` на
+  уровне объекта (путь — имя класса, `kind: 'refine'`); раньше они терялись молча. Источник: ревью.
+- `paths()`: ключ повторного шага — первый свободный суффикс среди всех выданных ключей (алиасы `x`, `x_2`, `x` →
+  `x`, `x_2`, `x_3`). Раньше третий узел получал ключ `x_2` и затирал второй. Источник: ревью.
+
+## [2.1.0] — 2026-11-03
+
+Правки по прогонам первых пользователей и агентов. Новые опции необязательны. Что меняется для работающего кода —
+три места, каждое ниже отдельной строкой: **смысл `withDeleted()` не у последнего шага** (теперь — модификатор своего
+шага), **ошибка PostgreSQL `22P02` приходит `LetopisError` с кодом `invalid_query`** (раньше — сырая ошибка
+postgres.js, в том числе у `db.sql`) и **`syncModels` отклоняет преобразования Zod**. Прочие новые отказы — там, где
+раньше была сырая ошибка PostgreSQL, `TypeError` или молчаливая ошибка (`db.begin(fn)` и неизвестная опция
+`db.begin()`, гонка `delete({ confirm, expect })`). Ревизия движка 8 → 9: схему 2.0 обновляет
+`up({ schema, upgrade: true })` (миграция `sql/migrate/0009-restore-rev.tenants-name.sql`).
+
+### Добавлено
+- `restore({ expect })` — восстановить ровно то, что ушло удалением: `expect` — надгробия `{ id, rev }` из ответа
+  `delete()` или `withDeleted()`. Восстанавливаются только цели из `expect`, и только если последняя версия каждой — то
+  же надгробие; иначе ничего не восстановлено, а отказ называет причину (строка ниже). Номер версии база сверяет ещё
+  раз под блокировкой записи журнала: `restore(id, rev)` в SQL. Источник: внедрение.
+- `restore({ expect, partial: true })` — вернуть удаление целиком, насколько можно: восстанавливаются цели, у которых
+  совпал `rev`, а остальные не роняют операцию и приходят в ответе строками `{ …строка, $action: 'skip', $why }`,
+  `$why` — `'restored'` (уже восстановлена), `'reissued'` (id занял новый объект с тем же ключом) или `'changed'`
+  (после показанного удаления её меняли: удалили снова и т. п.); строка-пропуск — последняя версия цели (живая или
+  надгробие). Проигранная гонка с другим `restore()` тоже становится пропуском. `partial` без `expect` — `invalid_query`
+  (`write.partial_without_expect`). Продолжение цепочки после `restore()` идёт только от восстановленных. Источник:
+  агенты.
+- Отказы `restore()` — по смыслу, по записи журнала за последним надгробием цели (и в проверке до записи, и в базе под
+  блокировкой — проигравший гонку видит версию победителя):
+  - за надгробием `restore` — объект уже восстановлен: `not_deleted`, новый ключ `write.restore_already` (в базе
+    `sql-time.restore_already`);
+  - за надгробием `create` — id занял новый объект с тем же ключом (`create()` по ключу удалённого): `not_deleted`,
+    `write.restore_id_taken` (в базе `sql-time.restore_id_taken`);
+  - прочее (удалён снова с другим `rev`, не удалялся, гонка) — `conflict`, `write.restore_stale`.
+
+  У всех трёх `err.detail.ids` — id этого вида; с `expect` `err.detail.stale` — все цели, которые не восстановить:
+  `{ id, rev, expected, after, deleted, live, why }` (`rev` — последняя версия сейчас, `after` — вид записи журнала
+  сразу за `expected`, `null` — её нет; `deleted` — последняя версия — надгробие; `live` — объект живёт; `why` — как
+  `$why`). Несколько целей разного вида — `restore_stale`, если есть `changed`, иначе `restore_id_taken`, если есть
+  `reissued`. Источник: внедрение, агенты.
+- `delete({ confirm: true, expect: превью })` — удалить ровно показанное: превью строится заново в транзакции удаления и
+  сравнивается с `expect` по `id`, `rev` и `$action`; расхождение — `conflict` (`write.preview_changed`, новое превью —
+  `err.detail.preview`). Атомарно под гонкой: всё замыкание каскада (строки превью с `$action: 'delete'`) блокируется
+  `for update` в порядке id, превью пересчитывается уже под блокировкой. Связь к удаляемой цели, вставленная раньше,
+  попадает в новое превью (`preview_changed`); вставленная позже ждёт удаления и получает `end_target_missing` —
+  непоказанное больше не уходит каскадом. Пустые цели: `expect: []` и целей нет — пустой ответ; `expect` непуст, а целей
+  нет (удалены, невидимы) — `conflict` с пустым `err.detail.preview`. `expect` без `confirm` — `invalid_query`.
+  Взаимоблокировку двух удалений повторяет операция из пула (`40P01`), в `db.begin()` — вызывающий. Источник:
+  внедрение.
+- `db.auth.revoke(token)` — выход пользователя по токену его сессии (право `auth.session`, как у `session(token)`);
+  без аргумента — как прежде, выход подключения. Функция базы `auth_logout_token(text)`. Источник: внедрение.
+- `db.auth.tenants()` — у арендатора ещё `name` (имя аккаунта арендатора) и `personal` (собственный арендатор).
+  Источник: внедрение.
+- Путь через удалённый узел одной цепочкой: `db.Member(id).withDeleted().Loan().withDeleted()` — удалённые выдачи
+  удалённого участника (`withDeleted()` — модификатор своего шага, см. «Изменено»). Источник: внедрение.
+- `versions()` шага с явными id отдаёт и историю удалённого объекта. Источник: внедрение.
+- `connect({ schema: 'salon' })` — имя без точки дополняется до `v2.salon`, как у `up()`. Источник: агенты.
+- Экспорт типа `Expected` (`{ id, rev, $action? }`) — строка `expect`.
+
+### Изменено
+- **Изменение смысла: `withDeleted()` — модификатор своего шага, а не всей выборки.** У последнего шага — как прежде:
+  `db.Order(o).line().withDeleted()` — живые и удалённые строки живого заказа. Не у последнего — другой ответ:
+  - было: `db.Order(o).withDeleted().line()` — живые и удалённые **строки** живого заказа (флаг относился к последнему
+    шагу, где бы ни стоял);
+  - стало: тот же вызов — заказ с удалёнными, а **строки только живые**; на такой вызов выводится предупреждение
+    `api.with_deleted_step` (один раз на пару шагов).
+  - Код, который ставил `withDeleted()` раньше последнего шага, переносят в конец: `db.Order(o).line().withDeleted()`;
+    удалённые строки удалённого заказа — `db.Order(o).withDeleted().line().withDeleted()`. Опция `withDeleted`
+    инструмента MCP `letopis_query` — по-прежнему последнему шагу. В цепочке записи `withDeleted()` любого шага, кроме
+    шагов `restore()`, — `invalid_query`, как прежде у модификатора цепочки. Источник: внедрение.
+- **Ошибка PostgreSQL `22P02` (значение не того типа) — `LetopisError` с кодом `invalid_query`.** Где бы она ни
+  возникла — в цепочке, в `db.sql`, `db.transaction(fn)` или `tr.sql` в `db.begin()`:
+  - было: сырая ошибка postgres.js, `err.code === '22P02'`, текст PostgreSQL (`invalid input syntax for type uuid:
+    "42"`);
+  - стало: `err instanceof LetopisError`, `err.code === 'invalid_query'`, `err.key === 'api.db_bad_value'`, текст —
+    `letopis: invalid_query: значение не того типа: invalid input syntax for type uuid: "42"`; исходная ошибка
+    PostgreSQL — в `err.cause` (`err.cause.code === '22P02'`).
+  - Проверку `err.code === '22P02'` меняют на `err.code === 'invalid_query'` (SQLSTATE — из `err.cause.code`). Неверный
+    id шага, фильтра `{ id }` или конца в цепочке до базы больше не доходит — строка о `query.bad_uuid` ниже. `40001` и `40P01`
+    приходят как прежде. Источник: агенты.
+- Фильтр `update()`, суженный не только по id (данные, концы, `tags()`, `owner()`), перепроверяется: цели
+  блокируются (`for no key update`) и читаются заново, правятся только строки, которые после ожидания блокировки ещё
+  подходят. Без гонки — те же цели. Источник: внедрение.
+- `syncModels` (и `letopis sync`) отклоняет преобразования Zod — `.trim()`, `.toLowerCase()`, `.transform()`,
+  `z.preprocess()`, `.pipe()`: база и валидатор их не исполняют, данные записались бы как есть (`invalid_class`,
+  `model.transform_unsupported`). `refine` по-прежнему в отчёте `lost`. Источник: агенты.
+- Неверный id шага, фильтра `{ id }` или конца — `invalid_query` (`query.bad_uuid`) до запроса вместо сырой ошибки
+  PostgreSQL 22P02, `null` как id — тот же отказ вместо `TypeError`; id в любом виде, который принимает PostgreSQL,
+  проходит как прежде. Источник: агенты.
+- Текст `invalid_data` называет первое нарушение («путь — сообщение») и число нарушений; сообщение нарушения
+  перечисления называет допустимые значения, лишнего ключа — сам ключ (`sql-core.issue_additional`,
+  `model.issue_additional`); лишний ключ — имя конца класса — подсказка «конец — из пути или `.Роль.set()`»
+  (`api.validation_failed_end`, в `update()` — до записи). У класса с правилами только для базы (`pattern`) ошибка до
+  записи несёт полный список нарушений — его даёт база (`validate_row`). Путь и ключевое слово нарушений не менялись.
+  Источник: агенты.
+- Неизвестный шаг: подсказка о классах арендатора (`auth.tenants()` → `auth.switch()` / `db.as(…, { tenant })`); если в
+  реестре сессии нет ни одного класса арендатора — свой ключ `api.unknown_step_no_classes`; системные классы в
+  «похожие» не идут. `.length`, `.map()`, `[0]` и другие свойства массива у цепочки и её перебор — `invalid_query`
+  (`api.chain_not_rows`). Источник: агенты.
+- Предупреждения (не отказы, `console.warn` один раз на место): шаг с аргументом `undefined`
+  (`api.step_undefined_filter`), шаг после `sort()` (`api.sort_not_last`), `restore()` без сужения и `expect`
+  (`write.restore_no_filter`), `withDeleted()` не у последнего шага (`api.with_deleted_step`). Источник: агенты.
+- `undefined` в данных `create()` и `upsert()` отбрасывается, как в патче `update()`. Источник: агенты.
+- `close()` у фасада `db.as()` ничего не закрывает: пул общий с корнем. Источник: агенты.
+- Логин без крайних пробелов в `auth.setPassword()`, `auth.verifyPassword()` и `createTenant({ user })`; кред,
+  записанный раньше с пробелами, находится по логину как есть. Источник: агенты.
+- Подсказка `no_session` неверного ключа сервиса: ключ перевыпускает `up({ fresh: true })`. Источник: агенты.
+- `connect({ token })` с токеном, который не даёт сессии (погашен `auth.revoke`, истёк, неверен), — отклонённый промис
+  `no_session` (`api.token_not_active`), а не подключение, где первый же шаг давал `invalid_class` про личный арендатор.
+  Если сессия погасла после `connect()`, неизвестный шаг у фасада с токеном без арендатора сессии — тот же отказ, но
+  терминалом (отклонённым промисом), а не синхронным выбросом. Источник: внедрение.
+- `db.begin(аргумент)` — только опции `{ reason }`: функция, строка, число, массив — `invalid_query`
+  (`api.begin_arg`, подсказка — форма `begin()` / `commit()` / `rollback()`); раньше `begin(fn)` функцию не вызывал,
+  а транзакция оставалась открытой. Неизвестная опция — `invalid_data` с похожими (`api.unknown_option`). Источник:
+  внедрение.
+- Нарушение `minLength` / `maxLength` называет границу: «длина строки меньше {limit}» / «больше {limit}» (ключи
+  `model.issue_string_too_short`, `model.issue_string_too_long`, в базе `sql-core.issue_string_too_short`,
+  `sql-core.issue_string_too_long` вместо `*.issue_string_length`); путь и ключевое слово нарушения не менялись.
+  Источник: внедрение, агенты.
+- `forUpdate()` с тем, что блокировать нельзя (`lock_unsupported`, `api.for_update_unsupported`), называет помеху —
+  терминал (`count()`, `paths()`, `versions()`, агрегат), `asOf()`, `withDeleted()`, `deep()` или глагол, — а подсказка
+  перечисляет допустимое и форму «прочитать с блокировкой, затем править». Источник: агенты.
+
+### Лицензия
+- **Смена лицензии: MIT → PolyForm Noncommercial License 1.0.0** (SPDX `PolyForm-Noncommercial-1.0.0`, поле
+  `license` в `package.json`): исходный код открыт, некоммерческое использование бесплатно, коммерческое — по
+  разрешению владельца (`LICENSE-COMMERCIAL.md` в пакете: что считается коммерческим использованием и как получить
+  лицензию — issue на https://github.com/alepri51/letopis/issues). Новая лицензия действует с 2.1.0; версии до 2.0.0
+  включительно выпущены под MIT и остаются под ней. `LICENSE` в корне и в пакете — полный текст PolyForm
+  Noncommercial 1.0.0 со строкой `Required Notice: Copyright 2026 alepri51 (https://github.com/alepri51)`; раздел
+  «Лицензия» в README, строки в шпаргалке и `llms.txt`. `check:docs` узнаёт лицензию по заголовку текста.
+
+### Документация
+- `README.md`, `AGENT-CHEATSHEET.md`, `llms.txt` — под поведение 2.1: `restore({ expect })` и
+  `delete({ confirm, expect })`, выход по токену `auth.revoke(token)` с рецептом веб-сервиса, `auth.tenants()` с
+  `name` и `personal` и рецепт «арендаторы пользователя для сервиса», `withDeleted()` по шагу (таблица цепочек),
+  `versions()` удалённого и форма версии (`op`, `links`, `data`, `$deleted`, порядок без `sort()`), перепроверка
+  фильтра `update()`, `connect({ schema: 'имя' })`, отказ преобразований Zod, предупреждения, новые ключи ошибок,
+  `22P02` — `invalid_query` (раздел «Ошибки» и «Сырой SQL»). Удалено «id не uuid — сырая ошибка 22P02».
+- Удаление и восстановление (README, раздел 7): занятость держит ключ связи; `create()` по ключу удалённого занимает
+  его id — перед `create()` проверка `X({ ключ }).withDeleted()`; надгробия для `expect` — из ответа `delete()` или
+  `withDeleted()` (строки `asOf` — живые версии); цель и каскад — в одной `db.begin()`; причина удаления — своя у
+  каждого удаления; таблица штатных ответов `restore()` (`not_deleted`, `restore_stale`, `target_not_found`, пустой)
+  с сообщением пользователю «вещь уже у другого».
+- Рецепты: `syncModels` в нескольких арендаторах, текст для пользователя из `err.issues`.
+- Шпаргалка (`AGENT-CHEATSHEET.md`), раздел 6 — готовый рецепт «одна открытая выдача на вещь (ключ связи по вещи),
+  удаление участника по превью `delete({ confirm, expect })`, возврат `restore({ expect, partial: true })` с показом
+  пропусков `$why`» и вариант без `partial` с разбором `err.detail.stale`; форма превью и `err.detail.preview`, форма
+  `expect`; новый раздел «Веб-сервис безопасно»: арендатор только из серверной сессии, одно подключение сервиса и
+  `svc.as(account, { tenant })` на запрос вместо `connect({ token })` на каждый вход, экранирование `& < > " '` без
+  обработчиков из данных, ключ сервиса — файл с правами владельца вне репозитория (то же — README, раздел 10, и
+  `llms.txt`).
+- `versions()` по пути — только живые объекты (шпаргалка, раздел 10), история вещи, пока участник удалён, и что видно
+  через `withDeleted()`, когда id надгробия занят новой записью; `createTenant` — аргументы и ответ; `db.idOf` по концу
+  связи; `syncModels` через `svc.as()` без администраторского подключения; «Грабли» — `.nullable()`: `null`, а не
+  `undefined`.
+- Отказы второго раунда описаны в README («Восстановить: `restore`», «Строгий режим», «Ошибки»), шпаргалке и
+  `llms.txt`: `write.restore_already`, `write.restore_id_taken` и `write.restore_stale` по смыслу с `err.detail.stale`
+  (`after`, `live`, `why`), `write.partial_without_expect`, `api.begin_arg`, `api.token_not_active` у `connect({ token })`,
+  граница длины строки в тексте нарушения, `api.for_update_unsupported` с помехой; атомарность
+  `delete({ confirm, expect })` под гонкой.
+
+### Ревизия движка 9
+- `restore(uuid, int default null)` вместо `restore(uuid)`; `auth_tenants()` — ещё `name`, `personal`; новые
+  `auth_logout_token(text)`, `validate_row(text, jsonb)`, `issue_values(jsonb)`; `validate_data` — сообщения с
+  допустимыми значениями и лишними ключами, граница длины строки.
+- `restore()`: последняя запись журнала перечитывается после ожидания блокировки; отказы `sql-time.restore_already`
+  (новый), `sql-time.restore_id_taken` (`detail` — `{ id, rev }`), `sql-time.restore_stale` (`detail` —
+  `{ id, rev, expected, after, deleted, live }`).
+
+## [2.0.0] — 2026-11-03
+
+План 2.0, редакция 2 (`reports/PLAN-LETOPIS-2.0.md`, §2.1): 1.5.0 не выпускается — его работа (этап 3: права, один
+процесс, ошибки и агент) входит в 2.0.0; 2.0.0 — вырезка редких фич и строгий режим (этап 4).
+
+**Совместимости с 1.x нет.** 2.0 ставится только заново: схему letopis 1.x `up()` и `connect()` отклоняют до любых
+изменений, `up({ schema, fresh: true })` пересоздаёт её, данные 1.x не переносятся. Код на API 1.x правят по разделам
+«Снято» и «Строгий режим» ниже. Накат схемы проверяется в пределах 2.x: следующий выпуск 2.x проверит накат с 2.0.
+
+### Снято (несовместимо)
+- Английский язык: `README.en.md`, `AGENT-CHEATSHEET.en.md`, `llms-full.txt` и его генератор
+  `scripts/gen-llms-full.mjs` (с `npm run llms:full`), корневые `README.en.md` и `CONTRIBUTING.en.md`; английские тексты
+  ошибок и подсказок каталога `lib/src/messages` (записи — только шаблон `ru`, подсказка — строка; тип `Lang` больше не
+  экспортируется); опция `lang` у `connect()`, `up()` и `createMcpServer()`, второй аргумент `describeText(model,
+  { lang })` и флаг `--lang` у команд CLI; английские описания инструментов MCP, их параметров и инструкции сервера.
+  Тексты ошибок, справки и описаний — только на русском; `err.docs` ведёт в раздел «Ошибки» `README.md`. Ошибку базы с
+  ключом библиотека отдаёт с текстом, который собрала база, — тем же, что видит сырой SQL; ключ и параметры — в
+  `err.key` и `err.params`, как прежде. Таблицы операторов в README, шпаргалке и главе «Чтение» сайта обновляет
+  `npm run ops:tables` (`scripts/gen-ops-tables.mjs`), сверяет `check:docs` (сверка `ops` вместо `llms-full`);
+  `check:docs` больше не сверяет английские версии (разделы «Tests», «Reserved names», «Errors», структуру) и `en` у
+  записей каталога. `lib/llms.txt` — по-русски.
+- Импорт из 0.21: команда `letopis import` с её флагами (`--from`, `--from-schema`, `--tenant`, `--partition`,
+  `--keyless`, `--rename`, `--update`), модуль `src/import.ts`, тест `import` и фикстура 0.21
+  (`test/fixtures/gen-v021.mjs`, `v021.sql`), бенч против 0.21 и импорт полигона (`bench/compare.bench.mjs`,
+  `bench/seed-021.mjs`, `bench/import-salon.mjs`, `npm run test:import-salon`, итоги `compare` и `import-salon`, серия
+  `021` в `bench/core-write.mjs`) и dev-зависимость `letopis-0`. Снят `MIGRATION.md`: переход с 0.21 больше не
+  описывается — глава «Переход с 0.21» README (следующие главы — на номер меньше), раздел шпаргалки и ограничения импорта
+  сняты, глава «Производительность» — без сравнения с 0.21. Эталоны 0.21 для тестов прав и слияния (`test/oracle/`)
+  остались.
+- Охранники API, снятого в 1.0.0, и код ошибки `removed` (записи каталога `api.removed`, `api.removed_option`,
+  `api.removed_many`, `api.replacement_*`, `access.replacement_*`, `write.replacement_load_trust`,
+  `model.cli_trust_removed`; функция `removed()` и `REMOVED_IN`): экспорты `uuidv7` и `LETOPIS_NS`; опции `connect()`
+  `partition`, `enforceAccount`, `enforceAcl`, `container`, `image`, `dataDir`, `redisPort`, `version`
+  (`REMOVED_OPTIONS`); методы цепочки `run`, `execute`, `account` и батча `execute`; свойства корня `reloadSchema`,
+  `accounts`, `credentials`, `resources`, `rules`, `compact`; `db.auth.sessions`, `db.acl.reload`, `watch(cb)` и
+  `watch(класс, cb)`; `load({ trust })` и `letopis load --trust`. Снятые имена больше не зарезервированы: `account`,
+  `execute`, `compact` и другие — обычные имена классов и ролей; `run` остался — это метод батча (теперь в
+  `BATCH_METHODS`). Неизвестную опцию называет `checkOptions` с похожими именами, неизвестный флаг CLI отклоняет разбор
+  аргументов. Раздел `removed` контракта API и его сверка в `check:semver` («новый охранник — мажор») убраны: снятое
+  имя исчезает из экспортов и списков методов, и `check:semver` требует мажор по ним.
+- `letopis check` — проверки кода до запуска на TypeScript Compiler API (`src/check.ts`, флаги `--models` и `--json`,
+  записи каталога `model.check_*`, тест `check`) — и необязательная peer-зависимость `typescript` (для сборки она
+  осталась dev-зависимостью). `letopis sync --check` остался: тест `cli` (бывший `check` без правил `letopis check`).
+- `db.describe()`, экспорт `describeText`, тип `ModelDescription` и команда `letopis describe` (флаг `--format`):
+  описание модели с примерами цепочек осталось только в инструменте MCP `letopis_model` — внутренний модуль
+  `src/describe.ts`, его нет в `exports`; поле `methods` описания и подписи текста `time.describe_*` сняты. Тест
+  `describe-examples` стал `mcp-model`: цепочки `examples` из ответа `letopis_model`, а также метаданные классов с
+  наследованием и условия `anyOf` и `oneOf` — проверки описания из `telemetry`.
+- Сброс `db.reset({ level, confirm, tenant })`: опция `up({ allowReset })` (и флаг `--allow-reset` у `db/apply.mjs`),
+  функции базы `reset` и `reset_mark`, коды ошибок `reset_disabled`
+  (LT019) и `confirm_mismatch` (LT020), эндпоинт прав `letopis.reset`, служебная запись журнала вида `reset` (класс
+  `#reset`) и служебные сигналы `*` и `session:*` — их слал только сброс (`session:<тег>` погашенной сессии остался;
+  `*` и `session:*` от посторонней роли — теперь просто нагрузка не по режиму); типы `ResetOptions` и `ResetResult`.
+  `maintain({ now })` пускала только установка с `allowReset`; сама опция снята вместе с прореживанием (ниже). Первая
+  заливка больше не считает «пустой» схему с
+  записями сброса. Тесты: `reset` снят, сброс в `cache`, `signals`, `initial-load` (схема заново — `install(…, { fresh:
+  true })`), `hash`, `verify`, `roles`, `security-final` и `scenario-salon` — тоже.
+- Совместимость с 1.x: 2.0 ставится только заново, ревизия движка — 8. `up()` на схеме letopis 1.x — ревизии 7 и
+  ниже или без штампа ревизии в комментарии схемы — отказывает `invalid_data` (ключ каталога `boot.schema_1x`) до любых
+  изменений, в том числе с `upgrade: true`; подсказка — `up({ schema, fresh: true })`: схема пересоздаётся, данные 1.x
+  не переносятся. `connect()` к такой схеме теперь тоже отказывает — до входа по ключу (было предупреждение «обновите:
+  up({ upgrade: true })»). Сняты миграции 0006 (колонка `log.changed`) и 0007 (внешний ключ `secret.account`) — в
+  свежей установке их ставит `sql/10-core.sql`; каталог `sql/migrate/` остался для миграций 2.x, их накатывает
+  `up({ upgrade: true })` в пределах 2.x, правило имени — README каталога. Сняты тест `upgrade` с dev-зависимостями —
+  пакетами прежних выпусков 1.0.1, 1.1.0, 1.4.1 и 1.4.2 (`npm uninstall`) — и бенч против 1.0.1 с его итогами в
+  `bench/results/`. Из файлов ядра ушло то, что служило только накату со схем 1.x: `drop … if exists` прежних сигнатур
+  функций (`family_lock`, `links_shape`, `targets_bad`, `check_links`, `signal`, `move_row`, `verify`, `row_visible`,
+  `acl_ok`, `version_changes`, `version_leaves`, `issue_session`, `auth_issue_otp`, `login_otp`, `derived_clear`,
+  `agg_classes`, `projector_behind`, `maintain`, `watch_head`, `watch_read`), функций сброса `reset` и `reset_mark`,
+  индекса `log_class_at` и строкового триггера `entity_ai` (теперь `create or replace trigger`), пометка удалёнными
+  строк `LOCK` других аккаунтов при накате (их заводили креды 1.1). В библиотеке — запасные вызовы для схем 1.x: нет
+  `signal_mode()` — режим `class`, у `maintain()` нет третьего аргумента — прежний вызов. Предупреждение `connect()`
+  «функции схемы поставила версия до 1.4.0» (штамп без версии движка) стало «поставила неизвестная версия letopis»
+  (`boot.stamp_unknown` вместо `boot.stamp_before_140`). Правило «каждый выпуск проверяет накат с предыдущего»
+  действует с 2.0: следующий выпуск 2.x проверит накат с 2.0. Тест `up`: «план 2.0, 7.10 №5» (схема 1.x — отказ `up()`
+  и `connect()` с подсказкой, `fresh` проходит) и механизм наката миграций 2.x; тест 7.10 №3 (хаб с зарезервированным
+  именем переживает `up()` с предупреждением) перенесён из `upgrade` в `up` — хаб заводит роль владельца мимо проверки
+  базы, а не пакет 1.4.2; `engine-races` №3в — без пометки строк `LOCK` накатом.
+- Агрегаты в базе и проекторы (план 1.1, §2.4). Агрегаты: опция класса `aggregate` (тип `AggregateDef` в
+  `letopis/model`, тип `AggregateInfo` и поле `aggregate` у `ClassInfo`), `db.rebuildAggregates()`, триггеры
+  `entity_total_ai`, `entity_total_au`, `entity_total_ad` и функции `agg_*`. Проекторы: `db.projector()` с типами
+  `Projector`, `ProjectorOptions`, `ProjectorChange`, `ProjectorOut`, `ProjectorRow`, `ProjectorReport`,
+  `ProjectorStatus`, `ProjectorFailure`, опция класса `derivedBy` (производные классы; поле `derivedBy` у `ClassInfo`),
+  чекпоинты — строки `secret` вида `PROJECTOR`, функции `projector_state`, `projector_advance`, `derived_*`,
+  `projector_unread` и параметр `p_leaving` у `watch_read`. Сняты файлы `sql/88-derived.sql`, `src/project.ts` и
+  раздел каталога сообщений `derived`. Коды ошибок `derived_class` (LT021), `aggregate_field` (LT022),
+  `projector_pending` (LT023), `rebuild_required` и `projector_busy`. Метасхема `Class` не принимает `derivedBy` и
+  `aggregate` (`invalid_data`); описание модели в `letopis_model` — без них. Вид креда `PROJECTOR` больше не служебный.
+  `targets_bad` больше не отличает цель производного класса, `class_admit` не берёт блокировку семейств классов-целей
+  концов (её брали только ради пометки `derivedBy`), `syncModels` упорядочивает модели только по родителям. Имена
+  `projector` и `rebuildAggregates` больше не зарезервированы. Тексты отказов: «класс меняет предков или алиас» (было
+  «предков, алиас или derivedBy»), пересоздание класса с историей строк — «с прежними parent, alias и history». Второй
+  пул `connect({ admin })` — для `load`, `maintain` и `syncModels`. Сняты тесты `projector` и `aggregate`,
+  атаки №33, №34, №38, №39, №44, №50, №52, №53, №55 и №57 (номера остальных прежние), случаи проектора и
+  `rebuildAggregates` в `disconnect`, `messages`, `one-process` и `watch-contract` (7.4 №5, №6), агрегатов — в
+  `initial-load` (7.4 №10) и `sync`; бенч `bench/derived.bench.mjs` с итогами `derived*`. README — без глав «Агрегаты в
+  базе», «Рецепт: баланс агрегатом», «Проекторы», «Рецепт: дневная выручка», «Проектор» и ограничений проекторов и
+  агрегатов, глава «Производительность» — без замеров производных данных; шпаргалка — без разделов о них и граблей
+  №19–20 (раздел «Агенты и MCP» — теперь 11). Агрегаты чтения (`sum`, `avg`, `min`, `max`, `countBy`) остались. Долгий
+  прогон `bench/soak.mjs` переписан без агрегата и проектора (ниже, «Обвязка и проверка»).
+- `diff()` и `blame()` (план 1.1, §2.1): терминалы цепочки, типы `DiffResult`, `DiffChange`, `DiffOptions`,
+  `BlameResult`, `BlameField`, `BlameOptions`, файл `sql/75-history.sql` (функции `jsonb_changes`, `row_changes`,
+  `change_paths`, `row_leaves`, `version_paths`, `history_segments`, `diff_versions`, `blame`) и колонка журнала
+  `log.changed`; записи каталога `api.version_or_moment`, `api.version_number`, `api.moment`. Журнал выдан приложению
+  всеми колонками: `select * from log` под RLS работает. Инструмент MCP `letopis_history` отдаёт только версии:
+  `kind` стал необязательным и принимает только `versions`, параметров `from`, `to`, `at`, `limit` нет (записи
+  `mcp.history_param`, `mcp.blame_follow`); причину записи агента показывают версии. Тест `history` — только причина
+  изменения (7.2 №5 и №8), `mcp` №9 — причина в версиях; бенч
+  `bench/history.bench.mjs` с итогом снят. Имена `diff` и `blame` больше не зарезервированы.
+- Политика хранения истории и прореживание журнала (§2.11): у класса `history` — только `true` или `false` (объект —
+  `invalid_data` метасхемы `Class`), тип `HistoryPolicy` (`letopis`, `letopis/model`), опция `up({ history })` и
+  подстановка `@HISTORY_DEFAULT@`, функции базы `history_default`, `history_policy`, `history_iv`, `history_horizon`,
+  `history_keep`, `thin_batch`, метки `thin`, `thin_now` и `default_policy` строки ключа, тексты отказов про ярусы
+  (`sql-core.history_*`, `sql-core.system_history_policy`). `maintain()` журнал больше не трогает: одной транзакцией
+  удаляет сессии, коды и строки-замки удалённых классов и проверяет очередь сигналов; опции `maintain({ now, batches,
+  limit })`, тип `MaintainOptions`, поля отчёта `thinned`, `batches` и `more`, флаг `--batches` у `letopis maintain`,
+  параметры `maintain()` базы и запись `sql-time.maintain_now` сняты. Обрезка истории: `db.trimHistory()`, функция базы
+  `trim_history` и служебная запись журнала вида `trim` (записи `sql-time.trim_*`). Код ошибки `cursor_expired` (LT016):
+  курсор подписки больше не устаревает — версии журнала стирает только удаление аккаунта, а оно `cursor_expired` не
+  давало; время в курсоре не нужно, курсор — `tx:seq[~снимок]`; параметр `p_at` у `watch_read`
+  снят. Отказ смены `history` без права на все строки — «класс … включает или выключает журнал (history)». Настройки
+  `autovacuum_*_scale_factor = 0.02` у журнала сняты вместе с прореживанием. Сняты тест `retention`, тесты `maintain`
+  7.3 №4 (очистка в первой пачке), `time` 6.4 (обрезка), обрезка в `load` (7.6.1 №9), `security-final` и акте 14
+  `scenario-salon`; `engine-class` №17 и атака `engine-attacks` №43 — про `history: false`. Имя `trimHistory` больше
+  не зарезервировано.
+- Хэши версий и `verify()`: колонки `hash` (генерируемая) и `prev_hash` у `entity` и `log`, функции `snapshot` и
+  `version_hash`, `verify()` базы (право `letopis.verify`), `db.verify()` с типами `VerifyResult` и `VerifyIssue`,
+  команда `letopis verify` (`--data`), опция `load({ verify })` и флаг `letopis load --verify` (записи каталога
+  `write.load_db_invalid`, `write.load_db_target`), записи `sql-time.verify_*`. Режим истории загрузчика пишет версии
+  вставками по 5000 строк в прежнем порядке (по номеру версии), без волн с хэшами. Сняты тесты `hash` и `verify`, атака
+  `engine-attacks` №19 (правку в обход триггеров находил `verify()`; номер заново не занимается); вместо `verify()` в
+  тестах гонок и сценариях журнал сверяет помощник обвязки `journalIssues` (номера версий подряд, строка — последняя
+  версия). Бенч `bench/gencols.bench.mjs` мерит только `link_ids`. Имя `verify` больше не зарезервировано.
+- Смена ключа и класса, затирание полей и стирание истории объекта: глаголы цепочки `rekey()`, `reclass()`,
+  `anonymize()` и `purge()` (с полями строки ответа `moved`, `$versions` и `$purged`), `db.rekeyClass()`,
+  `versions({ follow })` и параметр `follow` у `letopis_history`; функции базы `rekey`, `rekey_class`, `reclass`,
+  `move_row`, `links_replace`, `purge` и `watch_leaving`, колонка `moved` у `entity` и `log` с индексом `log_moved`,
+  служебная запись журнала вида `purge`. Класс, ключ и id строки неизменны: смена класса правкой — сырым
+  `UPDATE … SET class`, в том числе у строк `Class` и строк прав, — `immutable_key` («класс строки … неизменен», запись
+  `sql-write.class_immutable`); объект другого класса или с другим ключом — новый объект. Коды ошибок `use_reclass`
+  (LT011) и `reclass_denied` (LT012) сняты, номера заново не заняты; `isolation_level` — только у удаления,
+  `not_deleted` — только у `restore`. Записи каталога `write.anonymize_*`, `write.rekey_*`, `write.not_deleted_purge`,
+  `sql-write.class_row_kind`, `sql-write.system_row_reclass`, `sql-write.reclass_*`, `sql-write.use_reclass`,
+  `sql-write.rekey_needs_all`, `sql-write.refs_*`, `sql-write.target_not_found`, `sql-write.row_write_denied`,
+  `sql-write.class_write_denied`, `sql-time.purge_*`, `sql-time.rekey_*`, `sql-time.no_delete_class`,
+  `sql-time.no_write_class` и `sql-time.refs_denied*` сняты. Подписка читает журнал одной функцией `watch_read`:
+  событий ухода строки из классов подписки сменой класса больше нет. Историю строк не стереть: класс, у которого она
+  есть, не удаляется (класс, который придётся удалять, заводят с `history: false`), алиас предка удалённых потомков с
+  историей строк не меняется; версии журнала стирает только удаление аккаунта (`db.auth.purgeAccount`). Тексты отказов
+  удаления и пересоздания класса — без совета стереть историю. Сняты тест `rekey`, тесты `time` 6.1 (через смену id) и
+  6.3, `chain-write` 4.8 и обезличивание, `read-contract` 7.1 №1 и №2, `watch-contract` 7.4 №4, `signals` 7.3 №16,
+  гонка `engine-races` №5, атака `engine-attacks` №42 (номер заново не занимается), события ухода в `watch`, «находка 1»
+  о `rekeyClass` в `security-final`, акт 16 `scenario-salon` и случай `load` 7.6.1 №9 после стирания истории; без смены
+  ключа и класса — `write-contract` 7.2 №2, `cache` №14, акт 13 `scenario-salon`, `chain-api`. Атака №5 и новый тест
+  `engine-write` — смена класса правкой даёт `immutable_key` у строки без ключа, с ключом и строки `Class`;
+  `write-contract` 7.2 №4 переводит строку в другой класс от роли владельца. README — без глав «Сменить ключ или класс»
+  (вместо неё — «Ключ и класс неизменны»), «Обезличить» и «Стереть историю»; шпаргалка — без смены ключа,
+  обезличивания, стирания истории и `follow`. Имена `rekey`, `reclass`, `anonymize`, `purge` и `rekeyClass` больше не
+  зарезервированы.
+
+### Строгий режим (этап 4; несовместимо)
+- Строгие типы цепочек (7.10 №1, №6). `connect({ models })` и `connect<Models>()` с объявлениями `letopis types` дают
+  `TypedDb` без индексных сигнатур: шаг от корня — только класс или алиас моделей и системных классов (встроенный набор
+  `SystemModels`: `Class`, `Account`, `member`, `Resource`, `rule`; своя модель с тем же именем — вместо встроенной);
+  переходы выводятся из концов, как в `resolveHop`; слоты — только роли записываемого класса: `set(id | строка |
+  цепочка)`, `add` и `remove` — у множественного конца, `unset` — у необязательного; поля фильтров, `or()` и агрегатов —
+  поля класса (`sum` и `avg` — числовые). `letopis types` выдаёт ещё `<Класс>Model` — имя, алиас, концы с классами
+  целей и предки — и список `Models`: строгие типы работают и без моделей Zod. Новый экспорт `loose(db)` — то же
+  подключение без строгих типов для имён, известных только во время выполнения; типы `SystemModels`, `OrOp`, `ChainRef`.
+  `entity()` и значение слота принимают любую цепочку (`ChainRef`), `createMcpServer` и `syncModels` — подключение со
+  строгими типами. Модели без литеральных имён (`AnyModel[]`) строгих типов не дают — подключение `Db`, как прежде.
+  `db.as()`, `db.begin()`, `db.batch()` и `entity()` отдают цепочки без строгих типов.
+- `update()` и `delete({ confirm: true })`, а ни у одного шага нет фильтра, id, `tags()`, `owner()` или `limit()` (и
+  раньше в цепочке нет `create()` или `upsert()`, а у `update` — `data.id`), — `invalid_query` до записи (запись
+  каталога `write.no_filter`): в цепочке, в батче (`run()` не пишет ни одного плана) и в `db.begin()` (транзакция
+  цела). Все строки шага — опция `{ all: true }`; превью `delete()` — без условий. Раньше такая правка шла по всем
+  строкам шага (7.10 №2). `update(патч, { rev, all: true })` с несколькими целями — по-прежнему `rev_ambiguous`.
+- Неизвестная опция `connect()`, `up()`, `db.load()`, `db.watch()` и `createMcpServer()` — `invalid_data` с похожими
+  именами (`api.unknown_option`, `err.params.similar`) до подключения и прочих проверок; в работе 1.5 (этап 3) было
+  предупреждение (7.10 №4). `db.load()` сверяет опции и до пула администратора `connect({ admin })`.
+- Неизвестное поле фильтра (и внутри `or()`), `sort('data.…')` или агрегата — `invalid_query` с похожими именами
+  (`query.unknown_field`, `err.params.similar`; план 2.0, этап 3, п. 3): поле не описано ни в одном классе шага —
+  классе, его потомках (если шаг не `exact()`), у роли — классах её целей; в фильтре годится и роль конца. В работе 1.5
+  было предупреждение `console.warn` с хвостом «(в 2.0 — ошибка invalid_query)», один раз на имя за процесс; хвост и
+  опция `future` у `lwarn` сняты. Сверяется только первый ключ пути (путь внутрь поля-объекта — нет), как и прежде.
+  У строк системного класса `Class` поля — свойства метасхемы описания класса (`kind`, `alias`, `parent`, `fields` и
+  другие), а не описание самого `Class` с одним `name`: прежнее предупреждение на `Class({ kind })` было ложным, отказа
+  нет. План записи проверяет фильтры, `sort()` целей и агрегат до первого оператора (`precheckStep` в `precheckPlan`):
+  опечатка в фильтре цели не ломает `db.begin()`; чтение — до запроса.
+- `after()` перед `count()` и агрегатами чтения `sum`, `avg`, `min`, `max`, `countBy` — `invalid_query`
+  (`api.after_not_paged`) до запроса; раньше курсор там молча не учитывался (7.10 №7).
+- Хаб с зарезервированным именем (`RESERVED_CLASS_NAMES`) отклоняют `hub()` (`model.hub_name_reserved`), `syncModels`
+  — модель, собранную мимо `hub()` (`model.sync_hub_name_reserved`), — и база (`class_admit`,
+  `sql-write.hub_name_reserved`); связь с таким именем база отклоняла и раньше. Хаб, заведённый мимо проверки базы,
+  `up()` оставляет и называет в предупреждении (`boot.reserved_hubs`), а правку его описания база отклоняет (7.10 №3).
+- Документы: README — раздел «Строгий режим» (глава 4, вместо «Типы цепочек»), правила `update` и удаления, курсор,
+  «Зарезервированные имена», «Ошибки» и «Ограничения»; шпаргалка и `llms.txt` — так же. Правка с `{ rev }` больше не
+  называется «строгим режимом». Неизвестное поле фильтра, `sort()` и агрегата — отказ (выше), README, шпаргалка и
+  `llms.txt` — так же.
+
+### Сервисы-примеры и сайт (на урезанном API)
+- Сервисы `services/` переведены на 2.0 и снова пройдены в Chrome по `CHECK.md` (3 ноября 2026 года). wallet: баланс —
+  поле счёта с `min(0)`, операция — один план `Wallet(счёт).Movement().create(…).Wallet().update({ balance: inc(amount) })`
+  с причиной у обоих глаголов, перевод — две операции в `db.begin()` под замками в порядке id, нехватка средств —
+  `invalid_data` по `minimum`; выписка по месяцам — запрос `group by` в транзакции сессии вместо проектора; агрегат,
+  производный класс `Statement`, перестройка и `verify` сняты. documents: подписание без `reclass` — одна транзакция
+  `db.begin({ reason })` создаёт `Contract` с данными черновика и удаляет `Draft` (договор — новый объект: класс входит в
+  v5-id), лента версий — версии обоих id; надгробие подписанного черновика не попадает в корзину (`restore` — 409),
+  новый черновик с номером договора — 422; смена номера, `diff`/`blame`, ярусы, обрезка, обезличивание, стирание,
+  `verify` и `follow` сняты, остались версии с причинами, `asOf`, `withDeleted`, превью удаления, `restore`, первая
+  заливка архива и `maintain()`. helpdesk: «Удалить из компании» снимает только членство (без `anonymize`) — строки
+  человека в компании база передаёт компании. salon: перенос брони — одна транзакция под замками мастеров: бронь
+  перечитывается `forUpdate()`, новая бронь на новом слоте с теми же концами, прежняя удаляется (время начала в ключе,
+  ключ неизменен — у новой брони новый id); надгробие переноса узнаётся по причине версии, история — `versions()` одного
+  id без `follow`. Сценарии: wallet 21 из 21, documents 24 из 24, helpdesk 74 из 74, salon 27 из 27.
+- Сайт `guide/`: 51 исполняемый пример, снимки перезаписаны. Сняты примеры `derived/01–04`,
+  `history/02-follow-rekey-reclass`, `history/03-retention-maintain-trim`, `ops/01-verify-corrupt`, `ops/02-reset` и
+  глава «Агрегаты и проекторы» (главы перенумерованы: 12 «Массовая загрузка» … 16 «Все нюансы»); переписаны
+  `history/01-versions-asof`, `delete/02-restore`, `write/04-key-class-immutable`, `errors/03-strict-mcp-errors`
+  (строгий режим), `ops/02-sql-cache-signals`, `ops/03-cli`, `watch/02-quiet-cursor` (курсор не устаревает); новый
+  `ops/01-maintain` — отчёт `{ skipped, sessions, codes, queue }`. Раздел «Строгий режим» в главе моделей, нюансы
+  строгого режима с отметкой «ловит код», глоссарий без английской колонки и терминов снятого, ER-схемы и справочник —
+  из `db.registry` вместо `db.describe()`; покрытие API — 323 из 323.
+
+### Обвязка и проверка
+- Долгий прогон `bench/soak.mjs` (план 2.0, §7.7) — без агрегата, производного класса и проектора, ярусов с засевкой
+  старой истории, `trimHistory`, `maintain({ batches })` и `verify`. Нагрузка прежняя по составу: писатели — заказ
+  горячего магазина и приращение его суммы `inc(amount)` одним планом, `inc` горячих счётчиков, правка последнего
+  заказа; читатели (цепочки с `limit`, ключ, `asOf`); подписка надолго и «открыл-закрыл»; `maintain()` раз в минуту;
+  вход по паролю и по коду с выходом; `db.as()` по 40 арендаторам; заведение и удаление классов. В конце вместо
+  `verify({ data: true })` — сверка журнала запросом (номера версий подряд, строка — последняя версия; тот же запрос,
+  что `journalIssues` обвязки тестов). В итоге `soak.md` — применимые критерии §7.7 (1–4, 6 и сверка журнала вместо 5);
+  снятые (5 — `verify`, 7 — отставание проектора, прореживание под записью) — строкой «снят в 2.0.0».
+- Глава «Производительность» README — на сериях `core-*` (точка А) и `chain-read`, без чисел полигона salon; числа в
+  «Когда нужен загрузчик» и «Ограничениях» — из `core-write`.
+- Текст отказа `maintain()` внутри `db.begin()` (`time.maintain_in_tx`): «maintain() идёт своей транзакцией, не внутри
+  db.begin()» — было «пачками в своих транзакциях»: прореживания пачками больше нет.
+- Итоговая сверка документов с кодом. README: опции `up()` (`login`, `migrationsDir`, поле результата `login`) и
+  `connect()` (`admin`), `watch({ batch })`, поле `id` у `acl.list()`, границы строгого режима (сужает шаг глагола и шаги
+  до него, пустой `tags([])` не сужает, в батче отказ — при `run()`, связь с зарезервированным именем отклоняет база,
+  строгие типы — только у подключения с моделями); без «проверки» у администраторского подключения, «до 1.5.0»,
+  «ревизии 7» и перехода масок `Resource` с 1.x. Шпаргалка: строгий режим строкой в «Модели за минуту», опции `up()`,
+  `connect()` и `load()` полностью, отчёт `maintain()`, класс с историей строк не удаляется, без события ухода из классов
+  подписки, «Грабли 2.0». `llms.txt`, `lib/sql/README.md` (2.0, `@OWNER_NAME@`), `CONTRIBUTING.md`; пометки «снято в
+  2.0.0» в `BACKLOG.md` и `COMPARISON.md`.
+- `docs/checkpoint-guide.md` — пометка: исторический снимок, часть примеров снята в 2.0.0, числа устарели. Итог
+  `npm run prerelease` — `docs/checkpoint-2.0.0.md`.
+
+### Этап 3 (бывший 1.5.0)
+
+### Добавлено
+- Обёртка прав `db.acl` (7.9 №1): `grant({ role | everyone: true, read, write, delete, api, weight })`, `deny(…)`,
+  `revoke(…)`, `roles(аккаунт, роли)` и `list()` — те же строки `Resource`, `rule` и `member` текущего арендатора с
+  детерминированными alias (`role:staff:ACCOUNT`, `everyone:ACCOUNT`, `class:Product:READ`, `api:reports.*:API`),
+  ключ правила — пара группа и объект, вес по умолчанию 50 — сильнее «можно всё» от `createTenant`. Повтор ничего не
+  меняет; права на запись правил, RLS и триггеры проверяет база; внутри `db.begin()` — в её транзакции. `everyone:
+  true` вместо `role` — правило для всех аккаунтов арендатора; `revoke({ everyone: true, read: '*', write: '*',
+  delete: '*' })` снимает «можно всё» от `createTenant` — права только по ролям (агентский прогон: снять его обёрткой
+  было нельзя, только удалением строк `rule` по id). `list()` отдаёт `{ role, everyone, group, op, target, condition,
+  permission, weight, enabled }` (`enabled: false` — правило выключено, база его не применяет) и на администраторском
+  подключении — только правила арендатора сессии (роль без RLS видит строки всех арендаторов). Типы `AclRule`,
+  `AclRuleSpec`, `AclTarget`.
+- Один процесс для малых приложений (7.9 №3, №4): `up({ login: { user, password } })` заводит роль приложения или
+  обновляет её пароль и выдаёт `letopis_app` — имя и пароль квотирует база, привилегированную роль `up()` не трогает,
+  строка подключения роли — `r.login.dsn` (тип `LoginOptions`); `connect({ dsn, admin, token })` открывает второй пул
+  (не больше двух соединений) при первой надобности — для `load`, `maintain` и `syncModels` с той же сессией,
+  цепочки и `db.sql` остаются в пуле приложения под RLS.
+- Все тексты ошибок библиотеки и базы — ключи каталога `lib/src/messages`: около 500 мест; `check:docs` следит, чтобы
+  литеральных текстов не осталось. Отказ инструмента MCP отдаёт `hint` и `similar`. Отказы `up()` с подходящим кодом —
+  `LetopisError` (`invalid_data`, `admin_required`), а не обычный `Error`.
+- Тексты `up()` — ключи каталога: ошибки и предупреждения `up()`, в том числе заведения арендатора `tenant`, и ход
+  установки в консоли. Отказы без подходящего кода (версия сервера, кодировка базы, срок ожидания, ревизия схемы новее
+  или старше пакета, нет пакета PGlite) остаются обычным `Error` с префиксом `letopis.up:`, текст — тоже из каталога.
+  На ключи каталога переведены и тексты для пользователя и агента: предупреждение `connect()` о штампе движка, хвост
+  «откатите транзакцию и повторите весь блок `db.begin()`» у 40P01 и 40001, отчёт `letopis sync` и пометка
+  `letopis types`, пояснения к данным в ответах MCP, первая строка отказа инструмента, подсказка `confirm` превью, окно
+  и поле формы подтверждения удаления.
+- `letopis types --system` — объявления и для классов арендатора System: системных и классов сидов пакета (например,
+  `booking`); без флага, как прежде, — только классы арендатора сессии.
+- Тест исправления 7.5 №3, у которого его не было: установка без ADMIN OPTION на готовую роль владельца —
+  `admin_required` (код 42501 подтверждён на PostgreSQL 18.6); без исправления он падает.
+- Каталог сообщений (каркас): `lib/src/messages` — ключ `<раздел>.<имя>` → код ошибки, шаблон с параметрами `{имя}` и
+  подсказка; у каждого кода — заголовок и подсказка (`codes.ts`), из них же строится страница ошибок сайта. Русские
+  тексты прежние. У `LetopisError` новые поля: `hint` — что делать, `docs` — ссылка на строку
+  кода в разделе «Ошибки» README на GitHub по тегу версии, `key` и `params` — ключ и параметры. База кладёт ключ и
+  параметры в `DETAIL`: перегрузки `lt_fail(ключ, параметры, detail)` и `lt_raise(код, ключ, параметры, detail)`,
+  `lt_text()` и `message_catalog()` — разделы `sql-*` каталога подставляет обычный `up()`, без новой ревизии; сырой SQL
+  видит прежний русский текст. На ключи переведены образцы: неизвестный класс или роль, `ValidationError`,
+  `connect({ schema })`, поле `sort()`, `auth.switch()` у `db.as()`, а в базе — нет членства в арендаторе, данные не
+  проходят описание класса, последний владелец арендатора; затем — все остальные места (пункт выше и пункт об
+  остатке ниже). `check:docs` сверяет полноту каталога (`messages`) и литеральные тексты ошибок (`literals`; список
+  `PENDING_LITERALS` пуст). Код `deleted` загрузчика вошёл в контракт API.
+- Каталог сообщений, остаток: ключи каталога и у нарушений данных из базы — запись (`validate_data`, `inc`),
+  ужесточение класса (`err.detail.rows[].problem`), загрузчик (строки классов с `pattern`). Нарушение базы несёт
+  ключ каталога и параметры (`key`, `params`): библиотека их убирает, форма прежняя — `{ path, keyword, message }`
+  и `problem`; сырой SQL видит прежний русский текст и рядом ключ. Повторяемый конфликт с ключом (`40001`, `40P01`)
+  остаётся ошибкой базы с тем же SQLSTATE — на нём держатся повторы. `check:docs` (`literals`) ловит в `lib/sql`
+  ещё `raise` с литеральным текстом и литерал в `problem`. Источник: ревью.
+- Новый код `internal`: строка-замок семейства не создана или не найдена (`lock_row`, `family_lock`). Раньше — голый
+  `XX000` с русским текстом без префикса, теперь `letopis: internal: строка-замок … не создана` с ключом в `DETAIL`, а
+  в библиотеке — `LetopisError` с кодом `internal` и подсказкой «сообщите о ней». Голые
+  `XX000` самого PostgreSQL — как прежде. Источник: ревью.
+- Похожие имена (7.9 №6): общий `similar()` (`errors.ts`, его берёт и `letopis/mcp`). Неизвестный класс или роль в
+  цепочке — `invalid_class`, к тексту дописаны похожие имена реестра («— похожие: Shop»), они же в
+  `err.params.similar`. Неизвестное поле фильтра, `sort()` или агрегата — предупреждение `console.warn` с похожими
+  именами, один раз на имя; неизвестная опция `connect()`, `up()`, `load()`, `watch()` и `createMcpServer()` — тоже было
+  предупреждение; в 2.0.0 и то и другое стало отказом (раздел «Строгий режим» выше).
+- Примеры цепочек в описании модели (7.9 №9): у каждого класса в ответе инструмента MCP `letopis_model` — `examples`,
+  рабочие цепочки из реестра: `create` (поля ключа и обязательные поля с образцами значений, обязательные концы —
+  слотами; нет у абстрактного и системного класса), `find` (по ключу или обязательному полю) и
+  `neighbors` (по концам класса и к классам, чьи концы ведут на него); `'<id Класс>'` — место для id. Образец значения —
+  `examples` из JSON Schema поля, `const`, `default`, `enum`, иначе по типу и формату. Модель больше `maxBytes`
+  приходит сначала без `examples`, затем краткой. Тест `mcp-model` исполняет каждую цепочку на демо-схеме.
+- Один словарь фильтров (7.9 №8): реестр операторов `OPERATORS` в `src/ops.ts` — имя фабрики в TypeScript, ключ
+  JSON-фильтра MCP, вид его значения и смысл. Из реестра строятся таблица `OPS` и список операторов в описании
+  `letopis_query`, таблица «TypeScript — MCP — смысл» в README (вместо прежней из семи строк) и в шпаргалке, в
+  справочнике сайта и в главе «Чтение» сайта (без колонки MCP, вместо ручной таблицы из семи строк); в абзаце о MCP
+  README и в описании `letopis_query` справочника вместо ручного списка ключей — ссылка на неё. Таблицы с реестром
+  сверяет `check:docs`. Тест `llms`: реестр совпадает с фабриками пакета, ответами `letopis_query` и таблицами README,
+  шпаргалки и главы «Чтение» сайта.
+- `letopis sync --check` (план 2.0, этап 3, п. 8; 7.9 №10) — сухой прогон с кодом 1, если он нашёл изменения: шаг CI
+  перед `--apply`; вместе с `--apply` — справка и код 2. Тест `cli`.
+
+### Исправлено
+- Кэш результатов копил счётчик на каждую погашенную сессию: сигнал `session:<тег>` заводил запись в карте счётчиков
+  кэша каждого подключения, даже если сессия через это подключение не читала. Процесс, который впускает и выпускает
+  пользователей (вход по паролю и по коду, `revokeAll`), рос на 0,7–0,9 МБ в час на подключение до предела в 100 000
+  записей. Теперь счётчик сессии заводит снимок запроса через кэш, а сигнал меняет только заведённые; ответы погашенной
+  сессии сбрасываются, как прежде (план 2.0, 7.7). Источник: soak.
+- Валидатор на TypeScript (`compileValidator`, проверка до записи в цепочках и загрузчике) исполнял шаблон `pattern`
+  из описания класса — его задаёт арендатор — движком V8 на данных: шаблон с катастрофическим перебором (`^(a+)+$` на
+  строке из 40 «a» и «!») вешал процесс приложения на часы. Теперь `pattern`, а также `anyOf` и `oneOf` с ним в ветке,
+  валидатор только разбирает (неверный шаблон — по-прежнему `invalid_class`), а проверяет база (`like_regex`, движок
+  PostgreSQL без такого перебора): при записи цепочкой — триггер, нарушение — тот же `ValidationError` (`invalid_data`);
+  в `db.begin()` оно, как другие ошибки базы, обрывает транзакцию. Загрузчик пишет мимо триггеров, поэтому строки
+  классов с `pattern` он сверяет запросом к базе на пачку до записи — нарушение в отчёте с номером строки, как прежде;
+  у классов без `pattern` запросов на пачку по-прежнему нет. Источник: ревью.
+- Администраторское подключение (`allowBypassRls: true`) с сессией пользователя без прав не могло записать правило:
+  строки `Resource` оно заводило (RLS на нём не действует), а `rule` со слотами `.Group.set()` и `.Object.set()` на
+  них и `db.acl.grant` отвечали `target_not_found`. База проверяла, видит ли цели концов актор сессии, хотя роль
+  подключения видит любую строку. Так было у арендатора без «можно всё» (`grantAll: false`) и после снятия этого
+  правила. Теперь видимость целей по правам актора проверяется только у роли сеанса под RLS; суперпользователь, роль с
+  `BYPASSRLS` и член роли-владельца её пропускают. Существование цели,
+  её арендатор и класс проверяются, как прежде. Функцию обновляет обычный `up()`, новой ревизии нет. Рецепт — раздел
+  README «Права только по ролям» (агентский прогон плана 2.0, этап 3, п. 9). Источник: внедрение.
+- Валидатор на TypeScript проверял `format: 'email'` шаблоном, который на подобранной строке (много точек в домене
+  и `@` в конце) перебирает квадратично: строка в мегабайт занимала процесс на минуты. Теперь адрес длиннее 254
+  символов (предел адреса по RFC 5321) — нарушение `format` без шаблона. Проверка в базе прежняя: длину она не
+  ограничивает, а движок PostgreSQL такого перебора не делает. Источник: ревью.
+- Тесты исправлений 1.4.2, у которых их не было: 7.4 №7 — новый файл `disconnect` (обрыв TCP до и после COMMIT и на
+  открытии транзакции, `pg_terminate_backend` процесса, ждущего блокировку, — в транзакции загрузчика, первой заливки и
+  при открытии `db.begin()`: промис отклонён ошибкой связи, необработанных ошибок в процессе нет, следующая операция
+  пула проходит); 7.5 №3 — `impersonation` (`auth.switch` при имперсонации сырым SQL — `LetopisError` `acl_denied`,
+  LT006, а не сырая ошибка LT000). Без исправлений тесты падают — проверено откатом.
+- Подключение по ключу (`connect({ apiKey })`, ключ сервиса) один раз обменивало ключ на сессию со сроком 7 суток и
+  больше его не обменивало: после недели простоя процесс получал `no_session` на запись и навсегда, пока его не
+  перезапустят, а чтение под истёкшей сессией шло как анонимное и молча отдавало пустые ответы. Так было у `svc` всех
+  четырёх сервисов-примеров. Теперь после простоя дольше минуты подключение до операции продлевает сессию и узнаёт,
+  жива ли она: по ключу — обменивает ключ заново (один обмен на все ждущие вызовы), с тем же рабочим арендатором, что
+  выбрал `auth.switch()`, и повторяет операцию (`runTx`, `db.begin()`); по токену — `no_session` на любую операцию
+  вместо пустого чтения. Ошибка продления другого рода (реплика только для чтения) работе не мешает, как прежде;
+  `refreshSession: false` — без проверки. Источник: сервис.
+- `up()` от установщика без суперпользователя (роль с `CREATEROLE` и правом `create` на базе — поддержанный случай)
+  падал на `ANALYZE` с 42501 «permission denied for schema»: таблицы принадлежат роли владельца, а установщик состоит в
+  ней без наследования прав. С правом `usage` на схему PostgreSQL пропускал бы таблицы с WARNING, а `analyzed` называл
+  бы их собранными. Теперь `ANALYZE` идёт транзакцией от роли владельца, как у загрузчика; в `analyzed` — только
+  таблицы, где статистика появилась, оставшиеся без неё — предупреждение в `warnings`. `up({ fresh: true })` от такого
+  установщика падал «must be owner of schema» — схему теперь удаляет роль владельца. Источник: ревью.
+- `npm run prerelease -- --only=…` и `-- --skip=…` затирали таблицу итогов в `docs/checkpoint-<x.y.z>.md`: в ней
+  оставались только шаги последнего запуска, хотя после падения повторяют упавший шаг и следующие. Теперь таблица
+  копится: строки шагов запуска заменяются, строки остальных остаются из прежних прогонов с датой и коммитом своего
+  прогона (колонка «Прогон»), шапка перечисляет прогоны, чьи строки в таблице; таблица прежнего вида читается как один
+  прогон. Запуск без шагов итог не пишет. Тест — `prerelease` (план 2.0, 7.8 №3).
+- `node scripts/gen-api-contract.mjs --check` (его зовёт `check:docs`) и `guide/scripts/gen-api.ts --check` сравнивали
+  файлы побайтно и на Windows с `core.autocrlf=true` были красными на актуальных `docs/api-contract.json` и страницах
+  справочника сайта (CRLF в рабочей копии). Теперь сравнение — по LF, а `gen-api-contract.mjs` пишет файл с концами
+  строк самого файла.
+- Загрузчик проверял шаблоны `pattern` (их процесс не исполняет — ревью, ReDoS) запросом к базе с `class_row` и полным
+  `validate_data` на каждую строку, в режиме истории — на каждую версию: засевка полигона salon (980 180 строк-версий)
+  шла на 42 % медленнее 1.0.1, 40 % времени загрузки — эта проверка (замер против 1.0.1). Теперь одинаковые класс и данные
+  проверяются один раз, строки классов читаются один раз на пачку (`materialized`), а полный разбор `validate_data`
+  идёт только у строк, которых не пропустил общий `validator` класса (правил `extra` в нём нет, но сюда доходят строки,
+  прошедшие валидатор на TypeScript, — у него те же правила, кроме `pattern`). Нарушения и первые 100 строк отчёта —
+  прежние, шаблоны по-прежнему исполняет только база. Засевка — 5671–5682 строки/с против 6245–6613 у 1.0.1 (−9…−14 %
+  в двух прогонах, было −42 %). Источник: тест.
+- Чтение по одному id (по ключу или по id) собиралось как `id = any ($n::uuid[])`. Общий план подготовленного запроса
+  для `= any` PostgreSQL считает на ~10 элементов, и при неудачной выборке ANALYZE запрос навсегда оставался на планах
+  под каждый вызов — 0,5–0,8 мс планирования на чтение; та же ловушка у 1.0.1. Теперь один id — `id = $n::uuid`: общий
+  план стоит как план вызова и выбирается всегда (−18 % на схеме, где запрос застревал). «+27,7 %» замера против 1.0.1
+  «чтение по ключу» (прогон 2 ноября) был перебросом кэша планов между сторонами, а не кодом. Источник: тест.
+- Подписка, закрытая (`close()`, `return()`), пока шёл её запрос журнала, не завершала `for await`: `close()` будит только
+  ждущий опрос, а после запроса цикл засыпал до будильника, которого уже не будет — таймер снят, сигналы отписаны. Так
+  поток SSE сервисов-примеров не закрывался после выхода. Теперь перед ожиданием подписка проверяет, не закрыта ли она.
+  Тест — `watch-contract` (план 2.0, 7.4 №8: запрос держит блокировка журнала, пока подписку закрывают; без исправления
+  цикл висит). Источник: сервис.
+- Сервисы-примеры после обхода в браузере (сценарии `CHECK.md` четырёх сервисов через chrome-devtools-mcp, 2 ноября;
+  ядро не менялось). В кошельке выписка после «Перестроить выписку» шла в порядке строк таблицы — теперь по месяцам
+  (новые сверху) и номерам счетов. Время версий в
+  салоне и кошельке («История брони», «Последние операции», «История баланса», проход проектора) — местное, как в
+  «Под капотом»: сервер отдаёт `at` целиком, а не подстроку UTC. В helpdesk помощник считал открытыми только `new` и
+  `open` (счётчик и очередь — ещё `pending`); обновление очереди по событию сворачивало догруженные «Показать ещё»
+  страницы — теперь `GET /api/tickets?limit=N` перечитывает столько строк, сколько показано; у поля ответа и флажка
+  заметки — `id` и `name`; после отключения второго фактора текст «все сессии аккаунта закрыты» (гашение креда, который
+  не ключ, закрывает все сессии аккаунта, кроме сессии сервиса), так же — страница helpdesk сайта. Диалоги четырёх
+  сервисов (`components/ui/dialog.tsx`) снимают фокус с открывшей кнопки до `aria-hidden` Base UI и возвращают его после
+  закрытия (`finalFocus`) — предупреждение Chrome «Blocked aria-hidden on an element because its descendant retained
+  focus». `CHECK.md`: проверка — на свежем стенде (`down -v`); в кошельке чужая транзакция держит горизонт не дольше
+  30 с; в helpdesk запись «Под капотом» об отключении второго фактора остаётся в закрытой сессии. Сценарии —
+  проверки полного `at` (кошелёк, салон), порядка выписки и `limit` очереди; без исправлений они
+  падают — проверено откатом. Повторный обход: поток событий SSE подписывался через фасад сервиса и переживал выход —
+  вкладка получала события прежнего салона, а с cookie новой сессии того же браузера показывала её данные под прежней
+  шапкой; теперь веб-сессия закрывает свои потоки (`services/shared/sessions.mjs`, `events.mjs`), а интерфейсы при
+  обрыве потока заново спрашивают `/api/me` и, если вошёл другой или никто, перезагружают страницу (проверка сценария
+  салона «выход закрывает поток событий своей сессии», без исправления падает). Строки очереди helpdesk и реестра
+  «Документов» фокусируемы (`tabIndex`, Enter и пробел открывают карточку): карточка открывается с клавиатуры, фокус
+  после закрытия возвращается на строку. Уход со страницы (переход на `/logout`) закрывает поток сразу — перезагрузка по
+  обрыву потока больше не перебивает начатый переход.
+
 ## [1.4.2] — 2026-11-01
 
 План 2.0 (`reports/PLAN-LETOPIS-2.0.md`): правила версий, проверка перед выпуском, исправления.