Этап 2: чат 1:1 — устройства, очередь, SSE, шифрование сообщений

Сервер: регистрация устройств и X-Device, hub с одним потоком на устройство, очередь per-device с фан-аутом без эха отправителю, POST /api/messages с проверками в порядке protocol.md, ACK, SSE с воспроизведением очереди, ready и пингом раз в 20 секунд, контакты в обе стороны при первом сообщении, лимит 30 сообщений в минуту. Клиент: ULID, ключ 1:1 из ECDH через HKDF, шифрование конверта с AAD, sync.js как единственный писатель в IndexedDB, ACK строго после записи, список чатов, экран чата по эталону, разделители дат и «новые», pending и failed с повтором, полоса «нет соединения». ADR-033: у неотправленного есть текст отказа — clock_skew стало видно. ADR-034: входящее с известным id не перезаписывает запись. Собеседник знает открытый id конверта и подменял им чужое сообщение в чужой истории — вплоть до стирания своего присланного, чего «удалить у всех не существует» не допускает. ADR-035: один поток событий на браузерный профиль (locks + BroadcastChannel): две вкладки отбирали поток друг у друга и оставались без живой доставки. ADR-036: повтор отправки сохраняет ULID, пока он в пределах окна часов, — иначе потерянный ответ давал у собеседника два сообщения вместо одного. Приёмка на боевом сервере: два аккаунта, пять устройств, живая доставка, копия на второе устройство, очередь офлайн-устройству, ACK, подмена from игнорируется, чужой deviceId и запрос без Origin отбиваются, плейнтекста в базе и WAL ноль вхождений. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ
2026-08-22 18:18:04 +03:00
parent 597c55301c
commit 63a7a1ef52
39 changed files with 5126 additions and 46 deletions
@@ -0,0 +1,65 @@
+package store
+
+import (
+	"context"
+	"fmt"
+)
+
+// Contact — строка списка чатов: собеседник и его публичный ключ.
+// Доверие к ключу — TOFU на клиенте (ADR-016).
+type Contact struct {
+	Nick      string
+	PublicKey string
+	CreatedAt int64
+}
+
+// Contacts — контакты пользователя в порядке появления.
+func (s *Store) Contacts(ctx context.Context, nick string) ([]Contact, error) {
+	rows, err := s.db.QueryContext(ctx, `
+		SELECT c.peer, u.public_key, c.created_at
+		FROM contacts c JOIN users u ON u.nick = c.peer
+		WHERE c.nick = ? ORDER BY c.created_at, c.peer`, nick)
+	if err != nil {
+		return nil, fmt.Errorf("store: список контактов: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Contact
+	for rows.Next() {
+		var c Contact
+		if err := rows.Scan(&c.Nick, &c.PublicKey, &c.CreatedAt); err != nil {
+			return nil, fmt.Errorf("store: список контактов: %w", err)
+		}
+		out = append(out, c)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, fmt.Errorf("store: список контактов: %w", err)
+	}
+	return out, nil
+}
+
+// AddContact заводит одну строку списка чатов. Первое значение — была ли
+// она создана. Зеркальную строку собеседнику эта операция не заводит:
+// обе стороны появляются только при первом сообщении (ADR-019).
+func (s *Store) AddContact(ctx context.Context, nick, peer string, now int64) (bool, error) {
+	res, err := s.db.ExecContext(ctx, `
+		INSERT INTO contacts (nick, peer, created_at) VALUES (?, ?, ?)
+		ON CONFLICT(nick, peer) DO NOTHING`, nick, peer, now)
+	if err != nil {
+		return false, fmt.Errorf("store: добавление контакта: %w", err)
+	}
+	n, err := res.RowsAffected()
+	if err != nil {
+		return false, fmt.Errorf("store: добавление контакта: %w", err)
+	}
+	return n > 0, nil
+}
+
+// DeleteContact убирает чат из списка. Только своя строка: зеркальная
+// у собеседника остаётся, блокировок в v1 нет (ADR-019).
+func (s *Store) DeleteContact(ctx context.Context, nick, peer string) error {
+	if _, err := s.db.ExecContext(ctx, `DELETE FROM contacts WHERE nick = ? AND peer = ?`, nick, peer); err != nil {
+		return fmt.Errorf("store: удаление контакта: %w", err)
+	}
+	return nil
+}
@@ -0,0 +1,129 @@
+package store
+
+import (
+	"context"
+	"database/sql"
+	"errors"
+	"fmt"
+)
+
+// ErrDeviceTaken — идентификатор устройства занят другим пользователем
+// (ADR-017): клиент генерирует новый.
+var ErrDeviceTaken = errors.New("store: устройство занято")
+
+// Device — строка devices без самой push-подписки: клиенту отдаётся
+// только факт её наличия.
+type Device struct {
+	ID        string
+	CreatedAt int64
+	LastSeen  int64
+	HasPush   bool
+}
+
+// RegisterDevice заводит устройство или подтверждает уже заведённое,
+// обновляет last_seen и привязывает к устройству текущую сессию (ADR-021).
+// Первое значение — было ли устройство создано; занятый чужим id —
+// ErrDeviceTaken.
+func (s *Store) RegisterDevice(ctx context.Context, id, nick string, tokenHash []byte, now int64) (bool, error) {
+	tx, err := s.db.BeginTx(ctx, nil)
+	if err != nil {
+		return false, fmt.Errorf("store: регистрация устройства: %w", err)
+	}
+	defer tx.Rollback()
+
+	// ON CONFLICT DO NOTHING вместо разбора кода ошибки драйвера: занятый
+	// id виден по нулю затронутых строк, а чей он — по следующему запросу.
+	res, err := tx.ExecContext(ctx, `
+		INSERT INTO devices (id, nick, created_at, last_seen) VALUES (?, ?, ?, ?)
+		ON CONFLICT(id) DO NOTHING`, id, nick, now, now)
+	if err != nil {
+		return false, fmt.Errorf("store: регистрация устройства: %w", err)
+	}
+	n, err := res.RowsAffected()
+	if err != nil {
+		return false, fmt.Errorf("store: регистрация устройства: %w", err)
+	}
+	created := n == 1
+	if !created {
+		var owner string
+		if err := tx.QueryRowContext(ctx, `SELECT nick FROM devices WHERE id = ?`, id).Scan(&owner); err != nil {
+			return false, fmt.Errorf("store: регистрация устройства: %w", err)
+		}
+		if owner != nick {
+			return false, ErrDeviceTaken
+		}
+		if _, err := tx.ExecContext(ctx, `UPDATE devices SET last_seen = ? WHERE id = ?`, now, id); err != nil {
+			return false, fmt.Errorf("store: регистрация устройства: %w", err)
+		}
+	}
+	if _, err := tx.ExecContext(ctx, `UPDATE sessions SET device_id = ? WHERE token_hash = ?`, id, tokenHash); err != nil {
+		return false, fmt.Errorf("store: привязка сессии к устройству: %w", err)
+	}
+	if err := tx.Commit(); err != nil {
+		return false, fmt.Errorf("store: регистрация устройства: %w", err)
+	}
+	return created, nil
+}
+
+// DeviceOwned — принадлежит ли устройство этому пользователю. Чужое
+// и несуществующее неразличимы: снаружи и то и другое unknown_device.
+func (s *Store) DeviceOwned(ctx context.Context, id, nick string) (bool, error) {
+	var one int
+	err := s.db.QueryRowContext(ctx, `SELECT 1 FROM devices WHERE id = ? AND nick = ?`, id, nick).Scan(&one)
+	if errors.Is(err, sql.ErrNoRows) {
+		return false, nil
+	}
+	if err != nil {
+		return false, fmt.Errorf("store: проверка устройства: %w", err)
+	}
+	return true, nil
+}
+
+// Devices — устройства пользователя в порядке появления.
+func (s *Store) Devices(ctx context.Context, nick string) ([]Device, error) {
+	rows, err := s.db.QueryContext(ctx, `
+		SELECT id, created_at, last_seen, push_subscription IS NOT NULL
+		FROM devices WHERE nick = ? ORDER BY created_at, id`, nick)
+	if err != nil {
+		return nil, fmt.Errorf("store: список устройств: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Device
+	for rows.Next() {
+		var d Device
+		if err := rows.Scan(&d.ID, &d.CreatedAt, &d.LastSeen, &d.HasPush); err != nil {
+			return nil, fmt.Errorf("store: список устройств: %w", err)
+		}
+		out = append(out, d)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, fmt.Errorf("store: список устройств: %w", err)
+	}
+	return out, nil
+}
+
+// DeleteDevice удаляет устройство пользователя; очередь, push-подписку
+// и сессии устройства уносит каскад (docs/storage.md). Первое значение —
+// была ли строка: чужое устройство удалить нельзя.
+func (s *Store) DeleteDevice(ctx context.Context, id, nick string) (bool, error) {
+	res, err := s.db.ExecContext(ctx, `DELETE FROM devices WHERE id = ? AND nick = ?`, id, nick)
+	if err != nil {
+		return false, fmt.Errorf("store: удаление устройства: %w", err)
+	}
+	n, err := res.RowsAffected()
+	if err != nil {
+		return false, fmt.Errorf("store: удаление устройства: %w", err)
+	}
+	return n > 0, nil
+}
+
+// TouchDevice — устройство подключилось по SSE: неотработанного пуша
+// больше нет (ADR-023), время последнего появления — сейчас.
+func (s *Store) TouchDevice(ctx context.Context, id string, now int64) error {
+	if _, err := s.db.ExecContext(ctx, `
+		UPDATE devices SET push_pending = 0, last_seen = ? WHERE id = ?`, now, id); err != nil {
+		return fmt.Errorf("store: подключение устройства: %w", err)
+	}
+	return nil
+}
@@ -0,0 +1,133 @@
+package store
+
+import (
+	"context"
+	"database/sql"
+	"fmt"
+	"strings"
+)
+
+// Транзитная очередь недоставленных конвертов, по строке на устройство
+// (ADR-008). Доставлено и подтверждено ACK — удалено; не забрано
+// за 30 дней — удалено фоновой чисткой.
+
+// Queue — очередь устройства в порядке выдачи при подключении:
+// created_at, msg_id (docs/protocol.md, «События»). Строки — готовые
+// конверты, сервер их не разбирает.
+func (s *Store) Queue(ctx context.Context, device string) ([]string, error) {
+	rows, err := s.db.QueryContext(ctx, `
+		SELECT envelope FROM queue WHERE device_id = ? ORDER BY created_at, msg_id`, device)
+	if err != nil {
+		return nil, fmt.Errorf("store: очередь устройства: %w", err)
+	}
+	defer rows.Close()
+
+	var out []string
+	for rows.Next() {
+		var envelope string
+		if err := rows.Scan(&envelope); err != nil {
+			return nil, fmt.Errorf("store: очередь устройства: %w", err)
+		}
+		out = append(out, envelope)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, fmt.Errorf("store: очередь устройства: %w", err)
+	}
+	return out, nil
+}
+
+// Ack удаляет из очереди устройства перечисленные сообщения: клиент
+// записал их в IndexedDB (docs/storage.md).
+func (s *Store) Ack(ctx context.Context, device string, ids []string) error {
+	if len(ids) == 0 {
+		return nil
+	}
+	args := make([]any, 0, len(ids)+1)
+	args = append(args, device)
+	for _, id := range ids {
+		args = append(args, id)
+	}
+	query := `DELETE FROM queue WHERE device_id = ? AND msg_id IN (?` +
+		strings.Repeat(", ?", len(ids)-1) + `)`
+	if _, err := s.db.ExecContext(ctx, query, args...); err != nil {
+		return fmt.Errorf("store: подтверждение доставки: %w", err)
+	}
+	return nil
+}
+
+// Delivery — одна доставка: готовый конверт и всё, что нужно, чтобы
+// разложить его по очередям. Envelope сервер не разбирает, поэтому id
+// приходит отдельным полем.
+type Delivery struct {
+	From     string // отправитель, он же один из получателей
+	To       string // собеседник
+	Exclude  string // устройство отправителя: эхо ему не нужно (ADR-017)
+	MsgID    string // id конверта, вторая половина ключа очереди
+	Envelope string // готовый JSON конверта
+	Now      int64  // серверное время, оно же ts конверта
+}
+
+// DeliverDM кладёт конверт личного чата в очередь всех устройств обоих
+// собеседников, кроме отправившего, и заводит недостающие строки contacts
+// в обе стороны — всё в одной транзакции (docs/protocol.md, «Сообщения»).
+// Возвращает устройства, которым конверт надо отдать живьём.
+//
+// Повторный POST с тем же id — не ошибка: сервер историю идентификаторов
+// не хранит, повтор порождает повторную доставку, а склеивает её клиент
+// (ADR-017). Поэтому вставка молча пропускает уже лежащую в очереди
+// строку, а список устройств от этого не зависит.
+func (s *Store) DeliverDM(ctx context.Context, d Delivery) ([]string, error) {
+	tx, err := s.db.BeginTx(ctx, nil)
+	if err != nil {
+		return nil, fmt.Errorf("store: доставка: %w", err)
+	}
+	defer tx.Rollback()
+
+	for _, pair := range [2][2]string{{d.From, d.To}, {d.To, d.From}} {
+		if _, err := tx.ExecContext(ctx, `
+			INSERT INTO contacts (nick, peer, created_at) VALUES (?, ?, ?)
+			ON CONFLICT(nick, peer) DO NOTHING`, pair[0], pair[1], d.Now); err != nil {
+			return nil, fmt.Errorf("store: доставка (контакты): %w", err)
+		}
+	}
+
+	devices, err := deviceIDs(ctx, tx, d.From, d.To, d.Exclude)
+	if err != nil {
+		return nil, err
+	}
+	for _, id := range devices {
+		if _, err := tx.ExecContext(ctx, `
+			INSERT INTO queue (device_id, msg_id, envelope, created_at) VALUES (?, ?, ?, ?)
+			ON CONFLICT(device_id, msg_id) DO NOTHING`,
+			id, d.MsgID, d.Envelope, d.Now); err != nil {
+			return nil, fmt.Errorf("store: доставка (очередь): %w", err)
+		}
+	}
+	if err := tx.Commit(); err != nil {
+		return nil, fmt.Errorf("store: доставка: %w", err)
+	}
+	return devices, nil
+}
+
+// deviceIDs — устройства обоих собеседников, кроме отправившего.
+func deviceIDs(ctx context.Context, tx *sql.Tx, from, to, exclude string) ([]string, error) {
+	rows, err := tx.QueryContext(ctx, `
+		SELECT id FROM devices WHERE nick IN (?, ?) AND id <> ? ORDER BY id`, from, to, exclude)
+	if err != nil {
+		return nil, fmt.Errorf("store: доставка (устройства): %w", err)
+	}
+	defer rows.Close()
+
+	var out []string
+	for rows.Next() {
+		var id string
+		if err := rows.Scan(&id); err != nil {
+			return nil, fmt.Errorf("store: доставка (устройства): %w", err)
+		}
+		out = append(out, id)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, fmt.Errorf("store: доставка (устройства): %w", err)
+	}
+	return out, nil
+}