release: glchat 0.1.1

Версия — в одном месте: файл VERSION в корне, из него её берут Makefile, deploy/install.sh (IMAGE_TAG) и desktop-обёртка (tauri.conf.json, Cargo.toml). Публикация обновлений (scripts/desktop-release.sh): - манифесты прошлых релизов удаляются: оставшийся <старая версия>.json перекрывал новый релиз — обёртка спрашивает манифест своей версии и видела «обновлений нет»; - mktemp-каталог раскладки получает 755, каталоги на инстансе нормализуются: rsync -a переносил режим 0700 на корень каталога обновлений, и приложение не могло читать манифесты (404 при живых файлах); - --remote работает без TTY и без sudo, если каталог обновлений записываем; опции ssh — в GLCHAT_SSH_OPTS; - предупреждение при публикации версии старше уже опубликованной. Сервер: HEAD /updates/... (chi не выводит его из GET) — размер и тип артефакта без скачивания; тест TestUpdatesAnswersHead. Приёмка на живом канале: 0.1.0 → 0.1.1 на стенде (скачивание, проверка подписи, установка, перезапуск), /Applications/glchat.app = 0.1.1.
fix(cli): не отдавать stdin обёртки командам обслуживания
2026-09-26 20:14:25 +03:00 · 2026-09-26 18:40:46 +03:00 · 2026-09-26 18:32:51 +03:00
17 changed files with 591 additions and 49 deletions
@@ -3,7 +3,10 @@ SHELL := /usr/bin/env bash

 APP              := glchat
 MODULE           := glchat
-VERSION          ?= $(shell git describe --tags --always --dirty 2>/dev/null || echo dev)
+# Версия релиза — единственный источник правды: файл VERSION в корне (его же
+# читает установщик, а tauri.conf.json/Cargo.toml держат то же значение).
+# Без файла (например, в архиве без него) работает прежнее правило по git.
+VERSION          ?= $(shell cat $(CURDIR)/VERSION 2>/dev/null || git describe --tags --always --dirty 2>/dev/null || echo dev)
 COMMIT           ?= $(shell git rev-parse --short HEAD 2>/dev/null || echo none)
 BUILD_DATE       ?= $(shell date -u +%Y-%m-%dT%H:%M:%SZ)

@@ -0,0 +1 @@
+0.1.1
@@ -38,6 +38,8 @@ func runCLI(args []string) int {
 		return cliTOTPReset(args[1:])
 	case "create-user":
 		return cliCreateUser(args[1:])
+	case "delete-user":
+		return cliDeleteUser(args[1:])
 	case "cleanup":
 		return cliCleanup(args[1:])
 	case "reindex":
@@ -278,8 +280,6 @@ func cliSetInstanceAdmin(command string, args []string) int {
 	})
 }

-// cliCleanup запускает чистку вручную: сессии, аудит и файлы без ссылок
-// (AGENT.md 6.4, 10.7).
 // cliCreateUser создаёт аккаунты по команде обслуживания: регистрация на
 // инстансе может быть выключена, а для нагрузочного теста (AGENT.md 11.4)
 // нужны десятки пользователей. Пароль задаёт оператор, аккаунты создаются без
@@ -381,6 +381,51 @@ func cliCreateUser(args []string) int {
 	return 0
 }

+// cliDeleteUser мягко удаляет аккаунт по команде обслуживания — ровно то же,
+// что делает админ-панель инстанса (`DELETE /instance/users/{id}`): запись
+// пользователя остаётся, но он исчезает из серверов, списков и сессий, а
+// сообщения и журнал аудита сохраняются (AGENT.md 6.4). Аккаунт инстанс-админа
+// удалить нельзя: это оставило бы инстанс без администратора — сначала
+// `glchat remove-admin`.
+func cliDeleteUser(args []string) int {
+	flags := flag.NewFlagSet("delete-user", flag.ContinueOnError)
+	email := flags.String("email", "", "email пользователя")
+	yes := flags.Bool("yes", false, "подтверждение удаления (без него команда только показывает, что будет удалено)")
+	positional := flags.Args()
+	if err := flags.Parse(args); err != nil {
+		return 2
+	}
+	if *email == "" && len(positional) > 0 {
+		*email = positional[0]
+	}
+	if *email == "" {
+		fmt.Fprintln(os.Stderr, "glchat delete-user: укажите email")
+		return 2
+	}
+
+	return withServices(func(ctx context.Context, st *store.Store, authService *auth.Service, _ config.Config) error {
+		user, err := authService.UserByEmail(ctx, *email)
+		if err != nil {
+			return fmt.Errorf("пользователь с таким email не найден")
+		}
+		if user.IsInstanceAdmin {
+			return fmt.Errorf("аккаунт %s — администратор инстанса: сначала снимите права командой glchat remove-admin", user.Username)
+		}
+		if !*yes {
+			fmt.Printf("будет удалён аккаунт %s <%s> (id %d): сессии отзываются, участие в серверах снимается,\n"+
+				"сообщения и журнал аудита остаются. Ничего не удалено — повторите с --yes.\n", user.Username, *email, user.ID)
+			return nil
+		}
+		if err := st.SoftDeleteUser(ctx, user.ID); err != nil {
+			return err
+		}
+		fmt.Printf("аккаунт %s <%s> удалён, сессии отозваны\n", user.Username, *email)
+		return nil
+	})
+}
+
+// cliCleanup запускает чистку вручную: сессии, аудит и файлы без ссылок
+// (AGENT.md 6.4, 10.7).
 func cliCleanup(args []string) int {
 	flags := flag.NewFlagSet("cleanup", flag.ContinueOnError)
 	auditDays := flags.Int("audit-days", -1, "сколько дней хранить журнал аудита (по умолчанию из конфигурации)")
@@ -38,12 +38,12 @@ func main() {
 		os.Exit(healthcheck())
 	}
 	// Подкоманды обслуживания (AGENT.md 10.7): bootstrap-admin, reset-password,
-	// make-admin, remove-admin, totp-setup, totp-reset, cleanup, reindex.
-	// Остальные команды реализует shell-обёртка glchat.
+	// make-admin, remove-admin, totp-setup, totp-reset, create-user, delete-user,
+	// cleanup, reindex. Остальные команды реализует shell-обёртка glchat.
 	if len(os.Args) > 1 {
 		switch os.Args[1] {
 		case "bootstrap-admin", "reset-password", "make-admin", "remove-admin", "totp-setup", "totp-reset",
-			"create-user", "cleanup", "reindex", "vapid-keys":
+			"create-user", "delete-user", "cleanup", "reindex", "vapid-keys":
 			os.Exit(runCLI(os.Args[1:]))
 		}
 	}
@@ -36,9 +36,12 @@ glchat — управление инстансом
  glchat restore <файл>         восстановление из бэкапа
  glchat verify-backup <файл>   проверить бэкап, не трогая данные
  glchat update [--channel X]   обновление (бэкап → pull → up → smoke)
-  glchat reset-password <email> сброс пароля пользователя (фаза 1)
-  glchat make-admin <email>     выдать права инстанс-админа (фаза 1)
-  glchat remove-admin <email>   снять права инстанс-админа (фаза 1)
+  glchat reset-password <email> сброс пароля пользователя; --password <пароль>
+  glchat make-admin <email>     выдать права инстанс-админа
+  glchat remove-admin <email>   снять права инстанс-админа
+  glchat totp-setup <email>     включить 2FA и напечатать секрет с резервными кодами
+  glchat totp-reset <email>     удалить секрет 2FA (потеря устройства и кодов)
+  glchat delete-user <email>    мягко удалить аккаунт (нужен --yes)
  glchat unban <ip>             снять бан fail2ban (jail'ы этого хоста;
                                на внешнем прокси — fail2ban-client там)
  glchat fail2ban-status        статус jails и забаненных IP
@@ -223,32 +226,46 @@ cmd_verify_backup() {
    GLCHAT_ETC_DIR="${GLCHAT_ETC_DIR}" bash "${GLCHAT_ETC_DIR}/verify-backup.sh" "$@"
 }

-cmd_reindex() {
+# app_cli выполняет подкоманду обслуживания внутри контейнера приложения
+# (AGENT.md 10.7): команды, которым нужна БД, живут в Go-бинарнике, а shell-обёртка
+# доставляет их с хоста. `</dev/null` обязателен: `docker compose exec -T`
+# подключает stdin и без этого съедает его у вызывающего скрипта — а обёртку
+# часто зовут из скрипта, поданного на stdin (`ssh … bash -s`), и он обрывался
+# после первой же команды.
+app_cli() {
    require_stack
-    ${COMPOSE} exec -T app glchat reindex
+    ${COMPOSE} exec -T app glchat "$@" </dev/null
+}
+
+# cmd_reindex пересобирает индекс полнотекстового поиска (AGENT.md 10.7).
+cmd_reindex() {
+    app_cli reindex
 }

 # cmd_vapid_keys печатает новую пару VAPID-ключей (Фаза 7): строки из вывода
 # добавляются в .env инстанса вручную — смена ключа отзывает все подписки,
 # поэтому автоматически её никто не делает.
 cmd_vapid_keys() {
-    require_stack
-    ${COMPOSE} exec -T app glchat vapid-keys "$@"
+    app_cli vapid-keys "$@"
 }

 # cmd_cleanup запускает чистку данных вручную: те же правила, что у
 # периодического обслуживания (AGENT.md 6.4).
 cmd_cleanup() {
-    require_stack
-    ${COMPOSE} exec -T app glchat cleanup "$@"
+    app_cli cleanup "$@"
 }

 # cmd_create_user создаёт аккаунты командой обслуживания: регистрация может
 # быть выключена, а для нагрузочного теста нужны десятки пользователей
 # (AGENT.md 10.7, 11.4). Флаг --sessions сразу выдаёт сессии для генератора.
 cmd_create_user() {
-    require_stack
-    ${COMPOSE} exec -T app glchat create-user "$@"
+    app_cli create-user "$@"
+}
+
+# cmd_account обслуживает аккаунт: сброс пароля, права инстанс-админа, 2FA и
+# мягкое удаление (AGENT.md 10.7) — тонкая обёртка над подкомандами бинарника.
+cmd_account() {
+    app_cli "$@"
 }

 main() {
@@ -261,9 +278,10 @@ main() {
        backup) cmd_backup "$@" ;;
        restore) cmd_restore "$@" ;;
        update) cmd_update "$@" ;;
-        reset-password | make-admin | remove-admin)
-            echo "glchat ${cmd}: команда появится в фазе 1 (аккаунты и инстанс)." >&2
-            exit 1
+        reset-password | make-admin | remove-admin | totp-setup | totp-reset | delete-user)
+            # Команды аккаунтов живут в Go-бинарнике (AGENT.md 10.7): обёртка
+            # только доставляет их в контейнер приложения.
+            cmd_account "$cmd" "$@"
            ;;
        unban) cmd_unban "$@" ;;
        fail2ban-status) cmd_fail2ban_status "$@" ;;
@@ -105,7 +105,11 @@ ENABLE_UFW="${ENABLE_UFW:-true}"
 ENABLE_NFTABLES="${ENABLE_NFTABLES:-true}"
 ENABLE_SSH_HARDENING="${ENABLE_SSH_HARDENING:-true}"
 APP_IMAGE="${APP_IMAGE:-glchat:local}"
-IMAGE_TAG="${IMAGE_TAG:-v0.1.0}"
+# Версия образа: файл VERSION в корне репозитория (тот же, что читает Makefile и
+# держит desktop-обёртка), с запасным значением для установки без репозитория.
+SCRIPT_VERSION="$(cat "${REPO_DIR}/VERSION" 2>/dev/null || true)"
+SCRIPT_VERSION="${SCRIPT_VERSION:-0.1.0}"
+IMAGE_TAG="${IMAGE_TAG:-v${SCRIPT_VERSION#v}}"
 # Тег + digest: реестр может перезаписать тег, digest фиксирует содержимое
 # (AGENT.md 11.3). Обновление — заменить digest после проверки образа.
 CADDY_IMAGE_TAG="${CADDY_IMAGE_TAG:-2.10-alpine@sha256:4c6e91c6ed0e2fa03efd5b44747b625fec79bc9cd06ac5235a779726618e530d}"
@@ -1734,7 +1738,7 @@ start_stack() {
 bootstrap_admin() {
    info "bootstrap инстанса (админ, главный сервер, роли)"
    if [ -z "$ADMIN_EMAIL" ]; then
-        warn "админ не задан (--admin): bootstrap будет выполнен вручную в фазе 1"
+        warn "админ не задан (--admin): bootstrap пропущен — создайте администратора командой glchat bootstrap-admin --email <email>"
        return 0
    fi
    if [ "$DRY_RUN" = "1" ]; then
@@ -1746,7 +1750,7 @@ bootstrap_admin() {
        --instance-name "$INSTANCE_NAME" --main-guild "$MAIN_GUILD_NAME" >/dev/null 2>&1; then
        ok "инстанс-админ создан"
    else
-        warn "bootstrap-admin недоступен в этой версии образа (появится в фазе 1); данные сохранены в .env"
+        warn "bootstrap-admin не выполнился: посмотрите 'docker logs glchat-app' и повторите вручную — glchat bootstrap-admin --email <email>; данные сохранены в .env"
    fi
    # 2FA обязательна для инстанс-админов (AGENT.md 7.19): секрет и резервные
    # коды печатает команда totp-setup. По умолчанию не выполняем её, чтобы
@@ -134,25 +134,68 @@ Caddy не нужна: и встроенный Caddy профиля, и внеш
 └── darwin/aarch64/
    ├── glchat.app.tar.gz         # артефакт релиза (создаёт tauri build)
    ├── glchat.app.tar.gz.sig     # подпись ed25519 (формат minisign)
-    ├── 0.1.0.json                # манифест версии
+    ├── 0.1.1.json                # манифест текущего релиза
    └── latest.json               # манифест последнего релиза — его и отдаёт инстанс
 ```

-Публикация релиза:
+Манифестов прошлых релизов в каталоге быть не должно: обёртка спрашивает
+`/updates/{target}/{arch}/{своя версия}`, и оставшийся `<старая версия>.json`
+перекрыл бы новый релиз — клиент со старой версией получил бы «обновлений нет».
+Публикующий скрипт сам убирает такие файлы (см. ниже).
+
+## Выпуск релиза
+
+Версия живёт в одном месте — файл `VERSION` в корне репозитория; из него её
+берут `Makefile` (версия сервера и образов), `deploy/install.sh` (`IMAGE_TAG`)
+и desktop-обёртка (`desktop/src-tauri/tauri.conf.json` + `Cargo.toml` — их
+значения должны совпадать с `VERSION`).
+
+1. Поднять версию:

   ```bash
-make desktop-build                              # собрать бандл (.app/.dmg) и артефакты обновления
-sudo make desktop-release                       # разложить в /opt/glchat/updates + создать манифест
-make desktop-release-upload HOST=user@server    # то же, но по SSH (sudo спросит пароль в терминале)
-make desktop-release ARGS='--dry-run'           # посмотреть план, ничего не записывая
+   echo 0.1.2 > VERSION                       # версия сервера и обёртки
+   # те же значения — в desktop/src-tauri/tauri.conf.json, Cargo.toml, Cargo.lock
+   make web-build && make build               # сервер собирается с новой версией
   ```

+2. Проверки и сборка бандла:
+
+   ```bash
+   make go-lint && go test -tags sqlite_fts5 -race -count=1 ./internal/...
+   cd web && npm run check && npm run lint && npm test && cd ..
+   make desktop-check                         # fmt, clippy, cargo test
+   make desktop-build                         # .app + .dmg + артефакты обновления
+   ```
+
+3. Зафиксировать и пометить релиз:
+
+   ```bash
+   git add VERSION Makefile deploy/install.sh desktop/src-tauri scripts/desktop-release.sh
+   git commit -m "release: 0.1.2"
+   git tag -a v0.1.2 -m "glchat 0.1.2" && git push origin main --tags
+   ```
+
+4. Опубликовать обновление на инстансе:
+
+   ```bash
+   sudo make desktop-release                                   # локальный инстанс
+   make desktop-release-upload HOST=user@server                # по SSH (sudo спросит пароль)
+   make desktop-release-upload HOST=user@server \
+     GLCHAT_SSH_OPTS="-i ~/.ssh/key -o IdentitiesOnly=yes"     # свой ключ, без TTY (CI)
+   make desktop-release ARGS='--dry-run'                       # посмотреть план
+   ```
+
+5. Проверить канал и живьём обновиться со старой версии — см. следующий раздел.
+
 Скрипт `scripts/desktop-release.sh` берёт версию из `tauri.conf.json`, сам
 определяет target/arch по имени артефакта, копирует артефакт и `.sig`, собирает
-манифест (`version`, `notes`, `pub_date`, `platforms.<target>-<arch>.signature/url`)
-и кладёт его и как `<version>.json`, и как `latest.json`. Несколько платформ
-одной версии (macOS + Windows + Linux) складываются в один манифест: запускайте
-скрипт по разу на артефакт.
+манифест (`version`, `notes`, `pub_date`, `platforms.<target>-<arch>.signature/url`),
+кладёт его и как `<version>.json`, и как `latest.json`, а манифесты прошлых
+релизов убирает. Несколько платформ одной версии (macOS + Windows + Linux)
+складываются в один манифест: запускайте скрипт по разу на артефакт. Каталог
+обновлений на инстансе обычно принадлежит root — тогда rsync идёт через sudo;
+если каталог записываем (стенд), sudo не нужен и загрузка работает без
+терминала.

 `latest.json` нужен потому, что обёртка приходит со **своей установленной**
 версией: «новее ли релиз» решает клиент сравнением semver
@@ -169,7 +212,8 @@ catch-all `handle` и доходит до приложения (так же, к
 Проверка (стенд):

 ```bash
-curl -s https://gl.mhspx.su/updates/darwin/aarch64/0.1.0 | jq .
+curl -s https://gl.mhspx.su/updates/darwin/aarch64/0.1.0 | jq .   # манифест для старой версии
+curl -sI https://gl.mhspx.su/updates/darwin/aarch64/glchat.app.tar.gz | head -3  # 200 + размер
 # в логе обёртки (~/Library/Logs/su.mhspx.glchat/glchat.log) —
 # «обновлений нет» (манифест разобран) вместо
 # «проверка обновлений не удалась: … 404»
@@ -179,6 +223,32 @@ curl -s https://gl.mhspx.su/updates/darwin/aarch64/0.1.0 | jq .
 подтверждение в диалоге (во время звонка перезапуск без согласия не делается) →
 подпись проверяется до установки, downgrade отклоняется.

+### Приёмка релиза на живом инстансе (26.09.2026, 0.1.0 → 0.1.1)
+
+Проверено на боевом канале стенда, без локальных заглушек:
+
+- манифест опубликован `scripts/desktop-release.sh --remote`, артефакт
+  `glchat.app.tar.gz` (3 204 953 Б) и подпись лежат в
+  `/opt/glchat/updates/darwin/aarch64/`;
+- обёртка 0.1.0, запущенная с `--update-now`, в журнале (UTC) показала:
+  `доступно обновление 0.1.1` → `тихое обновление по флагу: 0.1.0 → 0.1.1` →
+  `обновление 0.1.1 установлено, перезапуск` → `обёртка запущена: версия=0.1.1` →
+  `обновлений нет` (17:08:23–17:08:25Z);
+- запрос старой версии `GET /updates/darwin/aarch64/0.1.0` отдаёт манифест
+  **0.1.1** — это и есть та точка, где раньше мешал оставшийся `0.1.0.json`;
+- `/Applications/glchat.app` после установки — 0.1.1, ярлык на рабочем столе
+  (`~/Desktop/glchat.app`) указывает на него.
+
+**Важно про место установки.** `tauri-plugin-updater` распаковывает обновление
+во временный каталог и переносит бандл `rename(2)`. Если приложение лежит на
+другом томе, чем временный каталог (например, на внешнем диске
+`/Volumes/…`, а `TMPDIR` — на загрузочном), установка падает с
+`установка обновления не удалась: Cross-device link (os error 18)`, хотя
+скачивание и проверка подписи проходят. Поэтому приложение для автообновления
+надо держать на загрузочном томе — так делает `.dmg` (ставит в `/Applications`);
+ярлык на рабочем столе лучше вести на `/Applications/glchat.app`, а не на
+сборку в репозитории.
+
 ### Локальная проверка «поверх старой версии» (без стенда)

 Установка обновления проверена локально на настоящем сервере инстанса: сборка
@@ -1474,7 +1474,7 @@ dependencies = [

 [[package]]
 name = "glchat-desktop"
-version = "0.1.0"
+version = "0.1.1"
 dependencies = [
 "log",
 "serde",
@@ -1,6 +1,6 @@
 [package]
 name = "glchat-desktop"
-version = "0.1.0"
+version = "0.1.1"
 description = "glchat — desktop-обёртка вокруг веб-клиента (Tauri 2)"
 authors = ["glchat"]
 license = "AGPL-3.0-or-later"
@@ -1,7 +1,7 @@
 {
  "$schema": "https://schema.tauri.app/config/2",
  "productName": "glchat",
-  "version": "0.1.0",
+  "version": "0.1.1",
  "identifier": "su.mhspx.glchat",
  "build": {
    "frontendDist": "./ui"
@@ -291,9 +291,13 @@ func (s *Server) registerRoutes(router chi.Router) {
 	// Манифест автообновления desktop-обёртки (docs/client-tauri.md §4): обычная
 	// статика без сессии — обёртка проверяет обновления до входа в аккаунт.
 	// Обработчик берётся через поле, а не значением метода: каталог обновлений
-	// задаётся конфигом и в тестах подменяется до первого запроса.
+	// задаётся конфигом и в тестах подменяется до первого запроса. HEAD
+	// регистрируется отдельно (chi не выводит его из GET): по нему удобно
+	// проверять размер и тип артефакта, не скачивая его.
 	router.Get("/updates/*", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
 	router.Get("/updates", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
+	router.Head("/updates/*", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })
+	router.Head("/updates", func(w http.ResponseWriter, r *http.Request) { s.updates.serve(w, r) })

 	router.NotFound(s.handleFallback)
 	router.MethodNotAllowed(func(w http.ResponseWriter, _ *http.Request) {
@@ -108,6 +108,27 @@ func TestUpdatesServesArtifactAndSignature(t *testing.T) {
 	}
 }

+// TestUpdatesAnswersHead: HEAD отдаёт заголовки файла без тела — по нему
+// удобно проверять размер и тип артефакта, не скачивая его (chi не выводит
+// HEAD из GET, маршрут регистрируется отдельно).
+func TestUpdatesAnswersHead(t *testing.T) {
+	srv, _ := updatesFixture(t)
+
+	rec := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(rec,
+		httptest.NewRequestWithContext(context.Background(), http.MethodHead,
+			"/updates/darwin/aarch64/glchat_0.2.0_aarch64.app.tar.gz", nil))
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rec.Code)
+	}
+	if rec.Body.Len() != 0 {
+		t.Errorf("тело ответа на HEAD = %q, want пусто", rec.Body.String())
+	}
+	if rec.Header().Get("Content-Length") == "" {
+		t.Error("HEAD без Content-Length: размер артефакта не узнать")
+	}
+}
+
 // TestUpdatesMissingManifestIsNotFound: неизвестная версия — честный 404, а не
 // SPA-заглушка: иначе обёртка получила бы HTML вместо манифеста.
 func TestUpdatesMissingManifestIsNotFound(t *testing.T) {
@@ -10,7 +10,13 @@
 #   3. пишет манифест <каталог>/<target>/<arch>/<version>.json и его копию
 #      latest.json — её инстанс отдаёт в ответ на
 #      GET /updates/{target}/{arch}/{current_version} (обёртка приходит со
-#      своей установленной версией, а «новее ли релиз» решает клиент).
+#      своей установленной версией, а «новее ли релиз» решает клиент);
+#   4. убирает манифесты прошлых релизов (`<старая версия>.json`): обёртка
+#      спрашивает манифест своей версии, и оставшийся файл перекрыл бы новый
+#      релиз — клиент со старой версией не увидел бы обновления вовсе.
+#
+# Версия релиза берётся из desktop/src-tauri/tauri.conf.json, а та — из файла
+# VERSION в корне репозитория (единый источник версии, см. desktop/README.md).
 #
 # Приватный ключ подписи не нужен: подпись уже лежит рядом с артефактом (её
 # делает `make desktop-build`), сервер только отдаёт файлы, а проверяет
@@ -67,7 +73,8 @@ desktop-release.sh — раскладка артефактов обновлен
  --dir DIR         каталог обновлений (по умолчанию $GLCHAT_UPDATES_DIR или /opt/glchat/updates)
  --base-url URL    публичный адрес инстанса для ссылок (по умолчанию https://gl.mhspx.su)
  --notes TEXT      текст «что нового» в манифесте
-  --remote HOST     разложить в --dir на удалённом хосте: rsync через sudo по SSH
+  --remote HOST     разложить в --dir на удалённом хосте: rsync по SSH (через
+                    sudo, если каталог не записываем; опции ssh — GLCHAT_SSH_OPTS)
  --dry-run         показать план, ничего не записывать
  -h, --help        эта справка
 EOF
@@ -128,6 +135,27 @@ have() { command -v "$1" >/dev/null 2>&1; }
 have jq || die "нужен jq (генерация манифеста)"
 BASE_URL="${BASE_URL%/}"

+# newer_version <a> <b> → true, если a новее b. Сравниваем по числам (0.1.10
+# новее 0.1.9 — обычное сравнение строк тут ошибается), недостающие части
+# считаем нулями.
+newer_version() {
+    jq -n --arg a "$1" --arg b "$2" '
+        def parts: split(".") | map(tonumber? // 0) | . + [0, 0, 0] | .[0:3];
+        (($a | parts) > ($b | parts))'
+}
+
+# drop_stale_manifests <каталог> — убирает манифесты прошлых релизов, оставляя
+# только манифест публикуемой версии и latest.json.
+#
+# Зачем: обёртка спрашивает `/updates/{target}/{arch}/{своя_версия}`, сервер
+# отдаёт `<версия>.json`, а если его нет — latest.json. Файл прошлого релиза
+# (например 0.1.0.json) перекрывал бы новый: клиент со старой версией получал бы
+# «обновлений нет» и автообновление не приходило бы никому.
+drop_stale_manifests() {
+    find "$1" -maxdepth 1 -type f -name '*.json' \
+        ! -name "${VERSION}.json" ! -name latest.json -print -delete
+}
+
 # --- сбор артефактов ------------------------------------------------------

 # Версия релиза: единственный источник правды — tauri.conf.json
@@ -183,6 +211,11 @@ arch_from_name() {
 # и тем же кодом.
 STAGE="$(mktemp -d)"
 trap 'rm -rf "$STAGE"' EXIT
+# mktemp создаёт каталог с режимом 0700, а rsync -a переносит атрибуты корня
+# источника на корень назначения: каталог обновлений на инстансе становился
+# 0700 и приложение (другой пользователь) переставало читать манифесты —
+# /updates/… отвечал 404, хотя файлы лежали на месте.
+chmod 755 "$STAGE"
 : >"${STAGE}/layout.txt"
 PLATFORMS_FILE="${STAGE}/platforms.json"
 printf '{}' >"$PLATFORMS_FILE"
@@ -251,6 +284,15 @@ if [ -z "$REMOTE" ]; then
    while read -r target arch artifact_name; do
        install_dir="${UPDATES_DIR}/${target}/${arch}"
        mkdir -p "$install_dir"
+        # Понижение версии ничего не сломает (клиент отвергает даунгрейд), но
+        # публиковать его бессмысленно — предупреждаем.
+        if [ -f "${install_dir}/latest.json" ]; then
+            published="$(jq -r '.version // empty' "${install_dir}/latest.json" 2>/dev/null || true)"
+            if [ -n "$published" ] && [ "$published" != "$VERSION" ] &&
+                [ "$(newer_version "$published" "$VERSION")" = "true" ]; then
+                warn "в ${install_dir} уже опубликована версия ${published} — она новее ${VERSION}: обёртки её не увидят"
+            fi
+        fi
        cp -f "${STAGE}/${target}/${arch}/${artifact_name}" "${install_dir}/${artifact_name}"
        cp -f "${STAGE}/${target}/${arch}/${artifact_name}.sig" "${install_dir}/${artifact_name}.sig"
        # Манифест этой версии мог уже существовать (другая платформа той же
@@ -264,8 +306,14 @@ if [ -z "$REMOTE" ]; then
        # latest.json указывает на последнюю опубликованную версию для этой
        # платформы: именно её отдаёт инстанс на запрос обёртки.
        cp -f "$PLATFORMS_FILE" "${install_dir}/latest.json"
+        drop_stale_manifests "$install_dir" | while read -r stale; do
+            info "убран манифест прошлого релиза: ${stale}"
+        done
        chmod 644 "${install_dir}/${artifact_name}" "${install_dir}/${artifact_name}.sig" \
            "${install_dir}/${VERSION}.json" "${install_dir}/latest.json"
+        # Каталоги — 755: приложение читает их под другим пользователем, а
+        # манифест прошлого релиза мог прийти с чужого стенда с режимом 700.
+        find "$install_dir" -type d -exec chmod 755 {} +
        ok "разложено в ${install_dir}"
    done <"${STAGE}/layout.txt"

@@ -282,13 +330,40 @@ fi

 # --- доставка на удалённый инстанс ---------------------------------------

-# Каталог обновлений принадлежит root (его создаёт установщик), поэтому на
-# удалённой стороне rsync запускается через sudo: пароль спросит ssh -t.
+# Каталог обновлений обычно принадлежит root (его создаёт установщик) — тогда
+# rsync на удалённой стороне идёт через sudo и пароль спрашивает ssh -t. Но
+# каталог может быть и пользовательским (например, на стенде): если он
+# записываем, sudo не нужен вовсе, и загрузка работает без терминала (CI,
+# `ssh` без TTY). Дополнительные опции ssh — в GLCHAT_SSH_OPTS.
 have rsync || die "нужен rsync для --remote"
-info "загружаем на ${REMOTE}:${UPDATES_DIR} (sudo спросит пароль)"
-rsync -az --rsync-path="sudo rsync" -e "ssh -t" "${STAGE}/" "${REMOTE}:${UPDATES_DIR}/" ||
+# Опции ssh задаются строкой (её разбиение по словам здесь намеренное) — так
+# скрипт работает и на bash 3.2 из macOS, где пустой массив под `set -u` падает.
+# shellcheck disable=SC2086
+SSH_EXTRA="${GLCHAT_SSH_OPTS:-}"
+
+if ssh ${SSH_EXTRA} -o BatchMode=yes "$REMOTE" "test -w '${UPDATES_DIR}'" >/dev/null 2>&1; then
+    info "загружаем на ${REMOTE}:${UPDATES_DIR} (каталог записываем — без sudo)"
+    # shellcheck disable=SC2086
+    rsync -az -e "ssh ${SSH_EXTRA}" "${STAGE}/" "${REMOTE}:${UPDATES_DIR}/" ||
        die "не удалось загрузить артефакты на ${REMOTE}"
-ssh -t "$REMOTE" "sudo find '${UPDATES_DIR}' -type f -exec chmod 644 {} +"
+    # shellcheck disable=SC2086
+    ssh ${SSH_EXTRA} "$REMOTE" "find '${UPDATES_DIR}' -type d -exec chmod 755 {} +"
+    ssh ${SSH_EXTRA} "$REMOTE" "find '${UPDATES_DIR}' -type f -exec chmod 644 {} +"
+    # shellcheck disable=SC2086
+    ssh ${SSH_EXTRA} "$REMOTE" "find '${UPDATES_DIR}' -type f -name '*.json' ! -name '${VERSION}.json' ! -name latest.json -print -delete"
+else
+    info "загружаем на ${REMOTE}:${UPDATES_DIR} (sudo спросит пароль)"
+    # shellcheck disable=SC2086
+    rsync -az --rsync-path="sudo rsync" -e "ssh -t ${SSH_EXTRA}" "${STAGE}/" "${REMOTE}:${UPDATES_DIR}/" ||
+        die "не удалось загрузить артефакты на ${REMOTE}"
+    # shellcheck disable=SC2086
+    ssh -t ${SSH_EXTRA} "$REMOTE" "sudo find '${UPDATES_DIR}' -type d -exec chmod 755 {} +"
+    ssh -t ${SSH_EXTRA} "$REMOTE" "sudo find '${UPDATES_DIR}' -type f -exec chmod 644 {} +"
+    # Манифесты прошлых релизов на удалённой стороне убираются по тому же
+    # правилу, что и локально: иначе старый <версия>.json перекрывает новый релиз.
+    # shellcheck disable=SC2086
+    ssh -t ${SSH_EXTRA} "$REMOTE" "sudo find '${UPDATES_DIR}' -type f -name '*.json' ! -name '${VERSION}.json' ! -name latest.json -print -delete"
+fi
 ok "обновления на ${REMOTE}:${UPDATES_DIR}"
 cat <<EOF

@@ -137,6 +137,14 @@ docker exec "$CONTAINER" bash -lc '
  fail2ban-client status
  echo "--- glchat CLI ---"
  glchat version
+  # Команды аккаунтов живут в Go-бинарнике: в обёртке не должно остаться
+  # заглушек «появится в фазе 1», а справка обязана их перечислять.
+  grep -q "delete-user" /usr/local/bin/glchat && echo "CLI: команды аккаунтов: ok"
+  glchat help | grep -q "reset-password" && echo "CLI: справка аккаунтов: ok"
+  if grep -q "появится в фазе 1" /usr/local/bin/glchat; then
+    echo "CLI: в обёртке осталась заглушка фазы 1" >&2
+    exit 1
+  fi
  echo "--- конфиги валидны ---"
  docker compose -f /opt/glchat/compose.yaml config -q && echo "compose config: valid"
 '
@@ -0,0 +1,118 @@
+import { expect, test } from '@playwright/test';
+
+import {
+  apiAs,
+  createGuild,
+  displayName,
+  dropStaleGuilds,
+  ensureProbe,
+  openApp,
+  openGuild,
+  stepUp,
+  type Account,
+  type ProbeLogin,
+  type Session,
+} from './support';
+
+/**
+ * Лимит частоты API (AGENT.md 8.6): запрос, получивший 429, клиент повторяет
+ * сам, выждав паузу `retry_after_ms` из ответа сервера. До этой правки раздел
+ * «Участники» под нагрузкой оставался пустым с кнопкой «Повторить» — именно
+ * так падал пункт 3 матрицы 11.6 в финальном прогоне 26.09.
+ *
+ * Проверка живая: запрос участников перехватывается в браузере и дважды
+ * получает 429 с настоящим конвертом ошибки, после чего уходит на стенд.
+ * Раздел обязан показать участника без действий пользователя.
+ *
+ *   GLCHAT_E2E_REALTIME=1 GLCHAT_URL=https://gl.mhspx.su \
+ *   PLAYWRIGHT_BROWSERS_PATH=../.cache/ms-playwright \
+ *   npx playwright test e2e/query-retry.spec.ts
+ */
+const enabled = process.env.GLCHAT_E2E_REALTIME === '1';
+const API = '/api/v1';
+const PREFIX = 'Retry E2E ';
+const OWNER_LOGIN: ProbeLogin = { username: 'rtprobe', password: 'Rt-Probe-Owner-9x' };
+
+let owner: Account;
+
+test.describe('лимит частоты: клиент повторяет запрос без действий пользователя', () => {
+  test.skip(!enabled, 'нужен развёрнутый инстанс: GLCHAT_E2E_REALTIME=1');
+
+  test.beforeAll(async ({ playwright }) => {
+    const ownerApi = await playwright.request.newContext({ baseURL: process.env.GLCHAT_URL });
+    try {
+      const probe = await ensureProbe(ownerApi, OWNER_LOGIN.username, OWNER_LOGIN.password);
+      const name = await displayName(ownerApi);
+      await stepUp(ownerApi, OWNER_LOGIN.password);
+      await dropStaleGuilds(ownerApi, PREFIX);
+      owner = {
+        ...probe,
+        displayName: name,
+        state: await ownerApi.storageState(),
+        browserState: await ownerApi.storageState(),
+      };
+    } finally {
+      await ownerApi.dispose();
+    }
+  });
+
+  test('429 на списке участников: раздел заполняется сам', async ({ browser, playwright }) => {
+    const ownerApi = await apiAs(playwright, owner.state);
+    let session: Session | null = null;
+    let guildId = '';
+
+    try {
+      const guild = await createGuild(ownerApi, `${PREFIX}${String(Date.now() % 100_000)}`);
+      guildId = guild.id;
+      session = await openApp(browser, owner.browserState);
+      const page = session.page;
+
+      // Перехват ставим до первого запроса участников: его делает уже список
+      // участников в ленте сервера, и без перехвата данные легли бы в кэш
+      // раньше проверки. Запрос обязан получить 429 дважды и уйти на стенд
+      // только с третьей попытки.
+      let blocked = 0;
+      await page.route('**/api/v1/guilds/*/members*', async (route) => {
+        if (blocked >= 2) {
+          await route.continue();
+          return;
+        }
+        blocked += 1;
+        await route.fulfill({
+          status: 429,
+          contentType: 'application/json',
+          body: JSON.stringify({
+            error: {
+              code: 'rate_limited',
+              message: 'Слишком много запросов. Подождите немного.',
+              retry_after_ms: 400,
+            },
+          }),
+        });
+      });
+
+      // Открываем настройки сервера так же, как пользователь: выбрать сервер в
+      // рейке и нажать ⚙. Адресный переход `/settings/servers/<id>` здесь не
+      // годится: он на мгновение монтирует вкладку «Мои серверы», та заводит
+      // запрос участников по тому же ключу и, размонтируясь, обрывает его
+      // повтор — запрос остаётся в состоянии ошибки.
+      await openGuild(page, guild.name);
+      await page.getByRole('button', { name: 'Настройки сервера' }).click();
+      await expect(page.getByTestId('settings-content')).toBeVisible({ timeout: 30_000 });
+
+      // Кнопка «Повторить» не нажимается: строку даёт автоматический повтор.
+      const row = page
+        .getByTestId('guild-members')
+        .locator('li', { hasText: `@${owner.username}` });
+      await expect(row).toContainText(owner.displayName, { timeout: 30_000 });
+      expect(blocked, 'оба ответа 429 были отданы перехватчиком').toBe(2);
+    } finally {
+      await session?.context.close();
+      if (guildId !== '') {
+        await stepUp(ownerApi, OWNER_LOGIN.password).catch(() => undefined);
+        await ownerApi.delete(`${API}/guilds/${guildId}`).catch(() => undefined);
+      }
+      await ownerApi.dispose();
+    }
+  });
+});
@@ -1,18 +1,97 @@
 import { QueryClient } from '@tanstack/react-query';

+import { ApiError, apiErrorField } from '@/api/client';
+
 /**
 * Единый QueryClient приложения. Живёт в модуле (а не в main.tsx), чтобы
 * не-React код — например стор шлюза — мог инвалидировать кэш REST-запросов.
 */
 let client: QueryClient | null = null;

+/**
+ * Сколько раз повторять запрос, упёршийся в лимит частоты (429). Сервер вместе
+ * с ошибкой присылает `retry_after_ms`, поэтому повтор не «долбит» лимит, а
+ * ждёт назначенную паузу: под нагрузкой матрицы 11.6 списки (участники, звуки,
+ * эмодзи) иначе остаются пустыми до ручного «Повторить».
+ */
+const RATE_LIMIT_RETRIES = 2;
+
+/**
+ * Предел паузы, которую имеет смысл выждать внутри запроса. Если сервер просит
+ * больше (например, минутный лимит загрузок), повтор не делаем: пользователю
+ * полезнее сразу увидеть понятную ошибку с кнопкой «Повторить», чем ждать.
+ */
+const MAX_RATE_LIMIT_WAIT_MS = 5_000;
+
+/** Запас к паузе сервера: часы клиента и сервера расходятся, окно скользящее. */
+const RATE_LIMIT_MARGIN_MS = 250;
+
+/** Повторы «обычных» сбоев (сеть, 5xx) — как было: одна попытка. */
+const TRANSIENT_RETRIES = 1;
+
+function errorStatus(error: unknown): number | null {
+  if (error instanceof ApiError) {
+    return error.status;
+  }
+  const status = (error as { status?: unknown } | null)?.status;
+  return typeof status === 'number' ? status : null;
+}
+
+function isAbort(error: unknown): boolean {
+  return error instanceof DOMException && error.name === 'AbortError';
+}
+
+/**
+ * Пауза из ответа 429 (`retry_after_ms`) плюс небольшой запас. `null` — сервер
+ * паузу не назвал: тогда работает обычная выдержка с удвоением.
+ */
+function rateLimitWaitMs(error: unknown): number | null {
+  const value = apiErrorField(error, 'retry_after_ms');
+  if (typeof value !== 'number' || !Number.isFinite(value) || value <= 0) {
+    return null;
+  }
+  return Math.round(value) + RATE_LIMIT_MARGIN_MS;
+}
+
+/**
+ * Политика повторов для запросов: 4xx (кроме 429) повторять бессмысленно —
+ * ответ не изменится; 429 повторяем с паузой сервера; сеть и 5xx — один раз.
+ */
+export function shouldRetryQuery(failureCount: number, error: unknown): boolean {
+  if (isAbort(error)) {
+    return false;
+  }
+  const status = errorStatus(error);
+  if (status === 429) {
+    if (failureCount >= RATE_LIMIT_RETRIES) {
+      return false;
+    }
+    const wait = rateLimitWaitMs(error);
+    return wait === null || wait <= MAX_RATE_LIMIT_WAIT_MS;
+  }
+  if (status !== null && status < 500) {
+    return false;
+  }
+  return failureCount < TRANSIENT_RETRIES;
+}
+
+/** Задержка перед повтором: пауза сервера для 429, иначе удвоение с потолком. */
+export function queryRetryDelay(failureCount: number, error: unknown): number {
+  const wait = rateLimitWaitMs(error);
+  if (wait !== null) {
+    return Math.min(wait, MAX_RATE_LIMIT_WAIT_MS);
+  }
+  return Math.min(1_000 * 2 ** failureCount, 8_000);
+}
+
 export function getQueryClient(): QueryClient {
  client ??= new QueryClient({
    defaultOptions: {
      queries: {
        staleTime: 30_000,
        refetchOnWindowFocus: false,
-        retry: 1,
+        retry: shouldRetryQuery,
+        retryDelay: queryRetryDelay,
      },
    },
  });
@@ -0,0 +1,96 @@
+import { QueryClient } from '@tanstack/react-query';
+import { describe, expect, it, vi } from 'vitest';
+
+import { ApiError } from '@/api/client';
+import {
+  getQueryClient,
+  queryRetryDelay,
+  setQueryClient,
+  shouldRetryQuery,
+} from '@/lib/queryClient';
+
+/** Ошибка лимита частоты в том виде, в каком её отдаёт `request()`. */
+function rateLimited(retryAfterMs: number): ApiError {
+  const error = new ApiError(429, 'rate_limited', 'too many requests');
+  Object.defineProperty(error, 'apiError', {
+    value: { code: 'rate_limited', message: 'too many requests', retry_after_ms: retryAfterMs },
+    enumerable: false,
+  });
+  return error;
+}
+
+describe('повторы запросов при лимите частоты', () => {
+  it('повторяет 429 с паузой из ответа сервера', () => {
+    const error = rateLimited(1_200);
+    expect(shouldRetryQuery(0, error)).toBe(true);
+    expect(shouldRetryQuery(1, error)).toBe(true);
+    expect(queryRetryDelay(0, error)).toBe(1_450);
+  });
+
+  it('после двух повторов сдаётся: ошибку видит пользователь', () => {
+    expect(shouldRetryQuery(2, rateLimited(500))).toBe(false);
+  });
+
+  it('не ждёт паузу длиннее предела — сразу показывает ошибку', () => {
+    // Минутный лимит загрузок: ждать внутри запроса бессмысленно.
+    expect(shouldRetryQuery(0, rateLimited(60_000))).toBe(false);
+    expect(queryRetryDelay(0, rateLimited(60_000))).toBe(5_000);
+  });
+
+  it('429 без retry_after_ms повторяет с обычной выдержкой', () => {
+    const error = new ApiError(429, 'rate_limited', 'too many requests');
+    expect(shouldRetryQuery(0, error)).toBe(true);
+    expect(queryRetryDelay(0, error)).toBe(1_000);
+    expect(queryRetryDelay(1, error)).toBe(2_000);
+  });
+
+  it('не повторяет отказы, которые не изменятся: 403, 404, 422', () => {
+    for (const status of [400, 403, 404, 422]) {
+      const error = new ApiError(status, 'validation.failed', 'no');
+      expect(shouldRetryQuery(0, error)).toBe(false);
+    }
+  });
+
+  it('повторяет сетевые сбои и 5xx по одному разу', () => {
+    expect(shouldRetryQuery(0, new TypeError('Failed to fetch'))).toBe(true);
+    expect(shouldRetryQuery(1, new TypeError('Failed to fetch'))).toBe(false);
+    expect(shouldRetryQuery(0, new ApiError(503, 'internal.error', 'later'))).toBe(true);
+    expect(shouldRetryQuery(1, new ApiError(503, 'internal.error', 'later'))).toBe(false);
+  });
+
+  it('не повторяет отменённый запрос', () => {
+    expect(shouldRetryQuery(0, new DOMException('aborted', 'AbortError'))).toBe(false);
+  });
+
+  it('общий клиент приложения использует эту политику', () => {
+    const options = getQueryClient().getDefaultOptions().queries;
+    expect(options?.retry).toBe(shouldRetryQuery);
+    expect(options?.retryDelay).toBe(queryRetryDelay);
+  });
+
+  it('запрос действительно переживает 429 и отдаёт данные', async () => {
+    const queryClient = new QueryClient({
+      defaultOptions: {
+        queries: { retry: shouldRetryQuery, retryDelay: () => 1 },
+      },
+    });
+    setQueryClient(queryClient);
+    const loader = vi
+      .fn<() => Promise<string>>()
+      .mockRejectedValueOnce(rateLimited(1))
+      .mockRejectedValueOnce(rateLimited(1))
+      .mockResolvedValue('участники');
+
+    await expect(
+      queryClient.fetchQuery({ queryKey: ['members-ok'], queryFn: loader }),
+    ).resolves.toBe('участники');
+    expect(loader).toHaveBeenCalledTimes(3);
+
+    // Третьего повтора нет: следующий 429 доходит до вызывающего кода.
+    const failing = vi.fn<() => Promise<string>>().mockRejectedValue(rateLimited(1));
+    await expect(
+      queryClient.fetchQuery({ queryKey: ['members-fail'], queryFn: failing }),
+    ).rejects.toThrow('too many requests');
+    expect(failing).toHaveBeenCalledTimes(3);
+  });
+});