letopis 2.0.0 → 3.0.0

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "letopis",
-  "version": "2.0.0",
-  "description": "Letopis (летопись): versioned entity store on PostgreSQL 18 — integrity, history, tenants and access control enforced by the database itself, dot-notation chains on top",
+  "version": "3.0.0",
+  "description": "Letopis (летопись): хранилище версионированных сущностей на PostgreSQL 18 — целостность, история, арендаторы и права проверяет сама база, поверх — цепочки через точку. ИИ-агенту — AGENT-CHEATSHEET.md и llms.txt в пакете; исходный код доступен (PolyForm Noncommercial 1.0.0)",
   "keywords": [
     "postgres",
     "postgresql",
@@ -14,9 +14,12 @@
     "jsonb",
     "multi-tenant",
     "acl",
-    "uuidv5"
+    "uuidv5",
+    "llms-txt",
+    "ai-agents",
+    "agent-cheatsheet"
   ],
-  "license": "MIT",
+  "license": "PolyForm-Noncommercial-1.0.0",
   "repository": {
     "type": "git",
     "url": "git+https://github.com/alepri51/letopis.git",
@@ -53,12 +56,15 @@
     "README.md",
     "AGENT-CHEATSHEET.md",
     "llms.txt",
+    "api-contract.json",
     "CHANGELOG.md",
-    "LICENSE"
+    "LICENSE",
+    "LICENSE-COMMERCIAL.md"
   ],
   "scripts": {
     "build": "tsc -p tsconfig.build.json",
-    "typecheck": "tsc --noEmit",
+    "typecheck": "tsc -p tsconfig.build.json --noEmit",
+    "typecheck:all": "tsc --noEmit",
     "test": "tsx --test --test-concurrency=1 --test-force-exit test/*.test.ts",
     "check:docs": "node scripts/check-docs.mjs",
     "check:package": "node scripts/check-package.mjs",

package/sql/20-context.sql

@@ -59,8 +59,13 @@ begin
       perform @SCHEMA@.lt_fail('sql-core.no_impersonate_right');
     end if;
     select e.id, e.data into a from @SCHEMA@.entity e where e.id = imp::uuid and e.class = 'Account' and e.tenant = '@SYSTEM@'::uuid;
+    -- аккаунта нет (не заводили или удалён) — «не найден», а не «нельзя» (3.0): сервис с правом имперсонации отличит
+    -- опечатку в id от запрета
+    if a.id is null then
+      perform @SCHEMA@.lt_fail('sql-core.impersonation_no_account', jsonb_build_object('id', imp));
+    end if;
     -- от имени System, сервисов, системных администраторов и отключённых аккаунтов действовать нельзя
-    if a.id is null or not coalesce((a.data->>'enabled')::boolean, true) or a.id = '@SYSTEM@'::uuid
+    if not coalesce((a.data->>'enabled')::boolean, true) or a.id = '@SYSTEM@'::uuid
        or coalesce(a.data->'categories' ?| array['System', 'Service'], false)
        or exists (select 1 from @SCHEMA@.entity x
                   where x.id = @SCHEMA@.v5_id('@SYSTEM@'::uuid, 'member', array[a.id::text, '@SYSTEM@']) and x.class = 'member') then
@@ -119,7 +124,7 @@ begin
 end $$;
 
 -- Вход по API-ключу (APIKEY): префикс ищется в ident, ключ сверяется по sha256. Сессия помнит ключ
--- (meta.cred): отзыв ключа гасит только его сессии.
+-- (meta.cred): отзыв ключа гасит только его сессии. Вход и отзыв синхронизированы по строке ключа (for share).
 create or replace function @SCHEMA@.login_apikey(p_key text) returns text
 language plpgsql volatile security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
@@ -135,7 +140,10 @@ begin
     and s.material = sha256(convert_to(p_key, 'UTF8'))
     and (s.expires_at is null or s.expires_at > clock_timestamp())
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and coalesce((a.data->>'enabled')::boolean, true);
+    and coalesce((a.data->>'enabled')::boolean, true)
+  -- строка ключа — под блокировкой до конца транзакции входа: отзыв (auth_revoke_credential) ждёт её
+  -- фиксации и гасит открытую здесь сессию, а вход после отзыва ключа не находит
+  for share of s;
   if k.account is null then
     -- DETAIL не было и до каталога (raise без detail): p_detail => 'null' (15-errors.sql)
     perform @SCHEMA@.lt_fail('sql-core.bad_api_key', p_detail => 'null');

package/sql/30-validate.sql

@@ -351,6 +351,14 @@ begin
   validator := ('strict ' || expr)::jsonpath;
 end $$;
 
+-- Допустимые значения перечисления для сообщения нарушения (план 2.1, A8): JSON через запятую, первые 20 — как у
+-- валидатора на TypeScript (validate.ts, enumValues).
+create or replace function @SCHEMA@.issue_values(p_values jsonb) returns text
+language sql immutable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return (select string_agg(t.y::text, ', ' order by t.o) || case when jsonb_array_length(p_values) > 20 then ', …' else '' end
+        from jsonb_array_elements(p_values) with ordinality t(y, o) where t.o <= 20);
+
 -- Проверка данных: общий вызов jsonb_path_match; при отказе — список нарушений по правилам.
 -- Результат сравнивается через is true: ошибка внутри выражения даёт NULL, а не «да» (этап 1, п. 5).
 -- Нарушение — { path, keyword, message, key, params }: message — русский текст по ключу каталога, рядом его key и
@@ -364,6 +372,7 @@ declare
   ok boolean;
   x jsonb;
   p jsonb;
+  t text;
 begin
   ok := jsonb_path_match(p_data, p_validator, p_vars, true) is true;
   if ok and not exists (select 1 from jsonb_array_elements(p_rules) r where r ? 'extra') then
@@ -373,10 +382,18 @@ begin
     if e ? 'extra' then
       for x in select * from jsonb_path_query(p_data, ('strict ' || (e->>'path_expr'))::jsonpath, '{}'::jsonb, true) loop
         if (e->'extra'->>'kind') = 'length' and jsonb_typeof(x) = 'string' then
-          if char_length(x #>> '{}') < coalesce((e->'extra'->>'min')::int, 0)
-             or char_length(x #>> '{}') > coalesce((e->'extra'->>'max')::int, 2147483647) then
-            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_string_length'),
-              'key', 'sql-core.issue_string_length', 'params', '{}'::jsonb);
+          -- текст называет границу (letopis 2.1, второй раунд, A6) — как у валидатора на TypeScript (validate.ts)
+          t := null;
+          if char_length(x #>> '{}') < coalesce((e->'extra'->>'min')::int, 0) then
+            t := 'sql-core.issue_string_too_short';
+            p := jsonb_build_object('limit', (e->'extra'->>'min')::int);
+          elsif char_length(x #>> '{}') > coalesce((e->'extra'->>'max')::int, 2147483647) then
+            t := 'sql-core.issue_string_too_long';
+            p := jsonb_build_object('limit', (e->'extra'->>'max')::int);
+          end if;
+          if t is not null then
+            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text(t, p),
+              'key', t, 'params', p);
           end if;
         elsif (e->'extra'->>'kind') = 'unique' and jsonb_typeof(x) = 'array' then
           if (select count(*) from jsonb_array_elements(x)) <> (select count(distinct y) from jsonb_array_elements(x) y) then
@@ -397,16 +414,40 @@ begin
           end if;
         elsif (e->'extra'->>'kind') = 'enum' then
           if not exists (select 1 from jsonb_array_elements(e->'extra'->'values') y where y = x) then
-            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_enum'),
-              'key', 'sql-core.issue_enum', 'params', '{}'::jsonb);
+            p := jsonb_build_object('values', @SCHEMA@.issue_values(e->'extra'->'values'));
+            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_enum', p),
+              'key', 'sql-core.issue_enum', 'params', p);
           end if;
         end if;
       end loop;
     elsif not ok then
       if jsonb_path_match(p_data, ('strict !exists(' || (e->>'path_expr') || ' ? (!(' || (e->>'cond') || ')))')::jsonpath, e->'vars', true) is not true then
-        p := jsonb_build_object('keyword', e->>'keyword');
-        bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_rule', p),
-          'key', 'sql-core.issue_rule', 'params', p);
+        t := null;
+        if e->>'keyword' in ('enum', 'const') then
+          -- перечисление скаляров: значения — переменные правила v<N> (план 2.1, A8)
+          p := jsonb_build_object('values', @SCHEMA@.issue_values(
+            coalesce((select jsonb_agg(v.value order by (substr(v.key, 2))::int) from jsonb_each(e->'vars') v), '[]'::jsonb)));
+          bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_enum', p),
+            'key', 'sql-core.issue_enum', 'params', p);
+          continue;
+        elsif e->>'keyword' = 'additionalProperties' then
+          -- лишние ключи: ключ, которого условие правила не принимает и в одиночку (план 2.1, A8)
+          select string_agg(z.k, ', ' order by z.k) into t from (
+            select distinct kv.key as k
+            from jsonb_path_query(p_data, ('strict ' || (e->>'path_expr'))::jsonpath, '{}'::jsonb, true) n(v)
+            cross join lateral jsonb_each(case when jsonb_typeof(n.v) = 'object' then n.v else '{}'::jsonb end) kv
+            where jsonb_path_exists(jsonb_build_object(kv.key, null), ('strict $ ? (' || (e->>'cond') || ')')::jsonpath, e->'vars', true) is not true
+            order by 1 limit 20) z;
+        end if;
+        if t is not null then
+          p := jsonb_build_object('keys', t);
+          bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_additional', p),
+            'key', 'sql-core.issue_additional', 'params', p);
+        else
+          p := jsonb_build_object('keyword', e->>'keyword');
+          bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_rule', p),
+            'key', 'sql-core.issue_rule', 'params', p);
+        end if;
       end if;
     end if;
   end loop;
@@ -423,7 +464,7 @@ begin
   foreach f in array array[
     'uuid_v5(uuid, text)', 'v5_name(text, text[])', 'v5_id(uuid, text, text[])', 'jp_str(text)', 'jp_pattern(text)',
     'jp_type_cond(text)', 'jp_prop(text, text)', 'jp_items(text)', 'jp_compile(jsonb, text, jsonb, boolean, int)', 'compile_validator(jsonb)',
-    'validate_data(jsonb, jsonpath, jsonb, jsonb)'] loop
+    'issue_values(jsonb)', 'validate_data(jsonb, jsonpath, jsonb, jsonb)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;

package/sql/40-class.sql

@@ -209,12 +209,32 @@ begin
   validator := c.validator;
 end $$;
 
+-- Нарушения данных строки класса по его описанию в базе, без записи (план 2.1, A8): валидатор на TypeScript не исполняет
+-- шаблоны pattern (ревью, ReDoS), и у класса с ними библиотека берёт полный список нарушений здесь. Класс — свой
+-- арендатора сессии или System, как у записи; умолчания подставляются, как перед проверкой при записи. Описание класса
+-- сессия и так видит (реестр), поэтому ответ ничего нового не открывает. Нет класса — null.
+create or replace function @SCHEMA@.validate_row(p_class text, p_data jsonb) returns jsonb
+language plpgsql stable security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  cls @SCHEMA@.entity;
+begin
+  cls := @SCHEMA@.class_row(p_class, @SCHEMA@.ctx_tenant());
+  if cls.id is null or cls.validator is null then
+    return null;
+  end if;
+  return @SCHEMA@.validate_data(cls.data->'resolved'->'rules', cls.validator, cls.data->'resolved'->'vars',
+    @SCHEMA@.apply_defaults(cls.data->'resolved'->'schema', p_data));
+end $$;
+
 do $$
 declare f text;
 begin
   foreach f in array array['class_metaschema()', 'class_meta_validator()', 'class_row(text, uuid)',
-    'class_resolve(jsonb, uuid)', 'class_prepare(jsonb, uuid)'] loop
+    'class_resolve(jsonb, uuid)', 'class_prepare(jsonb, uuid)', 'validate_row(text, jsonb)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
 end $$;
+grant execute on function @SCHEMA@.validate_row(text, jsonb) to @APP@;

package/sql/80-auth.sql

@@ -52,7 +52,8 @@ begin
     if login_at > clock_timestamp() - @SCHEMA@.auth_recent()
        and exists (select 1 from jsonb_array_elements_text(methods) m where m not in ('APIKEY', 'KEYSECRET', 'SERVICE'))
        and (methods ? 'TOTP' or not exists (select 1 from @SCHEMA@.secret t where t.account = p_account and t.kind = 'TOTP'
-                                            and t.deleted_at is null and coalesce((t.meta->>'confirmed')::boolean, false))) then
+                                            and t.deleted_at is null and coalesce((t.meta->>'confirmed')::boolean, false)
+                                            and coalesce((t.meta->>'enabled')::boolean, true))) then
       return;
     end if;
   end if;
@@ -326,7 +327,9 @@ begin
     and s.material = sha256(convert_to(coalesce(p_key, ''), 'UTF8'))
     and (s.expires_at is null or s.expires_at > clock_timestamp())
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and @SCHEMA@.auth_enabled(s.account);
+    and @SCHEMA@.auth_enabled(s.account)
+  -- строка ключа — под блокировкой до фиксации входа: отзыв ждёт её и гасит открытую здесь сессию
+  for share of s;
   if k.account is null then
     return null;
   end if;
@@ -370,7 +373,9 @@ begin
     and casefold(s.ident) collate pg_unicode_fast = casefold(p_key) collate pg_unicode_fast
     and s.material = sha256(convert_to(coalesce(p_secret, ''), 'UTF8'))
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and @SCHEMA@.auth_enabled(s.account);
+    and @SCHEMA@.auth_enabled(s.account)
+  -- строка ключа — под блокировкой до фиксации входа: отзыв ждёт её и гасит открытую здесь сессию
+  for share of s;
   if k.account is null then
     return null;
   end if;
@@ -428,6 +433,7 @@ begin
   from @SCHEMA@.secret x
   where x.kind = p_kind and x.kind ~ '^OTP' and x.deleted_at is null
     and casefold(x.ident) collate pg_unicode_fast = casefold(p_ident) collate pg_unicode_fast
+    and coalesce((x.meta->>'enabled')::boolean, true) -- отключённый код (setFlags) не принимается
   for update;
   if s.id is null then
     return null;
@@ -507,6 +513,7 @@ begin
          coalesce((x.meta->>'fails')::int, 0) as fails, (x.meta->>'locked_until')::timestamptz as locked_until into s
   from @SCHEMA@.secret x
   where x.account = p_account and x.kind = 'TOTP' and x.deleted_at is null
+    and coalesce((x.meta->>'enabled')::boolean, true) -- отключённый фактор (setFlags) не принимается
   for update;
   if s.id is null or s.locked_until > clock_timestamp() then
     return false;
@@ -547,7 +554,7 @@ begin
     perform @SCHEMA@.auth_guard(p_account);
   end if;
   return exists (select 1 from @SCHEMA@.secret s where s.account = p_account and s.kind = 'TOTP' and s.deleted_at is null
-                 and coalesce((s.meta->>'confirmed')::boolean, false));
+                 and coalesce((s.meta->>'confirmed')::boolean, false) and coalesce((s.meta->>'enabled')::boolean, true));
 end $$;
 
 -- Внешняя identity (TELEGRAM, GOOGLE, SSO-провайдер): токен проверяет сервис, здесь — связка.
@@ -639,7 +646,10 @@ begin
   perform @SCHEMA@.auth_session_required(c.account);
   select s.account, s.kind,
          (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true) as live
-  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null;
+  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
+  -- строка креда — под блокировкой: вход по этому ключу, начатый раньше, отзыв дожидается (его сессию гасит
+  -- auth_kill_cred ниже), начатый позже — ждёт отзыва и ключа уже не находит (login_apikey, login_keysecret)
+  for update;
   if cr.account is null then
     return false;
   end if;
@@ -677,17 +687,47 @@ set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
 declare
   acc uuid;
+  knd text;
+  live boolean;
 begin
   perform @SCHEMA@.acl_require('auth.credential');
-  select s.account into acc from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null;
+  -- строка креда — под блокировкой, как при отзыве (auth_revoke_credential): вход по этому ключу, начатый раньше,
+  -- отключение дожидается и гасит его сессию ниже; начатый позже — ждёт и видит enabled = false (3.0.0, ревизия 11)
+  select s.account, s.kind,
+         (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)
+  into acc, knd, live
+  from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
+  for update;
   if acc is null then
     return false;
   end if;
   perform @SCHEMA@.auth_guard(acc);
+  if p_enabled is false and live and knd in ('APIKEY', 'KEYSECRET') and @SCHEMA@.auth_is_service(acc) then
+    -- последний действующий ключ сервиса не отключается, как и не отзывается
+    perform 1 from @SCHEMA@.secret s
+    where s.account = acc and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null
+    for update;
+    if not exists (select 1 from @SCHEMA@.secret s
+                   where s.account = acc and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null and s.id <> p_id
+                     and (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)) then
+      perform @SCHEMA@.lt_fail('sql-access.last_service_key');
+    end if;
+  end if;
   update @SCHEMA@.secret s
      set meta = s.meta || jsonb_strip_nulls(jsonb_build_object('confirmed', p_confirmed, 'enabled', p_enabled))
    where s.id = p_id;
-  return found;
+  if not found then
+    return false;
+  end if;
+  -- отключённый кред не должен оставлять действующих сессий: ключ — свои (auth_kill_cred), прочие — сессии аккаунта
+  if p_enabled is false then
+    if knd in ('APIKEY', 'KEYSECRET') then
+      perform @SCHEMA@.auth_kill_cred(acc, p_id, knd, null);
+    else
+      perform @SCHEMA@.auth_kill(acc, null);
+    end if;
+  end if;
+  return true;
 end $$;
 
 -- Продление текущей сессии (библиотека — не чаще раза в минуту, §2.9). Новый срок — от сейчас.
@@ -725,6 +765,31 @@ begin
   return m is not null;
 end $$;
 
+-- Выход пользователя по токену его сессии (db.auth.revoke(token), план 2.1, A3): сервис, у которого есть токен
+-- пользователя (например, из cookie), гасит эту сессию, не подключаясь по ней. Право auth.session, как у
+-- auth_session_info. Сессия ищется только среди SESSION по sha256 токена; погашенная — сигнал session:… кэшу, как у
+-- auth_logout. Неверный, погашенный или истёкший токен — false: причина не различается.
+create or replace function @SCHEMA@.auth_logout_token(p_token text) returns boolean
+language plpgsql volatile security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  c record;
+  m bytea;
+begin
+  select * into c from @SCHEMA@.ctx();
+  perform @SCHEMA@.auth_session_required(c.account);
+  perform @SCHEMA@.acl_require('auth.session');
+  update @SCHEMA@.secret s set deleted_at = clock_timestamp()
+  where s.kind = 'SESSION' and s.deleted_at is null and s.material = sha256(convert_to(coalesce(p_token, ''), 'UTF8'))
+    and (s.expires_at is null or s.expires_at > clock_timestamp())
+  returning s.material into m;
+  if m is not null then
+    perform @SCHEMA@.signal_raw(array['session:' || left(encode(m, 'hex'), 16)]);
+  end if;
+  return m is not null;
+end $$;
+
 -- Выход везде: все сессии аккаунта (своего — сам; чужого — с правом auth.session).
 create or replace function @SCHEMA@.auth_logout_all(p_account uuid default null) returns int
 language plpgsql volatile security definer
@@ -777,8 +842,10 @@ begin
   return p_tenant;
 end $$;
 
--- Арендаторы, доступные аккаунту сессии: собственный и по членству (с ролями).
-create or replace function @SCHEMA@.auth_tenants() returns table (tenant uuid, roles jsonb)
+-- Арендаторы, доступные аккаунту сессии: собственный и по членству (с ролями). С ревизии 9 (план 2.1, A5) — ещё имя
+-- аккаунта арендатора (строка Account в System: createTenant({ name }), у личного — имя пользователя) и признак
+-- собственного арендатора personal; прежняя форма (tenant, roles) снимается миграцией 0009.
+create or replace function @SCHEMA@.auth_tenants() returns table (tenant uuid, roles jsonb, name text, personal boolean)
 language plpgsql stable security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
@@ -789,11 +856,14 @@ begin
   select * into c from @SCHEMA@.ctx();
   perform @SCHEMA@.auth_session_required(c.account);
   return query
-    select c.account, '["owner"]'::jsonb
-    union all
-    select m.tenant, coalesce(m.data->'roles', '[]'::jsonb)
-    from @SCHEMA@.entity m
-    where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant);
+    select t.tenant, t.roles, a.data->>'name', t.personal
+    from (select c.account as tenant, '["owner"]'::jsonb as roles, true as personal, 0 as ord
+          union all
+          select m.tenant, coalesce(m.data->'roles', '[]'::jsonb), false, 1
+          from @SCHEMA@.entity m
+          where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant)) t
+    left join @SCHEMA@.entity a on a.id = t.tenant and a.class = 'Account' and a.tenant = '@SYSTEM@'::uuid
+    order by t.ord, t.tenant;
 end $$;
 
 -- Сведения о сессии по токену (db.auth.session): сервис, у которого есть токен пользователя (например, из
@@ -845,7 +915,8 @@ begin
     'login_otp(text, text, text)', 'totp_code(bytea, bigint)', 'auth_enroll_totp(uuid)', 'auth_verify_totp(uuid, text, int)',
     'auth_totp_enabled(uuid)', 'auth_link(uuid, text, text, jsonb, boolean)', 'auth_lookup(text, text, boolean)',
     'auth_credentials(uuid)', 'auth_revoke_credential(uuid, boolean)', 'auth_set_flags(uuid, boolean, boolean)',
-    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()', 'auth_session_info(text)'] loop
+    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_token(text)', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()',
+    'auth_session_info(text)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
@@ -857,5 +928,5 @@ grant execute on function
   @SCHEMA@.login_otp(text, text, text), @SCHEMA@.auth_enroll_totp(uuid), @SCHEMA@.auth_verify_totp(uuid, text, int),
   @SCHEMA@.auth_totp_enabled(uuid), @SCHEMA@.auth_link(uuid, text, text, jsonb, boolean), @SCHEMA@.auth_lookup(text, text, boolean),
   @SCHEMA@.auth_credentials(uuid), @SCHEMA@.auth_revoke_credential(uuid, boolean), @SCHEMA@.auth_set_flags(uuid, boolean, boolean),
-  @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_all(uuid), @SCHEMA@.auth_switch(uuid),
-  @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;
+  @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_token(text), @SCHEMA@.auth_logout_all(uuid),
+  @SCHEMA@.auth_switch(uuid), @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;

package/sql/90-time.sql

@@ -109,8 +109,13 @@ end $$;
 
 -- Восстановление удалённого объекта (этап 6, п. 2): последний снимок новой версией с видом restore.
 -- Снимок перепроверяется по текущему описанию класса (данные, концы с видимостью целей, ключ), право
--- WRITE — на восстановленные значения. id прежний, в том числе у класса без ключа.
-create or replace function @SCHEMA@.restore(p_id uuid) returns uuid
+-- WRITE — на восстановленные значения. id прежний, в том числе у класса без ключа. p_rev (ревизия 9, план 2.1, A1) —
+-- ожидаемый номер последней записи журнала (надгробия из ответа delete или withDeleted): другой — отказ restore_stale,
+-- проверка под той же блокировкой записи журнала, что у параллельного restore и воскрешения. Прежняя restore(uuid)
+-- снимается миграцией 0009: вызов restore(id) попадает сюда с p_rev = null. Отказ — по записи журнала за последним
+-- надгробием (второй раунд 2.1, A2): restore — restore_already, create — restore_id_taken (объект живой); иначе с p_rev —
+-- restore_stale с after (вид записи сразу за p_rev), deleted и live, без p_rev — restore_not_deleted.
+create or replace function @SCHEMA@.restore(p_id uuid, p_rev int default null) returns uuid
 language plpgsql volatile security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
@@ -127,6 +132,9 @@ declare
   own uuid;
   ts timestamptz;
   n @SCHEMA@.entity;
+  v_live boolean;
+  v_tomb int;
+  v_next text;
 begin
   select * into c from @SCHEMA@.ctx();
   if c.account is null then
@@ -134,8 +142,28 @@ begin
   end if;
   rd := @SCHEMA@.acl_actor('READ');
   l := @SCHEMA@.last_version_visible(p_id, c.tenant, rd);
-  if l.op <> 'delete' or exists (select 1 from @SCHEMA@.entity e where e.id = p_id) then
-    perform @SCHEMA@.lt_fail('sql-time.restore_not_deleted');
+  -- проигравший гонку: блокировка дождалась чужой фиксации, а запись l прочитана до неё. Новая версия видна следующему
+  -- оператору (read committed) — тогда последняя запись берётся заново, под той же блокировкой и проверкой видимости
+  if exists (select 1 from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.rev > l.rev) then
+    l := @SCHEMA@.last_version_visible(p_id, c.tenant, rd);
+  end if;
+  v_live := exists (select 1 from @SCHEMA@.entity e where e.id = p_id);
+  if l.op <> 'delete' or v_live or (p_rev is not null and l.rev <> p_rev) then
+    -- что за последним надгробием: restore — уже восстановлен, create — id занял новый объект с тем же ключом
+    select max(x.rev) into v_tomb from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.op = 'delete';
+    select x.op into v_next from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.rev > v_tomb order by x.rev limit 1;
+    if v_live and v_next = 'restore' then
+      perform @SCHEMA@.lt_fail('sql-time.restore_already', jsonb_build_object('id', p_id), jsonb_build_object('id', p_id, 'rev', l.rev));
+    elsif v_live and v_next = 'create' then
+      perform @SCHEMA@.lt_fail('sql-time.restore_id_taken', jsonb_build_object('id', p_id), jsonb_build_object('id', p_id, 'rev', l.rev));
+    elsif p_rev is null then
+      perform @SCHEMA@.lt_fail('sql-time.restore_not_deleted');
+    end if;
+    -- удалён снова, не удалялся, гонка: что было сразу после показанного удаления
+    select x.op into v_next from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.rev > p_rev order by x.rev limit 1;
+    perform @SCHEMA@.lt_fail('sql-time.restore_stale',
+      jsonb_build_object('id', p_id, 'rev', l.rev, 'expected', p_rev, 'after', coalesce(v_next, '—')),
+      jsonb_build_object('id', p_id, 'rev', l.rev, 'expected', p_rev, 'after', v_next, 'deleted', l.op = 'delete', 'live', v_live));
   end if;
   if l.class = 'Class' then
     perform @SCHEMA@.lt_fail('sql-time.restore_class_row');
@@ -370,13 +398,13 @@ declare f text;
 begin
   foreach f in array array[
     'session_role()', 'admin_role()', 'letopis_allowed(text)', 'session_expires()', 'signal_mode()', 'signal_key()', 'class_stamp()',
-    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid)', 'account_purge(uuid)', 'maintain()',
+    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid, int)', 'account_purge(uuid)', 'maintain()',
     'watch_read(xid8, bigint, text[], int, pg_snapshot)', 'watch_head()'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
 end $$;
 -- приложению: функции владельца этапа 6 (проверяют права сами) и подписка (под RLS)
-grant execute on function @SCHEMA@.restore(uuid), @SCHEMA@.account_purge(uuid), @SCHEMA@.maintain(),
+grant execute on function @SCHEMA@.restore(uuid, int), @SCHEMA@.account_purge(uuid), @SCHEMA@.maintain(),
   @SCHEMA@.session_expires(), @SCHEMA@.watch_read(xid8, bigint, text[], int, pg_snapshot), @SCHEMA@.watch_head(),
   @SCHEMA@.signal_mode(), @SCHEMA@.signal_key(), @SCHEMA@.class_stamp() to @APP@;

package/sql/99-revision.sql

@@ -2,4 +2,8 @@
 -- Номер совпадает с DDL_REVISION в lib/src/types.ts (проверяет check-docs). С 1.4 в штампе ещё версия пакета и хэш
 -- файлов ядра (engine, sql): connect() предупреждает, если функции схемы ставила другая версия движка той же ревизии.
 -- Ревизия 8 — первая у 2.0 (план 2.0, редакция 2): схему ниже неё (letopis 1.x) up() и connect() отклоняют.
-comment on schema @SCHEMA@ is 'letopis ddl_revision=8 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';
+-- Ревизия 9 — 2.1.0: restore(id, rev), auth_logout_token(), auth_tenants() с именем, validate_row(); миграция 0009.
+-- Ревизия 10 — 3.0.0: ctx() — имперсонация несуществующего аккаунта — «не найден» (target_not_found); миграция 0010.
+-- Ревизия 11 — 3.0.0: вход по ключу и отзыв ключа — под блокировкой строки ключа, отключённые OTP и TOTP не
+-- принимаются; миграция 0011.
+comment on schema @SCHEMA@ is 'letopis ddl_revision=11 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';

package/sql/migrate/0009-restore-rev.tenants-name.sql

@@ -0,0 +1,10 @@
+-- letopis 2.1.0 — ревизия 9 (план 2.1, A1, A3, A5). Миграция снимает функции, чью сигнатуру или вид результата меняет
+-- ревизия: create or replace их не заменит (новый аргумент дал бы вторую перегрузку и неоднозначный вызов restore(id),
+-- новый вид результата PostgreSQL не принимает). Новые функции и права ставит повторный накат файлов ядра сразу после
+-- миграции (90-time.sql, 80-auth.sql); новая auth_logout_token(text) и validate_row(text, jsonb) — тоже он.
+-- Второй раунд 2.1 (ревизия та же, 9): новые тела restore(uuid, int) — отказы по смыслу restore_already, restore_id_taken,
+-- restore_stale с after, deleted, live — и validate_data(jsonb, jsonpath, jsonb, jsonb) — граница в тексте длины строки
+-- (sql-core.issue_string_too_short, issue_string_too_long) — сигнатур не меняют: их ставит тот же повторный накат, а
+-- тексты новых ключей — каталог сообщений (message_catalog), который накат пишет заново. Снимать здесь нечего.
+drop function if exists @SCHEMA@.restore(uuid);
+drop function if exists @SCHEMA@.auth_tenants();

package/sql/migrate/0010-impersonation-no-account.sql

@@ -0,0 +1,5 @@
+-- letopis 3.0.0 — ревизия 10. Новое тело ctx() (20-context.sql): имперсонация аккаунта, которого нет, — отказ
+-- sql-core.impersonation_no_account (target_not_found) вместо sql-core.impersonation_denied (acl_denied). Сигнатура та же:
+-- тело ставит повторный накат файлов ядра сразу после миграции, текст ключа — каталог сообщений (message_catalog),
+-- который накат пишет заново. Снимать и переносить нечего; оператор ниже — чтобы файл не был пустым запросом.
+select 1;

package/sql/migrate/0011-key-lock.otp-enabled.sql

@@ -0,0 +1,7 @@
+-- letopis 3.0.0 — ревизия 11. Новые тела функций входа и кредов (20-context.sql, 80-auth.sql): вход по ключу
+-- (login_apikey, auth_login_apikey, login_keysecret) берёт строку ключа for share, отзыв (auth_revoke_credential) —
+-- for update: сессия, открытая параллельно с отзывом, гаснет вместе с ключом; отключённые (meta.enabled = false) OTP
+-- и TOTP не принимаются (login_otp, auth_verify_totp, auth_totp_enabled); отключение креда (auth_set_flags) берёт его
+-- строку for update и гасит его сессии, последний ключ сервиса не отключается. Сигнатуры те же: тела ставит повторный
+-- накат файлов ядра сразу после миграции. Снимать и переносить нечего; оператор ниже — чтобы файл не был пустым запросом.
+select 1;

package/sql/migrate/README.md

@@ -11,4 +11,8 @@
   у файлов ядра (`@SCHEMA@`, `@OWNER@` и другие — таблица в `lib/sql/README.md`).
 - В миграцию идёт только то, чего не догонит повторный накат: колонка или ограничение существующей таблицы, перенос
   данных. Функции, индексы, триггеры и политики ставят файлы ядра.
-- У 2.0 (ревизия 8) миграций нет.
+- У 2.0 (ревизия 8) миграций нет. Ревизия 9 (2.1.0) — `0009-restore-rev.tenants-name.sql`: снимает `restore(uuid)` и
+  `auth_tenants()` прежнего вида, новые ставит повторный накат. Ревизия 10 (3.0.0) — `0010-impersonation-no-account.sql`:
+  новое тело `ctx()` ставит повторный накат, миграции переносить нечего. Ревизия 11 (3.0.0) —
+  `0011-key-lock.otp-enabled.sql`: новые тела функций входа по ключу, отзыва креда, OTP и TOTP ставит повторный накат,
+  миграции переносить нечего.