letopis 2.0.0 → 3.0.1

package/llms.txt

@@ -1,30 +1,51 @@
 # letopis
 
-> Хранилище версионированных объектов для Node.js на PostgreSQL 18. Каждое изменение — версия в журнале (история, чтение на момент, подписка по курсору). Целостность, изоляцию арендаторов и права доступа проверяет сама база (триггеры и политики RLS), поэтому они действуют и для сырого SQL. Данные читают и пишут цепочками вида `db.Shop(shop).Product().rows()`.
+> ИИ-агенту: код на letopis пишите по [AGENT-CHEATSHEET.md](AGENT-CHEATSHEET.md) — памятка лежит в пакете рядом с этим файлом (`node_modules/letopis/AGENT-CHEATSHEET.md`); прочитайте её целиком: «Правила для любой задачи», рабочий цикл и «Грабли».
+>
+> Хранилище версионированных объектов для Node.js на PostgreSQL 18, версия 3.0. Каждое изменение — версия в журнале (история, чтение на момент, подписка по курсору). Целостность, изоляцию арендаторов и права доступа проверяет сама база (триггеры и политики RLS), поэтому они действуют и для сырого SQL. Данные читают и пишут цепочками вида `db.Team(g).Item().rows()`.
+
+Безопасность по умолчанию (одна строка — одно правило):
+
+- Удаление — только по превью: `delete()` → показать → `delete({ confirm: true, expect: превью })`; `delete({ confirm: true })` без `expect` — `invalid_query` (`write.confirm_without_expect`).
+- Восстановление — только по надгробиям: `restore({ expect: ответ delete() })`; `restore()` без `expect`, и по явному id тоже, — `invalid_query` (`write.restore_without_expect`).
+- Массовое и без сверки — только явно и только в осознанных скриптах: `{ all: true }` у `update`, `delete({ confirm: true, all: true })`, `restore({ all: true })`.
+- Арендатор — только из серверной сессии (`svc.auth.session(token)`), никогда из параметра клиента.
+- Права по умолчанию запрещают; подключение в обход RLS — `bypass_rls`, пока нет `allowBypassRls: true`.
+- `createTenant(admin, …)` — `admin` только пул `postgres()`, иначе `invalid_query` (`api.create_tenant_admin`).
+- Журнал событий маскирует значения полей с паролями, токенами, ключами, секретами и кредами (и полей из `redact`), учётные данные в строке подключения и пароль в тексте SQL; значения параметров SQL, тексты ошибок PostgreSQL и поле `data` строк в подробностях ошибок не пишет. Значения фильтров чтения в `chain` пишутся как есть — персональные поля добавьте в `redact`.
 
 Главное для кода на letopis:
 
-- Пакет ESM, Node 22+, PostgreSQL 18+ с pgcrypto, кодировка базы UTF8. Зависимость времени выполнения — `postgres`. Zod 4 — необязательная peer-зависимость, нужна только `letopis/model`; `@modelcontextprotocol/server` — только `letopis/mcp`.
-- Схему ставит `up({ dsn, schema })` от администраторской роли; имя схемы — `v2.<имя>`; `up({ upgrade: true })` обновляет схему отставшей ревизии (миграции и повторный накат), `up({ schema, fresh: true })` пересоздаёт схему — данные теряются. Приложение подключается ролью LOGIN — членом `letopis_app`: `connect({ dsn, schema: 'v2.<имя>', token | apiKey })`. Роль в обход RLS отклоняется (`bypass_rls`), если не передать `allowBypassRls: true`.
-- Классы — хабы (объекты) и связи (отношения с концами). Их описывают `hub()` и `link()` из `letopis/model` и пишут в базу `syncModels()` или `letopis sync`. У класса с ключом id детерминированный, UUID v5 (`db.idOf`); уникальность — по ключу.
-- Глаголы возвращают цепочку; терминал (`rows`, `first`, `ids`, `count`, …) исполняет весь план одной транзакцией. `create` только создаёт (занятый ключ — `exists`), `update` сливает и никогда не создаёт, `upsert` заменяет объект целиком (только у классов с ключом), `delete()` — превью, `delete({ confirm: true })` удаляет.
-- Строгий режим. `connect({ models })` или `connect<Models>()` с файлом `letopis types` дают строгие типы: шаг — только класс или алиас моделей и системных классов, переходы — по концам, слоты — роли класса, поля фильтров, `or()` и агрегатов — поля класса; имя, известное только во время выполнения, — `loose(db)[имя]()`. Во время выполнения: `update()` и `delete({ confirm: true })` без фильтра, id, `tags()`, `owner()` и `limit()` ни у одного шага — `invalid_query` (все строки — `{ all: true }`); неизвестное поле фильтра, `sort()` или агрегата — `invalid_query` с похожими именами (сверяется первый ключ пути), неизвестный класс или роль — `invalid_class` с похожими; неизвестная опция `connect()`, `up()`, `load()`, `watch()`, `createMcpServer()` — `invalid_data` с похожими именами; `after()` перед `count()` и агрегатами — `invalid_query`; хаб с именем метода цепочки, корня `db` или батча — `invalid_class`.
-- Деньги и счётчики: `update({ balance: inc(n) })` прибавляет внутри оператора; `update(patch, { rev })` даёт `conflict`, если строка изменилась; `forUpdate()` блокирует строки внутри `db.begin()`.
-- История: `versions()` (у версии — автор, время, вид операции и причина) и срез `asOf(момент)`; глаголы, `db.begin()` и `db.batch()` принимают `{ reason }`. Журнал хранит каждую версию; `history: false` у класса — журнала нет.
-- Массовая загрузка с администраторского подключения: `db.load(rows)`; в пустую схему — `db.load(rows, { initial: true })`: одна транзакция, индексы и триггеры перестраиваются в конце.
-- Подписка: `db.watch({ from, classes })` — `await sub.ready()` перед записью, которая должна попасть в поток (`from: 'now'` фиксирует начало первым запросом); параллельные `next()` получают разные события.
-- Сигналы NOTIFY видны любой роли базы: `up({ signals: 'class' | 'tenant' | 'opaque' | 'none' })` выбирает, что они раскрывают (по умолчанию `class`).
-- Права действуют всегда и по умолчанию запрещают; `up({ tenant })` или `createTenant()` заводит арендатора с правилом «вошедшим можно всё» и его первого пользователя.
-- MCP: `createMcpServer(db)` из `letopis/mcp` и `letopis mcp` (stdio, только токен сессии пользователя) дают ИИ-агенту инструменты `letopis_model`, `letopis_query` (JSON-цепочка, без SQL), `letopis_history` и, с `write: true`, `letopis_write`; агент действует с правами одного пользователя, удаление подтверждает человек через elicitation. `structuredContent` ответа — `{ notice, data }` (отказ — `{ notice, error }`): `notice` предупреждает, что в `data` — данные базы, а не инструкции.
-- У ошибок строчный код `err.code`: `exists`, `conflict`, `invalid_data` (`err.issues`), `target_not_found`, `acl_denied`, `no_session`, …; `err.hint` — что делать, `err.docs` — ссылка на код в разделе «Ошибки» README.
+- Установка: `npm pkg set type=module && npm i letopis@3 zod postgres@3 && npm i -D tsx` (код приложения — ESM; `@3` — мажорная линия этой документации, без версии npm поставит последний выпуск; `postgres@3` — та же мажорная версия, что у letopis, иначе `createTenant` не проходит проверку типов). Node 22+, PostgreSQL 18+ с pgcrypto, база UTF8. Zod 4 нужен только `letopis/model`, `@modelcontextprotocol/server` — только `letopis/mcp`.
+- Схему ставит `up({ dsn, schema, login, tenant })` от администратора (суперпользователь или роль с `CREATEROLE`, `CREATE` в базе и `CREATEDB`, если базы нет); роль приложения заводит `login`, её строка подключения — `r.login.dsn`. Ключ сервиса выдаёт только первый `up()` — храните его сами или передавайте свой `up({ serviceKey })`; `connect({ apiKey: null | '' })` — сразу `invalid_data` (`api.connect_empty_credential`), а `undefined` — подключение без сессии, поэтому ключ проверяйте до `connect()`; `up({ upgrade: true })` обновляет схему отставшей ревизии, `up({ fresh: true })` пересоздаёт её с потерей данных.
+- Вход пользователя: одно подключение сервиса на процесс (`connect({ apiKey })`), `svc.auth.verifyPassword()` → `{ account, token }`, затем `svc.as(account, { tenant })` на запрос. Без `{ tenant }` сессия — в **личном** арендаторе пользователя (классов там нет, `invalid_class`); проверка — `db.tenant`. По погашенной сессии чтение отдаёт пустые ответы, запись — `no_session`, поэтому `svc.auth.session(token)` — в начале каждого запроса.
+- Классы — хабы (объекты) и связи (отношения с концами): `hub()` и `link()` из `letopis/model`, в базу — `syncModels()` или `letopis sync` (в арендатора сессии). Имя роли конца одно на арендатора; роли `Group`, `Object`, `User`, `Tenant` заняты системными классами `rule` и `member` — конец с таким именем на другой класс — `invalid_class` (`model.end_role_system`).
+- Уникальность и инварианты держит ключ, а не проверка в коде: у класса с ключом id — UUID v5 (`db.idOf`), второй такой `create()` — `exists`, и под гонкой. «Одна открытая запись на объект» — связь с ключом по концу (`key: ['Obj']`); `restore()` бизнес-правил не проверяет, поэтому и при возврате инвариант держит только ключ.
+- Глаголы возвращают цепочку; терминал (`rows`, `first`, `ids`, `count`, …) исполняет весь план одной транзакцией. `create` только создаёт, `update` сливает патч и никогда не создаёт (`undefined` в патче — поле не меняется), `upsert` заменяет данные целиком (поле с `undefined` пропадает; только у классов с ключом).
+- Удаление ровно показанного атомарно: превью сверяется под блокировкой каскада, расхождение — `conflict` (`write.preview_changed`) с новым превью в `err.detail.preview`. Целей нет: непустой `expect` — `conflict` с `err.detail.preview: []` («уже удалено или не найдено»), `expect: []` — пустой ответ.
+- Возврат — по ответу `delete()` (или надгробиям `withDeleted()` по id): `restore({ expect })` — всё или отказ по смыслу (`write.restore_already`, `write.restore_id_taken` — `not_deleted`; `write.restore_stale` — `conflict`); `restore({ expect, partial: true })` — что можно, пропуски — строки `$action: 'skip'` с `$why`. Цель конца — первой, каскад — следующим шагом, оба — в одной `db.begin()` с `commit()`/`rollback()`.
+- Гонка за прочитанное — `forUpdate()` в `db.begin()` (только с `rows`, `first`, `ids`), `update(patch, { rev })` (`conflict`) или ключ; счётчик — `update({ n: inc(k) })`. Фильтр `update()` по данным, концам, `tags()`, `owner()` перепроверяется под блокировкой строки: выведенную параллельной транзакцией из-под фильтра строку он не правит (из двух одновременных правок со `status: 'new'` проходит одна); фильтр только по id — пройдут обе. Форма транзакции — `const tr = await db.begin(); try { …; await tr.commit() } catch (e) { await tr.rollback(); throw e }`; `db.begin(fn)` — `invalid_query`.
+- Строгий режим: `connect({ models })` или `connect<Models>()` дают строгие типы; неизвестное поле, класс или опция — отказ с похожими именами; `update()` без фильтра — `invalid_query` (все строки — `{ all: true }`); id не uuid — `invalid_query` до запроса; фильтр `undefined` — шаг без фильтра и предупреждение.
+- Концы связи — не поля данных: из пути или слотом `.Роль.set(id)`; имя конца в данных — `invalid_data` (`write.link_in_data`).
+- Модификаторы выборки (`sort`, `limit`, `offset`, `after`, `forUpdate`) — последнему шагу; `withDeleted()` — своему шагу. `versions()` — терминал; по пути — только живые, с удалёнными — `withDeleted()` на шаге или явный id.
+- Ответы и ошибки: строка — `{ id, class, rev, links, data, … }`, превью — с `$action`, надгробие — `$deleted: true`; ошибка — `LetopisError` с `err.code`, `err.key`, `err.detail`, `err.hint`, у данных — `ValidationError` с `err.issues: [{ path, keyword, message }]`. Штатные отказы (`exists`, `conflict`, `not_deleted`, `target_not_found`, `tenant_denied`, `acl_denied`, `no_session`, …) — ответ человеку своими фразами по `err.key`/`err.code`; ошибки кода — 500.
+- Логирование: `connect({ log, logLevel, redact })` и `up({ … })` — функция или объект-логгер (`console`, pino), порог `debug|info|warn|error|off` (по умолчанию `info`); без кода — `LETOPIS_LOG=info` (JSON-строки в stderr), CLI — `--log[=уровень]`. События `delete` и `restore` — что удалено и что не вернулось; внутри `db.begin()` событие значит «выполнено в транзакции», фиксацию доказывает `tx.commit` с тем же `tx`. Штатные отказы — событие `error` уровня `warn`, ошибки кода — уровня `error`.
+- Обслуживание — `maintain()` (администраторское подключение, системный администратор или право `letopis.maintain`, иначе `acl_denied`); загрузка — `db.load(rows)` с администраторского подключения; подписка — `db.watch({ from, classes })` и `await sub.ready()` перед записью.
+- MCP: `createMcpServer(await svc.as(пользователь, { tenant }))` из `letopis/mcp` и `letopis mcp` дают ИИ-агенту `letopis_model`, `letopis_query`, `letopis_history` и, с `write: true`, `letopis_write`; удаление подтверждает человек, удаляется ровно показанное превью.
+- Системный администратор — член System с ролью `admin`, отдельный аккаунт: через сервис не входит (`verifyPassword`, `sessionFor`, `svc.as()` — `acl_denied`), входит ключом API и `auth.switch(System)`; `purgeAccount` стирает только собственного арендатора аккаунта — стираемые персональные данные держите в классе с `history: false` (README, «Аккаунты, арендаторы и членство», «Удалить аккаунт»).
+- Лицензия — PolyForm Noncommercial 1.0.0 (SPDX `PolyForm-Noncommercial-1.0.0`): исходный код доступен, некоммерческое использование бесплатно, коммерческое — только по отдельной лицензии владельца (запрос — issue на https://github.com/alepri51/letopis/issues).
 
 ## Документы
 
-- [Шпаргалка для агента](AGENT-CHEATSHEET.md): одна страница для ИИ-агента, который пишет код на letopis, — рабочий цикл и грабли
+- [Памятка для агента](AGENT-CHEATSHEET.md): общие правила для любой задачи на letopis, рабочий цикл одной программой и грабли
 - [Руководство](README.md): руководство по задачам, справочник API, ограничения
-- [Ошибки](README.md#15-ошибки): все коды — что значит и что делать
+- [Безопасность по умолчанию](README.md#безопасность-по-умолчанию): что отклоняется без сверки и как это сделать осознанно
+- [Логирование](README.md#логирование): опции, уровни, `LETOPIS_LOG`, формат события, маскировка, список событий
+- [Ошибки](README.md#15-ошибки): все коды и ключи — что значит, что делать и что сказать человеку
+- Машинный каталог API и ошибок — `api-contract.json` в пакете (`node_modules/letopis/api-contract.json`)
 
 ## Дополнительно
 
-- [Изменения по версиям](CHANGELOG.md): решения по версиям, несовместимые изменения
+- [Изменения по версиям](CHANGELOG.md): что изменилось при переходе на 3.0 и чем заменить снятое
+- [Лицензия](LICENSE) и [коммерческое использование](LICENSE-COMMERCIAL.md): что можно без разрешения и как получить коммерческую лицензию
 - Модель конкретной установки для агента — инструмент MCP `letopis_model`: классы, ключи, поля, концы и рабочие цепочки этой схемы

package/package.json

@@ -1,7 +1,7 @@
 {
   "name": "letopis",
-  "version": "2.0.0",
-  "description": "Letopis (летопись): versioned entity store on PostgreSQL 18 — integrity, history, tenants and access control enforced by the database itself, dot-notation chains on top",
+  "version": "3.0.1",
+  "description": "Letopis (летопись): хранилище версионированных сущностей на PostgreSQL 18 — целостность, история, арендаторы и права проверяет сама база, поверх — цепочки через точку. ИИ-агенту — AGENT-CHEATSHEET.md и llms.txt в пакете; исходный код доступен (PolyForm Noncommercial 1.0.0)",
   "keywords": [
     "postgres",
     "postgresql",
@@ -14,9 +14,12 @@
     "jsonb",
     "multi-tenant",
     "acl",
-    "uuidv5"
+    "uuidv5",
+    "llms-txt",
+    "ai-agents",
+    "agent-cheatsheet"
   ],
-  "license": "MIT",
+  "license": "PolyForm-Noncommercial-1.0.0",
   "repository": {
     "type": "git",
     "url": "git+https://github.com/alepri51/letopis.git",
@@ -53,12 +56,15 @@
     "README.md",
     "AGENT-CHEATSHEET.md",
     "llms.txt",
+    "api-contract.json",
     "CHANGELOG.md",
-    "LICENSE"
+    "LICENSE",
+    "LICENSE-COMMERCIAL.md"
   ],
   "scripts": {
     "build": "tsc -p tsconfig.build.json",
-    "typecheck": "tsc --noEmit",
+    "typecheck": "tsc -p tsconfig.build.json --noEmit",
+    "typecheck:all": "tsc --noEmit",
     "test": "tsx --test --test-concurrency=1 --test-force-exit test/*.test.ts",
     "check:docs": "node scripts/check-docs.mjs",
     "check:package": "node scripts/check-package.mjs",

package/sql/20-context.sql

@@ -59,8 +59,13 @@ begin
       perform @SCHEMA@.lt_fail('sql-core.no_impersonate_right');
     end if;
     select e.id, e.data into a from @SCHEMA@.entity e where e.id = imp::uuid and e.class = 'Account' and e.tenant = '@SYSTEM@'::uuid;
+    -- аккаунта нет (не заводили или удалён) — «не найден», а не «нельзя» (3.0): сервис с правом имперсонации отличит
+    -- опечатку в id от запрета
+    if a.id is null then
+      perform @SCHEMA@.lt_fail('sql-core.impersonation_no_account', jsonb_build_object('id', imp));
+    end if;
     -- от имени System, сервисов, системных администраторов и отключённых аккаунтов действовать нельзя
-    if a.id is null or not coalesce((a.data->>'enabled')::boolean, true) or a.id = '@SYSTEM@'::uuid
+    if not coalesce((a.data->>'enabled')::boolean, true) or a.id = '@SYSTEM@'::uuid
        or coalesce(a.data->'categories' ?| array['System', 'Service'], false)
        or exists (select 1 from @SCHEMA@.entity x
                   where x.id = @SCHEMA@.v5_id('@SYSTEM@'::uuid, 'member', array[a.id::text, '@SYSTEM@']) and x.class = 'member') then
@@ -119,7 +124,7 @@ begin
 end $$;
 
 -- Вход по API-ключу (APIKEY): префикс ищется в ident, ключ сверяется по sha256. Сессия помнит ключ
--- (meta.cred): отзыв ключа гасит только его сессии.
+-- (meta.cred): отзыв ключа гасит только его сессии. Вход и отзыв синхронизированы по строке ключа (for share).
 create or replace function @SCHEMA@.login_apikey(p_key text) returns text
 language plpgsql volatile security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
@@ -135,7 +140,10 @@ begin
     and s.material = sha256(convert_to(p_key, 'UTF8'))
     and (s.expires_at is null or s.expires_at > clock_timestamp())
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and coalesce((a.data->>'enabled')::boolean, true);
+    and coalesce((a.data->>'enabled')::boolean, true)
+  -- строка ключа — под блокировкой до конца транзакции входа: отзыв (auth_revoke_credential) ждёт её
+  -- фиксации и гасит открытую здесь сессию, а вход после отзыва ключа не находит
+  for share of s;
   if k.account is null then
     -- DETAIL не было и до каталога (raise без detail): p_detail => 'null' (15-errors.sql)
     perform @SCHEMA@.lt_fail('sql-core.bad_api_key', p_detail => 'null');

package/sql/30-validate.sql

@@ -351,6 +351,14 @@ begin
   validator := ('strict ' || expr)::jsonpath;
 end $$;
 
+-- Допустимые значения перечисления для сообщения нарушения (план 2.1, A8): JSON через запятую, первые 20 — как у
+-- валидатора на TypeScript (validate.ts, enumValues).
+create or replace function @SCHEMA@.issue_values(p_values jsonb) returns text
+language sql immutable
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+return (select string_agg(t.y::text, ', ' order by t.o) || case when jsonb_array_length(p_values) > 20 then ', …' else '' end
+        from jsonb_array_elements(p_values) with ordinality t(y, o) where t.o <= 20);
+
 -- Проверка данных: общий вызов jsonb_path_match; при отказе — список нарушений по правилам.
 -- Результат сравнивается через is true: ошибка внутри выражения даёт NULL, а не «да» (этап 1, п. 5).
 -- Нарушение — { path, keyword, message, key, params }: message — русский текст по ключу каталога, рядом его key и
@@ -364,6 +372,7 @@ declare
   ok boolean;
   x jsonb;
   p jsonb;
+  t text;
 begin
   ok := jsonb_path_match(p_data, p_validator, p_vars, true) is true;
   if ok and not exists (select 1 from jsonb_array_elements(p_rules) r where r ? 'extra') then
@@ -373,10 +382,18 @@ begin
     if e ? 'extra' then
       for x in select * from jsonb_path_query(p_data, ('strict ' || (e->>'path_expr'))::jsonpath, '{}'::jsonb, true) loop
         if (e->'extra'->>'kind') = 'length' and jsonb_typeof(x) = 'string' then
-          if char_length(x #>> '{}') < coalesce((e->'extra'->>'min')::int, 0)
-             or char_length(x #>> '{}') > coalesce((e->'extra'->>'max')::int, 2147483647) then
-            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_string_length'),
-              'key', 'sql-core.issue_string_length', 'params', '{}'::jsonb);
+          -- текст называет границу (letopis 2.1, второй раунд, A6) — как у валидатора на TypeScript (validate.ts)
+          t := null;
+          if char_length(x #>> '{}') < coalesce((e->'extra'->>'min')::int, 0) then
+            t := 'sql-core.issue_string_too_short';
+            p := jsonb_build_object('limit', (e->'extra'->>'min')::int);
+          elsif char_length(x #>> '{}') > coalesce((e->'extra'->>'max')::int, 2147483647) then
+            t := 'sql-core.issue_string_too_long';
+            p := jsonb_build_object('limit', (e->'extra'->>'max')::int);
+          end if;
+          if t is not null then
+            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text(t, p),
+              'key', t, 'params', p);
           end if;
         elsif (e->'extra'->>'kind') = 'unique' and jsonb_typeof(x) = 'array' then
           if (select count(*) from jsonb_array_elements(x)) <> (select count(distinct y) from jsonb_array_elements(x) y) then
@@ -397,16 +414,40 @@ begin
           end if;
         elsif (e->'extra'->>'kind') = 'enum' then
           if not exists (select 1 from jsonb_array_elements(e->'extra'->'values') y where y = x) then
-            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_enum'),
-              'key', 'sql-core.issue_enum', 'params', '{}'::jsonb);
+            p := jsonb_build_object('values', @SCHEMA@.issue_values(e->'extra'->'values'));
+            bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_enum', p),
+              'key', 'sql-core.issue_enum', 'params', p);
           end if;
         end if;
       end loop;
     elsif not ok then
       if jsonb_path_match(p_data, ('strict !exists(' || (e->>'path_expr') || ' ? (!(' || (e->>'cond') || ')))')::jsonpath, e->'vars', true) is not true then
-        p := jsonb_build_object('keyword', e->>'keyword');
-        bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_rule', p),
-          'key', 'sql-core.issue_rule', 'params', p);
+        t := null;
+        if e->>'keyword' in ('enum', 'const') then
+          -- перечисление скаляров: значения — переменные правила v<N> (план 2.1, A8)
+          p := jsonb_build_object('values', @SCHEMA@.issue_values(
+            coalesce((select jsonb_agg(v.value order by (substr(v.key, 2))::int) from jsonb_each(e->'vars') v), '[]'::jsonb)));
+          bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_enum', p),
+            'key', 'sql-core.issue_enum', 'params', p);
+          continue;
+        elsif e->>'keyword' = 'additionalProperties' then
+          -- лишние ключи: ключ, которого условие правила не принимает и в одиночку (план 2.1, A8)
+          select string_agg(z.k, ', ' order by z.k) into t from (
+            select distinct kv.key as k
+            from jsonb_path_query(p_data, ('strict ' || (e->>'path_expr'))::jsonpath, '{}'::jsonb, true) n(v)
+            cross join lateral jsonb_each(case when jsonb_typeof(n.v) = 'object' then n.v else '{}'::jsonb end) kv
+            where jsonb_path_exists(jsonb_build_object(kv.key, null), ('strict $ ? (' || (e->>'cond') || ')')::jsonpath, e->'vars', true) is not true
+            order by 1 limit 20) z;
+        end if;
+        if t is not null then
+          p := jsonb_build_object('keys', t);
+          bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_additional', p),
+            'key', 'sql-core.issue_additional', 'params', p);
+        else
+          p := jsonb_build_object('keyword', e->>'keyword');
+          bad := bad || jsonb_build_object('path', e->'path', 'keyword', e->>'keyword', 'message', @SCHEMA@.lt_text('sql-core.issue_rule', p),
+            'key', 'sql-core.issue_rule', 'params', p);
+        end if;
       end if;
     end if;
   end loop;
@@ -423,7 +464,7 @@ begin
   foreach f in array array[
     'uuid_v5(uuid, text)', 'v5_name(text, text[])', 'v5_id(uuid, text, text[])', 'jp_str(text)', 'jp_pattern(text)',
     'jp_type_cond(text)', 'jp_prop(text, text)', 'jp_items(text)', 'jp_compile(jsonb, text, jsonb, boolean, int)', 'compile_validator(jsonb)',
-    'validate_data(jsonb, jsonpath, jsonb, jsonb)'] loop
+    'issue_values(jsonb)', 'validate_data(jsonb, jsonpath, jsonb, jsonb)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;

package/sql/40-class.sql

@@ -209,12 +209,32 @@ begin
   validator := c.validator;
 end $$;
 
+-- Нарушения данных строки класса по его описанию в базе, без записи (план 2.1, A8): валидатор на TypeScript не исполняет
+-- шаблоны pattern (ревью, ReDoS), и у класса с ними библиотека берёт полный список нарушений здесь. Класс — свой
+-- арендатора сессии или System, как у записи; умолчания подставляются, как перед проверкой при записи. Описание класса
+-- сессия и так видит (реестр), поэтому ответ ничего нового не открывает. Нет класса — null.
+create or replace function @SCHEMA@.validate_row(p_class text, p_data jsonb) returns jsonb
+language plpgsql stable security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  cls @SCHEMA@.entity;
+begin
+  cls := @SCHEMA@.class_row(p_class, @SCHEMA@.ctx_tenant());
+  if cls.id is null or cls.validator is null then
+    return null;
+  end if;
+  return @SCHEMA@.validate_data(cls.data->'resolved'->'rules', cls.validator, cls.data->'resolved'->'vars',
+    @SCHEMA@.apply_defaults(cls.data->'resolved'->'schema', p_data));
+end $$;
+
 do $$
 declare f text;
 begin
   foreach f in array array['class_metaschema()', 'class_meta_validator()', 'class_row(text, uuid)',
-    'class_resolve(jsonb, uuid)', 'class_prepare(jsonb, uuid)'] loop
+    'class_resolve(jsonb, uuid)', 'class_prepare(jsonb, uuid)', 'validate_row(text, jsonb)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
 end $$;
+grant execute on function @SCHEMA@.validate_row(text, jsonb) to @APP@;

package/sql/60-write.sql

@@ -1378,12 +1378,15 @@ begin
   return null;
 end $$;
 
--- Превью удаления (этап 4, п. 6): что удалит delete этих строк — те же уровни и то же правило
+-- Предпросмотр удаления (этап 4, п. 6): что удалит delete этих строк — те же уровни и то же правило
 -- ref_action(), что у триггера, но без изменений. Строки: action delete (цели — depth 0, каскад —
 -- уровень), unset (конец будет снят) и restrict (мешает удалению). Функция владельца ищет по
 -- индексу ends без RLS (§3 «Индексы под RLS»), поэтому и цели, и выдачу пропускает через
 -- row_visible() — то же условие, что у политики чтения (как find_*): невидимых строк не раскрывает
--- ни id, ни классом. О невидимых мешающих строках скажет само удаление (visible_detail: число).
+-- ни id, ни классом. Невидимые строки замыкания (3.0.1) — в конце сводкой, по строке на действие (delete,
+-- unset, restrict; только непустые): id и class — null, action — 'hidden:<действие>', depth — их число. Вид
+-- результата прежний: тело ставит create or replace повторным накатом той же ревизии, а клиент, который
+-- соединяет выдачу с entity по id, сводок не видит.
 create or replace function @SCHEMA@.delete_preview(p_ids uuid[]) returns table(id uuid, class text, action text, depth int)
 language plpgsql stable security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
@@ -1432,10 +1435,19 @@ begin
     from (select x.id, @SCHEMA@.ref_action((@SCHEMA@.class_row(x.class, x.tenant)).data->'resolved'->'ends', x.links, all_ids) as a
           from @SCHEMA@.entity x where x.ends && all_ids and not (x.id = any (all_ids))) r);
   return query
-    select (o->>0)::uuid, e.class, o->>1, (o->>2)::int
-    from jsonb_array_elements(out_rows) o
-    join @SCHEMA@.entity e on e.id = (o->>0)::uuid
-    where @SCHEMA@.row_visible(e.tenant, e.class, e.id, e.owner, e.tags, e.data, e.links, c_tenant, c_account, c_plan);
+    with o as (
+      select (j.v->>0)::uuid as id, e.class, j.v->>1 as action, (j.v->>2)::int as depth, j.ord,
+             @SCHEMA@.row_visible(e.tenant, e.class, e.id, e.owner, e.tags, e.data, e.links, c_tenant, c_account, c_plan) as vis
+      from jsonb_array_elements(out_rows) with ordinality j(v, ord)
+      join @SCHEMA@.entity e on e.id = (j.v->>0)::uuid
+    )
+    select x.id, x.class, x.action, x.depth
+    from (select o.id, o.class, o.action, o.depth, 0 as part, o.ord as k from o where o.vis
+          union all
+          select null::uuid, null::text, 'hidden:' || o.action, count(*)::int, 1,
+                 array_position(array['delete', 'unset', 'restrict'], o.action)::bigint
+          from o where not o.vis group by o.action) x
+    order by x.part, x.k;
 end $$;
 
 create or replace trigger entity_bi before insert on @SCHEMA@.entity

package/sql/80-auth.sql

@@ -52,7 +52,8 @@ begin
     if login_at > clock_timestamp() - @SCHEMA@.auth_recent()
        and exists (select 1 from jsonb_array_elements_text(methods) m where m not in ('APIKEY', 'KEYSECRET', 'SERVICE'))
        and (methods ? 'TOTP' or not exists (select 1 from @SCHEMA@.secret t where t.account = p_account and t.kind = 'TOTP'
-                                            and t.deleted_at is null and coalesce((t.meta->>'confirmed')::boolean, false))) then
+                                            and t.deleted_at is null and coalesce((t.meta->>'confirmed')::boolean, false)
+                                            and coalesce((t.meta->>'enabled')::boolean, true))) then
       return;
     end if;
   end if;
@@ -326,7 +327,9 @@ begin
     and s.material = sha256(convert_to(coalesce(p_key, ''), 'UTF8'))
     and (s.expires_at is null or s.expires_at > clock_timestamp())
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and @SCHEMA@.auth_enabled(s.account);
+    and @SCHEMA@.auth_enabled(s.account)
+  -- строка ключа — под блокировкой до фиксации входа: отзыв ждёт её и гасит открытую здесь сессию
+  for share of s;
   if k.account is null then
     return null;
   end if;
@@ -370,7 +373,9 @@ begin
     and casefold(s.ident) collate pg_unicode_fast = casefold(p_key) collate pg_unicode_fast
     and s.material = sha256(convert_to(coalesce(p_secret, ''), 'UTF8'))
     and coalesce((s.meta->>'enabled')::boolean, true)
-    and @SCHEMA@.auth_enabled(s.account);
+    and @SCHEMA@.auth_enabled(s.account)
+  -- строка ключа — под блокировкой до фиксации входа: отзыв ждёт её и гасит открытую здесь сессию
+  for share of s;
   if k.account is null then
     return null;
   end if;
@@ -428,6 +433,7 @@ begin
   from @SCHEMA@.secret x
   where x.kind = p_kind and x.kind ~ '^OTP' and x.deleted_at is null
     and casefold(x.ident) collate pg_unicode_fast = casefold(p_ident) collate pg_unicode_fast
+    and coalesce((x.meta->>'enabled')::boolean, true) -- отключённый код (setFlags) не принимается
   for update;
   if s.id is null then
     return null;
@@ -507,6 +513,7 @@ begin
          coalesce((x.meta->>'fails')::int, 0) as fails, (x.meta->>'locked_until')::timestamptz as locked_until into s
   from @SCHEMA@.secret x
   where x.account = p_account and x.kind = 'TOTP' and x.deleted_at is null
+    and coalesce((x.meta->>'enabled')::boolean, true) -- отключённый фактор (setFlags) не принимается
   for update;
   if s.id is null or s.locked_until > clock_timestamp() then
     return false;
@@ -547,7 +554,7 @@ begin
     perform @SCHEMA@.auth_guard(p_account);
   end if;
   return exists (select 1 from @SCHEMA@.secret s where s.account = p_account and s.kind = 'TOTP' and s.deleted_at is null
-                 and coalesce((s.meta->>'confirmed')::boolean, false));
+                 and coalesce((s.meta->>'confirmed')::boolean, false) and coalesce((s.meta->>'enabled')::boolean, true));
 end $$;
 
 -- Внешняя identity (TELEGRAM, GOOGLE, SSO-провайдер): токен проверяет сервис, здесь — связка.
@@ -639,7 +646,10 @@ begin
   perform @SCHEMA@.auth_session_required(c.account);
   select s.account, s.kind,
          (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true) as live
-  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null;
+  into cr from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
+  -- строка креда — под блокировкой: вход по этому ключу, начатый раньше, отзыв дожидается (его сессию гасит
+  -- auth_kill_cred ниже), начатый позже — ждёт отзыва и ключа уже не находит (login_apikey, login_keysecret)
+  for update;
   if cr.account is null then
     return false;
   end if;
@@ -677,17 +687,47 @@ set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
 declare
   acc uuid;
+  knd text;
+  live boolean;
 begin
   perform @SCHEMA@.acl_require('auth.credential');
-  select s.account into acc from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null;
+  -- строка креда — под блокировкой, как при отзыве (auth_revoke_credential): вход по этому ключу, начатый раньше,
+  -- отключение дожидается и гасит его сессию ниже; начатый позже — ждёт и видит enabled = false (3.0.0, ревизия 11)
+  select s.account, s.kind,
+         (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)
+  into acc, knd, live
+  from @SCHEMA@.secret s where s.id = p_id and s.kind not in ('SESSION', 'KEY', 'LOCK') and s.deleted_at is null
+  for update;
   if acc is null then
     return false;
   end if;
   perform @SCHEMA@.auth_guard(acc);
+  if p_enabled is false and live and knd in ('APIKEY', 'KEYSECRET') and @SCHEMA@.auth_is_service(acc) then
+    -- последний действующий ключ сервиса не отключается, как и не отзывается
+    perform 1 from @SCHEMA@.secret s
+    where s.account = acc and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null
+    for update;
+    if not exists (select 1 from @SCHEMA@.secret s
+                   where s.account = acc and s.kind in ('APIKEY', 'KEYSECRET') and s.deleted_at is null and s.id <> p_id
+                     and (s.expires_at is null or s.expires_at > clock_timestamp()) and coalesce((s.meta->>'enabled')::boolean, true)) then
+      perform @SCHEMA@.lt_fail('sql-access.last_service_key');
+    end if;
+  end if;
   update @SCHEMA@.secret s
      set meta = s.meta || jsonb_strip_nulls(jsonb_build_object('confirmed', p_confirmed, 'enabled', p_enabled))
    where s.id = p_id;
-  return found;
+  if not found then
+    return false;
+  end if;
+  -- отключённый кред не должен оставлять действующих сессий: ключ — свои (auth_kill_cred), прочие — сессии аккаунта
+  if p_enabled is false then
+    if knd in ('APIKEY', 'KEYSECRET') then
+      perform @SCHEMA@.auth_kill_cred(acc, p_id, knd, null);
+    else
+      perform @SCHEMA@.auth_kill(acc, null);
+    end if;
+  end if;
+  return true;
 end $$;
 
 -- Продление текущей сессии (библиотека — не чаще раза в минуту, §2.9). Новый срок — от сейчас.
@@ -725,6 +765,31 @@ begin
   return m is not null;
 end $$;
 
+-- Выход пользователя по токену его сессии (db.auth.revoke(token), план 2.1, A3): сервис, у которого есть токен
+-- пользователя (например, из cookie), гасит эту сессию, не подключаясь по ней. Право auth.session, как у
+-- auth_session_info. Сессия ищется только среди SESSION по sha256 токена; погашенная — сигнал session:… кэшу, как у
+-- auth_logout. Неверный, погашенный или истёкший токен — false: причина не различается.
+create or replace function @SCHEMA@.auth_logout_token(p_token text) returns boolean
+language plpgsql volatile security definer
+set search_path = pg_catalog, @SCHEMA@, pg_temp
+as $$
+declare
+  c record;
+  m bytea;
+begin
+  select * into c from @SCHEMA@.ctx();
+  perform @SCHEMA@.auth_session_required(c.account);
+  perform @SCHEMA@.acl_require('auth.session');
+  update @SCHEMA@.secret s set deleted_at = clock_timestamp()
+  where s.kind = 'SESSION' and s.deleted_at is null and s.material = sha256(convert_to(coalesce(p_token, ''), 'UTF8'))
+    and (s.expires_at is null or s.expires_at > clock_timestamp())
+  returning s.material into m;
+  if m is not null then
+    perform @SCHEMA@.signal_raw(array['session:' || left(encode(m, 'hex'), 16)]);
+  end if;
+  return m is not null;
+end $$;
+
 -- Выход везде: все сессии аккаунта (своего — сам; чужого — с правом auth.session).
 create or replace function @SCHEMA@.auth_logout_all(p_account uuid default null) returns int
 language plpgsql volatile security definer
@@ -777,8 +842,10 @@ begin
   return p_tenant;
 end $$;
 
--- Арендаторы, доступные аккаунту сессии: собственный и по членству (с ролями).
-create or replace function @SCHEMA@.auth_tenants() returns table (tenant uuid, roles jsonb)
+-- Арендаторы, доступные аккаунту сессии: собственный и по членству (с ролями). С ревизии 9 (план 2.1, A5) — ещё имя
+-- аккаунта арендатора (строка Account в System: createTenant({ name }), у личного — имя пользователя) и признак
+-- собственного арендатора personal; прежняя форма (tenant, roles) снимается миграцией 0009.
+create or replace function @SCHEMA@.auth_tenants() returns table (tenant uuid, roles jsonb, name text, personal boolean)
 language plpgsql stable security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
@@ -789,11 +856,14 @@ begin
   select * into c from @SCHEMA@.ctx();
   perform @SCHEMA@.auth_session_required(c.account);
   return query
-    select c.account, '["owner"]'::jsonb
-    union all
-    select m.tenant, coalesce(m.data->'roles', '[]'::jsonb)
-    from @SCHEMA@.entity m
-    where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant);
+    select t.tenant, t.roles, a.data->>'name', t.personal
+    from (select c.account as tenant, '["owner"]'::jsonb as roles, true as personal, 0 as ord
+          union all
+          select m.tenant, coalesce(m.data->'roles', '[]'::jsonb), false, 1
+          from @SCHEMA@.entity m
+          where m.class = 'member' and m.links->>'User' = c.account::text and @SCHEMA@.auth_enabled(m.tenant)) t
+    left join @SCHEMA@.entity a on a.id = t.tenant and a.class = 'Account' and a.tenant = '@SYSTEM@'::uuid
+    order by t.ord, t.tenant;
 end $$;
 
 -- Сведения о сессии по токену (db.auth.session): сервис, у которого есть токен пользователя (например, из
@@ -845,7 +915,8 @@ begin
     'login_otp(text, text, text)', 'totp_code(bytea, bigint)', 'auth_enroll_totp(uuid)', 'auth_verify_totp(uuid, text, int)',
     'auth_totp_enabled(uuid)', 'auth_link(uuid, text, text, jsonb, boolean)', 'auth_lookup(text, text, boolean)',
     'auth_credentials(uuid)', 'auth_revoke_credential(uuid, boolean)', 'auth_set_flags(uuid, boolean, boolean)',
-    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()', 'auth_session_info(text)'] loop
+    'auth_refresh(interval)', 'auth_logout()', 'auth_logout_token(text)', 'auth_logout_all(uuid)', 'auth_switch(uuid)', 'auth_tenants()',
+    'auth_session_info(text)'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
@@ -857,5 +928,5 @@ grant execute on function
   @SCHEMA@.login_otp(text, text, text), @SCHEMA@.auth_enroll_totp(uuid), @SCHEMA@.auth_verify_totp(uuid, text, int),
   @SCHEMA@.auth_totp_enabled(uuid), @SCHEMA@.auth_link(uuid, text, text, jsonb, boolean), @SCHEMA@.auth_lookup(text, text, boolean),
   @SCHEMA@.auth_credentials(uuid), @SCHEMA@.auth_revoke_credential(uuid, boolean), @SCHEMA@.auth_set_flags(uuid, boolean, boolean),
-  @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_all(uuid), @SCHEMA@.auth_switch(uuid),
-  @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;
+  @SCHEMA@.auth_refresh(interval), @SCHEMA@.auth_logout(), @SCHEMA@.auth_logout_token(text), @SCHEMA@.auth_logout_all(uuid),
+  @SCHEMA@.auth_switch(uuid), @SCHEMA@.auth_tenants(), @SCHEMA@.auth_session_info(text) to @APP@;