letopis 2.0.0 → 3.0.1

package/sql/90-time.sql

@@ -109,8 +109,13 @@ end $$;
 
 -- Восстановление удалённого объекта (этап 6, п. 2): последний снимок новой версией с видом restore.
 -- Снимок перепроверяется по текущему описанию класса (данные, концы с видимостью целей, ключ), право
--- WRITE — на восстановленные значения. id прежний, в том числе у класса без ключа.
-create or replace function @SCHEMA@.restore(p_id uuid) returns uuid
+-- WRITE — на восстановленные значения. id прежний, в том числе у класса без ключа. p_rev (ревизия 9, план 2.1, A1) —
+-- ожидаемый номер последней записи журнала (надгробия из ответа delete или withDeleted): другой — отказ restore_stale,
+-- проверка под той же блокировкой записи журнала, что у параллельного restore и воскрешения. Прежняя restore(uuid)
+-- снимается миграцией 0009: вызов restore(id) попадает сюда с p_rev = null. Отказ — по записи журнала за последним
+-- надгробием (второй раунд 2.1, A2): restore — restore_already, create — restore_id_taken (объект живой); иначе с p_rev —
+-- restore_stale с after (вид записи сразу за p_rev), deleted и live, без p_rev — restore_not_deleted.
+create or replace function @SCHEMA@.restore(p_id uuid, p_rev int default null) returns uuid
 language plpgsql volatile security definer
 set search_path = pg_catalog, @SCHEMA@, pg_temp
 as $$
@@ -127,6 +132,9 @@ declare
   own uuid;
   ts timestamptz;
   n @SCHEMA@.entity;
+  v_live boolean;
+  v_tomb int;
+  v_next text;
 begin
   select * into c from @SCHEMA@.ctx();
   if c.account is null then
@@ -134,8 +142,28 @@ begin
   end if;
   rd := @SCHEMA@.acl_actor('READ');
   l := @SCHEMA@.last_version_visible(p_id, c.tenant, rd);
-  if l.op <> 'delete' or exists (select 1 from @SCHEMA@.entity e where e.id = p_id) then
-    perform @SCHEMA@.lt_fail('sql-time.restore_not_deleted');
+  -- проигравший гонку: блокировка дождалась чужой фиксации, а запись l прочитана до неё. Новая версия видна следующему
+  -- оператору (read committed) — тогда последняя запись берётся заново, под той же блокировкой и проверкой видимости
+  if exists (select 1 from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.rev > l.rev) then
+    l := @SCHEMA@.last_version_visible(p_id, c.tenant, rd);
+  end if;
+  v_live := exists (select 1 from @SCHEMA@.entity e where e.id = p_id);
+  if l.op <> 'delete' or v_live or (p_rev is not null and l.rev <> p_rev) then
+    -- что за последним надгробием: restore — уже восстановлен, create — id занял новый объект с тем же ключом
+    select max(x.rev) into v_tomb from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.op = 'delete';
+    select x.op into v_next from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.rev > v_tomb order by x.rev limit 1;
+    if v_live and v_next = 'restore' then
+      perform @SCHEMA@.lt_fail('sql-time.restore_already', jsonb_build_object('id', p_id), jsonb_build_object('id', p_id, 'rev', l.rev));
+    elsif v_live and v_next = 'create' then
+      perform @SCHEMA@.lt_fail('sql-time.restore_id_taken', jsonb_build_object('id', p_id), jsonb_build_object('id', p_id, 'rev', l.rev));
+    elsif p_rev is null then
+      perform @SCHEMA@.lt_fail('sql-time.restore_not_deleted');
+    end if;
+    -- удалён снова, не удалялся, гонка: что было сразу после показанного удаления
+    select x.op into v_next from @SCHEMA@.log x where x.id = p_id and x.tenant = c.tenant and x.rev > p_rev order by x.rev limit 1;
+    perform @SCHEMA@.lt_fail('sql-time.restore_stale',
+      jsonb_build_object('id', p_id, 'rev', l.rev, 'expected', p_rev, 'after', coalesce(v_next, '—')),
+      jsonb_build_object('id', p_id, 'rev', l.rev, 'expected', p_rev, 'after', v_next, 'deleted', l.op = 'delete', 'live', v_live));
   end if;
   if l.class = 'Class' then
     perform @SCHEMA@.lt_fail('sql-time.restore_class_row');
@@ -370,13 +398,13 @@ declare f text;
 begin
   foreach f in array array[
     'session_role()', 'admin_role()', 'letopis_allowed(text)', 'session_expires()', 'signal_mode()', 'signal_key()', 'class_stamp()',
-    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid)', 'account_purge(uuid)', 'maintain()',
+    'last_version_visible(uuid, uuid, jsonb)', 'restore(uuid, int)', 'account_purge(uuid)', 'maintain()',
     'watch_read(xid8, bigint, text[], int, pg_snapshot)', 'watch_head()'] loop
     execute format('alter function @SCHEMA@.%s owner to @OWNER@', f);
     execute format('revoke all on function @SCHEMA@.%s from public', f);
   end loop;
 end $$;
 -- приложению: функции владельца этапа 6 (проверяют права сами) и подписка (под RLS)
-grant execute on function @SCHEMA@.restore(uuid), @SCHEMA@.account_purge(uuid), @SCHEMA@.maintain(),
+grant execute on function @SCHEMA@.restore(uuid, int), @SCHEMA@.account_purge(uuid), @SCHEMA@.maintain(),
   @SCHEMA@.session_expires(), @SCHEMA@.watch_read(xid8, bigint, text[], int, pg_snapshot), @SCHEMA@.watch_head(),
   @SCHEMA@.signal_mode(), @SCHEMA@.signal_key(), @SCHEMA@.class_stamp() to @APP@;

package/sql/99-revision.sql

@@ -2,4 +2,8 @@
 -- Номер совпадает с DDL_REVISION в lib/src/types.ts (проверяет check-docs). С 1.4 в штампе ещё версия пакета и хэш
 -- файлов ядра (engine, sql): connect() предупреждает, если функции схемы ставила другая версия движка той же ревизии.
 -- Ревизия 8 — первая у 2.0 (план 2.0, редакция 2): схему ниже неё (letopis 1.x) up() и connect() отклоняют.
-comment on schema @SCHEMA@ is 'letopis ddl_revision=8 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';
+-- Ревизия 9 — 2.1.0: restore(id, rev), auth_logout_token(), auth_tenants() с именем, validate_row(); миграция 0009.
+-- Ревизия 10 — 3.0.0: ctx() — имперсонация несуществующего аккаунта — «не найден» (target_not_found); миграция 0010.
+-- Ревизия 11 — 3.0.0: вход по ключу и отзыв ключа — под блокировкой строки ключа, отключённые OTP и TOTP не
+-- принимаются; миграция 0011.
+comment on schema @SCHEMA@ is 'letopis ddl_revision=11 engine=@ENGINE_VERSION@ sql=@ENGINE_SQL@';

package/sql/migrate/0009-restore-rev.tenants-name.sql

@@ -0,0 +1,10 @@
+-- letopis 2.1.0 — ревизия 9 (план 2.1, A1, A3, A5). Миграция снимает функции, чью сигнатуру или вид результата меняет
+-- ревизия: create or replace их не заменит (новый аргумент дал бы вторую перегрузку и неоднозначный вызов restore(id),
+-- новый вид результата PostgreSQL не принимает). Новые функции и права ставит повторный накат файлов ядра сразу после
+-- миграции (90-time.sql, 80-auth.sql); новая auth_logout_token(text) и validate_row(text, jsonb) — тоже он.
+-- Второй раунд 2.1 (ревизия та же, 9): новые тела restore(uuid, int) — отказы по смыслу restore_already, restore_id_taken,
+-- restore_stale с after, deleted, live — и validate_data(jsonb, jsonpath, jsonb, jsonb) — граница в тексте длины строки
+-- (sql-core.issue_string_too_short, issue_string_too_long) — сигнатур не меняют: их ставит тот же повторный накат, а
+-- тексты новых ключей — каталог сообщений (message_catalog), который накат пишет заново. Снимать здесь нечего.
+drop function if exists @SCHEMA@.restore(uuid);
+drop function if exists @SCHEMA@.auth_tenants();

package/sql/migrate/0010-impersonation-no-account.sql

@@ -0,0 +1,5 @@
+-- letopis 3.0.0 — ревизия 10. Новое тело ctx() (20-context.sql): имперсонация аккаунта, которого нет, — отказ
+-- sql-core.impersonation_no_account (target_not_found) вместо sql-core.impersonation_denied (acl_denied). Сигнатура та же:
+-- тело ставит повторный накат файлов ядра сразу после миграции, текст ключа — каталог сообщений (message_catalog),
+-- который накат пишет заново. Снимать и переносить нечего; оператор ниже — чтобы файл не был пустым запросом.
+select 1;

package/sql/migrate/0011-key-lock.otp-enabled.sql

@@ -0,0 +1,7 @@
+-- letopis 3.0.0 — ревизия 11. Новые тела функций входа и кредов (20-context.sql, 80-auth.sql): вход по ключу
+-- (login_apikey, auth_login_apikey, login_keysecret) берёт строку ключа for share, отзыв (auth_revoke_credential) —
+-- for update: сессия, открытая параллельно с отзывом, гаснет вместе с ключом; отключённые (meta.enabled = false) OTP
+-- и TOTP не принимаются (login_otp, auth_verify_totp, auth_totp_enabled); отключение креда (auth_set_flags) берёт его
+-- строку for update и гасит его сессии, последний ключ сервиса не отключается. Сигнатуры те же: тела ставит повторный
+-- накат файлов ядра сразу после миграции. Снимать и переносить нечего; оператор ниже — чтобы файл не был пустым запросом.
+select 1;

package/sql/migrate/README.md

@@ -11,4 +11,8 @@
   у файлов ядра (`@SCHEMA@`, `@OWNER@` и другие — таблица в `lib/sql/README.md`).
 - В миграцию идёт только то, чего не догонит повторный накат: колонка или ограничение существующей таблицы, перенос
   данных. Функции, индексы, триггеры и политики ставят файлы ядра.
-- У 2.0 (ревизия 8) миграций нет.
+- У 2.0 (ревизия 8) миграций нет. Ревизия 9 (2.1.0) — `0009-restore-rev.tenants-name.sql`: снимает `restore(uuid)` и
+  `auth_tenants()` прежнего вида, новые ставит повторный накат. Ревизия 10 (3.0.0) — `0010-impersonation-no-account.sql`:
+  новое тело `ctx()` ставит повторный накат, миграции переносить нечего. Ревизия 11 (3.0.0) —
+  `0011-key-lock.otp-enabled.sql`: новые тела функций входа по ключу, отзыва креда, OTP и TOTP ставит повторный накат,
+  миграции переносить нечего.