letopis 1.4.2 → 3.0.0

package/dist/uuid.js

@@ -6,15 +6,23 @@
  * разделитель — запятая с пробелом. Совпадение закрепляет общий файл векторов lib/test/vectors/v5.json.
  */
 import { hash } from 'node:crypto';
-import { LetopisError } from './errors.js';
-const UUID = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
+import { lerr } from './errors.js';
+/** uuid в каноническом виде 8-4-4-4-12 (регистр любой) — общий для построителя, загрузчика и MCP. */
+export const UUID_RE = /^[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}$/i;
+const UUID = UUID_RE;
+/**
+ * Любой вид uuid, который принимает приведение PostgreSQL `::uuid`: 32 шестнадцатеричные цифры, дефис — после любой
+ * группы из четырёх (или без дефисов), весь в фигурных скобках или без них. Фильтр с таким id работал и до проверки,
+ * поэтому проверка до запроса (sql.ts, compileFilter) отказывает только тому, что отклонила бы база.
+ */
+export const PG_UUID_RE = /^(?:[0-9a-f]{4}(?:-?[0-9a-f]{4}){7}|\{[0-9a-f]{4}(?:-?[0-9a-f]{4}){7}\})$/i;
 // байты пространств имён (арендаторов): в загрузке их единицы, а проверка и разбор шли на каждый id
 const NS = new Map();
 function nsBytes(ns) {
     let b = NS.get(ns);
     if (!b) {
         if (!UUID.test(ns))
-            throw new LetopisError('invalid_data', `пространство имён v5 — не uuid: ${ns}`);
+            throw lerr('model.v5_namespace_not_uuid', { ns });
         b = Buffer.from(ns.replace(/-/g, ''), 'hex');
         if (NS.size >= 10_000)
             NS.clear();
@@ -44,17 +52,17 @@ export function v5Id(tenant, cls, values) {
  */
 export function idOf(cls, key, opts) {
     if (!cls.key.length) {
-        throw new LetopisError('no_key', `у класса ${cls.name} нет ключа: id выдаёт база при создании`);
+        throw lerr('model.class_no_key', { cls: cls.name });
     }
     const ends = new Set(cls.ends ?? []);
     const values = cls.key.map((k) => {
         const v = key[k];
         if (typeof v !== 'string') {
-            throw new LetopisError('invalid_data', `idOf(${cls.name}): часть ключа ${k} должна быть строкой`, { key: cls.key });
+            throw lerr('model.key_part_not_string', { cls: cls.name, part: k }, { detail: { key: cls.key } });
         }
         if (ends.has(k)) {
             if (!UUID.test(v))
-                throw new LetopisError('invalid_data', `idOf(${cls.name}): конец ${k} — не uuid`);
+                throw lerr('model.key_end_not_uuid', { cls: cls.name, end: k });
             return v.toLowerCase();
         }
         return v;

package/dist/validate.d.ts

@@ -4,6 +4,12 @@
  * слова нарушений. Им пользуются загрузчик (этап 4) и ранние ошибки библиотеки; совпадение с базой
  * закрепляет дифференциальный тест validator-parity.
  *
+ * Исключение — `pattern` (ревью): шаблон задаёт арендатор, и движок V8 с перебором на шаблоне вроде
+ * `^(a+)+$` повесил бы процесс приложения. Такие правила (`db`) проверяет только база (`like_regex`,
+ * движок без катастрофического перебора); здесь шаблон лишь разбирается — то, что база не примет, и
+ * шаблон, неверный для JavaScript, — `invalid_class`. `anyOf`/`oneOf`, в ветке которых есть `pattern`,
+ * без него не решить (у `oneOf` вышло бы ложное нарушение) — их тоже проверяет только база.
+ *
  * Как и в базе, правило — «нет узла по пути, нарушающего условие»: обычное правило даёт одно
  * нарушение, сколько бы узлов его ни нарушили; дополнительные проверки (длина строки, uniqueItems,
  * смысл даты, перечисления объектов, число ключей) — по нарушению на каждый узел.
@@ -18,10 +24,16 @@ export interface Validator {
     (data: unknown): Issue[];
 }
 /**
- * Превращает JSON Schema данных класса в функцию проверки — ту же проверку, что выполняет база при записи. Схема
+ * Превращает JSON Schema данных класса в функцию проверки — ту же проверку, что выполняет база при записи, кроме
+ * `pattern` (и `anyOf`/`oneOf` с ним в ветке): шаблоны задаёт арендатор, их проверяет только база. Схема
  * класса — `db.registry.resolve(имя).schema`.
  */
 export declare function compileValidator(schema: JsonSchema): Validator;
+/**
+ * Оставляет ли валидатор правила базе (`pattern` и `anyOf`/`oneOf` с ним): строки таких классов загрузчик, который
+ * пишет мимо триггеров, сверяет запросом к базе. Не входит в API пакета.
+ */
+export declare function leavesToDb(v: Validator): boolean;
 /**
  * Подставляет в данные значения по умолчанию (`default`) из JSON Schema класса, как база перед проверкой при каждой
  * записи: только в отсутствующие поля, а во вложенный объект — только если он в данных уже есть. Исходные данные не

package/dist/validate.js

@@ -4,11 +4,17 @@
  * слова нарушений. Им пользуются загрузчик (этап 4) и ранние ошибки библиотеки; совпадение с базой
  * закрепляет дифференциальный тест validator-parity.
  *
+ * Исключение — `pattern` (ревью): шаблон задаёт арендатор, и движок V8 с перебором на шаблоне вроде
+ * `^(a+)+$` повесил бы процесс приложения. Такие правила (`db`) проверяет только база (`like_regex`,
+ * движок без катастрофического перебора); здесь шаблон лишь разбирается — то, что база не примет, и
+ * шаблон, неверный для JavaScript, — `invalid_class`. `anyOf`/`oneOf`, в ветке которых есть `pattern`,
+ * без него не решить (у `oneOf` вышло бы ложное нарушение) — их тоже проверяет только база.
+ *
  * Как и в базе, правило — «нет узла по пути, нарушающего условие»: обычное правило даёт одно
  * нарушение, сколько бы узлов его ни нарушили; дополнительные проверки (длина строки, uniqueItems,
  * смысл даты, перечисления объектов, число ключей) — по нарушению на каждый узел.
  */
-import { LetopisError } from './errors.js';
+import { lerr, lmsg } from './errors.js';
 import { SUPPORTED, translatePattern } from './jsonschema.js';
 const isObj = (v) => typeof v === 'object' && v !== null && !Array.isArray(v);
 const typeOf = (v) => (v === null ? 'null' : Array.isArray(v) ? 'array' : typeof v === 'object' ? 'object' : typeof v === 'number' ? 'number' : typeof v === 'string' ? 'string' : typeof v === 'boolean' ? 'boolean' : 'unknown');
@@ -56,6 +62,11 @@ const FORMAT_RE = {
     'date-time': /^[0-9]{4}-[0-9]{2}-[0-9]{2}T[0-9]{2}:[0-9]{2}:[0-9]{2}(\.[0-9]{1,6})?(Z|[+-][0-9]{2}:[0-9]{2})$/,
     email: /^[^@\s]+@[^@\s]+\.[^@\s]+$/,
 };
+/**
+ * Предел длины адреса для format: 'email' — 254 символа (RFC 5321). Длиннее — нарушение без шаблона: на подобранной
+ * строке (много точек в домене и лишний символ в конце) шаблон email перебирает квадратично (ревью).
+ */
+const EMAIL_MAX = 254;
 /** Смысл даты и времени, как pg_input_is_valid(…, 'date' | 'timestamptz') для уже проверенной формы. */
 function validDate(s, withTime) {
     const y = Number(s.slice(0, 4));
@@ -93,35 +104,43 @@ const prop = (sel, k) => (root) => sel(root).flatMap((n) => (isObj(n) && Object.
 const items = (sel) => (root) => sel(root).flatMap((n) => (Array.isArray(n) ? n : []));
 const others = (sel, known) => (root) => sel(root).flatMap((n) => (isObj(n) ? Object.keys(n).filter((k) => !known.includes(k)).map((k) => n[k]) : []));
 const keys = (sel) => (root) => sel(root).flatMap((n) => (isObj(n) ? Object.keys(n) : []));
-function fail(path, msg) {
-    throw new LetopisError('invalid_class', `${msg} (узел ${JSON.stringify(path)})`);
+/** Допустимые значения перечисления для сообщения нарушения — как у базы (validate_data): JSON через запятую, до 20. */
+function enumValues(values) {
+    const shown = values.slice(0, 20).map((v) => JSON.stringify(v)).join(', ');
+    return values.length > 20 ? `${shown}, …` : shown;
+}
+/** Описание не компилируется (`invalid_class`): ключ каталога и параметры; путь узла — параметр node. */
+function fail(path, key, params) {
+    throw lerr(key, { ...params, node: JSON.stringify(path) });
 }
 /** Компиляция узла схемы в правила — порядок и состав как в jp_compile. */
 function compileNode(s, sel, path, inAny, out) {
     if (s === undefined || s === true || (isObj(s) && Object.keys(s).length === 0))
         return;
     if (!isObj(s))
-        fail(path, `описание узла ${JSON.stringify(path)} — не объект`);
+        fail(path, 'model.validator_node_not_object');
     const sch = s;
     for (const k of Object.keys(sch)) {
         if (!SUPPORTED.has(k) && !k.startsWith('x-'))
-            fail(path, `ключевое слово ${k} не поддерживается`);
+            fail(path, 'model.validator_keyword_unsupported', { keyword: k });
     }
     if (sch.type !== undefined) {
         const types = Array.isArray(sch.type) ? sch.type : [sch.type];
-        const tests = types.map((t) => TYPE_TEST[t] ?? fail(path, `неизвестный тип в узле ${JSON.stringify(path)}`));
+        const tests = types.map((t) => TYPE_TEST[t] ?? fail(path, 'model.validator_unknown_type'));
         out.push({ path, keyword: 'type', select: sel, test: (v) => tests.some((f) => f(v)) });
     }
     if (sch.enum !== undefined || sch.const !== undefined) {
         const keyword = sch.enum !== undefined ? 'enum' : 'const';
         const values = (sch.enum ?? [sch.const]);
+        // сообщение называет допустимые значения (план 2.1, A8)
+        const msg = lmsg('model.issue_enum', { values: enumValues(values) });
         if (values.some((v) => typeof v === 'object' && v !== null)) {
             if (inAny)
-                fail(path, 'перечисление объектов внутри anyOf не поддерживается');
-            out.push({ path, keyword, select: sel, test: () => true, extra: (v) => (values.some((x) => jsonEqual(x, v)) ? null : 'значение не из перечисления') });
+                fail(path, 'model.validator_enum_objects_in_any_of');
+            out.push({ path, keyword, select: sel, test: () => true, extra: (v) => (values.some((x) => jsonEqual(x, v)) ? null : msg) });
         }
         else {
-            out.push({ path, keyword, select: sel, test: (v) => values.some((x) => typeOf(x) === typeOf(v) && jsonEqual(x, v)) });
+            out.push({ path, keyword, select: sel, test: (v) => values.some((x) => typeOf(x) === typeOf(v) && jsonEqual(x, v)), explain: () => msg });
         }
     }
     const num = (f, b) => (v) => typeof v !== 'number' || f(v, b);
@@ -137,36 +156,41 @@ function compileNode(s, sel, path, inAny, out) {
         out.push({ path, keyword: 'multipleOf', select: sel, test: num((v, b) => isMultiple(v, b), sch.multipleOf) });
     if (sch.pattern !== undefined) {
         const src = translatePattern(sch.pattern); // то, чего база не понимает, — своя ошибка invalid_class
-        let re;
         try {
-            re = new RegExp(src);
+            new RegExp(src); // только разбор, без исполнения на данных: проверку шаблона делает база (ревью, ReDoS)
         }
         catch {
             // шаблон, неверный уже для JavaScript (незакрытая скобка и т. п.): translatePattern его пропускает, RegExp — нет.
             // Текст V8 в сообщение не идёт: он зависит от версии движка
-            fail(path, `pattern ${JSON.stringify(sch.pattern)} — неверное регулярное выражение`);
+            fail(path, 'model.validator_bad_pattern', { pattern: JSON.stringify(sch.pattern) });
         }
-        out.push({ path, keyword: 'pattern', select: sel, test: (v) => typeof v !== 'string' || re.test(v) });
+        out.push({ path, keyword: 'pattern', select: sel, test: () => true, db: true });
     }
     if (sch.format !== undefined) {
         const f = sch.format;
-        const re = FORMAT_RE[f] ?? fail(path, `format ${f} не поддерживается`);
-        out.push({ path, keyword: 'format', select: sel, test: (v) => typeof v !== 'string' || re.test(v) });
+        const re = FORMAT_RE[f] ?? fail(path, 'model.validator_format_unsupported', { format: f });
+        const max = f === 'email' ? EMAIL_MAX : Infinity;
+        out.push({ path, keyword: 'format', select: sel, test: (v) => typeof v !== 'string' || (v.length <= max && re.test(v)) });
         if (f === 'date' || f === 'date-time') {
             if (inAny)
-                fail(path, `format ${f} внутри anyOf не поддерживается`);
+                fail(path, 'model.validator_format_in_any_of', { format: f });
             out.push({ path, keyword: 'format', select: sel, test: () => true,
-                extra: (v) => (typeof v !== 'string' || !re.test(v) || validDate(v, f === 'date-time') ? null : 'такой даты не бывает') });
+                extra: (v) => (typeof v !== 'string' || !re.test(v) || validDate(v, f === 'date-time') ? null : lmsg('model.issue_date')) });
         }
     }
     if (sch.minLength !== undefined || sch.maxLength !== undefined) {
         if (inAny)
-            fail(path, 'длина строки внутри anyOf не поддерживается');
+            fail(path, 'model.validator_string_length_in_any_of');
         const min = sch.minLength ?? 0;
         const max = sch.maxLength ?? Infinity;
         out.push({ path, keyword: sch.minLength !== undefined ? 'minLength' : 'maxLength', select: sel, test: () => true,
-            extra: (v) => { if (typeof v !== 'string')
-                return null; const n = [...v].length; return n < min || n > max ? 'длина строки вне границ' : null; } });
+            // текст называет границу (второй раунд 2.1, A6), как у базы (30-validate.sql, validate_data)
+            extra: (v) => {
+                if (typeof v !== 'string')
+                    return null;
+                const n = [...v].length;
+                return n < min ? lmsg('model.issue_string_too_short', { limit: min }) : n > max ? lmsg('model.issue_string_too_long', { limit: max }) : null;
+            } });
     }
     if (sch.minItems !== undefined)
         out.push({ path, keyword: 'minItems', select: sel, test: (v) => !Array.isArray(v) || v.length >= sch.minItems });
@@ -174,9 +198,9 @@ function compileNode(s, sel, path, inAny, out) {
         out.push({ path, keyword: 'maxItems', select: sel, test: (v) => !Array.isArray(v) || v.length <= sch.maxItems });
     if (sch.uniqueItems === true) {
         if (inAny)
-            fail(path, 'uniqueItems внутри anyOf не поддерживается');
+            fail(path, 'model.validator_unique_items_in_any_of');
         out.push({ path, keyword: 'uniqueItems', select: sel, test: () => true,
-            extra: (v) => (Array.isArray(v) && v.some((x, i) => v.findIndex((y) => jsonEqual(x, y)) !== i) ? 'элементы повторяются' : null) });
+            extra: (v) => (Array.isArray(v) && v.some((x, i) => v.findIndex((y) => jsonEqual(x, y)) !== i) ? lmsg('model.issue_unique_items') : null) });
     }
     if (sch.items !== undefined)
         compileNode(sch.items, items(sel), [...path, '*'], inAny, out);
@@ -186,12 +210,12 @@ function compileNode(s, sel, path, inAny, out) {
     }
     if (sch.minProperties !== undefined || sch.maxProperties !== undefined) {
         if (inAny)
-            fail(path, 'minProperties внутри anyOf не поддерживается');
+            fail(path, 'model.validator_min_properties_in_any_of');
         const min = sch.minProperties ?? 0;
         const max = sch.maxProperties ?? Infinity;
         out.push({ path, keyword: sch.minProperties !== undefined ? 'minProperties' : 'maxProperties', select: sel, test: () => true,
             extra: (v) => { if (!isObj(v))
-                return null; const n = Object.keys(v).length; return n < min || n > max ? 'число ключей вне границ' : null; } });
+                return null; const n = Object.keys(v).length; return n < min || n > max ? lmsg('model.issue_property_count') : null; } });
     }
     const known = isObj(sch.properties) ? Object.keys(sch.properties) : [];
     if (isObj(sch.properties)) {
@@ -199,7 +223,9 @@ function compileNode(s, sel, path, inAny, out) {
             compileNode(v, prop(sel, k), [...path, k], inAny, out);
     }
     if (sch.additionalProperties === false) {
-        out.push({ path, keyword: 'additionalProperties', select: sel, test: (v) => !isObj(v) || Object.keys(v).every((k) => known.includes(k)) });
+        // сообщение называет лишние ключи (план 2.1, A8)
+        out.push({ path, keyword: 'additionalProperties', select: sel, test: (v) => !isObj(v) || Object.keys(v).every((k) => known.includes(k)),
+            explain: (v) => lmsg('model.issue_additional', { keys: Object.keys(v).filter((k) => !known.includes(k)).slice(0, 20).join(', ') }) });
     }
     else if (isObj(sch.additionalProperties)) {
         compileNode(sch.additionalProperties, others(sel, known), [...path, '*'], inAny, out);
@@ -210,24 +236,32 @@ function compileNode(s, sel, path, inAny, out) {
     for (const kw of ['anyOf', 'oneOf']) {
         if (!Array.isArray(sch[kw]))
             continue;
-        const branches = sch[kw].map((b) => {
+        const compiled = sch[kw].map((b) => {
             const rules = [];
             compileNode(b, (root) => [root], path, true, rules);
-            return (node) => rules.every((r) => r.select(node).every((n) => r.test(n)));
+            return rules;
         });
+        // ветку с правилом базы здесь не решить: anyOf/oneOf целиком проверяет база (у oneOf иначе — ложное нарушение)
+        if (compiled.some((rules) => rules.some((r) => r.db))) {
+            out.push({ path, keyword: kw, select: sel, test: () => true, db: true });
+            continue;
+        }
+        const branches = compiled.map((rules) => (node) => rules.every((r) => r.select(node).every((n) => r.test(n))));
         out.push({ path, keyword: kw, select: sel, test: kw === 'anyOf'
                 ? (v) => branches.some((b) => b(v))
                 : (v) => branches.filter((b) => b(v)).length === 1 });
     }
 }
 /**
- * Превращает JSON Schema данных класса в функцию проверки — ту же проверку, что выполняет база при записи. Схема
+ * Превращает JSON Schema данных класса в функцию проверки — ту же проверку, что выполняет база при записи, кроме
+ * `pattern` (и `anyOf`/`oneOf` с ним в ветке): шаблоны задаёт арендатор, их проверяет только база. Схема
  * класса — `db.registry.resolve(имя).schema`.
  */
 export function compileValidator(schema) {
-    const rules = [];
-    compileNode(schema, (root) => [root], [], false, rules);
-    return (data) => {
+    const all = [];
+    compileNode(schema, (root) => [root], [], false, all);
+    const rules = all.filter((r) => !r.db);
+    const v = (data) => {
         const issues = [];
         for (const r of rules) {
             const nodes = r.select(data);
@@ -238,12 +272,27 @@ export function compileValidator(schema) {
                         issues.push({ path: r.path, keyword: r.keyword, message: msg });
                 }
             }
-            else if (!nodes.every((n) => r.test(n))) {
-                issues.push({ path: r.path, keyword: r.keyword, message: `нарушено правило ${r.keyword}` });
+            else {
+                const at = nodes.findIndex((n) => !r.test(n));
+                if (at >= 0) {
+                    issues.push({ path: r.path, keyword: r.keyword, message: r.explain ? r.explain(nodes[at]) : lmsg('model.issue_rule', { keyword: r.keyword }) });
+                }
             }
         }
         return issues;
     };
+    if (rules.length < all.length)
+        LEAVES_TO_DB.add(v);
+    return v;
+}
+/** Валидаторы с правилами, которые проверяет только база. */
+const LEAVES_TO_DB = new WeakSet();
+/**
+ * Оставляет ли валидатор правила базе (`pattern` и `anyOf`/`oneOf` с ним): строки таких классов загрузчик, который
+ * пишет мимо триггеров, сверяет запросом к базе. Не входит в API пакета.
+ */
+export function leavesToDb(v) {
+    return LEAVES_TO_DB.has(v);
 }
 /**
  * Подставляет в данные значения по умолчанию (`default`) из JSON Schema класса, как база перед проверкой при каждой

package/dist/watch.d.ts

@@ -1,6 +1,7 @@
 import type { Executor } from './tx.js';
 import type { Row } from './types.js';
 import type { Signal } from './signals.js';
+import type { Log } from './log.js';
 export interface WatchOptions {
     /** Откуда: курсор (sub.cursor или курсор события), 'now' (по умолчанию — изменения после подписки) или 'start' (весь журнал). */
     from?: string;
@@ -39,11 +40,13 @@ export interface WatchCtx {
     tenant?: () => string | null;
     /** Подписка закрылась: подключение перестаёт её учитывать (план 2.0, 7.4 №8). */
     onClose?: (s: Subscription) => void;
+    /** Логгер фасада (lib/src/log.ts): watch.start, watch.fetch, watch.stop, error. */
+    log?: Log;
 }
 /**
  * Будит ли сигнал подписку: свои классы (watched; null — все) и свой арендатор (mine — токен; null —
- * любой); сессии не будят; *, opaque без ключа и нагрузка не по режиму — будят. Незнакомый токен класса
- * будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
+ * любой); сессии не будят; переподключение слушателя, opaque без ключа и нагрузка не по режиму — будят. Незнакомый
+ * токен класса будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
  */
 export declare function wakes(s: Signal, watched: ReadonlySet<string> | null, mine: string | null): boolean;
 export declare class Subscription implements AsyncIterable<WatchEvent> {
@@ -58,12 +61,6 @@ export declare class Subscription implements AsyncIterable<WatchEvent> {
     private dirty;
     /** Пришёл сигнал: пустой ответ — ещё не горизонт, нужны короткие повторы. Таймер их не запускает (план 2.0, 7.4 №1). */
     private burst;
-    /**
-     * from: 'start' — пока подписка не догнала журнал, свои чтения она шлёт без времени курсора: весь журнал, без
-     * cursor_expired на старых событиях (план 2.0, 7.4 №3). Курсоры событий и sub.cursor время хранят: продолжение с них
-     * после прореживания — cursor_expired, как обещано.
-     */
-    private catchingUp;
     private off;
     private timer;
     private failure;
@@ -73,17 +70,14 @@ export declare class Subscription implements AsyncIterable<WatchEvent> {
     private start;
     /** Вызовы next() — по очереди: параллельные получают разные события (доработки после точки Б). */
     private queue;
+    /** Выдано событий — для watch.stop. */
+    private delivered;
     constructor(ctx: WatchCtx, opts: WatchOptions);
-    /**
-     * Курсор подписки: позиция после последнего выданного события (или начальная точка). Догнав журнал, подписка обновляет
-     * в нём время и на пустых опросах, поэтому его, а не курсор события, сохраняют, чтобы продолжить после перезапуска:
-     * курсор события хранит время события, и когда оно выйдет за ярус all политики хранения, продолжение с него —
-     * cursor_expired.
-     */
+    /** Курсор подписки: позиция после последнего выданного события (или начальная точка) — с неё продолжают после перезапуска. */
     get cursor(): string | null;
     /**
-     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток
-     * (доработки после точки Б). У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
+     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток.
+     * У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
      * выполняется сразу; если запрос не удался, промис отклоняется с его ошибкой.
      */
     ready(): Promise<void>;

package/dist/watch.js

@@ -11,36 +11,30 @@
  * журнала: каждый видит только своё. Сигнал базы только будит подписку: свои классы и свой арендатор
  * (чужие — не будят; процесс без ключа сигналов арендатора не различает, в режиме opaque — и класса);
  * без LISTEN и на случай потери сигнала — запасной опрос.
- *
- * Курсор подписчика старше яруса all политики хранения его классов — cursor_expired: события могли
- * проредиться, нужно перечитать текущее состояние и подписаться заново. Время курсора подписки — время последнего
- * события, а догнавшей журнал подписки — время опроса (не позже самой старой ещё не отданной записи): подписка без
- * событий не стареет. Курсор события хранит время события.
  */
-import { LetopisError } from './errors.js';
+import { lerr } from './errors.js';
 import { toRow } from './sql.js';
-/** Курсор события: «tx:seq[:время][~снимок]». */
-const encode = (p) => `${p.tx}:${p.seq}${p.at ? `:${p.at}` : ''}${p.snap ? `~${p.snap}` : ''}`;
+/** Курсор события: «tx:seq[~снимок]». */
+const encode = (p) => `${p.tx}:${p.seq}${p.snap ? `~${p.snap}` : ''}`;
 function decode(c) {
     const [head, snap] = c.split('~');
-    const m = /^(\d+):(\d+)(?::(.+))?$/.exec(head);
+    const m = /^(\d+):(\d+)$/.exec(head);
     if (!m || (snap !== undefined && !/^\d+:\d+:[\d,]*$/.test(snap))) {
-        throw new LetopisError('invalid_query', `watch: курсор ${c} — ожидается курсор события`);
+        throw lerr('time.watch_cursor', { cursor: c });
     }
-    return { tx: m[1], seq: m[2], at: m[3] ?? null, ...(snap ? { snap } : {}) };
+    return { tx: m[1], seq: m[2], ...(snap ? { snap } : {}) };
 }
 /** Снимок ещё нужен: курсор не дошёл до его xmax. */
 const keepSnap = (snap, tx) => snap && BigInt(tx) < BigInt(snap.split(':')[1]) ? snap : undefined;
 /**
  * Будит ли сигнал подписку: свои классы (watched; null — все) и свой арендатор (mine — токен; null —
- * любой); сессии не будят; *, opaque без ключа и нагрузка не по режиму — будят. Незнакомый токен класса
- * будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
+ * любой); сессии не будят; переподключение слушателя, opaque без ключа и нагрузка не по режиму — будят. Незнакомый
+ * токен класса будит только подписку на все классы: классы подписки с перечнем есть в реестре, их токены известны.
  */
 export function wakes(s, watched, mine) {
     const ours = (t) => t === null || mine === null || t === mine;
     switch (s.kind) {
         case 'session':
-        case 'sessions':
             return false;
         case 'class':
             return (!watched || watched.has(s.cls)) && ours(s.tenant);
@@ -63,12 +57,6 @@ export class Subscription {
     dirty = true;
     /** Пришёл сигнал: пустой ответ — ещё не горизонт, нужны короткие повторы. Таймер их не запускает (план 2.0, 7.4 №1). */
     burst = false;
-    /**
-     * from: 'start' — пока подписка не догнала журнал, свои чтения она шлёт без времени курсора: весь журнал, без
-     * cursor_expired на старых событиях (план 2.0, 7.4 №3). Курсоры событий и sub.cursor время хранят: продолжение с них
-     * после прореживания — cursor_expired, как обещано.
-     */
-    catchingUp = false;
     off = null;
     timer = null;
     failure = null;
@@ -78,16 +66,16 @@ export class Subscription {
     start = null;
     /** Вызовы next() — по очереди: параллельные получают разные события (доработки после точки Б). */
     queue = Promise.resolve();
+    /** Выдано событий — для watch.stop. */
+    delivered = 0;
     constructor(ctx, opts) {
         this.ctx = ctx;
         this.opts = opts;
         this.batch = opts.batch ?? 500;
         this.pollMs = opts.pollMs ?? 1000;
         const from = opts.from ?? 'now';
-        if (from === 'start') {
-            this.pos = { tx: '0', seq: '0', at: null };
-            this.catchingUp = true;
-        }
+        if (from === 'start')
+            this.pos = { tx: '0', seq: '0' };
         else if (from !== 'now')
             this.pos = decode(from);
         else {
@@ -109,21 +97,20 @@ export class Subscription {
             this.wake?.();
         }, this.pollMs);
         this.timer.unref?.();
+        if (ctx.log?.wants('watch.start')) {
+            ctx.log.emit('watch.start', { op: 'watch', detail: { from: opts.from ?? 'now', classes: ctx.classes, batch: this.batch,
+                    pollMs: this.pollMs, signals: Boolean(ctx.onSignal) } });
+        }
     }
-    /**
-     * Курсор подписки: позиция после последнего выданного события (или начальная точка). Догнав журнал, подписка обновляет
-     * в нём время и на пустых опросах, поэтому его, а не курсор события, сохраняют, чтобы продолжить после перезапуска:
-     * курсор события хранит время события, и когда оно выйдет за ярус all политики хранения, продолжение с него —
-     * cursor_expired.
-     */
+    /** Курсор подписки: позиция после последнего выданного события (или начальная точка) — с неё продолжают после перезапуска. */
     get cursor() {
         if (this.buf.length)
             return this.given;
         return this.pos ? encode(this.pos) : null;
     }
     /**
-     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток
-     * (доработки после точки Б). У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
+     * Промис выполняется, когда подписка запомнила начальную точку: запись, сделанная после этого, придёт в поток.
+     * У `from: 'now'` точку запоминает отдельный запрос к базе, у `'start'` и курсора промис
      * выполняется сразу; если запрос не удался, промис отклоняется с его ошибкой.
      */
     async ready() {
@@ -132,7 +119,7 @@ export class Subscription {
     }
     async head() {
         const [r] = await this.ctx.exec.run((q) => q.unsafe(`select tx::text as tx, seq::text as seq, snap::text as snap from ${this.ctx.S}.watch_head()`), { read: true });
-        return { tx: r.tx, seq: r.seq, at: null, snap: r.snap };
+        return { tx: r.tx, seq: r.seq, snap: r.snap };
     }
     /** Следующая пачка событий ниже горизонта; пусто — горизонт ещё не дошёл или событий нет. */
     async fetch() {
@@ -141,58 +128,20 @@ export class Subscription {
         const p = this.pos;
         const cols = `l.tx::text as tx, l.seq::text as seq, jsonb_build_object('id', l.id, 'rev', l.rev, 'class', l.class, 'tenant', l.tenant, `
             + `'owner', l.owner, 'links', l.links, 'data', l.data, 'tags', l.tags, 'at', l.at, 'author', l.author, 'agent', l.agent, `
-            + `'op', l.op, 'reason', l.reason, 'moved', l.moved) as row`;
-        // уход строки из классов подписки сменой класса без смены id (хвост ревью безопасности №3) — надгробием прежней
-        // версии в том же окне: полная пачка watch_read ограничивает окно своей последней строкой. Оба потока — одним
-        // оператором: общий снимок и горизонт, иначе курсор перескочил бы событие, зафиксированное между запросами
-        // (автоматическое ревью). Потоки сливаются по (tx, seq) до границы — последней строки потока, обрезанного лимитом.
-        // Третья строка (src 2) — время курсора, когда пачка неполная (подписка догнала журнал): «сейчас», но не позже самой
-        // старой записи подписки, которая уже зафиксирована, а горизонт ещё не прошла (её держит более старая транзакция;
-        // снимок «now» — без записей, которые подписка не отдаёт). Тот же снимок, что у watch_read
-        const S = this.ctx.S;
-        const both = await this.ctx.exec.run((q) => q.unsafe(`with r as (select l.* from ${S}.watch_read($1::text::xid8, $2::bigint, $3::text::timestamptz, $4::text[], $5::int, $6::text::pg_snapshot) l),
-            u as (select r.tx, r.seq from r where (select count(*) from r) = $5 order by r.tx desc, r.seq desc limit 1)
-       select 0 as src, ${cols} from r l
-       union all
-       select 1 as src, ${cols} from ${S}.watch_leaving($1::text::xid8, $2::bigint, $4::text[], $5::int, $6::text::pg_snapshot,
-         (select tx from u), (select seq from u)) l
-       union all
-       select 2 as src, null, null, jsonb_build_object('at', least(statement_timestamp(), min(l.at))) from ${S}.log l
-       where (select count(*) from r) < $5 and (l.tx, l.seq) > ($1::text::xid8, $2::bigint)
-         and l.tx >= pg_snapshot_xmin(pg_current_snapshot()) and ($4::text[] is null or l.class = any ($4::text[]))
-         and ($6::text::pg_snapshot is null or not pg_visible_in_snapshot(l.tx, $6::text::pg_snapshot))
-       having (select count(*) from r) < $5`, [p.tx, p.seq, this.catchingUp ? null : p.at, this.ctx.classesOf?.() ?? this.ctx.classes, this.batch, p.snap ?? null]), { read: true });
-        const before = (a, b) => BigInt(a.tx) < BigInt(b.tx) || (a.tx === b.tx && BigInt(a.seq) < BigInt(b.seq));
-        const order = (a, b) => (before(a, b) ? -1 : before(b, a) ? 1 : 0);
-        const read = both.filter((r) => r.src === 0).sort(order);
-        const away = both.filter((r) => r.src === 1).sort(order);
-        const caught = both.find((r) => r.src === 2);
-        let rows = read;
-        {
-            const upto = read.length === this.batch ? read[read.length - 1] : null;
-            if (away.length) {
-                let bound = upto;
-                const lastAway = away[away.length - 1];
-                if (away.length === this.batch && (!bound || before(lastAway, bound)))
-                    bound = lastAway;
-                rows = [...read, ...away].sort(order).filter((r) => !bound || !before(bound, r));
-            }
-        }
+            + `'op', l.op, 'reason', l.reason) as row`;
+        // строки — по (tx, seq), как их отдаёт watch_read
+        const rows = await this.ctx.exec.run((q) => q.unsafe(`select ${cols} from ${this.ctx.S}.watch_read($1::text::xid8, $2::bigint, $3::text[], $4::int, $5::text::pg_snapshot) l`, [p.tx, p.seq, this.ctx.classesOf?.() ?? this.ctx.classes, this.batch, p.snap ?? null]), { read: true });
         // пока события пачки не выданы, курсор подписки — позиция до пачки
         if (rows.length)
             this.given = encode(p);
+        if (rows.length && this.ctx.log?.wants('watch.fetch'))
+            this.ctx.log.emit('watch.fetch', { op: 'watch', rows: rows.length });
         for (const r of rows) {
             const row = toRow(r.row);
             const snap = keepSnap(p.snap, r.tx);
-            this.pos = { tx: r.tx, seq: r.seq, at: row.at, ...(snap ? { snap } : {}) };
+            this.pos = { tx: r.tx, seq: r.seq, ...(snap ? { snap } : {}) };
             this.buf.push({ cursor: encode(this.pos), row, id: row.id, class: row.class, op: row.op, rev: row.rev, at: row.at });
         }
-        // догнала журнал — время курсора подписки (sub.cursor) обновляется и на пустых опросах: прореживать после него нечего,
-        // и подписка, к которой долго не было событий, не получает ложный cursor_expired. Курсоры событий хранят время события
-        if (caught && away.length < this.batch) {
-            this.pos = { ...(this.pos ?? p), at: String(caught.row.at) };
-            this.catchingUp = false;
-        }
         return rows.length;
     }
     /**
@@ -212,6 +161,7 @@ export class Subscription {
             if (this.buf.length) {
                 const ev = this.buf.shift();
                 this.given = ev.cursor;
+                this.delivered++;
                 return { value: ev, done: false };
             }
             if (this.closed)
@@ -226,6 +176,7 @@ export class Subscription {
                 }
                 catch (e) {
                     this.failure = e;
+                    this.ctx.log?.error(e, { op: 'watch' });
                     this.close();
                     throw e;
                 }
@@ -240,6 +191,11 @@ export class Subscription {
                 this.burst = false;
                 empty = 0;
             }
+            // подписку закрыли, пока шли запрос или пауза (будильник тогда ещё не выставлен — close() будить было некого): ждать
+            // нельзя, будильника не будет — таймер снят, сигналы отписаны (план 2.0, 7.4 №8; находка обхода сервисов — поток
+            // SSE после выхода не закрывался)
+            if (this.closed)
+                return { value: undefined, done: true };
             await new Promise((r) => {
                 this.wake = () => {
                     this.wake = null;
@@ -263,6 +219,9 @@ export class Subscription {
         if (this.closed)
             return;
         this.closed = true;
+        if (this.ctx.log?.wants('watch.stop')) {
+            this.ctx.log.emit('watch.stop', { op: 'watch', rows: this.delivered, detail: { cursor: this.cursor, ...(this.failure ? { failed: true } : {}) } });
+        }
         this.off?.();
         this.ctx.onClose?.(this);
         if (this.timer)