migrations

Overview ¶

grant_removal_trace.go — миграция, СНИМАЮЩАЯ выдачи, обязана оставить след той формы, которую платформа для этого завела; и ни одна миграция не переносит выдачу с одной роли на другую.

Порт с монорепо (`internal/repohygiene/grantremovaltrace.go`, снят вынесением службы — `kacho#2597`; приёмка `seed-identity-names-its-own-service.md` §6 уже называла держателем `TestNoMigrationMovesGrantsBetweenRoles`, а он не существовал ни в одном файле — только в комментариях).

Предмет ¶

Строка `kaname.access_bindings` — это доступ, выданный арендатору. Миграция, удаляющая её, доступ ОТБИРАЕТ; и если рядом нет записи в журнал жизненного цикла выдачи, у которого есть читатель, то «отобрано» становится неотличимо от «никогда не выдавалось». Арендатор видит отсутствие права и не может узнать ни что оно было, ни когда исчезло, ни почему.

Замер на дне переезда (эта ревизия, `internal/migrations`) ¶

Корпус — 10 файлов. Ровно один называет таблицу выдач ОПЕРАТОРОМ удаления (`20260909202745_module_identities_leave_the_baseline.sql`), и он несёт след — вставку в `kaname.audit_outbox` — ДО удаления, в той же накатной половине. Храповик заведён нулём и это подтверждено переписью гейта, а не предположено: см. `TestMigrationRemovingGrantsLeavesATrace`.

Почему ХРАПОВИК, а не ведомость имён ¶

Применённую миграцию не правят (запрет #5) — значит найденную без следа придётся либо простить, либо держать ствол красным за прошлое. Ведомость имён растёт молча, и её никто не сверяет; число сверяется одним обходом и меняется только сознательно. Перечень имён при этом ПЕЧАТАЕТСЯ каждым прогоном — прощение остаётся видимым.

Храповик ДВУСТОРОННИЙ: находка приходит и на следующей миграции без следа, и на уменьшении числа прощённых. Односторонний потолок не истекает никогда и потому механизмом не является.

Почему снятие выдач У СУБЪЕКТА входит в класс ¶

Норма — про ОТОБРАННЫЙ ДОСТУП, а не про снятую роль: строки выдач исчезают одинаково, а служебная учётка — такой же первоклассный принципал, как человек.

Граница, названная честно ¶

Гейт судит НАКАТНУЮ половину: `DELETE` в откатной половине снимает СВОЮ ЖЕ вставку, откатываясь, и доступа не отбирает. Он не судит, ВЕРЕН ли текст оставленного следа и доедет ли он до читателя, — только что запись есть. И он ничего не говорит о выдачах, снятых прод-кодом: у того путь свой и свой журнал.

person_and_account_keys.go — каждый внешний ключ на `users` и `accounts` записан в ведомости вместе с действием и доводом (задача kaname#664, приёмка `own-account-and-identity-are-removed-in-order.md`, Р9, KN664-60/61).

Предмет ¶

Арендатор не мог уйти, потому что два ключа на `users` и `accounts` образовали цикл `RESTRICT`, а ещё три `RESTRICT` на `users` стояли на том же пути. Ни один из них не был ошибкой по отдельности — каждый заводился своей задачей без вопроса «как это снимается». Цикл вырос молча и молча вырастет снова, если новый ключ на эти таблицы не обязан называть своё действие.

Почему судится НАКАТАННАЯ схема, а не текст миграций ¶

Текстовая перепись не видит снятия таблицы вместе с её ключом и не различает ключ, объявленный в `CREATE TABLE`, и ключ `ADD CONSTRAINT` иначе, как разбором SQL. Каталог базы отвечает на сам вопрос: какие ключи на эти таблицы существуют после наката всей цепи. Поэтому держатель — интеграционная проба этого пакета, а судья ниже — чистая функция над тем, что она прочла.

Ведомость истекает сама ¶

Строка ведомости без ключа — находка, а не молчание: снятый ключ, о котором ведомость продолжает говорить, есть то же «два места об одном предмете».

sql_text.go — исполняемая часть миграции: Up-секция без комментариев и без содержимого строковых литералов.

Порт с монорепо (`internal/repohygiene/migrationsqltext.go`, снят вынесением службы — `kacho#2597`). Поведение переносом не менялось: функции перенесены дословно и экспортированы, чтобы их звала внешняя тестовая обёртка (`package migrations_test`), а не только пакет-владелец.

ЗДЕСЬ СТОЯЛО «в этом дереве сегодня один владелец — `grant_removal_trace.go`», и предостережение «заводя второй, проверь, не завёл ли кто-то копию». Оба пережили свой предмет, и второе не сработало НИ РАЗУ — именно потому, что первое лгало: читатель, которому сказали «владелец один», копию не искал.

Перемер 2026-09-14. ЕДИНИЦА СЧЁТА НАЗВАНА, потому что два образца об одном предмете дают разные числа: «файл называет имя» считает и прозу, и текст находки нового гейта (13), «файл ЗОВЁТ» считает вызовы (11). Ниже — второе.

git grep -lE '(MigrationUpSection|MigrationUpText)\(' -- '*.go' \
  | grep -v internal/migrations/sql_text.go       -> 11 файлов, из них 4 не-тестовых
git grep -ln 'strings.Index([a-z]*, *"-\{0,2\} *+goose' -- '*.go'  -> 8, все _test.go

До сведения СВОИХ разрезов в дереве было одиннадцать, и они давали ПЯТЬ разных ответов на вопрос «что делать с файлом без маркера прямого хода»: отдать тело ЦЕЛИКОМ вместе с откатом · отдать пустую строку · отдать всё от начала · отказать · не спрашивать вовсе. Две копии жили в не-тестовом коде гейтов и сведены сюда (`kacho#2363`); восемь остались в пробах, где директива есть СОДЕРЖИМОЕ фикстуры, и это названная граница, а не чистота.

ДЕРЖИТСЯ ГЕЙТОМ, А НЕ ЭТОЙ ФРАЗОЙ: `internal/check` — `TestMigrationSectionSplitIsDeclaredOnce` требует, чтобы директива секции была выписана литералом только здесь, печатает объём осмотренного и падает на пустом обходе. Предостережение без держателя — то, что здесь уже стояло.