Files

T

mayatnikovandClaude Opus 5 0c878477d2 Этап 5: история — экспорт и импорт .bare, устройства, место, пагинация

Экспорт: ключ архива из секрета аккаунта через HKDF, заголовок ровно 65 байт
(magic, версия, соль, 32 сырых байта отпечатка владельца, iv) и он же целиком
AAD шифротекста. Ника владельца в файле нет. Импорт сверяет отпечаток до
расшифровки, сливает идемпотентно по id, а записи peers берёт только для
ников, которых в локальном TOFU ещё нет: архивом доверие к ключу не перебить.

Настройки: устройства с датой и пометкой «это устройство», «занято N МБ»,
кнопка «экспортировать» в подтверждении выхода и в подтверждении входа
под другим ником — долг этапа 1 и обещание ADR-029 закрыты.
Лента: страницы по 50 с подгрузкой вверх без прыжка прокрутки; новая
страница вставляется, а не пересобирает ленту.

ADR-050: импорт не перезаписывает лежащую запись — у своей есть состояние
отправки, которого в архиве нет.
ADR-054: архив — недоверенный ввод. Ревью собрало архивы с ts вне диапазона
Date, мусорным lastId, ником с bidi-переопределением и roomId с обходом пути:
каждый из них навсегда ломал ленту или счётчик. Теперь форма ника, roomId,
id, ts и автора проверяется, а lastId из файла не читается вовсе.
ADR-051, 052, 053: тексты и кнопки, устройства и место, страницы ленты
без виртуализации.

Приёмка: формат сверен побайтно на модулях, скачанных с боевого сервера, —
смещения заголовка, отпечаток сырыми байтами, новые соль и iv на каждый
экспорт, подмена любого байта заголовка ломает расшифровку, чужой секрет
не открывает, семь видов битых файлов отвергнуты.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

2026-08-23 02:57:51 +03:00

7.3 KiB

Raw Permalink Blame History

ADR-050: Импорт архива не перезаписывает то, что уже лежит

Контекст

docs/crypto.md описывает слияние одной строкой: «идемпотентное по id сообщений и id чатов». Что делать с записью, которая на устройстве уже есть, там не сказано, а вариантов два, и они дают разную историю.

ADR-034 такой же вопрос уже решал — для входящего из сети. Его довод к архиву не относится: id открыт собеседнику, и потому конверт с известным id игнорируется, а архив зашифрован секретом аккаунта, чужой его не соберёт. Значит правило нужно выбирать заново, а не наследовать.

Молчат и три соседних места. Счётчик непрочитанных и граница «новых» в архив не пишутся (docs/storage.md) — но что происходит с местными, когда приходит история за прошлый год, не сказано. pending — сообщение, набранное на другом устройстве и туда же не ушедшее, — по букве документа в архив попадает: текст у него есть. И lastId чата в архив попадает тоже, хотя указывает на последнюю строку чата, а ею бывает как раз то, чего в архиве нет.

Решение

Импорт не перезаписывает существующую запись сообщения. Своя запись знает то, чего в архиве нет: состояние отправки у каждого устройства своё — на одном сообщение failed, на другом то же самое доставлено, — а нерасшифрованная хранит raw.
Чат с известным id не перезаписывается. Меняется одно: lastId уезжает вперёд под самое новое из добавленного, иначе чат не встанет на своё место в списке.
lastId в архив не пишется. Устройство, принявшее архив, считает его само — по тому, что действительно добавило. Взятый из файла, он указывал бы на строку, которой в архиве нет: последней в чате бывает и неотправленная, и нерасшифрованная. Такой lastId ставит пустой чат в начало списка, а после открытия чата уезжает в lastReadId — и настоящее сообщение с тем же id, приехав позже, не поднимет счётчик.
Счётчик непрочитанных импорт не трогает: архив приносит переписку, а не отметки о прочтении. Граница «новых» едет за лентой: lastReadId уезжает под новый lastId, пока непрочитанных у чата нет; у чата с непрочитанным граница уже показывает на него и остаётся на месте. Счётчик и граница считаются от одной точки — иначе счётчик говорит «1», а линия отчёркивает всю привезённую переписку.
hidden в архив не пишется. «Убрать из списка» — решение устройства, а не история: перенесённое, оно спрятало бы привезённую переписку на новом устройстве, и показать её было бы нечем.
В архив уносится только отправленное — sent. pending и failed привязаны к устройству и к своему ULID (ADR-036): на другом устройстве «повторить» у такой записи отправит собеседнику второе сообщение, а сама запись, ушедшая после повтора под свежим id, вернётся из того же файла дублем. Нерасшифрованное не уносится тоже: без текста от записи остаётся один заголовок, а raw — служебное поле.
Ответ импорта — число добавленных сообщений: «добавлено N сообщений». Повторный импорт того же файла добавляет ноль.
Лента открытого чата после импорта перечитывается целиком: добавленное ложится в середину пачками по несколько тысяч, и перечня в событии нет.
Правила записаны в docs/storage.md, раздел «Экспорт .bare».

Следствия

Повторный импорт и склейка истории с двух устройств не создают дублей и не двигают ни одной прежней строки. Это верно и после «повторить»: отвергнутого в архиве нет.
Нерасшифрованное остаётся нерасшифрованным, даже когда в архиве есть его текст. Чинит это raw и появившийся ключ, а не файл. Цена принята: правило одно и без исключений, а исключение стоило бы разбора, чья запись новее.
Импорт истории годовой давности не превращает список чатов в стену непрочитанных и не отчёркивает её линией «новые».
Архив, собранный устройством, у которого что-то не ушло, не заставляет второе устройство отправлять это за него.
Неотправленное и отвергнутое живут ровно на одном устройстве. Потеря устройства без экспорта уносит их — как и всё, что не успело стать историей.
Чат, убранный из списка на одном устройстве, на другом виден: вместе с ним видна и привезённая переписка. Комната, из которой мы вышли, прячется обратно при следующем ready — состав комнаты знает сервер (ADR-044).
Чат, у которого в архиве нет ни одной строки истории, приезжает пустым и встаёт в конец списка: lastId у него пуст.

7.3 KiB Raw Permalink Blame History Unescape Escape

ADR-050: Импорт архива не перезаписывает то, что уже лежит

Контекст

Решение

Следствия

7.3 KiB

Raw Permalink Blame History