letopis 1.4.2 → 3.0.0

package/sql/70-read.sql

@@ -17,8 +17,7 @@
 --
 -- Источник — текущее состояние (entity) или журнал: версии, действовавшие на момент p_at (срез
 -- asOf), либо надгробия удалённых (p_dead, для withDeleted). Возвращается rev версии: строки
--- журнала читаются по паре (id, rev) через уникальный индекс log_id_rev. Записи purge, trim и reset
--- (этап 6) — не версии объекта: на момент после них объекта в срезе нет.
+-- журнала читаются по паре (id, rev) через уникальный индекс log_id_rev.
 
 -- Цели концов строки: всех (p_roles is null) или только перечисленных ролей.
 create or replace function @SCHEMA@.role_ids(p_links jsonb, p_roles text[]) returns uuid[]
@@ -55,8 +54,7 @@ as $$
       select y.* from (select x.* from @SCHEMA@.log x where x.id = c.id offset 0) y
       where y.at <= coalesce(p_at, 'infinity'::timestamptz)
       order by y.rev desc limit 1) w
-  -- класс — у последней версии на момент, а не среди версий классов шага: после смены класса без смены id объект
-  -- не числится в прежнем классе (план 2.0, 7.1 №1)
+  -- класс — у последней версии на момент, а не среди версий классов шага (план 2.0, 7.1 №1)
   where w.class = any (p_classes) and @SCHEMA@.link_ids(w.links) @> array[p_src]
 $$;
 
@@ -123,21 +121,21 @@ begin
         from @SCHEMA@.log l
         where l.id = any (p_ids) and l.at <= coalesce(p_at, 'infinity'::timestamptz)
         order by l.id, l.rev desc) v
-      where v.class = any (p_classes) and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+      where v.class = any (p_classes) and (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
   elsif p_ends is not null then
     -- по целям концов — от версий, ссылавшихся на первую цель (GIN log_ends); арендатор — после пробы
     return query select v.id, v.rev from @SCHEMA@.log_refs_at(p_classes, p_ends[1], p_at) v
       where (v.tenant = any (v_tenants) or v.class = 'member')
-        and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+        and (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and @SCHEMA@.link_ids(v.links) @> p_ends
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
   else
-    -- арендатор id неизменен, записи purge и trim несут арендатора объекта: условие до distinct on не меняет, какая
+    -- арендатор id неизменен: условие до distinct on не меняет, какая
     -- версия id последняя (индекс log_class_tenant_at)
     -- кандидаты — по классу (индекс log_class_tenant_at), последняя версия id на момент — любого класса, и класс
-    -- проверяется у неё: иначе после смены класса без смены id объект числился бы в прежнем классе (план 2.0, 7.1 №1)
+    -- проверяется у неё (план 2.0, 7.1 №1)
     return query select v.id, v.rev from (
         select distinct l.id from @SCHEMA@.log l
         where l.class = any (p_classes) and l.tenant = any (v_tenants) and l.at <= coalesce(p_at, 'infinity'::timestamptz)) c
@@ -145,14 +143,14 @@ begin
         select y.id, y.rev, y.op, y.class, y.tenant, y.owner, y.tags, y.data, y.links
         from @SCHEMA@.log y where y.id = c.id and y.at <= coalesce(p_at, 'infinity'::timestamptz)
         order by y.rev desc limit 1) v
-      where v.class = any (p_classes) and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+      where v.class = any (p_classes) and (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
     -- свои членства в других арендаторах: версии, ссылавшиеся на аккаунт (GIN log_ends)
     if v_member then
       return query select v.id, v.rev from @SCHEMA@.log_refs_at(array['member'], c_account, p_at) v
         where not (v.tenant = any (v_tenants))
-          and (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+          and (v.op = 'delete') = p_dead
           and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
           and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
     end if;
@@ -193,7 +191,7 @@ begin
     return query select s.src, v.id, v.rev
       from (select distinct u.x as src from unnest(p_src) u(x)) s
       cross join lateral @SCHEMA@.log_refs_at(p_classes, s.src, p_at) v
-      where (v.op = 'delete') = p_dead and v.op not in ('purge', 'trim', 'reset')
+      where (v.op = 'delete') = p_dead
         and (p_data is null or v.data @> p_data) and (p_ends is null or @SCHEMA@.link_ids(v.links) @> p_ends)
         and (p_roles is null or @SCHEMA@.role_has(v.links, p_roles, s.src))
         and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan);
@@ -243,14 +241,14 @@ begin
         select s.src, v.id, v.rev, 1, array[s.src, v.id]
         from (select distinct u.x as src from unnest(p_src) u(x)) s
         cross join lateral @SCHEMA@.log_refs_at(p_classes, s.src, p_at) v
-        where v.op not in ('delete', 'purge', 'trim', 'reset')
+        where v.op <> 'delete'
           and (p_roles is null or @SCHEMA@.role_has(v.links, p_roles, s.src))
           and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan)
       union all
         select d.src, v.id, v.rev, d.depth + 1, d.seen || v.id
         from d
         cross join lateral @SCHEMA@.log_refs_at(p_classes, d.id, p_at) v
-        where d.depth < p_max and not (v.id = any (d.seen)) and v.op not in ('delete', 'purge', 'trim', 'reset')
+        where d.depth < p_max and not (v.id = any (d.seen)) and v.op <> 'delete'
           and (p_roles is null or @SCHEMA@.role_has(v.links, p_roles, d.id))
           and @SCHEMA@.row_visible(v.tenant, v.class, v.id, v.owner, v.tags, v.data, v.links, c_tenant, c_account, c_plan))
       select distinct on (d.src, d.id) d.src, d.id, d.rev, d.depth from d order by d.src, d.id, d.depth;

package/sql/80-auth.sql

@@ -17,7 +17,7 @@ return interval '10 minutes';
 
 create or replace function @SCHEMA@.auth_kind_ok(p_kind text) returns boolean
 language sql immutable parallel safe
-return p_kind ~ '^[A-Z][A-Z0-9_]{1,31}$' and p_kind not in ('SESSION', 'APIKEY', 'KEYSECRET', 'OTP', 'TOTP', 'KEY', 'PROJECTOR', 'LOCK');
+return p_kind ~ '^[A-Z][A-Z0-9_]{1,31}$' and p_kind not in ('SESSION', 'APIKEY', 'KEYSECRET', 'OTP', 'TOTP', 'KEY', 'LOCK');
 
 -- Действующая сессия обязательна (иначе no_session).
 create or replace function @SCHEMA@.auth_session_required(p_account uuid) returns void
@@ -25,7 +25,7 @@ language plpgsql immutable
 as $$
 begin
   if p_account is null then
-    perform @SCHEMA@.lt_fail('no_session', 'нет действующей сессии');
+    perform @SCHEMA@.lt_fail('sql-access.no_session');
   end if;
 end $$;
 
@@ -42,7 +42,7 @@ declare
 begin
   select * into c from @SCHEMA@.ctx();
   if c.account is null then
-    perform @SCHEMA@.lt_fail('no_session', 'нет действующей сессии');
+    perform @SCHEMA@.lt_fail('sql-access.no_session');
   end if;
   if c.account = p_account and c.service is null then
     select (s.meta->>'login_at')::timestamptz, coalesce(s.meta->'methods', '[]'::jsonb) into login_at, methods
@@ -52,17 +52,18 @@ begin
     if login_at > clock_timestamp() - @SCHEMA@.auth_recent()
        and exists (select 1 from jsonb_array_elements_text(methods) m where m not in ('APIKEY', 'KEYSECRET', 'SERVICE'))
        and (methods ? 'TOTP' or not exists (select 1 from @SCHEMA@.secret t where t.account = p_account and t.kind = 'TOTP'
-                                            and t.deleted_at is null and coalesce((t.meta->>'confirmed')::boolean, false))) then
+                                            and t.deleted_at is null and coalesce((t.meta->>'confirmed')::boolean, false)
+                                            and coalesce((t.meta->>'enabled')::boolean, true))) then
       return;
     end if;
   end if;
   if not coalesce((@SCHEMA@.acl_api_for(c.tenant, c.categories, c.roles, 'auth.credential', true)->>'allow')::boolean, false) then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end if;
   -- креды System, сервисов и системных администраторов выдаёт только системный администратор: иначе
   -- сервис привязал бы себе вход под ними (ревью этапа 5)
   if not @SCHEMA@.auth_target_ok(p_account) and not @SCHEMA@.auth_is_sysadmin() then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end if;
 end $$;
 
@@ -77,7 +78,7 @@ declare
 begin
   select * into c from @SCHEMA@.ctx();
   if p_account is distinct from c.account and not @SCHEMA@.auth_target_ok(p_account) and not @SCHEMA@.auth_is_sysadmin() then
-    perform @SCHEMA@.lt_fail('acl_denied', 'креды и сессии этого аккаунта меняет только он сам или системный администратор');
+    perform @SCHEMA@.lt_fail('sql-access.self_or_sysadmin');
   end if;
 end $$;
 
@@ -203,7 +204,7 @@ begin
   perform @SCHEMA@.auth_session_required(c.account);
   perform @SCHEMA@.acl_require('auth.session');
   if not @SCHEMA@.auth_target_ok(p_account) then
-    perform @SCHEMA@.lt_fail('acl_denied', 'сессии для этого аккаунта не выпускаются');
+    perform @SCHEMA@.lt_fail('sql-access.no_sessions_for_account');
   end if;
   return @SCHEMA@.new_session(p_account, p_ttl, jsonb_build_object('methods', to_jsonb(p_methods), 'service', c.account));
 end $$;
@@ -248,14 +249,14 @@ begin
     p_confirmed := null;
   end if;
   if not @SCHEMA@.auth_kind_ok(p_kind) or coalesce(p_ident, '') = '' or p_hash !~ '^scrypt\$' then
-    perform @SCHEMA@.lt_fail('invalid_data', 'пароль: вид, идентификатор и хэш scrypt$… обязательны');
+    perform @SCHEMA@.lt_fail('sql-access.password_args');
   end if;
   select s.id, s.account into cur from @SCHEMA@.secret s
   where s.kind = p_kind and s.deleted_at is null
     and casefold(s.ident) collate pg_unicode_fast = casefold(p_ident) collate pg_unicode_fast
   for update;
   if cur.id is not null and cur.account <> p_account then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end if;
   if cur.id is not null then
     update @SCHEMA@.secret s
@@ -270,7 +271,7 @@ begin
       values (p_account, p_kind, p_ident, convert_to(p_hash, 'UTF8'), jsonb_build_object('confirmed', coalesce(p_confirmed, false)))
       returning id into cid;
     exception when unique_violation then
-      perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+      perform @SCHEMA@.lt_fail('sql-access.bind_denied');
     end;
   end if;
   return cid;
@@ -308,7 +309,7 @@ begin
       null; -- совпал префикс: новый ключ
     end;
   end loop;
-  perform @SCHEMA@.lt_raise('40001', 'conflict', 'не удалось выпустить ключ с уникальным префиксом');
+  perform @SCHEMA@.lt_raise('40001','sql-access.apikey_prefix_conflict', '{}'::jsonb);
 end $$;
 
 -- Вход по ключу API для db.auth.verifyApiKey: { account, token } или null (login_apikey — для
@@ -326,7 +327,9 @@ begin
     and s.material = sha256(convert_to(coalesce(p_key, ''), 'UTF8'))
     and (s.expires_at is null or s.expires_at > clock_timestamp())
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and @SCHEMA@.auth_enabled(s.account);
+    and @SCHEMA@.auth_enabled(s.account)
+  -- строка ключа — под блокировкой до фиксации входа: отзыв ждёт её и гасит открытую здесь сессию
+  for share of s;
   if k.account is null then
     return null;
   end if;
@@ -370,7 +373,9 @@ begin
     and casefold(s.ident) collate pg_unicode_fast = casefold(p_key) collate pg_unicode_fast
     and s.material = sha256(convert_to(coalesce(p_secret, ''), 'UTF8'))
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and @SCHEMA@.auth_enabled(s.account);
+    and @SCHEMA@.auth_enabled(s.account)
+  -- строка ключа — под блокировкой до фиксации входа: отзыв ждёт её и гасит открытую здесь сессию
+  for share of s;
   if k.account is null then
     return null;
   end if;
@@ -390,13 +395,13 @@ declare
 begin
   perform @SCHEMA@.acl_require('auth.otp');
   if p_kind !~ '^OTP(_[A-Z0-9]{1,27})?$' or coalesce(p_ident, '') = '' or p_digits not between 4 and 10 then
-    perform @SCHEMA@.lt_fail('invalid_data', 'код: вид OTP или OTP_<имя>, идентификатор, 4–10 знаков');
+    perform @SCHEMA@.lt_fail('sql-access.otp_args');
   end if;
   if not @SCHEMA@.auth_enabled(p_account) then
-    perform @SCHEMA@.lt_fail('target_not_found', 'аккаунт не найден');
+    perform @SCHEMA@.lt_fail('sql-access.account_not_found');
   end if;
   if not @SCHEMA@.auth_target_ok(p_account) and not @SCHEMA@.auth_is_sysadmin() then
-    perform @SCHEMA@.lt_fail('acl_denied', 'коды входа для System, сервисов и системных администраторов выпускает только системный администратор');
+    perform @SCHEMA@.lt_fail('sql-access.otp_sysadmin_only');
   end if;
   code := lpad((('x' || encode(@PGCRYPTO@.gen_random_bytes(7), 'hex'))::bit(56)::bigint % (10::bigint ^ p_digits)::bigint)::text, p_digits, '0');
   update @SCHEMA@.secret s set deleted_at = clock_timestamp()
@@ -428,6 +433,7 @@ begin
   from @SCHEMA@.secret x
   where x.kind = p_kind and x.kind ~ '^OTP' and x.deleted_at is null
     and casefold(x.ident) collate pg_unicode_fast = casefold(p_ident) collate pg_unicode_fast
+    and coalesce((x.meta->>'enabled')::boolean, true) -- отключённый код (setFlags) не принимается
   for update;
   if s.id is null then
     return null;
@@ -507,6 +513,7 @@ begin
          coalesce((x.meta->>'fails')::int, 0) as fails, (x.meta->>'locked_until')::timestamptz as locked_until into s
   from @SCHEMA@.secret x
   where x.account = p_account and x.kind = 'TOTP' and x.deleted_at is null
+    and coalesce((x.meta->>'enabled')::boolean, true) -- отключённый фактор (setFlags) не принимается
   for update;
   if s.id is null or s.locked_until > clock_timestamp() then
     return false;
@@ -547,7 +554,7 @@ begin
     perform @SCHEMA@.auth_guard(p_account);
   end if;
   return exists (select 1 from @SCHEMA@.secret s where s.account = p_account and s.kind = 'TOTP' and s.deleted_at is null
-                 and coalesce((s.meta->>'confirmed')::boolean, false));
+                 and coalesce((s.meta->>'confirmed')::boolean, false) and coalesce((s.meta->>'enabled')::boolean, true));
 end $$;
 
 -- Внешняя identity (TELEGRAM, GOOGLE, SSO-провайдер): токен проверяет сервис, здесь — связка.
@@ -564,7 +571,7 @@ begin
     p_confirmed := false;
   end if;
   if not @SCHEMA@.auth_kind_ok(p_kind) or p_kind = 'PASSWORD' or coalesce(p_ident, '') = '' then
-    perform @SCHEMA@.lt_fail('invalid_data', 'identity: вид (TELEGRAM, GOOGLE, …) и идентификатор обязательны');
+    perform @SCHEMA@.lt_fail('sql-access.identity_args');
   end if;
   begin
     insert into @SCHEMA@.secret (account, kind, ident, meta)
@@ -572,7 +579,7 @@ begin
                                           || jsonb_build_object('confirmed', coalesce(p_confirmed, false)))
     returning id into cid;
   exception when unique_violation then
-    perform @SCHEMA@.lt_fail('acl_denied', 'привязка отклонена: нужен недавний вход или право auth.credential');
+    perform @SCHEMA@.lt_fail('sql-access.bind_denied');
   end;
   return cid;
 end $$;
@@ -617,7 +624,7 @@ begin
            coalesce((s.meta->>'confirmed')::boolean, false), coalesce((s.meta->>'enabled')::boolean, true),
            s.meta - 'confirmed' - 'enabled' - 'attempts' - 'last_step', s.created_at, s.expires_at
     from @SCHEMA@.secret s
-    where s.account = p_account and s.kind not in ('SESSION', 'KEY', 'PROJECTOR', 'LOCK') and s.deleted_at is null
+    where s.account = p_account and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
       and (s.expires_at is null or s.expires_at > clock_timestamp())
     order by s.created_at, s.id;
 end $$;
@@ -639,7 +646,10 @@ begin
   perform @SCHEMA@.auth_session_required(c.account);
   select s.account, s.kind,
          (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true) as live
-  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'PROJECTOR', 'LOCK') and s.deleted_at is null;
+  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
+  -- строка креда — под блокировкой: вход по этому ключу, начатый раньше, отзыв дожидается (его сессию гасит
+  -- auth_kill_cred ниже), начатый позже — ждёт отзыва и ключа уже не находит (login_apikey, login_keysecret)
+  for update;
   if cr.account is null then
     return false;
   end if;
@@ -655,7 +665,7 @@ begin
     if not exists (select 1 from @SCHEMA@.secret s
                    where s.account = cr.account and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null and s.id <> p_id
                      and (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)) then
-      perform @SCHEMA@.lt_fail('acl_denied', 'последний действующий ключ сервиса не отзывается: сначала выпустите новый');
+      perform @SCHEMA@.lt_fail('sql-access.last_service_key');
     end if;
   end if;
   update @SCHEMA@.secret s set deleted_at = clock_timestamp() where s.id = p_id and s.deleted_at is null;
@@ -677,17 +687,47 @@ set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
 declare
   acc uuid;
+  knd text;
+  live boolean;
 begin
   perform @SCHEMA@.acl_require('auth.credential');
-  select s.account into acc from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'PROJECTOR', 'LOCK') and s.deleted_at is null;
+  -- строка креда — под блокировкой, как при отзыве (auth_revoke_credential): вход по этому ключу, начатый раньше,
+  -- отключение дожидается и гасит его сессию ниже; начатый позже — ждёт и видит enabled = false (3.0.0, ревизия 11)
+  select s.account, s.kind,
+         (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)
+  into acc, knd, live
+  from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
+  for update;
   if acc is null then
     return false;
   end if;
   perform @SCHEMA@.auth_guard(acc);
+  if p_enabled is false and live and knd in ('APIKEY', 'KEYSECRET') and @SCHEMA@.auth_is_service(acc) then
+    -- последний действующий ключ сервиса не отключается, как и не отзывается
+    perform 1 from @SCHEMA@.secret s
+    where s.account = acc and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null
+    for update;
+    if not exists (select 1 from @SCHEMA@.secret s
+                   where s.account = acc and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null and s.id <> p_id
+                     and (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)) then
+      perform @SCHEMA@.lt_fail('sql-access.last_service_key');
+    end if;
+  end if;
   update @SCHEMA@.secret s
      set meta = s.meta || jsonb_strip_nulls(jsonb_build_object('confirmed', p_confirmed, 'enabled', p_enabled))
    where s.id = p_id;
-  return found;
+  if not found then
+    return false;
+  end if;
+  -- отключённый кред не должен оставлять действующих сессий: ключ — свои (auth_kill_cred), прочие — сессии аккаунта
+  if p_enabled is false then
+    if knd in ('APIKEY', 'KEYSECRET') then
+      perform @SCHEMA@.auth_kill_cred(acc, p_id, knd, null);
+    else
+      perform @SCHEMA@.auth_kill(acc, null);
+    end if;
+  end if;
+  return true;
 end $$;
 
 -- Продление текущей сессии (библиотека — не чаще раза в минуту, §2.9). Новый срок — от сейчас.
@@ -725,6 +765,31 @@ begin
   return m is not null;
 end $$;
 
+-- Выход пользователя по токену его сессии (db.auth.revoke(token), план 2.1, A3): сервис, у которого есть токен
+-- пользователя (например, из cookie), гасит эту сессию, не подключаясь по ней. Право auth.session, как у
+-- auth_session_info. Сессия ищется только среди SESSION по sha256 токена; погашенная — сигнал session:… кэшу, как у
+-- auth_logout. Неверный, погашенный или истёкший токен — false: причина не различается.
+create or replace function @SCHEMA@.auth_logout_token(p_token text) returns boolean
+language plpgsql volatile security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  c record;
+  m bytea;
+begin
+  select * into c from @SCHEMA@.ctx();
+  perform @SCHEMA@.auth_session_required(c.account);
+  perform @SCHEMA@.acl_require('auth.session');
+  update @SCHEMA@.secret s set deleted_at = clock_timestamp()
+  where s.kind = 'SESSION' and s.deleted_at is null and s.material = sha256(convert_to(coalesce(p_token, ''), 'UTF8'))
+    and (s.expires_at is null or s.expires_at > clock_timestamp())
+  returning s.material into m;
+  if m is not null then
+    perform @SCHEMA@.signal_raw(array['session:' || left(encode(m, 'hex'), 16)]);
+  end if;
+  return m is not null;
+end $$;
+
 -- Выход везде: все сессии аккаунта (своего — сам; чужого — с правом auth.session).
 create or replace function @SCHEMA@.auth_logout_all(p_account uuid default null) returns int
 language plpgsql volatile security definer
@@ -756,20 +821,20 @@ declare
 begin
   if nullif(current_setting('letopis.account', true), '') is not null then
     -- код из каталога базы (invalid_query в нём нет — lt_fail дал бы LT000 и сырую ошибку; план 2.0, 7.5 №3)
-    perform @SCHEMA@.lt_fail('acl_denied', 'auth.switch — для собственной сессии, не при имперсонации');
+    perform @SCHEMA@.lt_fail('sql-access.switch_impersonating');
   end if;
   select x.id, x.account into s from @SCHEMA@.secret x
   where x.kind = 'SESSION' and x.deleted_at is null and x.material = sha256(convert_to(coalesce(tok, ''), 'UTF8'))
     and (x.expires_at is null or x.expires_at > clock_timestamp())
   for update;
   if s.id is null or not @SCHEMA@.auth_enabled(s.account) then
-    perform @SCHEMA@.lt_fail('no_session', 'нет действующей сессии');
+    perform @SCHEMA@.lt_fail('sql-access.no_session');
   end if;
   if p_tenant <> s.account and not (
        exists (select 1 from @SCHEMA@.entity x
                where x.id = @SCHEMA@.v5_id(p_tenant, 'member', array[s.account::text, p_tenant::text]) and x.class = 'member' and x.tenant = p_tenant)
        and @SCHEMA@.auth_enabled(p_tenant)) then
-    perform @SCHEMA@.lt_fail('tenant_denied', 'нет членства в арендаторе');
+    perform @SCHEMA@.lt_fail('sql-access.no_membership');
   end if;
   update @SCHEMA@.secret x
      set meta = case when p_tenant = s.account then x.meta - 'tenant' else x.meta || jsonb_build_object('tenant', p_tenant) end
@@ -777,8 +842,10 @@ begin
   return p_tenant;
 end $$;
 
--- Арендаторы, доступные аккаунту сессии: собственный и по членству (с ролями).
-create or replace function @SCHEMA@.auth_tenants() returns table (tenant uuid, roles jsonb)
+-- Арендаторы, доступные аккаунту сессии: собственный и по членству (с ролями). С ревизии 9 (план 2.1, A5) — ещё имя
+-- аккаунта арендатора (строка Account в System: createTenant({ name }), у личного — имя пользователя) и признак
+-- собственного арендатора personal; прежняя форма (tenant, roles) снимается миграцией 0009.
+create or replace function @SCHEMA@.auth_tenants() returns table (tenant uuid, roles jsonb, name text, personal boolean)
 language plpgsql stable security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
@@ -789,11 +856,14 @@ begin
   select * into c from @SCHEMA@.ctx();
   perform @SCHEMA@.auth_session_required(c.account);
   return query
-    select c.account, '["owner"]'::jsonb
-    union all
-    select m.tenant, coalesce(m.data->'roles', '[]'::jsonb)
-    from @SCHEMA@.entity m
-    where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant);
+    select t.tenant, t.roles, a.data->>'name', t.personal
+    from (select c.account as tenant, '["owner"]'::jsonb as roles, true as personal, 0 as ord
+          union all
+          select m.tenant, coalesce(m.data->'roles', '[]'::jsonb), false, 1
+          from @SCHEMA@.entity m
+          where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant)) t
+    left join @SCHEMA@.entity a on a.id = t.tenant and a.class = 'Account' and a.tenant = '@SYSTEM@'::uuid
+    order by t.ord, t.tenant;
 end $$;
 
 -- Сведения о сессии по токену (db.auth.session): сервис, у которого есть токен пользователя (например, из
@@ -845,15 +915,12 @@ begin
     'login_otp(text, text, text)', 'totp_code(bytea, bigint)', 'auth_enroll_totp(uuid)', 'auth_verify_totp(uuid, text, int)',
     'auth_totp_enabled(uuid)', 'auth_link(uuid, text, text, jsonb, boolean)', 'auth_lookup(text, text, boolean)',
     'auth_credentials(uuid)', 'auth_revoke_credential(uuid, boolean)', 'auth_set_flags(uuid, boolean, boolean)',
-    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()', 'auth_session_info(text)'] loop
+    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_token(text)', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()',
+    'auth_session_info(text)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
 end $$;
--- до этапа 5 выпуск сессии сервисом принимал два аргумента; ранние сигнатуры OTP этапа 5
-drop function if exists @SCHEMA@.issue_session(uuid, interval);
-drop function if exists @SCHEMA@.auth_issue_otp(uuid, text, text, interval, int);
-drop function if exists @SCHEMA@.login_otp(text, text, text, int);
 grant execute on function
   @SCHEMA@.issue_session(uuid, interval, text[]), @SCHEMA@.auth_password_get(text, text),
   @SCHEMA@.auth_set_password(uuid, text, text, text, boolean, boolean), @SCHEMA@.auth_issue_apikey(uuid, text, interval),
@@ -861,5 +928,5 @@ grant execute on function
   @SCHEMA@.login_otp(text, text, text), @SCHEMA@.auth_enroll_totp(uuid), @SCHEMA@.auth_verify_totp(uuid, text, int),
   @SCHEMA@.auth_totp_enabled(uuid), @SCHEMA@.auth_link(uuid, text, text, jsonb, boolean), @SCHEMA@.auth_lookup(text, text, boolean),
   @SCHEMA@.auth_credentials(uuid), @SCHEMA@.auth_revoke_credential(uuid, boolean), @SCHEMA@.auth_set_flags(uuid, boolean, boolean),
-  @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_all(uuid), @SCHEMA@.auth_switch(uuid),
-  @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;
+  @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_token(text), @SCHEMA@.auth_logout_all(uuid),
+  @SCHEMA@.auth_switch(uuid), @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;