Этап 4: PWA и пуши — service worker, Web Push с VAPID, баннер установки

Сервер: пакет push на webpush-go (третья и последняя прямая зависимость),
подписка устройства, правило ADR-023 «пуш только молчащему устройству и только
один» через атомарный захват push_pending, удаление подписки на 404 и 410,
TTL сутки, urgency normal. В нагрузке только {title, body, chat} — тело
собирается из константы, плейнтекст туда не попадает даже по ошибке.

Клиент: service worker с версионированным кэшем оболочки и никогда — /api/*,
push и notificationclick, подписка на VAPID-ключ сервера, запрос разрешения
после первого отправленного сообщения, разделы настроек «уведомления»
и «установить приложение», баннер установки на iOS.

ADR-045: пуш адресован получателю — по букве ADR-023 он уходил бы и молчащему
устройству отправителя с бессмысленным заголовком из собственного ника.
ADR-047: сервер ходит на endpoint подписки, который выбирает браузер. Проверка
«только https» обходилась редиректом, а имя могло смотреть внутрь сети — теперь
запрет редиректов и проверка разрешённого адреса на уровне сокета.
ADR-048: пределы отправки — недоступный push-сервис одного аккаунта больше
не съедает пуши всего сервера.
ADR-049: явно выключенные уведомления сами не включаются обратно.

Попутно: webpush-go дописывает набивку в переданный срез, а одна нагрузка
уходила всем устройствам сообщения — гонка, пойманная go test -race.
Теперь у каждого задания своя копия.

Приёмка на боевом: подписки, hasPush, чужое устройство, Origin, оболочка
из девяти файлов, Service-Worker-Allowed. Отдельно шесть непубличных адресов
и endpoint на 3 КиБ — все отбиты.

Чеклист ручной проверки на iPhone и Android — в docs/plan.md.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/store/devices.go

@@ -127,3 +127,81 @@ func (s *Store) TouchDevice(ctx context.Context, id string, now int64) error {
 	}
 	return nil
 }
+
+// Push-подписка принадлежит устройству (ADR-023). Сервер хранит её как
+// непрозрачный JSON: разбирает его только отправитель пушей.
+
+// SetPush ставит подписку устройства и сбрасывает неотработанный пуш:
+// устройство снова готово его принять (ADR-023). Первое значение — было
+// ли такое устройство у этого пользователя.
+func (s *Store) SetPush(ctx context.Context, id, nick, subscription string) (bool, error) {
+	res, err := s.db.ExecContext(ctx, `
+		UPDATE devices SET push_subscription = ?, push_pending = 0
+		WHERE id = ? AND nick = ?`, subscription, id, nick)
+	if err != nil {
+		return false, fmt.Errorf("store: push-подписка: %w", err)
+	}
+	n, err := res.RowsAffected()
+	if err != nil {
+		return false, fmt.Errorf("store: push-подписка: %w", err)
+	}
+	return n > 0, nil
+}
+
+// ClearPush снимает подписку устройства. Подписки не было — это не
+// ошибка: снимать нечего.
+func (s *Store) ClearPush(ctx context.Context, id, nick string) (bool, error) {
+	res, err := s.db.ExecContext(ctx, `
+		UPDATE devices SET push_subscription = NULL WHERE id = ? AND nick = ?`, id, nick)
+	if err != nil {
+		return false, fmt.Errorf("store: снятие push-подписки: %w", err)
+	}
+	n, err := res.RowsAffected()
+	if err != nil {
+		return false, fmt.Errorf("store: снятие push-подписки: %w", err)
+	}
+	return n > 0, nil
+}
+
+// ClaimPush забирает право на пуш: устройству с подпиской и без
+// неотработанного пуша ставит push_pending = 1 и отдаёт подписку.
+// Второе значение — досталось ли право.
+//
+// Захват и проверка — один запрос: два сообщения подряд приходят
+// в разных горутинах, а молчащее устройство получает один пуш, не ленту
+// (ADR-023). Проигравший запрос уходит ни с чем.
+func (s *Store) ClaimPush(ctx context.Context, id string) (string, bool, error) {
+	var subscription string
+	err := s.db.QueryRowContext(ctx, `
+		UPDATE devices SET push_pending = 1
+		WHERE id = ? AND push_pending = 0 AND push_subscription IS NOT NULL
+		RETURNING push_subscription`, id).Scan(&subscription)
+	if errors.Is(err, sql.ErrNoRows) {
+		return "", false, nil
+	}
+	if err != nil {
+		return "", false, fmt.Errorf("store: захват пуша: %w", err)
+	}
+	return subscription, true, nil
+}
+
+// ReleasePush возвращает право на пуш: отправка не состоялась, значит
+// и неотработанного пуша у устройства нет. Иначе одна ошибка push-сервиса
+// затыкала бы уведомления устройства до следующего подключения по SSE.
+func (s *Store) ReleasePush(ctx context.Context, id string) error {
+	if _, err := s.db.ExecContext(ctx, `
+		UPDATE devices SET push_pending = 0 WHERE id = ?`, id); err != nil {
+		return fmt.Errorf("store: возврат пуша: %w", err)
+	}
+	return nil
+}
+
+// DropPush снимает мёртвую подписку: push-сервис ответил 404 или 410
+// (ADR-011). Неотработанного пуша заодно не остаётся — он никуда не ушёл.
+func (s *Store) DropPush(ctx context.Context, id string) error {
+	if _, err := s.db.ExecContext(ctx, `
+		UPDATE devices SET push_subscription = NULL, push_pending = 0 WHERE id = ?`, id); err != nil {
+		return fmt.Errorf("store: снятие мёртвой push-подписки: %w", err)
+	}
+	return nil
+}

internal/store/queue.go

@@ -55,6 +55,17 @@ func (s *Store) Ack(ctx context.Context, device string, ids []string) error {
 	return nil
 }
 
+// Target — устройство, которому конверт лёг в очередь. Ник рядом
+// с идентификатором нужен пушу: устройства отправителя пуша не получают
+// (ADR-045), а доля аккаунта в отправке ограничена (ADR-048). Признак
+// подписки — оттуда же: устройству без неё пуш не отправить, и место
+// в очереди отправки на него не тратится.
+type Target struct {
+	ID      string
+	Nick    string
+	HasPush bool
+}
+
 // Delivery — одна доставка: готовый конверт и всё, что нужно, чтобы
 // разложить его по очередям. Envelope сервер не разбирает, поэтому id
 // приходит отдельным полем. Заполнено ровно одно из To и Room — адресат
@@ -78,7 +89,7 @@ type Delivery struct {
 // не хранит, повтор порождает повторную доставку, а склеивает её клиент
 // (ADR-017). Поэтому вставка молча пропускает уже лежащую в очереди
 // строку, а список устройств от этого не зависит.
-func (s *Store) DeliverDM(ctx context.Context, d Delivery) ([]string, error) {
+func (s *Store) DeliverDM(ctx context.Context, d Delivery) ([]Target, error) {
 	tx, err := s.db.BeginTx(ctx, nil)
 	if err != nil {
 		return nil, fmt.Errorf("store: доставка: %w", err)
@@ -97,11 +108,11 @@ func (s *Store) DeliverDM(ctx context.Context, d Delivery) ([]string, error) {
 	if err != nil {
 		return nil, err
 	}
-	for _, id := range devices {
+	for _, device := range devices {
 		if _, err := tx.ExecContext(ctx, `
 			INSERT INTO queue (device_id, msg_id, envelope, created_at) VALUES (?, ?, ?, ?)
 			ON CONFLICT(device_id, msg_id) DO NOTHING`,
-			id, d.MsgID, d.Envelope, d.Now); err != nil {
+			device.ID, d.MsgID, d.Envelope, d.Now); err != nil {
 			return nil, fmt.Errorf("store: доставка (очередь): %w", err)
 		}
 	}
@@ -118,7 +129,7 @@ func (s *Store) DeliverDM(ctx context.Context, d Delivery) ([]string, error) {
 // Членство и keyId проверены раньше, отдельным запросом: между проверкой
 // и этой транзакцией состав мог измениться, поэтому получателей она берёт
 // из состава на момент доставки.
-func (s *Store) DeliverRoom(ctx context.Context, d Delivery) ([]string, error) {
+func (s *Store) DeliverRoom(ctx context.Context, d Delivery) ([]Target, error) {
 	tx, err := s.db.BeginTx(ctx, nil)
 	if err != nil {
 		return nil, fmt.Errorf("store: доставка в комнату: %w", err)
@@ -129,11 +140,11 @@ func (s *Store) DeliverRoom(ctx context.Context, d Delivery) ([]string, error) {
 	if err != nil {
 		return nil, err
 	}
-	for _, id := range devices {
+	for _, device := range devices {
 		if _, err := tx.ExecContext(ctx, `
 			INSERT INTO queue (device_id, msg_id, envelope, created_at) VALUES (?, ?, ?, ?)
 			ON CONFLICT(device_id, msg_id) DO NOTHING`,
-			id, d.MsgID, d.Envelope, d.Now); err != nil {
+			device.ID, d.MsgID, d.Envelope, d.Now); err != nil {
 			return nil, fmt.Errorf("store: доставка в комнату (очередь): %w", err)
 		}
 	}
@@ -144,48 +155,49 @@ func (s *Store) DeliverRoom(ctx context.Context, d Delivery) ([]string, error) {
 }
 
 // deviceIDs — устройства обоих собеседников, кроме отправившего.
-func deviceIDs(ctx context.Context, tx *sql.Tx, from, to, exclude string) ([]string, error) {
+func deviceIDs(ctx context.Context, tx *sql.Tx, from, to, exclude string) ([]Target, error) {
 	rows, err := tx.QueryContext(ctx, `
-		SELECT id FROM devices WHERE nick IN (?, ?) AND id <> ? ORDER BY id`, from, to, exclude)
+		SELECT id, nick, push_subscription IS NOT NULL
+		FROM devices WHERE nick IN (?, ?) AND id <> ? ORDER BY id`, from, to, exclude)
 	if err != nil {
 		return nil, fmt.Errorf("store: доставка (устройства): %w", err)
 	}
 	defer rows.Close()
 
-	var out []string
-	for rows.Next() {
-		var id string
-		if err := rows.Scan(&id); err != nil {
-			return nil, fmt.Errorf("store: доставка (устройства): %w", err)
-		}
-		out = append(out, id)
-	}
-	if err := rows.Err(); err != nil {
+	out, err := targets(rows)
+	if err != nil {
 		return nil, fmt.Errorf("store: доставка (устройства): %w", err)
 	}
 	return out, nil
 }
 
 // roomDeviceIDs — устройства всех участников комнаты, кроме отправившего.
-func roomDeviceIDs(ctx context.Context, tx *sql.Tx, room, exclude string) ([]string, error) {
+func roomDeviceIDs(ctx context.Context, tx *sql.Tx, room, exclude string) ([]Target, error) {
 	rows, err := tx.QueryContext(ctx, `
-		SELECT d.id FROM devices d JOIN room_members m ON m.nick = d.nick
+		SELECT d.id, d.nick, d.push_subscription IS NOT NULL
+		FROM devices d JOIN room_members m ON m.nick = d.nick
 		WHERE m.room_id = ? AND d.id <> ? ORDER BY d.id`, room, exclude)
 	if err != nil {
 		return nil, fmt.Errorf("store: доставка в комнату (устройства): %w", err)
 	}
 	defer rows.Close()
 
-	var out []string
-	for rows.Next() {
-		var id string
-		if err := rows.Scan(&id); err != nil {
-			return nil, fmt.Errorf("store: доставка в комнату (устройства): %w", err)
-		}
-		out = append(out, id)
-	}
-	if err := rows.Err(); err != nil {
+	out, err := targets(rows)
+	if err != nil {
 		return nil, fmt.Errorf("store: доставка в комнату (устройства): %w", err)
 	}
 	return out, nil
 }
+
+// targets собирает устройства получателей из выборки «id, nick, подписка».
+func targets(rows *sql.Rows) ([]Target, error) {
+	var out []Target
+	for rows.Next() {
+		var t Target
+		if err := rows.Scan(&t.ID, &t.Nick, &t.HasPush); err != nil {
+			return nil, err
+		}
+		out = append(out, t)
+	}
+	return out, rows.Err()
+}

internal/store/rooms.go

@@ -501,18 +501,33 @@ func (s *Store) DeleteRoom(ctx context.Context, roomID, owner string) (RoomChang
 	return change, nil
 }
 
-// RoomAccess — что сервер проверяет перед отправкой в комнату
-// (docs/protocol.md, «Сообщения»). keyId считается ключом комнаты, если
-// есть хоть одна строка room_keys с таким key_id (docs/storage.md).
-func (s *Store) RoomAccess(ctx context.Context, roomID, nick, keyID string) (member, knownKey bool, err error) {
-	err = s.db.QueryRowContext(ctx, `
-		SELECT EXISTS(SELECT 1 FROM room_members WHERE room_id = ? AND nick = ?),
-		       EXISTS(SELECT 1 FROM room_keys WHERE room_id = ? AND key_id = ?)`,
-		roomID, nick, roomID, keyID).Scan(&member, &knownKey)
-	if err != nil {
-		return false, false, fmt.Errorf("store: доступ к комнате: %w", err)
+// Access — что сервер знает о комнате перед отправкой в неё
+// (docs/protocol.md, «Сообщения»). Имя нужно заголовку пуша: «#имя
+// комнаты» (ADR-023).
+type Access struct {
+	Member   bool
+	KnownKey bool
+	Name     string
+}
+
+// RoomAccess — что сервер проверяет перед отправкой в комнату. keyId
+// считается ключом комнаты, если есть хоть одна строка room_keys с таким
+// key_id (docs/storage.md). Несуществующая комната отвечает пустым
+// Access: снаружи она неотличима от чужой.
+func (s *Store) RoomAccess(ctx context.Context, roomID, nick, keyID string) (Access, error) {
+	var a Access
+	err := s.db.QueryRowContext(ctx, `
+		SELECT r.name,
+		       EXISTS(SELECT 1 FROM room_members WHERE room_id = r.id AND nick = ?),
+		       EXISTS(SELECT 1 FROM room_keys WHERE room_id = r.id AND key_id = ?)
+		FROM rooms r WHERE r.id = ?`, nick, keyID, roomID).Scan(&a.Name, &a.Member, &a.KnownKey)
+	if errors.Is(err, sql.ErrNoRows) {
+		return Access{}, nil
 	}
-	return member, knownKey, nil
+	if err != nil {
+		return Access{}, fmt.Errorf("store: доступ к комнате: %w", err)
+	}
+	return a, nil
 }
 
 // currentKeysQuery — текущий ключ участника: строка room_keys с максимальным

internal/store/rooms_test.go

@@ -155,9 +155,12 @@ func TestRoomKeysWithinOneMillisecond(t *testing.T) {
 		}
 	}
 	// Свежим ключом можно писать: он остался ключом комнаты.
-	member, known, err := s.RoomAccess(ctx, "room-1", "marta", "aaa")
-	if err != nil || !member || !known {
-		t.Errorf("доступ по свежему ключу: member=%v known=%v err=%v", member, known, err)
+	access, err := s.RoomAccess(ctx, "room-1", "marta", "aaa")
+	if err != nil || !access.Member || !access.KnownKey {
+		t.Errorf("доступ по свежему ключу: %+v, %v", access, err)
+	}
+	if access.Name != "общая" {
+		t.Errorf("имя комнаты: получено %q, ожидалось \"общая\"", access.Name)
 	}
 }