Этап 6: закалка — лимиты ADR-021, аудит модели угроз, сверка документов

Лимиты: все четыре правила ADR-021 — регистрация 5/час на IP, вход 10/10 мин
на IP и ник, сообщения 30/мин, прочие изменяющие 60/мин; 429 с Retry-After;
X-Real-IP читается только с loopback, иначе адрес соединения — иначе заголовок
отменял бы лимит на IP; карты вёдер ограничены поколениями.

Аудит нашёл то, что пропустили пять раундов ревью:
ADR-056: nginx вёл access_log с IP и полными путями вопреки обещанию deploy.md.
Ники и социальный граф ложились в /var/log/nginx рядом с чистым журналом bare.
ADR-058: «выйти на других устройствах» не обрывал уже открытый SSE — отозванная
сессия продолжала получать сообщения.
ADR-059: промежуточный ключ комнаты был невосстановим. Участник, пропустивший
офлайн два rekey подряд, навсегда не расшифровал бы сообщения среднего ключа —
вопреки обещанию storage.md о повторной попытке после получения keyId.
ADR-063: ACK уходил по одному на конверт, а не пачкой. Получатель в оживлённой
комнате выедал общее ведро подтверждениями и упирался в 429 на всех изменяющих
запросах, включая выход из комнаты: 116 отказов за прогон стало нулём.
ADR-055, 057, 060, 061, 062: ключи вёдер и границы, +dirty у bare version,
403 unknown_device не хоронит сообщение, усечение имени в подсказке ввода,
kdf как оракул после повышения цели KDF.

Модель угроз пополнена тем, что действительно видит оператор: push-подписки
лежат в базе открытым текстом, и вместе с VAPID-ключом с той же машины это
произвольное уведомление на экране блокировки.

README приведён к v1.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/store/rooms.go

@@ -49,16 +49,18 @@ type WrappedKey struct {
 	CT string
 }
 
-// Room — комната и её состав. Key — текущий ключ того, кто спрашивает;
-// nil означает, что ключа у него нет. NeedsRekey — состав уменьшился,
-// а нового ключа ещё не было (ADR-041).
+// Room — комната и её состав. Keys — завёрнутые ключи того, кто
+// спрашивает, от старого к новому: сервер держит два последних keyId
+// (ADR-018) и отдаёт участнику все, иначе пропущенный в офлайне ключ
+// не добыть ничем (ADR-059). Пусто — ключей у него нет. NeedsRekey —
+// состав уменьшился, а нового ключа ещё не было (ADR-041).
 type Room struct {
 	ID         string
 	Name       string
 	Owner      string
 	Members    []string // по joined_at
 	CreatedAt  int64
-	Key        *RoomKey
+	Keys       []RoomKey
 	NeedsRekey bool
 }
 
@@ -71,15 +73,17 @@ type Recipient struct {
 }
 
 // RoomChange — итог изменения комнаты: кому уходит room, а кому room_left.
-// Room.Key всегда nil — ключ у каждого получателя свой, он в Recipient.
+// Room.Keys всегда пусты — ключ у каждого получателя свой, он в Recipient.
 type RoomChange struct {
 	Room    Room
 	Members []Recipient // итоговый состав
 	Left    []Recipient // выбывшие
 }
 
-// Rooms — комнаты, где пользователь участник, каждая с его текущим
-// ключом (docs/protocol.md, «Комнаты»).
+// Rooms — комнаты, где пользователь участник, каждая со всеми его
+// завёрнутыми ключами: сервер держит два последних keyId, и участник,
+// пропустивший rekey в офлайне, добирает пропущенный отсюда
+// (ADR-059, docs/protocol.md, «Комнаты»).
 func (s *Store) Rooms(ctx context.Context, nick string) ([]Room, error) {
 	rows, err := s.db.QueryContext(ctx, `
 		SELECT r.id, r.name, r.owner, r.created_at, r.needs_rekey
@@ -130,22 +134,25 @@ func (s *Store) Rooms(ctx context.Context, nick string) ([]Room, error) {
 		return nil, fmt.Errorf("store: состав комнат: %w", err)
 	}
 
-	keys, err := s.db.QueryContext(ctx, currentKeysQuery+` AND nick = ?`, nick)
+	// Порядок — от старого ключа к новому, тот же, что у обрезки
+	// и у «текущего» (ADR-042): последний в списке и есть текущий.
+	keys, err := s.db.QueryContext(ctx, `
+		SELECT room_id, key_id, sender, iv, ct FROM room_keys
+		WHERE nick = ? AND room_id IN (SELECT room_id FROM room_members WHERE nick = ?)
+		ORDER BY room_id, created_at, key_id`, nick, nick)
 	if err != nil {
 		return nil, fmt.Errorf("store: ключи комнат: %w", err)
 	}
 	defer keys.Close()
 
 	for keys.Next() {
-		// Второй столбец — ник владельца ключа, здесь он всегда nick.
-		var room, member string
+		var room string
 		var k RoomKey
-		if err := keys.Scan(&room, &member, &k.KeyID, &k.From, &k.IV, &k.CT); err != nil {
+		if err := keys.Scan(&room, &k.KeyID, &k.From, &k.IV, &k.CT); err != nil {
 			return nil, fmt.Errorf("store: ключи комнат: %w", err)
 		}
 		if i, ok := at[room]; ok {
-			key := k
-			out[i].Key = &key
+			out[i].Keys = append(out[i].Keys, k)
 		}
 	}
 	if err := keys.Err(); err != nil {