letopis 2.0.0 → 3.0.0

package/api-contract.json

@@ -0,0 +1,381 @@
+{
+  "$comment": "СГЕНЕРИРОВАНО lib/scripts/gen-api-contract.mjs из исходников — не редактировать руками. Регенерация: cd lib && npm run api:contract. CI сверяет через npm run check:docs.",
+  "package": {
+    "name": "letopis",
+    "type": "module",
+    "engines": {
+      "node": ">=22"
+    },
+    "exports": [
+      ".",
+      "./model",
+      "./mcp"
+    ]
+  },
+  "exports": {
+    ".": {
+      "values": [
+        "CHAIN_METHODS",
+        "DB_METHODS",
+        "DDL_REVISION",
+        "LOG_EVENTS",
+        "LetopisError",
+        "RESERVED_CLASS_NAMES",
+        "Registry",
+        "ValidationError",
+        "applyDefaults",
+        "between",
+        "compileValidator",
+        "connect",
+        "createTenant",
+        "cursorOf",
+        "ends",
+        "exists",
+        "fromDbError",
+        "generateTypes",
+        "gt",
+        "gte",
+        "has",
+        "hasAll",
+        "hasAny",
+        "hashPassword",
+        "idOf",
+        "ilike",
+        "inList",
+        "inc",
+        "isInc",
+        "isNull",
+        "isOp",
+        "like",
+        "loose",
+        "lt",
+        "lte",
+        "ne",
+        "not",
+        "or",
+        "schemaToTs",
+        "starts",
+        "syncModels",
+        "totpCode",
+        "up",
+        "uuidv5",
+        "v5Id",
+        "v5Name",
+        "verifyHash"
+      ],
+      "types": [
+        "AclApi",
+        "AclDataDecision",
+        "AclDecision",
+        "AclOp",
+        "AclRule",
+        "AclRuleSpec",
+        "AclTarget",
+        "AnyModelLike",
+        "AuthApi",
+        "Batch",
+        "BatchEntry",
+        "CacheOptions",
+        "CacheStats",
+        "Chain",
+        "ChainCore",
+        "ChainMods",
+        "ChainRef",
+        "ClassInfo",
+        "ConnectOptions",
+        "Credential",
+        "Cursor",
+        "Db",
+        "DbCore",
+        "DbTx",
+        "DeleteOptions",
+        "EndInfo",
+        "Expected",
+        "FieldFilter",
+        "FieldFilterOf",
+        "Filter",
+        "FilterOf",
+        "IncMarker",
+        "Issue",
+        "KeyedClass",
+        "LeafType",
+        "LoadInput",
+        "LoadIssue",
+        "LoadOptions",
+        "LoadReport",
+        "LogEvent",
+        "LogEventName",
+        "LogFn",
+        "LogLevel",
+        "LogObject",
+        "LogOptions",
+        "Logger",
+        "LoginOptions",
+        "LoginResult",
+        "MaintainReport",
+        "ModelLike",
+        "Op",
+        "OrOp",
+        "PatchOf",
+        "Path",
+        "QueryEvent",
+        "RestoreOptions",
+        "Row",
+        "RowOf",
+        "Scalar",
+        "SessionInfo",
+        "SignalMode",
+        "StepFn",
+        "StepsOf",
+        "Subscription",
+        "SyncResult",
+        "SystemModels",
+        "TenantOptions",
+        "TenantResult",
+        "TypedChain",
+        "TypedDb",
+        "UpOptions",
+        "UpResult",
+        "Validator",
+        "WatchEvent",
+        "WatchOptions",
+        "WriteRow"
+      ]
+    },
+    "./model": {
+      "values": [
+        "End",
+        "hub",
+        "link",
+        "many",
+        "normalizeSchema",
+        "one",
+        "translatePattern"
+      ],
+      "types": [
+        "AnyModel",
+        "ClassDef",
+        "ClassDescription",
+        "ClassMeta",
+        "Infer",
+        "InferLinks",
+        "JsonSchema",
+        "LostRule",
+        "Model",
+        "OnDelete"
+      ]
+    },
+    "./mcp": {
+      "values": [
+        "createMcpServer"
+      ],
+      "types": [
+        "McpOptions"
+      ]
+    }
+  },
+  "chain": [
+    "add",
+    "after",
+    "alias",
+    "asOf",
+    "avg",
+    "cache",
+    "count",
+    "countBy",
+    "create",
+    "deep",
+    "delete",
+    "entity",
+    "exact",
+    "first",
+    "forUpdate",
+    "ids",
+    "limit",
+    "max",
+    "min",
+    "offset",
+    "owner",
+    "paths",
+    "remove",
+    "restore",
+    "rows",
+    "set",
+    "sort",
+    "sum",
+    "tags",
+    "then",
+    "unset",
+    "update",
+    "upsert",
+    "versions",
+    "withDeleted"
+  ],
+  "db": [
+    "acl",
+    "as",
+    "auth",
+    "batch",
+    "begin",
+    "cache",
+    "close",
+    "commit",
+    "flushSignals",
+    "idOf",
+    "load",
+    "lock",
+    "maintain",
+    "refresh",
+    "registry",
+    "rollback",
+    "schema",
+    "sql",
+    "tenant",
+    "token",
+    "transaction",
+    "watch"
+  ],
+  "batch": [
+    "discard",
+    "run",
+    "size"
+  ],
+  "codes": [
+    "acl_denied",
+    "admin_required",
+    "bypass_rls",
+    "class_not_loadable",
+    "commit_unknown",
+    "confirmation_required",
+    "conflict",
+    "delete_restricted",
+    "deleted",
+    "duplicate",
+    "exists",
+    "id_from_db",
+    "id_mismatch",
+    "immutable_key",
+    "internal",
+    "invalid_class",
+    "invalid_data",
+    "invalid_query",
+    "isolation_level",
+    "lock_unsupported",
+    "no_key",
+    "no_path",
+    "no_session",
+    "not_deleted",
+    "not_empty",
+    "recreated_in_statement",
+    "rev_ambiguous",
+    "target_not_found",
+    "tenant_denied",
+    "tightening_conflict",
+    "tx_required",
+    "tx_rolled_back",
+    "undeclared_end",
+    "user_session_required"
+  ],
+  "errors": [
+    {
+      "module": "15-errors",
+      "message": "letopis: acl_denied: отказ по правилам доступа"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: delete_restricted: удалению мешают ссылающиеся строки"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: id_from_db: id класса без ключа выдаёт база"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: id_mismatch: id не равен v5 от ключа"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: immutable_key: ключевое поле менять нельзя"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: invalid_class: описание класса отклонено"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: invalid_data: данные не проходят описание класса"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: isolation_level: операция разрешена только в read committed"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: no_session: нет действующей сессии"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: not_deleted: объект не удалён — restore только для удалённых"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: recreated_in_statement: id удалён и создан заново одним оператором"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: target_not_found: цель не найдена"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: tenant_denied: чужой арендатор"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: tightening_conflict: ужесточению описания мешают строки"
+    },
+    {
+      "module": "15-errors",
+      "message": "letopis: undeclared_end: конец не объявлен в классе"
+    },
+    {
+      "module": "60-write",
+      "message": "letopis: invalid_data: "
+    },
+    {
+      "module": "errors",
+      "message": "letopis: <…>"
+    },
+    {
+      "module": "errors",
+      "message": "letopis: <…>: <…>"
+    },
+    {
+      "module": "errors",
+      "message": "letopis: invalid_data: <…><…>"
+    },
+    {
+      "module": "messages/index",
+      "message": "letopis: ключ каталога <…> повторяется"
+    },
+    {
+      "module": "messages/index",
+      "message": "letopis: ключ каталога <…> — не из раздела <…>"
+    },
+    {
+      "module": "up",
+      "message": "letopis.up: ${own ? seed : "
+    },
+    {
+      "module": "up",
+      "message": "letopis.up: <…>"
+    },
+    {
+      "module": "up",
+      "message": "letopis.up: <…>: <…>"
+    },
+    {
+      "module": "up",
+      "message": "letopis.up: migrate/<…>: <…>"
+    }
+  ]
+}

package/dist/acl.d.ts

@@ -1,4 +1,5 @@
 import type { Executor } from './tx.js';
+import type { CallSpec } from './log.js';
 export type AclOp = 'READ' | 'WRITE' | 'DELETE';
 /** Решение по ресурсу приложения (эндпоинту): можно ли к нему обратиться. */
 export interface AclDecision {
@@ -110,3 +111,5 @@ export interface AclApi {
  * транзакции.
  */
 export declare function makeAcl(S: string, exec: Executor, db?: () => unknown): AclApi;
+/** Что пишет в лог каждый метод db.acl: правка прав — acl.change, проверки и список — acl.check. */
+export declare const ACL_LOG: Readonly<Record<string, CallSpec>>;

package/dist/acl.js

@@ -200,8 +200,9 @@ export function makeAcl(S, exec, db) {
                         objects.push(sysId(`all:${it.op}`));
                     for (const g of groups) {
                         for (const o of objects) {
+                            // снять правило — замысел вызова, превью некому показывать: { all: true } (3.0) — без сверки, цели сужает фильтр
                             if (g && o)
-                                n += (await tr.rule({ Group: g, Object: o }).delete({ confirm: true }).rows()).length;
+                                n += (await tr.rule({ Group: g, Object: o }).delete({ confirm: true, all: true }).rows()).length;
                         }
                     }
                 }
@@ -221,7 +222,8 @@ export function makeAcl(S, exec, db) {
                 return m ? [...(m.data.roles ?? [])] : null;
             }
             if (roles === null) {
-                await inTx('roles', (tr) => tr.member({ User: acc, Tenant: tenant }).delete({ confirm: true }).rows());
+                // roles(account, null) — снять членство: замысел вызова, без сверки с превью (3.0)
+                await inTx('roles', (tr) => tr.member({ User: acc, Tenant: tenant }).delete({ confirm: true, all: true }).rows());
                 return null;
             }
             if (!Array.isArray(roles))
@@ -275,3 +277,18 @@ export function makeAcl(S, exec, db) {
     };
     return api;
 }
+// ---------------------------------------------------------------------------
+// Логирование (3.0): события db.acl — обёртка instrument (log.ts)
+// ---------------------------------------------------------------------------
+const accountOf = (a) => (a !== null && typeof a === 'object' ? a.id : a);
+/** Что пишет в лог каждый метод db.acl: правка прав — acl.change, проверки и список — acl.check. */
+export const ACL_LOG = {
+    check: (args, r) => ({ event: 'acl.check', detail: { endpoint: args[0], decision: r } }),
+    checkData: (args, r) => ({ event: 'acl.check', detail: { class: args[0], access: args[1], decision: r } }),
+    grant: (args, r) => ({ event: 'acl.change', rows: Array.isArray(r) ? r.length : undefined, detail: { action: 'grant', spec: args[0] } }),
+    deny: (args, r) => ({ event: 'acl.change', rows: Array.isArray(r) ? r.length : undefined, detail: { action: 'deny', spec: args[0] } }),
+    revoke: (args, n) => ({ event: 'acl.change', rows: typeof n === 'number' ? n : undefined, detail: { action: 'revoke', spec: args[0] } }),
+    roles: (args, r) => ({ event: args.length > 1 && args[1] !== undefined ? 'acl.change' : 'acl.check',
+        detail: { action: 'roles', account: accountOf(args[0]), roles: r } }),
+    list: (_args, r) => ({ event: 'acl.check', rows: Array.isArray(r) ? r.length : undefined, detail: { action: 'list' } }),
+};

package/dist/admin.d.ts

@@ -1,3 +1,4 @@
+import { type Log } from './log.js';
 import { type Executor, type TxContext } from './tx.js';
 export interface MaintainReport {
     /** Другой процесс уже обслуживает установку (держит строку-замок обслуживания): этот вызов ничего не делал. */
@@ -40,4 +41,4 @@ export declare function parseInterval(v: unknown): number;
  * следующий запуск не начинается, пока идёт прежний. Возвращает остановку: она снимает таймер и ждёт конца идущего
  * запуска — close() закрывает пул после него, а не посреди транзакции.
  */
-export declare function scheduleMaintain(run: () => Promise<unknown>, ms: number): () => Promise<void>;
+export declare function scheduleMaintain(run: () => Promise<unknown>, ms: number, log?: Log): () => Promise<void>;

package/dist/admin.js

@@ -2,7 +2,8 @@
  * Эксплуатация (план, этап 6, п. 7, 8): maintain и его запуск по расписанию. Всё проверяет база: функция владельца
  * 90-time.sql сама сверяет права (letopis.maintain — системный администратор или администраторское подключение).
  */
-import { lerr, lmsg, lwarn } from './errors.js';
+import { lerr, lmsg, lwarn, warnText } from './errors.js';
+import { safeErrorText } from './log.js';
 import { runTx } from './tx.js';
 /**
  * Обслуживание: истёкшие и погашенные сессии, одноразовые коды, строки-замки удалённых семейств и заполнение очереди
@@ -21,8 +22,9 @@ export async function maintain(a) {
     const b = r;
     const report = { skipped: false, sessions: b.sessions, codes: b.codes, queue: Number(b.queue) };
     const warn = queueWarning(report.queue);
+    // логгер задан — событие warning (time.signal_queue), иначе console.warn, как прежде
     if (warn)
-        console.warn(warn);
+        warnText(warn, 'time.signal_queue', a.txc.log, { queue: report.queue });
     return report;
 }
 /** Предупреждение о заполненной очереди сигналов (§2.12): больше половины — зависший слушатель. */
@@ -56,14 +58,14 @@ export function parseInterval(v) {
  * следующий запуск не начинается, пока идёт прежний. Возвращает остановку: она снимает таймер и ждёт конца идущего
  * запуска — close() закрывает пул после него, а не посреди транзакции.
  */
-export function scheduleMaintain(run, ms) {
+export function scheduleMaintain(run, ms, log) {
     let stopped = false;
     let current = null;
     const timer = setInterval(() => {
         if (current || stopped)
             return;
         current = run()
-            .then(() => { }, (e) => lwarn('time.maintain_failed', { message: e.message }))
+            .then(() => { }, (e) => lwarn('time.maintain_failed', { message: safeErrorText(e) }, { log }))
             .finally(() => (current = null));
     }, ms);
     timer.unref?.();

package/dist/auth.d.ts

@@ -1,4 +1,5 @@
 import type { Executor } from './tx.js';
+import type { CallSpec } from './log.js';
 /** Хэш пароля scrypt: `scrypt$N$r$p$соль$хэш`. */
 export declare function hashPassword(password: string): Promise<string>;
 /** Проверка пароля по хэшу scrypt; другие форматы не проверяются. */
@@ -184,16 +185,28 @@ export interface AuthApi {
     refresh(opts?: {
         ttl?: number;
     }): Promise<string>;
-    /** Выход: погасить текущую сессию. */
-    revoke(): Promise<boolean>;
+    /**
+     * Выход. Без аргумента — погасить сессию этого подключения. С токеном — погасить сессию пользователя по её токену
+     * (например, из cookie веб-сервиса): так сервис выводит пользователя, не подключаясь по его токену; нужно право
+     * `auth.session`, как у `session(token)`.
+     * @returns true — сессия погашена; false — токен неверный, сессия уже погашена или истекла (причина не различается).
+     * @throws LetopisError `acl_denied` — с токеном, а у вызывающего нет права `auth.session`; `no_session` — у подключения
+     * нет действующей сессии.
+     */
+    revoke(token?: string): Promise<boolean>;
     /** Выход везде: все сессии аккаунта (чужого — с правом `auth.session`). */
     revokeAll(account?: AccountRef): Promise<number>;
     /** Переключить арендатора сессии: собственный или по членству. */
     switch(tenant: string): Promise<void>;
-    /** Арендаторы, доступные аккаунту сессии: собственный (`owner`) и по членству. */
+    /**
+     * Арендаторы, доступные аккаунту сессии: собственный (`roles: ['owner']`, `personal: true`) и по членству. `name` — имя
+     * аккаунта арендатора (`createTenant({ name })`, у личного — имя пользователя).
+     */
     tenants(): Promise<{
         tenant: string;
         roles: string[];
+        name: string | null;
+        personal: boolean;
     }[]>;
     /**
      * Удалить аккаунт: системный администратор или владелец его
@@ -211,4 +224,6 @@ export interface AuthApi {
 }
 /** Фасад db.auth. onSwitch — подключение перечитывает арендатора, реестр и пропуска прав. */
 export declare function makeAuth(S: string, exec: Executor, onSwitch: () => Promise<void>, canSwitch: boolean): AuthApi;
+/** Что пишет в лог каждый метод db.auth. */
+export declare const AUTH_LOG: Readonly<Record<string, CallSpec>>;
 export {};

package/dist/auth.js

@@ -83,6 +83,8 @@ export function totpCode(secretBase32, atMs = Date.now()) {
     return String(code).padStart(TOTP_DIGITS, '0');
 }
 const accId = (a) => (typeof a === 'object' ? a.id : a);
+/** Логин без крайних пробелов (план 2.1, A12): « anna » и «anna» — один логин; не строка — как есть (отказ даст база). */
+const trimLogin = (v) => (typeof v === 'string' ? v.trim() : v);
 const ttlOf = (sec) => (sec === undefined ? null : `${Math.round(sec)} seconds`);
 /** Фасад db.auth. onSwitch — подключение перечитывает арендатора, реестр и пропуска прав. */
 export function makeAuth(S, exec, onSwitch, canSwitch) {
@@ -108,12 +110,14 @@ export function makeAuth(S, exec, onSwitch, canSwitch) {
     return {
         async setPassword(a) {
             const hash = await hashPassword(a.password);
-            const r = await one(`select ${S}.auth_set_password($1::uuid, $2, $3, $4, $5, $6) as id`, [accId(a.account), a.identifier, hash, a.kind ?? 'PASSWORD', a.confirmed ?? null, a.keepCurrent ?? true]);
+            const r = await one(`select ${S}.auth_set_password($1::uuid, $2, $3, $4, $5, $6) as id`, [accId(a.account), trimLogin(a.identifier), hash, a.kind ?? 'PASSWORD', a.confirmed ?? null, a.keepCurrent ?? true]);
             return r.id;
         },
         async verifyPassword(a) {
-            const rows = await exec.run((q) => q.unsafe(`select account, hash, confirmed from ${S}.auth_password_get($1, $2)`, [a.identifier, a.kind ?? 'PASSWORD']));
-            const cred = rows[0];
+            const get = async (ident) => (await exec.run((q) => q.unsafe(`select account, hash, confirmed from ${S}.auth_password_get($1, $2)`, [ident, a.kind ?? 'PASSWORD'])))[0];
+            // логин без крайних пробелов (план 2.1, A12); кред, записанный до 2.1 с пробелами, находится по логину как есть
+            const ident = trimLogin(a.identifier);
+            const cred = (await get(ident)) ?? (ident !== a.identifier ? await get(a.identifier) : undefined);
             if (!cred)
                 return dummyVerify(a.password).then(() => null);
             if (!(await verifyHash(a.password, cred.hash)))
@@ -181,7 +185,10 @@ export function makeAuth(S, exec, onSwitch, canSwitch) {
         async refresh(opts) {
             return (await one(`select ${S}.auth_refresh(coalesce($1::interval, interval '7 days')) as e`, [ttlOf(opts?.ttl)])).e;
         },
-        async revoke() {
+        async revoke(token) {
+            // с токеном — выход пользователя по токену (план 2.1, A3): право auth.session, как у session(token)
+            if (token !== undefined)
+                return (await one(`select ${S}.auth_logout_token($1) as ok`, [token])).ok;
             return (await one(`select ${S}.auth_logout() as ok`)).ok;
         },
         async revokeAll(account) {
@@ -194,8 +201,9 @@ export function makeAuth(S, exec, onSwitch, canSwitch) {
             await onSwitch();
         },
         async tenants() {
-            const rows = await exec.run((q) => q.unsafe(`select tenant, roles from ${S}.auth_tenants()`));
-            return rows.map((r) => ({ tenant: r.tenant, roles: r.roles }));
+            // name и personal — с ревизии 9 (план 2.1, A5): personal — собственный арендатор аккаунта сессии (tenant = account)
+            const rows = await exec.run((q) => q.unsafe(`select tenant, roles, name, personal from ${S}.auth_tenants()`));
+            return rows.map((r) => ({ tenant: r.tenant, roles: r.roles, name: r.name ?? null, personal: r.personal === true }));
         },
         async purgeAccount(account) {
             const r = (await one(`select ${S}.account_purge($1::uuid) as r`, [accId(account)])).r;
@@ -206,3 +214,64 @@ export function makeAuth(S, exec, onSwitch, canSwitch) {
         },
     };
 }
+const argOf = (args, i = 0) => (args[i] !== null && typeof args[i] === 'object' ? args[i] : {});
+/** Аккаунт аргумента: id или { id }. */
+const accOf = (a) => (typeof a === 'string' ? a : a !== null && typeof a === 'object' && typeof a.id === 'string' ? a.id : undefined);
+const loginOf = (v) => (typeof v === 'string' ? { login: v.trim() } : {});
+/** Вход: успех — auth.login (account — вошедший), отказ — auth.fail. */
+function loginEvent(r, method, extra = {}) {
+    const res = r;
+    const detail = { method, ...extra };
+    return res && typeof res === 'object' ? { event: 'auth.login', account: res.account, detail } : { event: 'auth.fail', detail };
+}
+const credential = (action, detail) => ({ event: 'auth.credential', detail: { action, ...detail } });
+const call = (method, detail = {}) => ({ event: 'auth.call', detail: { method, ...detail } });
+/** Что пишет в лог каждый метод db.auth. */
+export const AUTH_LOG = {
+    setPassword: (args, id) => {
+        const a = argOf(args);
+        return credential('setPassword', { account: accOf(a.account), kind: a.kind ?? 'PASSWORD', ...loginOf(a.identifier), id });
+    },
+    verifyPassword: (args, r) => {
+        const a = argOf(args);
+        return loginEvent(r, String(a.kind ?? 'PASSWORD'), { ...loginOf(a.identifier), ...(a.totp != null ? { totp: true } : {}) });
+    },
+    issueApiKey: (args, r) => credential('issueApiKey', { account: accOf(argOf(args).account), name: argOf(args).name, id: r?.id }),
+    verifyApiKey: (_args, r) => loginEvent(r, 'APIKEY'),
+    issueKeySecret: (args, r) => credential('issueKeySecret', { account: accOf(argOf(args).account), name: argOf(args).name, id: r?.id }),
+    verifyKeySecret: (_args, r) => loginEvent(r, 'KEYSECRET'),
+    enrollTotp: (args) => credential('enrollTotp', { account: accOf(argOf(args).account) }),
+    verifyTotp: (args, ok) => (ok === true
+        ? call('verifyTotp', { account: accOf(argOf(args).account), ok: true })
+        : { event: 'auth.fail', detail: { method: 'TOTP', account: accOf(argOf(args).account) } }),
+    totpEnabled: (args, r) => call('totpEnabled', { account: accOf(args[0]), enabled: r }),
+    issueOtp: (args) => {
+        const a = argOf(args);
+        return credential('issueOtp', { account: accOf(a.account), kind: a.kind ?? 'OTP', ...loginOf(a.identifier) });
+    },
+    verifyOtp: (args, r) => {
+        const a = argOf(args);
+        return loginEvent(r, String(a.kind ?? 'OTP'), loginOf(a.identifier));
+    },
+    link: (args, id) => {
+        const a = argOf(args);
+        return credential('link', { account: accOf(a.account), kind: a.kind, ...loginOf(a.identifier), id });
+    },
+    lookup: (args, r) => {
+        const a = argOf(args);
+        return loginEvent(r, String(a.kind), { ...loginOf(a.identifier), ...(a.totp != null ? { totp: true } : {}) });
+    },
+    credentials: (args, r) => ({ ...call('credentials', { account: accOf(args[0]) }), rows: Array.isArray(r) ? r.length : undefined }),
+    revokeCredential: (args, ok) => ({ event: 'auth.revoke', detail: { target: 'credential', id: args[0], ok } }),
+    setFlags: (args, ok) => credential('setFlags', { id: args[0], ...argOf(args, 1), ok }),
+    sessionFor: (args) => ({ event: 'auth.session', detail: { account: accOf(args[0]), method: 'SERVICE' } }),
+    session: (_args, r) => call('session', { found: r !== null }),
+    refresh: () => call('refresh'),
+    revoke: (args, ok) => (args[0] !== undefined
+        ? { event: 'auth.revoke', detail: { target: 'token', ok } }
+        : { event: 'auth.logout', detail: { ok } }),
+    revokeAll: (args, n) => ({ event: 'auth.revoke', detail: { target: 'all', account: accOf(args[0]), n } }),
+    switch: (args, _r, before) => ({ event: 'auth.switch', tenant: String(args[0]), detail: { from: before } }),
+    tenants: (_args, r) => ({ ...call('tenants'), rows: Array.isArray(r) ? r.length : undefined }),
+    purgeAccount: (args, r) => ({ event: 'account.purge', detail: { account: accOf(args[0]), ...r } }),
+};