Этап 2: чат 1:1 — устройства, очередь, SSE, шифрование сообщений

Сервер: регистрация устройств и X-Device, hub с одним потоком на устройство,
очередь per-device с фан-аутом без эха отправителю, POST /api/messages
с проверками в порядке protocol.md, ACK, SSE с воспроизведением очереди,
ready и пингом раз в 20 секунд, контакты в обе стороны при первом сообщении,
лимит 30 сообщений в минуту.

Клиент: ULID, ключ 1:1 из ECDH через HKDF, шифрование конверта с AAD,
sync.js как единственный писатель в IndexedDB, ACK строго после записи,
список чатов, экран чата по эталону, разделители дат и «новые»,
pending и failed с повтором, полоса «нет соединения».

ADR-033: у неотправленного есть текст отказа — clock_skew стало видно.
ADR-034: входящее с известным id не перезаписывает запись. Собеседник знает
открытый id конверта и подменял им чужое сообщение в чужой истории — вплоть
до стирания своего присланного, чего «удалить у всех не существует» не допускает.
ADR-035: один поток событий на браузерный профиль (locks + BroadcastChannel):
две вкладки отбирали поток друг у друга и оставались без живой доставки.
ADR-036: повтор отправки сохраняет ULID, пока он в пределах окна часов, —
иначе потерянный ответ давал у собеседника два сообщения вместо одного.

Приёмка на боевом сервере: два аккаунта, пять устройств, живая доставка,
копия на второе устройство, очередь офлайн-устройству, ACK, подмена from
игнорируется, чужой deviceId и запрос без Origin отбиваются, плейнтекста
в базе и WAL ноль вхождений.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/store/contacts.go

@@ -0,0 +1,65 @@
+package store
+
+import (
+	"context"
+	"fmt"
+)
+
+// Contact — строка списка чатов: собеседник и его публичный ключ.
+// Доверие к ключу — TOFU на клиенте (ADR-016).
+type Contact struct {
+	Nick      string
+	PublicKey string
+	CreatedAt int64
+}
+
+// Contacts — контакты пользователя в порядке появления.
+func (s *Store) Contacts(ctx context.Context, nick string) ([]Contact, error) {
+	rows, err := s.db.QueryContext(ctx, `
+		SELECT c.peer, u.public_key, c.created_at
+		FROM contacts c JOIN users u ON u.nick = c.peer
+		WHERE c.nick = ? ORDER BY c.created_at, c.peer`, nick)
+	if err != nil {
+		return nil, fmt.Errorf("store: список контактов: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Contact
+	for rows.Next() {
+		var c Contact
+		if err := rows.Scan(&c.Nick, &c.PublicKey, &c.CreatedAt); err != nil {
+			return nil, fmt.Errorf("store: список контактов: %w", err)
+		}
+		out = append(out, c)
+	}
+	if err := rows.Err(); err != nil {
+		return nil, fmt.Errorf("store: список контактов: %w", err)
+	}
+	return out, nil
+}
+
+// AddContact заводит одну строку списка чатов. Первое значение — была ли
+// она создана. Зеркальную строку собеседнику эта операция не заводит:
+// обе стороны появляются только при первом сообщении (ADR-019).
+func (s *Store) AddContact(ctx context.Context, nick, peer string, now int64) (bool, error) {
+	res, err := s.db.ExecContext(ctx, `
+		INSERT INTO contacts (nick, peer, created_at) VALUES (?, ?, ?)
+		ON CONFLICT(nick, peer) DO NOTHING`, nick, peer, now)
+	if err != nil {
+		return false, fmt.Errorf("store: добавление контакта: %w", err)
+	}
+	n, err := res.RowsAffected()
+	if err != nil {
+		return false, fmt.Errorf("store: добавление контакта: %w", err)
+	}
+	return n > 0, nil
+}
+
+// DeleteContact убирает чат из списка. Только своя строка: зеркальная
+// у собеседника остаётся, блокировок в v1 нет (ADR-019).
+func (s *Store) DeleteContact(ctx context.Context, nick, peer string) error {
+	if _, err := s.db.ExecContext(ctx, `DELETE FROM contacts WHERE nick = ? AND peer = ?`, nick, peer); err != nil {
+		return fmt.Errorf("store: удаление контакта: %w", err)
+	}
+	return nil
+}